AP onderzoekt twee sites met misleidende cookiebanners

De Autoriteit Persoonsgegevens onderzoekt twee organisaties na eerdere uitleg en waarschuwingen, omdat hun websites geen direct zichtbare knop bieden om trackingcookies te weigeren en bezoekers daardoor eerder accepteren.

Voor site-eigenaren maakt dat de eerste laag van de toestemmingsbanner tot het directe controlepunt: weigeren moet zichtbaar zijn en net zo weinig handelingen kosten als accepteren. De onderzoeken zijn nog geen sancties, maar tonen dat de AP na waarschuwingen vervolgstappen zet.

De waarschuwing krijgt nu een vervolg

De AP zegt dat zij de afgelopen maanden ongeveer honderd organisaties heeft gewaarschuwd voor een banner die niet aan de eisen voldoet. Ongeveer 70 procent past de banner daarop aan. De twee organisaties in het nieuwe onderzoek deden dat niet, ondanks uitleg en een waarschuwing. Volgens de AP kunnen organisaties die na een waarschuwing niets veranderen een onderzoek en mogelijk een boete verwachten.

De cijfers zijn niet zonder meer op te tellen. In november 2025 meldde de AP dat meer dan 200 websites waren gewaarschuwd en ongeveer driekwart de banner had aangepast. De nieuwe publicatie noemt ongeveer honderd organisaties in de afgelopen maanden en een herstelpercentage van circa 70 procent. De AP licht niet toe of de groepen overlappen of precies op welke periode de nieuwe verhouding slaat. Wel is de route gelijk: waarschuwing, gelegenheid om de banner aan te passen en daarna onderzoek bij organisaties die dat niet doen.

De stap past bij wat de AP eerder over cookiebanners beschreef: trackers die vóór de eerste klik starten, een ontbrekende weigerknop en toestemming die niet eenvoudig is in te trekken. De twee nieuwe onderzoeken gaan volgens de toezichthouder over de zichtbaarheid van de weigermogelijkheid.

De knop moet op dezelfde laag staan

De AP zegt dat het even makkelijk moet zijn om trackingcookies te weigeren als te accepteren. In haar richtlijn staat dat beide keuzes op dezelfde laag moeten staan en weigeren geen extra klik of verborgen link mag vragen. De bezoeker moet de knop meteen zien, zonder eerst een voorkeurenscherm te openen of door een tekstblok te zoeken.

Een eerste controle kan op zowel desktop als mobiel. Staat ‘Weigeren’ meteen in beeld, naast of op gelijk niveau met ‘Accepteren’? Is de knop goed leesbaar en vraagt weigeren niet om extra bevestiging? Daarna telt de werking achter de banner: test in een schoon browservenster of de keuze wordt opgeslagen en of de site trackingcookies pas plaatst na toestemming. Een knop die zichtbaar is maar de scripts niet tegenhoudt, lost het technische deel niet op.

Dat laatste vraagt ook aandacht voor wijzigingen aan de website. Een marketingtag, video of analysetool kan later zijn toegevoegd zonder dat iemand de instellingen van het consentplatform opnieuw controleerde.

Een tweede meting kijkt achter de banner

De weigerknop is één onderdeel van toestemming. Een afzonderlijke meting van Nixon Digital laat zien waarom sitebeheerders ook moeten controleren wat er na het laden van een pagina gebeurt. Het bedrijf meldt dat 160 van 200 grote FMCG-websites bezoekersgegevens doorgaven voordat iemand een keuze maakte. Dat is 80 procent van de onderzochte sites. Op 136 sites, 68 procent, vond de scanner minstens één hoog-risicobevinding; zelfs 126 van de 184 websites met een consenttool hadden toch een hoog-risicobevinding.

Nixon scande één domein en maximaal vijf pagina’s per bedrijf. Het ging om bedrijven met meer dan 1.000 werknemers in de sectoren voeding, drank, huishoudelijke producten en persoonlijke verzorging, actief op de Europese markt. De index noemt de bedrijven niet en het bedrijf biedt zelf privacysoftware en scans aan. De meting zegt dus iets over wat de scanner op deze steekproef aantrof, niet over iedere Nederlandse website of over de twee organisaties van de AP. De twee onderzoeken gaan specifiek over een ontbrekende direct zichtbare weigerknop. De AP heeft niet gezegd dat Nixon’s datastromen ook in deze twee zaken zijn vastgesteld.

De banner moet de weigering op de eerste laag aanbieden, en de website moet die keuze daarna technisch uitvoeren. De eerste stap is zichtbaar voor de bezoeker; de tweede is pas zichtbaar als de beheerder test wat de browser werkelijk opslaat en verstuurt.

De namen en uitkomst blijven onbekend

De AP maakt niet bekend om welke organisaties het gaat. Ook noemt de toezichthouder geen sector, website, onderzoeksplanning of concrete gegevensstromen bij deze twee zaken. Security.NL meldt eveneens dat de betrokken organisaties niet zijn geïdentificeerd. Daardoor is niet vast te stellen of de banners alleen geen directe weigerknop hadden of dat er daarnaast trackingcookies werden geplaatst voordat bezoekers toestemming gaven.

Een formeel onderzoek is geen boetebesluit. De AP zegt dat een boete mogelijk is voor organisaties die na waarschuwing hun banner niet aanpassen, maar maakt nog niet bekend hoe de twee zaken aflopen. De gepubliceerde informatie gaat over de zichtbare keuze in de banner; over de technische vaststellingen in de afzonderlijke dossiers is nog niets openbaar.

De AP zet hiermee een interfacefout in het toezichtstraject dat al langer over banners en tracking gaat. Eerdere waarschuwingen leidden volgens de toezichthouder bij een meerderheid tot aanpassing, maar organisaties die dat niet doen krijgen nu met onderzoek te maken. Voor websitebeheerders ligt de toets daardoor zowel in het venster als achter de knop: bezoekers moeten kunnen weigeren en de site moet die keuze uitvoeren. De AP heeft nog geen datum genoemd voor de uitkomst van de twee onderzoeken.