Is een cookiemelding verplicht in 2026? Wat de AVG van jouw website eist

Een cookiemelding voelt voor veel ondernemers als een verplicht nummer. Iets wat "er gewoon op moet" omdat iedereen het heeft. Maar achter die melding zit een duidelijke gedachte: je bezoeker mag zelf bepalen of een website gegevens over hem of haar verzamelt.

De vuistregel is simpel. Verzamelt jouw website meer gegevens dan strikt nodig is om te functioneren? Dan heb je vooraf toestemming nodig. En toestemming vraag je met een cookiemelding. De details staan in de AVG en de toelichting van de Autoriteit Persoonsgegevens, de toezichthouder in Nederland. Dit artikel geeft je een praktisch overzicht, geen juridisch advies.

Wat zijn cookies eigenlijk?

Cookies zijn kleine bestandjes die een website op het apparaat van je bezoeker plaatst. Ze onthouden bijvoorbeeld wat er in een winkelmandje zit, of in welke taal iemand de site bekijkt. Tot zover is er niets aan de hand.

Het wordt anders als cookies worden gebruikt om bezoekers te volgen. Denk aan statistiektools, advertentienetwerken of ingesloten video's die meekijken. Die cookies verzamelen gegevens over surfgedrag, en daar gelden strengere regels voor.

Grofweg zijn er twee soorten:

• Functionele en noodzakelijke cookies: nodig om de website te laten werken. Hiervoor heb je meestal geen toestemming nodig.
• Volg- en marketingcookies: verzamelen gegevens of volgen gedrag. Hiervoor heb je vooraf toestemming nodig.

Het verschil tussen deze twee bepaalt of je een cookiemelding nodig hebt en hoe die eruit moet zien.

Wanneer is een cookiemelding verplicht?

Kort gezegd: een cookiemelding met een toestemmingskeuze is nodig zodra je website cookies plaatst die niet strikt noodzakelijk zijn.

Dat is in de praktijk vaker het geval dan je denkt. Veel websites gebruiken namelijk:

• Google Analytics of een ander statistiekpakket
• een Facebook- of LinkedIn-pixel
• ingesloten YouTube- of Vimeo-video's
• een chatfunctie van een externe partij
• advertentie- of remarketingtools

Al deze diensten kunnen volgcookies plaatsen. Gebruik je er een van? Dan heb je vooraf toestemming van je bezoeker nodig.

Heb je een hele simpele website zonder statistieken, zonder ingesloten media en zonder externe tools? Dan is de kans groter dat je alleen noodzakelijke cookies gebruikt en geen toestemmingsmelding hoeft te tonen. Twijfel je? Laat dan in kaart brengen welke cookies je site precies plaatst. Dat is vaak het eerste wat we doen bij een nieuwe website.

Wat zijn de eisen aan een goede cookiemelding?

Een cookiemelding tonen is niet genoeg. De melding moet ook aan een aantal voorwaarden voldoen. De toezichthouder kijkt vooral naar of de toestemming echt vrij gegeven is.

De belangrijkste uitgangspunten:

• Vooraf vragen. Volgcookies mogen pas geplaatst worden nadat de bezoeker toestemming heeft gegeven, niet ervoor.
• Weigeren moet net zo makkelijk zijn als accepteren. Een grote groene "Accepteren"-knop naast een verstopte weigeroptie voldoet niet.
• Geen vooraf aangevinkte vakjes. Toestemming moet een actieve keuze zijn.
• Duidelijke uitleg. De bezoeker moet begrijpen waarvoor hij toestemming geeft.
• Toestemming intrekken kan. De bezoeker moet zijn keuze later kunnen wijzigen.

Dit klinkt logisch, maar in de praktijk gaat het hier vaak mis. Veel cookiebanners zijn zo ontworpen dat accepteren de makkelijkste route is. Dat is precies wat niet de bedoeling is.

Dark patterns: waarom veel cookiebanners niet voldoen

Een "dark pattern" is een ontwerp dat de bezoeker subtiel een bepaalde kant op duwt. Bij cookiebanners zie je dat heel vaak.

Voorbeelden die het risico lopen niet te voldoen:

• een opvallende "Alles accepteren"-knop, terwijl weigeren weggestopt zit in een menu
• weigeren dat extra klikken kost, terwijl accepteren met een klik kan
• een grijze, nauwelijks zichtbare weigeroptie naast een felgekleurde accepteerknop
• teksten die schuldgevoel oproepen als je weigert

De lijn van de toezichthouders wordt strenger: accepteren en weigeren horen gelijkwaardig te zijn. Twee even grote knoppen, even duidelijk, op hetzelfde niveau. Als jouw banner dat niet doet, is het verstandig om hem aan te passen.

Het mooie is: een eerlijke banner hoeft je niet veel bezoekers te kosten. Mensen die bewust weigeren, zou je via een misleidende knop toch niet als betrouwbare statistiek meetellen.

Wat gebeurt er als je het niet goed regelt?

De meeste ondernemers regelen hun cookiemelding niet uit angst voor een boete, maar omdat ze het netjes willen doen. Toch is het goed om te weten wat er kan gebeuren.

De Autoriteit Persoonsgegevens kan optreden tegen websites die de regels overtreden. In de praktijk begint dat meestal met een waarschuwing of een verzoek om aanpassing. Bij grotere of hardnekkige overtredingen kunnen er zwaardere maatregelen volgen.

Minstens zo belangrijk is het vertrouwen van je bezoeker. Een rommelige of misleidende cookiebanner geeft direct een onprofessionele indruk. Een nette, eerlijke melding laat zien dat je zorgvuldig met gegevens omgaat. Voor de actuele stand van handhaving verwijzen we naar de Autoriteit Persoonsgegevens, want regels en focus kunnen veranderen.

Cookiemelding en je privacyverklaring horen bij elkaar

Een cookiemelding staat niet op zichzelf. Bezoekers die meer willen weten, moeten kunnen doorklikken naar uitleg over welke gegevens je verzamelt en waarom.

Daarom hoort bij een goede cookieaanpak ook:

• een cookieverklaring die uitlegt welke cookies je plaatst en met welk doel
• een privacyverklaring die beschrijft hoe je met persoonsgegevens omgaat
• een duidelijke link naar beide vanuit de cookiebanner

Deze documenten hoeven niet ingewikkeld te zijn, maar ze moeten wel kloppen met wat je website daadwerkelijk doet. Een privacyverklaring die niet matcht met de cookies die je plaatst, is een veelgemaakte fout. Het loont om dit een keer goed na te lopen, bijvoorbeeld als onderdeel van regulier website onderhoud.

Hoe regel je het technisch goed?

Een cookiemelding is meer dan een tekstballon. Onder de motorkap moet er ook echt iets gebeuren.

Wat een goede technische oplossing doet:

• volgcookies pas laden nadat er toestemming is gegeven
• de keuze van de bezoeker onthouden, zodat de banner niet bij elk bezoek terugkomt
• de keuze koppelen aan de tools die je gebruikt, zoals statistieken en advertenties
• een manier bieden om de keuze later te wijzigen

Dit is precies het punt waar veel kant-en-klare bannertjes tekortschieten: ze tonen wel een melding, maar de tracking loopt op de achtergrond gewoon door. Dan voldoe je in de praktijk alsnog niet.

Goede vindbaarheid en een nette cookieaanpak gaan trouwens prima samen. In ons artikel over SEO voor bestaande websites lees je hoe je je website stap voor stap sterker maakt zonder meteen alles overhoop te halen.

Wie is verantwoordelijk voor de cookies op jouw website?

Een veelgehoorde vraag: als ik tools van Google of Facebook gebruik, zijn zij dan niet verantwoordelijk voor de cookies? Het korte antwoord is dat jij als eigenaar van de website verantwoordelijk bent voor wat er op jouw site gebeurt.

Dat betekent in de praktijk:

• jij bepaalt welke tools je inzet en welke cookies daarmee binnenkomen
• jij zorgt dat er toestemming wordt gevraagd voordat volgcookies laden
• jij houdt je cookie- en privacyverklaring actueel

De externe partijen leveren de techniek, maar de keuze om ze te gebruiken en de manier waarop is aan jou. Goed nieuws: je hoeft dit niet zelf bij te houden. Veel ondernemers laten dit meelopen in hun website onderhoud, zodat het altijd klopt zonder dat ze er omkijken naar hebben.

Cookies en SEO: heeft een banner invloed op je vindbaarheid?

Veel ondernemers vragen zich af of een cookiemelding hun positie in Google schaadt. Het korte antwoord: niet als je het goed doet.

Wel zijn er aandachtspunten:

• een cookiebanner mag de inhoud van je pagina niet volledig blokkeren voor bezoekers
• de banner mag de laadtijd niet onnodig vertragen
• de melding moet ook op mobiel goed werken en niet half over de knoppen heen vallen

Een zwaar, traag cookiescript kan je website langzamer maken, en snelheid telt wel mee voor zowel bezoekers als zoekmachines. Een lichte, goed gebouwde oplossing heeft nauwelijks invloed. Het draait dus niet om wel of geen banner, maar om hoe netjes hij is gebouwd.

Veelgemaakte fouten op een rij

Uit de praktijk komen steeds dezelfde missers terug. Herken je er een paar? Dan is het tijd om je cookiemelding eens kritisch te bekijken.

• De banner verschijnt, maar de tracking loopt al voordat je iets aanklikt.
• Er is wel een accepteerknop, maar geen duidelijke weigeroptie.
• De weigeroptie zit drie menu's diep.
• De cookieverklaring ontbreekt of is verouderd.
• De banner komt bij elk bezoek terug, omdat de keuze niet wordt onthouden.
• Op mobiel staat de banner half over de navigatie heen.

Stuk voor stuk zijn dit dingen die je kunt oplossen. Vaak is het een kwestie van de juiste oplossing kiezen en correct instellen, niet van je hele website opnieuw bouwen.

Liever in een keer goed dan achteraf repareren

De meeste cookie-ellende ontstaat doordat een melding er los bovenop is geplakt, zonder na te denken over wat eronder gebeurt. Wij pakken het liever andersom aan: eerst kijken welke gegevens je website verzamelt, dan de juiste melding en techniek koppelen.

Zo weet je zeker dat:

• alleen noodzakelijke cookies meteen laden
• volgcookies wachten op toestemming
• de keuze netjes wordt onthouden en te wijzigen is
• je cookie- en privacyverklaring kloppen met de werkelijkheid

Dat geeft rust. Je website doet wat hij moet doen, je bezoeker houdt de regie, en jij hoeft je geen zorgen te maken over een melding die eigenlijk niets blokkeert.

Wil je zeker weten dat je website netjes met cookies en privacy omgaat? Bij een nieuwe website regelen we de cookiemelding meteen goed mee. Heb je al een website? Dan kijken we via website onderhoud of je cookieaanpak nog klopt en passen we hem waar nodig aan. Neem contact op en we kijken samen wat jouw site nodig heeft. Voor de regels zelf verwijzen we altijd naar de officiele uitleg van de Autoriteit Persoonsgegevens.

Veelgestelde vragen

Is een cookiemelding altijd verplicht?

Niet altijd. Een cookiemelding met toestemmingskeuze is nodig zodra je website cookies plaatst die niet strikt noodzakelijk zijn, zoals statistiek-, advertentie- of volgcookies. Gebruik je alleen functionele cookies om je site te laten werken, dan is een toestemmingsmelding meestal niet nodig.

Mag de weigerknop minder opvallen dan de accepteerknop?

Nee, dat is juist een veelgemaakte fout. Weigeren hoort net zo makkelijk te zijn als accepteren. De toezichthouder verwacht twee gelijkwaardige opties, even duidelijk en op hetzelfde niveau. Een verstopte of grijze weigeroptie voldoet niet.

Wat zijn dark patterns bij cookiebanners?

Dark patterns zijn ontwerptrucs die de bezoeker richting accepteren duwen, bijvoorbeeld een felle accepteerknop naast een nauwelijks zichtbare weigeroptie, of weigeren dat extra klikken kost. Deze aanpak loopt het risico niet aan de regels te voldoen.

Heb ik naast een cookiemelding ook een privacyverklaring nodig?

In de meeste gevallen wel. Een cookiemelding en een privacyverklaring horen bij elkaar. De bezoeker moet kunnen doorklikken naar uitleg over welke gegevens je verzamelt en waarom. Zorg dat die documenten kloppen met wat je website daadwerkelijk doet.

Vertraagt een cookiebanner mijn website?

Dat kan, als de banner zwaar of slecht gebouwd is. Een licht en goed ingesteld cookiescript heeft nauwelijks invloed op de snelheid. Omdat snelheid meetelt voor bezoekers en zoekmachines, is het verstandig om voor een nette, lichte oplossing te kiezen.

Waar vind ik de officiele regels over cookies?

De Autoriteit Persoonsgegevens is in Nederland de toezichthouder en legt op haar website uit wat er van cookies en toestemming wordt verwacht. Regels en handhaving kunnen veranderen, dus voor de actuele stand raadpleeg je altijd die officiele bron.