Is een cookiebanner verplicht? Wanneer je er een nodig hebt en wanneer niet
Door de redactie van WT Digital · verantwoordelijke uitgever Wilco Terlouw· 29 augustus 2026· 5 min lezen
Kort antwoord
Nee, niet altijd. Een cookiebanner is verplicht zodra je cookies of vergelijkbare technieken gebruikt waarvoor toestemming nodig is: tracking, marketing, sociale-mediaknoppen en de meeste statistiektools. Dat staat in artikel 11.7a van de Telecommunicatiewet, in combinatie met de AVG. Gebruik je alleen functionele cookies en statistiek zonder gevolgen voor de privacy, of helemaal geen cookies, dan mag de banner weg.
De banner die op bijna elke site staat, is er niet omdat de wet een banner voorschrijft. Hij staat er omdat die sites cookies plaatsen waarvoor toestemming nodig is, en toestemming vragen doe je nu eenmaal met een melding. Draai het om: zet je geen cookies die toestemming vereisen, dan hoef je ook niets te vragen. Voor een gewone bedrijfssite van een tandarts, kapper of aannemer is dat goed haalbaar, en het maakt de site rustiger en sneller. De regels hieronder zijn samengevat uit de Telecommunicatiewet en de AVG; het is een praktische uitleg, geen juridisch advies. De Autoriteit Persoonsgegevens (AP) heeft op haar site uitgebreide uitleg die je als toezichthouderstandpunt kunt aanhouden.
Wat zegt de wet over cookies?
Artikel 11.7a van de Telecommunicatiewet (de Nederlandse uitwerking van de Europese e-Privacyrichtlijn) bepaalt dat je gegevens alleen op het apparaat van een bezoeker mag opslaan of uitlezen als je die bezoeker duidelijk hebt geïnformeerd én toestemming hebt gekregen. Daar zijn twee uitzonderingen op:
- cookies die technisch noodzakelijk zijn voor de dienst waar de bezoeker om vraagt (inlog, winkelwagen, taalkeuze);
- cookies voor het meten van bezoek, mits die geen of geringe gevolgen hebben voor de privacy van de bezoeker.
Omdat cookies bijna altijd persoonsgegevens verwerken (een uniek ID, een IP-adres), geldt daarnaast de AVG, sinds 25 mei 2018. Die eist dat toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig is. Een vooraf aangevinkt vakje of “door verder te surfen gaat u akkoord” telt niet.
Wanneer is een cookiebanner verplicht?
| Wat je gebruikt | Toestemming nodig? | Banner nodig? |
|---|---|---|
| Geen cookies | Nee | Nee |
| Alleen functionele cookies (inlog, winkelwagen) | Nee | Nee, wel vermelden in privacyverklaring |
| Statistiek zonder cookies (bijvoorbeeld Plausible, Simple Analytics, cookieloze Matomo) | Nee | Nee |
| Google Analytics | Ja, tenzij privacyvriendelijk ingesteld volgens de AP-handleiding | Meestal wel |
| Ingesloten YouTube-video of Google Maps (standaard) | Ja | Ja |
| Facebook-pixel, Google Ads-conversiemeting, retargeting | Ja | Ja |
| Sociale-mediaknoppen die data delen | Ja | Ja |
| Chatwidget van een externe partij | Meestal ja | Meestal ja |
Twijfel je? Open je site in een privévenster, druk op F12 en kijk onder “Application” of “Opslag” bij Cookies. Elke cookie van een ander domein dan het jouwe is een reden om na te gaan wie hem plaatst en waarom.
Wat moet er in een cookiebanner staan als je er een nodig hebt?
De AP heeft de eisen de afgelopen jaren scherper gemaakt en controleert sinds 2024 actief op cookiebanners. De kern:
- Vooraf. Cookies die toestemming vereisen, worden pas geplaatst ná de klik op akkoord, niet al bij het laden.
- Weigeren even makkelijk als accepteren. Een knop “Weigeren” of “Alleen noodzakelijk” op dezelfde plek en met dezelfde zichtbaarheid als “Accepteren”. Een kleine grijze link “instellingen” naast een grote groene knop wordt als misleidend beschouwd.
- Geen cookiewall. De site moet ook bruikbaar zijn als iemand weigert. Alleen toegang na akkoord is volgens de AP niet toegestaan.
- Per doel. Statistiek, marketing en sociale media apart aan of uit te zetten, in begrijpelijke taal.
- Intrekbaar. De bezoeker moet zijn keuze later kunnen wijzigen, bijvoorbeeld via een link in de voettekst.
- Informatie. Welke cookies, van wie, waarvoor en hoelang; meestal in een cookieverklaring of als onderdeel van de privacyverklaring.
Kan een bedrijfswebsite zonder cookies?
Ja, en voor de meeste kleine bedrijven zonder verlies. Wat je nodig hebt en hoe je het zonder cookies doet:
- Bezoekersstatistiek: een cookieloze meettool telt bezoekers en populaire pagina’s zonder individuele bezoekers te volgen. Je ziet minder dan in Google Analytics, maar wat je ziet, is voor een kapper of yogastudio ruim genoeg.
- Video: gebruik de privacyvriendelijke insluitmodus van YouTube (youtube-nocookie.com) of toon een afbeelding die pas na een klik de video laadt.
- Kaart: een statische kaartafbeelding met een link naar Google Maps in plaats van een ingesloten kaart.
- Lettertypen: host lettertypen zelf in plaats van via Google Fonts.
- Formulieren: een eigen formulier plaatst geen cookies; sommige externe formulierdiensten wel.
Wie zijn site laat bouwen, kan dit gewoon als eis meegeven. WT Digital bouwt bijvoorbeeld standaard zonder cookies, met een eigen cookieloze bezoekersmeting, zodat er geen banner nodig is; een andere bouwer kan hetzelfde doen als je erom vraagt. Het scheelt ook in laadtijd, want cookiebanners en trackers zijn vaak de zwaarste onderdelen van een pagina.
Wat riskeer je zonder (goede) cookiebanner?
De AP kan boetes opleggen op grond van de AVG (tot € 20 miljoen of 4% van de omzet, in de praktijk voor kleine bedrijven veel lager) en de Autoriteit Consument & Markt houdt toezicht op de Telecommunicatiewet. De grootste boetes gingen tot nu toe naar grote partijen, maar de AP heeft laten weten ook kleinere sites aan te schrijven. Belangrijker voor een klein bedrijf: een klant die ziet dat hij zonder te kiezen al gevolgd wordt, vertrouwt je iets minder. Zet je wél trackers, doe het dan netjes. Wat er verder over gegevens op je site moet staan, staat in privacyverklaring en AVG voor een kleine website en in verplichte gegevens op een bedrijfswebsite. Benieuwd welke cookies jouw site nu plaatst? De gratis website-check laat het zien.
Veelgestelde vragen
Heb ik een cookiebanner nodig voor Google Analytics?
In de praktijk wel. De AP heeft een handleiding voor een privacyvriendelijke instelling van Google Analytics (IP-adres afkappen, gegevens delen met Google uit, geen koppeling met andere Google-diensten); alleen als je die volledig volgt, kan het zonder toestemming, en dan nog moet je het in je privacyverklaring vermelden. Veel bedrijven kiezen daarom voor een cookieloze meettool.
Is een cookieverklaring hetzelfde als een privacyverklaring?
Nee. De cookieverklaring beschrijft welke cookies je plaatst; de privacyverklaring beschrijft welke persoonsgegevens je verwerkt en waarom. Ze mogen wel in één document staan.
Mag een cookiebanner de hele pagina blokkeren?
Een banner mag opvallen, maar de bezoeker moet kunnen weigeren en daarna de site gewoon gebruiken. Een banner die pas weggaat na “Accepteren” is een cookiewall en dat is volgens de AP niet toegestaan.