De Autoriteit Persoonsgegevens controleert sinds 2024 actief op misleidende cookiebanners, met extra budget tot en met 2026. Wat controleert de AP, wat gebeurde er in 2025 en hoe zorg je dat jouw site de toets doorstaat?

Jarenlang was de cookiewet vooral een papieren regel. Dat is voorbij. De Autoriteit Persoonsgegevens (AP) kondigde begin 2024 aan dat ze vaker gaat controleren of websites op de juiste manier toestemming vragen voor tracking, publiceerde vuistregels voor cookiebanners en kreeg van het kabinet 500.000 euro per jaar extra voor het toezicht op cookies en online tracking in 2024, 2025 en 2026. In 2025 volgden de eerste zichtbare acties.

Wat er in 2025 gebeurde

In april 2025 stuurde de AP een waarschuwing naar vijftig organisaties met veel bezochte websites. De boodschap: de cookiebanner is misleidend, pas hem aan. Later in het jaar meldde de toezichthouder dat driekwart van die organisaties de banner had aangepast. Tegen de organisaties die niets deden, startte de AP een onderzoek. Dat is het patroon om rekening mee te houden: eerst een brief, dan een termijn, daarna onderzoek en mogelijk een sanctie.

De AP staat daarin niet alleen. De Consumentenbond onderzocht in maart 2025 een steekproef van Nederlandse websites en vond dat op 38% weigeren moeilijker was dan accepteren, met nieuwssites als grootste overtreders. Die publiciteit raakt merken direct.

Waar de AP op let

De controles volgen de vuistregels van februari 2024. In de praktijk gaat het bijna altijd om een van deze punten:

  • Geen weigerknop op de eerste laag. Alleen een knop “Accepteren” en een link “Instellingen” is niet voldoende.
  • Ongelijke knoppen. Een felgekleurde accepteerknop naast een grijze tekstlink om te weigeren.
  • Sturende teksten. “Alles accepteren” tegenover “Alleen noodzakelijk” of “Doorgaan zonder accepteren” in kleine letters.
  • Extra klikken om te weigeren. Een tweede scherm met “Weet je het zeker?” of een lijst schakelaars die je stuk voor stuk uit moet zetten.
  • Vooraf aangevinkte categorieën of schakelaars die standaard aanstaan voor statistiek en marketing.
  • Cookies vóór de keuze. Marketingscripts die al laden terwijl de banner nog openstaat. Dat ziet de AP met een technische check.
  • Geen manier om toestemming in te trekken of geen uitleg vooraf hoe dat kan.

Zo controleer je je eigen website

  1. Open je site in een incognitovenster met de ontwikkelaarstools (tabblad Application of Opslag) en kijk welke cookies er staan voordat je iets aanklikt. Alles behalve functionele cookies is een probleem.
  2. Bekijk de eerste laag van je banner: staan accepteren en weigeren naast elkaar, even groot, even opvallend?
  3. Klik op weigeren en controleer opnieuw welke cookies er staan. Laadt Analytics of een pixel toch, dan is je scriptblokkering niet op orde.
  4. Zoek de link om je keuze te wijzigen. Is die binnen een paar seconden te vinden?
  5. Controleer je cookieverklaring: staan alle cookies erin die je in stap 1 en 3 zag, met doel en bewaartermijn?
  6. Vraag je logboek op: kun je per bezoeker zien wanneer en wat er gekozen is?

Wat je moet kunnen laten zien bij een controle

De AP kan vragen om aan te tonen dat toestemming rechtsgeldig is verkregen. Daarvoor heb je drie dingen nodig: de banner zoals die op dat moment werd getoond (versie en teksten), de cookieverklaring van dat moment en het logboek met de keuzes van bezoekers. Een consent management platform bewaart die drie bij elkaar. Bij CookieOpt exporteer je het logboek als CSV en wordt de cookieverklaring na iedere scan bijgewerkt.

Veelgemaakte fout: de banner klopt, de techniek niet

Een nette banner is het halve werk. De andere helft is dat scripts daadwerkelijk wachten op de keuze. Veel websites tonen een correcte banner terwijl Google Tag Manager, de Meta Pixel en YouTube-embeds al bij het laden cookies plaatsen. Een scanner die je site periodiek controleert, vangt dat op. Plan daarom een automatische cookiescan in en kijk na iedere nieuwe plugin of marketingtool opnieuw.

Bronnen

  • Autoriteit Persoonsgegevens, vuistregels cookiebanners (februari 2024) en berichtgeving over het extra toezichtsbudget 2024 tot en met 2026.
  • Berichtgeving over de waarschuwing aan vijftig organisaties (april 2025) en de opvolging later in 2025.
  • Consumentenbond, cookie-onderzoek (6 maart 2025).

Veelgestelde vragen

Hoe weet ik of mijn banner door de AP als misleidend wordt gezien?

Leg je banner naast de negen vuistregels van de AP. De meest voorkomende fouten zijn een ontbrekende weigerknop op de eerste laag, een weigerknop die minder opvalt dan de accepteerknop en knopteksten die sturen.

Krijg ik direct een boete?

In de praktijk begint de AP met een waarschuwingsbrief en een termijn om de banner aan te passen. Wie niet reageert, kan een onderzoek en daarna een sanctie verwachten.

Geldt het toezicht ook voor kleine websites?

Ja. De regels gelden voor iedere website die zich op Nederlandse bezoekers richt. De AP koos in 2025 voor veel bezochte sites, maar de normen zijn voor iedereen gelijk.