In 2026 blijven cookies een van de meest gecontroleerde onderwerpen door toezichthouders zoals de Autoriteit Persoonsgegevens. Sinds de invoering van de ePrivacy-richtlijn en de AVG-vereisten rond toestemming, hebben autoriteiten de handhaving tegen websites die de toestemmingsregels niet naleven, vermenigvuldigd. Met boetes tot 20 miljoen euro of 4% van de wereldwijde omzet op grond van de AVG, is het cookiebeleid geen bijzaak meer: het is een volwaardige wettelijke verplichting.
Het juridisch kader van cookies in Europa
De cookieregelgeving rust op twee pijlers: de ePrivacy-richtlijn 2002/58/EG en de AVG. De ePrivacy-richtlijn stelt het principe: elke opslag van informatie of toegang tot reeds opgeslagen informatie op het eindapparaat van de gebruiker vereist diens voorafgaande toestemming, met beperkte uitzonderingen.
De AVG (artikelen 5, 6 en 7) regelt de geldigheidsvoorwaarden van de toestemming: deze moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Artikel 13 verplicht volledige informatie te verstrekken over de gegevensverwerkingen die verband houden met cookies. Raadpleeg onze gids over het toepassingsgebied van de AVG om te verifiëren of uw site hieraan onderworpen is.
De types cookies en hun regels
Niet alle cookies zijn aan hetzelfde regime onderworpen. Toezichthouders maken een duidelijk onderscheid:
Cookies vrijgesteld van toestemming
Bepaalde cookies zijn strikt noodzakelijk voor het functioneren van de website en vereisen geen toestemming: sessiecookies (winkelwagen, authenticatie), taalvoorkeurcookies, load balancing cookies en publieksmeetcookies wanneer ze zo zijn geconfigureerd dat ze geen cross-site tracking mogelijk maken.
Cookies die expliciete toestemming vereisen
Voorafgaande toestemming is daarentegen verplicht voor advertentie- en targetingcookies, social media cookies, commerciële analyse-navigatiecookies (Google Analytics in standaardconfiguratie), personalisatiecookies en trackingpixels van derden.
Een fundamenteel punt: het simpelweg voortzetten van de navigatie vormt geen geldige toestemming. De gebruiker moet een duidelijke positieve handeling verrichten voor elk verwerkingsdoel.
De conforme cookiebanner: de vereisten
De cookiebanner is het mechanisme waarmee u de toestemming van gebruikers verzamelt. Toezichthouders stellen precieze eisen:
De gebruiker duidelijk informeren: de banner moet de doeleinden van de cookies vermelden, de identiteit van de verwerkingsverantwoordelijken en de mogelijkheid om te accepteren of te weigeren.
Een echte keuze bieden: de knop “Weigeren” moet even zichtbaar en toegankelijk zijn als de knop “Accepteren”. Misleidende designs waarbij weigering moeilijker werd gemaakt zijn herhaaldelijk bestraft.
Granulaire toestemming mogelijk maken: de gebruiker moet per doel cookies kunnen accepteren of weigeren.
Geen cookies plaatsen vóór toestemming: niet-essentiële cookies mogen niet worden geplaatst zolang de gebruiker geen toestemming heeft gegeven.
Bewijs van toestemming bewaren: u moet kunnen bewijzen dat de gebruiker heeft ingestemd, wanneer en voor welke doeleinden. De geldigheid van de toestemming is maximaal 13 maanden.
Het cookiebeleid: wat het moet bevatten
Naast de banner is het cookiebeleid een apart document dat uw volledige cookiepraktijk beschrijft. Conform de artikelen 12 en 13 van de AVG moet het bevatten:
- De identiteit en contactgegevens van de verwerkingsverantwoordelijke
- De uitputtende lijst van gebruikte cookies (naam, doel, levensduur, uitgever)
- De doeleinden van elke cookie, duidelijk beschreven
- De rechtsgrondslag van de verwerking
- De ontvangers van de verzamelde gegevens
- Eventuele gegevensoverdracht buiten de EU
- De bewaartermijn van de gegevens
- De rechten van gebruikers en hoe deze uit te oefenen
- De modaliteiten voor cookiebeheer
Dit beleid moet permanent toegankelijk zijn, onderscheiden van uw privacybeleid, hoewel beide documenten elkaar aanvullen.
De meest voorkomende fouten
De “cookie wall” zonder alternatief. De toegang tot de website blokkeren als de gebruiker cookies weigert, wordt over het algemeen als non-conform beschouwd.
Misleidend design (dark patterns). Een grote kleurrijke “Alles accepteren”-knop en een discreet grijs “Instellingen”-linkje vormen een dark pattern.
Geen mogelijkheid om toestemming in te trekken. De gebruiker moet zijn toestemming op elk moment even gemakkelijk kunnen intrekken als hij deze heeft gegeven.
Cookies plaatsen vóór toestemming. Veel websites laden trackers zoals Google Analytics of Facebook Pixel al bij aankomst op de pagina, vóór enige interactie met de banner.
Verwarring tussen cookiebeleid en juridische vermeldingen. Dit zijn verschillende documenten die aan verschillende verplichtingen beantwoorden.
De sancties: wat u riskeert
Toezichthouders beschikken over een arsenaal aan evenredige sancties:
Aanmaningen: conformiteit binnen een vastgestelde termijn, openbaar en mogelijk schadelijk voor uw imago.
Administratieve boetes: op grond van de AVG tot 20 miljoen euro of 4% van de jaarlijkse wereldwijde omzet. Raadpleeg ons overzicht van de 15 grootste boetes.
Bevelen: onmiddellijke stopzetting van de niet-conforme verwerking.
Dwangsommen: tot 100.000 € per dag vertraging bij niet-naleving van een bevel.
Hoe u aan de regels kunt voldoen: uw opties
Een gespecialiseerde advocaat inschakelen (300-800 €): de meest gepersonaliseerde oplossing, maar hoge kosten en meerdere weken doorlooptijd.
Gratis online sjablonen gebruiken (0 € maar riskant): zelden actueel en vereisen 3 tot 5 uur aanpassing.
Generieke AI gebruiken (ChatGPT, Claude) (0 € + advocaatrevisie 150-300 €): kan een eerste versie produceren, maar het cookiebeleid vereist precieze technische informatie.
Gespecialiseerde juridische AI gebruiken (€ 19,90 tot € 49,90): oplossingen zoals WebLegal.ai genereren een conform cookiebeleid in enkele minuten. Combineer het met de 4 verplichte juridische documenten van uw website.
Conclusie
Het cookiebeleid en de toestemmingsbanner zijn geen opties meer in 2026: het zijn wettelijke verplichtingen waarvan de niet-naleving blootstelt aan zware financiële sancties en een groot reputatierisico. Zorg vandaag nog voor uw conformiteit. Om de huidige compliance-status van uw website te controleren, gebruik de gratis scanner van WebLegal. WebLegal biedt ook een gratis AVG-conform cookiebanner dat u in enkele minuten kunt integreren.