ePrivacy-verordening ingetrokken: welke regels gelden nu voor cookies en marketing?

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 14 oktober 2026

De ePrivacy-verordening komt er niet: de Europese Commissie heeft het voorstel uit 2017 in 2025 ingetrokken. Voor cookies, tracking en e-mailmarketing gelden in Nederland dus nog steeds de Telecommunicatiewet (art. 11.7 en 11.7a) en, zodra persoonsgegevens worden verwerkt, de AVG; wel ligt er sinds eind 2025 een nieuw Europees voorstel om de cookieregels te wijzigen.

Wat is er met de ePrivacy-verordening gebeurd?

Het voorstel is formeel ingetrokken. De Commissie kondigde dat aan in haar werkprogramma van 11 februari 2025, besloot er op 16 juli 2025 toe en maakte de intrekking op 6 oktober 2025 bekend in het Publicatieblad van de EU (C/2025/5423).

De verordening had de ePrivacy-richtlijn uit 2002 (Richtlijn 2002/58/EG) moeten vervangen. Na ruim acht jaar onderhandelen bereikten het Europees Parlement en de Raad geen akkoord. De richtlijn blijft daarom gelden, en daarmee ook de Nederlandse regels die haar uitvoeren in de Telecommunicatiewet.

Komen er toch nieuwe cookieregels?

Mogelijk wel, langs een andere weg. In november 2025 stelde de Commissie in het zogeheten Digital Omnibus-pakket voor om de cookieregel voor persoonsgegevens in de AVG onder te brengen, met meer ruimte voor cookies met een laag risico en voor instellingen via de browser.

Dat voorstel is nog in behandeling bij het Europees Parlement en de Raad. Tot er een aangenomen en in werking getreden tekst is, verandert er voor uw website niets. Plannen op basis van “de nieuwe ePrivacy-verordening”, zoals in veel oudere artikelen staat, kunt u dus beter laten varen.

Welke regels gelden nu voor cookies?

Voor het plaatsen en uitlezen van cookies en vergelijkbare technieken heeft u toestemming nodig, behalve voor functionele cookies en analytische cookies met weinig gevolgen voor de privacy (art. 11.7a Telecommunicatiewet). U moet de gebruiker daarnaast duidelijk informeren over het doel.

De regel is techniekneutraal. Hij geldt voor elke manier waarop informatie op het apparaat van de gebruiker wordt opgeslagen of daaruit wordt gelezen: cookies, pixels, local storage, SDK’s in apps en device fingerprinting. Meer achtergrond leest u in ons artikel over het cookiebeleid.

• Functionele cookies (winkelwagen, inlogsessie, opslaan van de cookiekeuze): geen toestemming nodig, wel informatie.
• Analytische cookies met weinig privacy-impact: sinds 2015 geen toestemming nodig, mits de gegevens alleen voor statistiek worden gebruikt, niet met derden worden gedeeld voor eigen doeleinden en er geen profielen over sites heen worden gemaakt.
• Tracking- en advertentiecookies (ook van derden zoals advertentienetwerken en socialemediaknoppen): altijd vooraf toestemming nodig.

Aan welke eisen moet de toestemming voldoen?

De toestemming moet voldoen aan de AVG: vrij, specifiek, geïnformeerd en ondubbelzinnig (art. 4 punt 11 en art. 7 AVG). Vooraf aangevinkte vakjes, doorscrollen of “door verder te gaan gaat u akkoord” zijn daarom geen geldige toestemming.

• Weigeren moet even makkelijk zijn als accepteren, bijvoorbeeld met een knop “Weigeren” naast “Accepteren”.
• Trackingcookies mogen pas worden geplaatst nadat de bezoeker toestemming heeft gegeven.
• De bezoeker moet zijn toestemming even eenvoudig kunnen intrekken als geven (art. 7 lid 3 AVG).
• U moet kunnen aantonen dat u toestemming heeft gekregen (art. 7 lid 1 AVG), dus registreer de keuzes.

Mag ik een cookiewall gebruiken?

Volgens de Autoriteit Persoonsgegevens (AP) meestal niet. Een website die alleen toegankelijk is als de bezoeker trackingcookies accepteert, vraagt volgens de AP geen vrije toestemming en voldoet daarom niet aan de AVG.

Een model waarbij de bezoeker kiest tussen toestemming en betalen (“pay or consent”) staat in Europa ter discussie. De Europese toezichthouders (EDPB) hebben in 2024 strenge voorwaarden gesteld voor grote platforms. Kiest u voor zo’n model, laat het dan vooraf juridisch toetsen.

Welke regels gelden voor e-mailmarketing en telemarketing?

Voor ongevraagde commerciële e-mail, sms en WhatsApp aan particulieren heeft u vooraf toestemming nodig (art. 11.7 Telecommunicatiewet). De belangrijkste uitzondering is de klantrelatie: bestaande klanten mag u mailen over eigen, vergelijkbare producten, als zij bij elk bericht kunnen afmelden.

Voor e-mail aan zakelijke adressen van rechtspersonen geldt de toestemmingseis niet, maar de ontvanger moet zich wel kunnen afmelden. Mailt u een persoonlijk zakelijk adres zoals voornaam@bedrijf.nl, dan gelden ook de AVG-regels. Meer hierover in ons artikel over zakelijke e-mails en spam.

Voor telemarketing aan consumenten geldt sinds 1 juli 2021 een opt-in: u mag alleen bellen met voorafgaande toestemming of binnen een bestaande klantrelatie. Het Bel-me-niet Register is daarmee voor consumenten vervallen.

Wie houdt toezicht en wat zijn de sancties?

De Autoriteit Consument & Markt (ACM) houdt toezicht op de spam- en cookieregels van de Telecommunicatiewet en kan bij overtreding een bestuurlijke boete opleggen (hoofdstuk 15 Telecommunicatiewet). De Autoriteit Persoonsgegevens houdt toezicht op de AVG-kant: het verwerken van de persoonsgegevens die via cookies worden verzameld.

Onder de AVG kan de AP boetes opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet als dat hoger is (art. 83 AVG). Beide toezichthouders werken samen en kunnen ook een last onder dwangsom opleggen om een cookiebanner of mailingproces aan te laten passen.

Waar let u op als website-eigenaar of marketeer?

• Scan uw website en apps op alle cookies, pixels en scripts, ook die van derden die via plug-ins worden geladen.
• Controleer of trackingscripts echt pas na toestemming starten, en niet al bij het laden van de pagina.
• Stel uw analysetool zo in dat hij onder de uitzondering van artikel 11.7a Tw valt, of vraag toch toestemming.
• Leg vast op welke grondslag elk e-mailadres in uw bestand staat: toestemming of klantrelatie.
• Zorg dat elke commerciële e-mail een werkende afmeldlink en duidelijke afzendergegevens bevat.
• Werk uw privacy- en cookieverklaring bij zodat beide de werkelijke verwerkingen beschrijven.

Waar let u op als consument?

• Controleer of de banner een gelijkwaardige knop “Weigeren” heeft; ontbreekt die, dan kunt u een tip geven aan de ACM of de AP.
• Meld u af via de link onderaan een marketingmail; de afzender moet dat kosteloos en direct verwerken.
• Gebruik uw inzagerecht (art. 15 AVG) als u wilt weten welke gegevens een bedrijf over u heeft verzameld.
• Wordt u zonder toestemming gebeld voor telemarketing, noteer dan bedrijf, datum en tijd voor een melding bij de ACM.

Wat kunnen wij voor u doen bij cookies en digitale marketing?

• Wij beoordelen uw cookiebanner, cookieverklaring en toestemmingsregistratie aan de hand van artikel 11.7a Tw en de AVG.
• Wij toetsen uw e-mail- en telemarketingprocessen aan artikel 11.7 Tw, inclusief de klantrelatie-uitzondering.
• Wij stellen privacyverklaringen, verwerkersovereenkomsten en afspraken met marketingpartners op.
• Wij staan u bij in een onderzoek of handhavingstraject van de ACM of de AP en bewaken de termijnen voor zienswijze, bezwaar en beroep.
• Wij houden u op de hoogte van de Europese plannen voor nieuwe cookieregels. Meer over onze dienstverlening leest u bij onze advocaat privacyrecht en ICT-recht advocaat.

Samengevat

• De ePrivacy-verordening is in 2025 door de Commissie ingetrokken en komt er niet.
• Cookies vallen onder artikel 11.7a Telecommunicatiewet: toestemming nodig, behalve voor functionele en privacyvriendelijke analytische cookies.
• Toestemming moet voldoen aan de AVG; cookiewalls zijn volgens de AP meestal niet toegestaan.
• E-mailmarketing aan particulieren vraagt toestemming of een klantrelatie (art. 11.7 Tw); telemarketing aan consumenten is sinds 1 juli 2021 opt-in.
• Een nieuw Europees voorstel (Digital Omnibus) kan de cookieregels later wijzigen, maar geldt nog niet.

Veelgestelde vragen

Moet ik mijn website aanpassen aan de ePrivacy-verordening?

Nee, die verordening komt er niet; het voorstel is in 2025 ingetrokken. Uw website moet wel voldoen aan artikel 11.7a Telecommunicatiewet en de AVG, die al jaren gelden.

Heb ik toestemming nodig voor Google Analytics?

Dat hangt af van de instellingen. Deelt u gegevens met Google voor eigen doeleinden van Google of voor advertenties, dan valt het gebruik niet onder de analytische uitzondering van artikel 11.7a Tw en heeft u toestemming nodig.

Mag ik zakelijke relaties mailen zonder toestemming?

Aan algemene adressen van rechtspersonen wel, mits u een afmeldmogelijkheid biedt (art. 11.7 Tw). Voor eenmanszaken en persoonlijke zakelijke adressen geldt in de praktijk meer voorzichtigheid, omdat het dan om persoonsgegevens gaat.

Geldt “gerechtvaardigd belang” als grondslag voor trackingcookies?

Nee. Voor het plaatsen van trackingcookies eist artikel 11.7a Tw toestemming; een gerechtvaardigd belang (art. 6 lid 1 sub f AVG) is daarvoor geen vervanging. Voor andere verwerkingen kan die grondslag onder de AVG wel bestaan.

Lees ook: AVG en cookies: hoe ver mag u gaan met klantdata? en privacywetgeving in Nederland.