Gepubliceerd op 27 december 2025 · Laatst bijgewerkt op 14 oktober 2026
Voor tracking cookies, remarketingpixels en de meeste analytics heeft u vooraf actieve, vrije en specifieke toestemming van de bezoeker nodig (artikel 11.7a Telecommunicatiewet en de AVG). De uitzondering geldt alleen voor functionele cookies en voor analytische cookies die geen of geringe gevolgen hebben voor de privacy; die mag u zonder toestemming plaatsen, maar u moet bezoekers er wel over informeren.
Wie zonder geldige toestemming tracking cookies plaatst, riskeert een boete. De Autoriteit Persoonsgegevens (AP) legde Kruidvat in 2024 een boete op van € 600.000 voor het volgen van websitebezoekers zonder geldige toestemming. Hieronder leest u welke cookies onder welke regel vallen en hoe u een cookiebanner inricht die de toets doorstaat.
Inhoudsopgave
Welke regels gelden voor cookies en online tracking?
Twee regelingen gelden naast elkaar: de cookiebepaling van artikel 11.7a Telecommunicatiewet en de AVG. De Telecommunicatiewet gaat over het plaatsen en uitlezen van informatie op het apparaat; de AVG over wat u daarna met persoonsgegevens doet.
Artikel 11.7a Tw is de Nederlandse uitvoering van de Europese ePrivacyrichtlijn (Richtlijn 2002/58/EG). De bepaling geldt niet alleen voor cookies, maar voor elke techniek die informatie op een apparaat opslaat of uitleest, zoals pixels, local storage en fingerprinting. Tracking cookies verwerken vrijwel altijd persoonsgegevens, zoals een uniek ID of IP-adres; dan moet u ook aan de AVG voldoen. Het toezicht is verdeeld: de ACM houdt toezicht op de cookiebepaling in de Telecommunicatiewet, de AP op de AVG. Bij tracking cookies, waarmee persoonsgegevens worden verwerkt, treedt in de praktijk de AP op; zij gaf Kruidvat de eerste cookieboete. Een overzicht van de privacyregels vindt u in ons artikel over privacywetgeving in Nederland.
Wat is het verschil tussen functionele, analytische en tracking cookies?
Het verschil bepaalt of u toestemming nodig heeft. Functionele cookies zijn nodig om de dienst te leveren, analytische cookies meten gebruik, en tracking cookies volgen bezoekers over websites heen voor advertenties.
- Functionele cookies: strikt noodzakelijk voor een dienst waar de bezoeker om vraagt, zoals het winkelmandje van een webwinkel, de inlogsessie of de taalkeuze. Geen toestemming nodig (artikel 11.7a lid 3 sub b Tw).
- Analytische cookies met geen of geringe privacygevolgen: alleen voor inzicht in kwaliteit of effectiviteit van de eigen website. Geen toestemming nodig, mits ze privacyvriendelijk zijn ingesteld.
- Overige analytische cookies: analytics waarbij gegevens met derden worden gedeeld of voor eigen doeleinden van de leverancier worden gebruikt. Toestemming nodig.
- Tracking- en remarketingcookies: bouwen een profiel op over meerdere websites, bijvoorbeeld via een advertentienetwerk of een pixel van een sociaal netwerk. Toestemming altijd nodig.
Wanneer zijn analytische cookies vrijgesteld?
Analytische cookies zijn vrijgesteld als ze geen of geringe gevolgen hebben voor de privacy en alleen dienen om de kwaliteit of effectiviteit van uw website te meten (artikel 11.7a lid 3 sub b Tw). Deze uitzondering bestaat sinds 2015; het is geen recente versoepeling.
De AP stelt voor privacyvriendelijke analytics in de praktijk de volgende eisen:
- sluit een verwerkersovereenkomst met de leverancier van de analyticsdienst;
- maak het laatste octet van het IP-adres onherkenbaar (maskeren);
- zet het delen van gegevens met de leverancier voor diens eigen doeleinden uit;
- gebruik geen andere diensten van de leverancier in combinatie met de analyticscookies.
Vermeld deze cookies wel in uw cookie- of privacyverklaring. Voldoet de instelling niet aan deze voorwaarden, dan heeft u gewoon toestemming nodig. Let ook op doorgifte naar de Verenigde Staten: die is toegestaan aan bedrijven die zijn aangesloten bij het EU-VS Data Privacy Framework.
Aan welke eisen moet de toestemming voldoen?
Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn, en vooraf worden gegeven (artikel 4 onder 11 en artikel 7 AVG). U moet de toestemming ook kunnen aantonen (artikel 7 lid 1 AVG).
- Actieve handeling: vooraf aangevinkte vakjes zijn geen geldige toestemming. Dat oordeelde het Hof van Justitie in de zaak Planet49 (1 oktober 2019, C-673/17, ECLI:EU:C:2019:801).
- Geen afleiding uit gedrag: doorscrollen of verder klikken op de website telt niet als toestemming.
- Specifiek: per doel, bijvoorbeeld apart voor analytics en voor advertenties.
- Geïnformeerd: welke partijen cookies plaatsen, met welk doel en hoe lang ze blijven staan.
- Intrekbaar: intrekken moet even makkelijk zijn als geven (artikel 7 lid 3 AVG).
Meer over geldige toestemming leest u in ons artikel AVG en cookies: hoe ver mag u gaan met klantdata?.
Mag u een cookiewall gebruiken?
Volgens de AP en de Europese privacytoezichthouders (EDPB) is een cookiewall die de website ontoegankelijk maakt bij weigering in de regel niet toegestaan, omdat toestemming dan niet vrij is. Wie toch een cookiewall overweegt, moet rekenen op discussie met de toezichthouder.
De EDPB beschrijft dit in de Richtlijnen 05/2020 over toestemming. Modellen waarbij de bezoeker kiest tussen tracking en een betaalde variant zonder tracking (“pay or consent”) zijn onderwerp van Europese discussie; voor grote platforms beoordeelt de EDPB die kritisch. Kies bij twijfel voor een banner met een gelijkwaardige weigeroptie.
Hoe richt u een cookiebanner in die de toets doorstaat?
Bied op de eerste laag een even duidelijke knop voor weigeren als voor accepteren, en laad geen tracking voordat de bezoeker heeft gekozen. Dit zijn de punten waar de AP bij controles het eerst naar kijkt.
- “Accepteren” en “Weigeren” op de eerste laag, even groot en even opvallend.
- Alle schuifjes voor niet-noodzakelijke cookies standaard uit.
- Scripts van advertentie- en analyticsdiensten pas laden na toestemming, ook via een tagmanager.
- Een vaste link “cookie-instellingen”, bijvoorbeeld in de footer, om de keuze later te wijzigen.
- Een registratie van wanneer en waarvoor toestemming is gegeven of ingetrokken.
Controleer na elke wijziging aan de website of er werkelijk geen cookies vóór de keuze worden geplaatst. Een correct ontworpen banner helpt niet als een plug-in of extern script op de achtergrond toch al tracking start.
Bent u verantwoordelijk voor cookies van Google, Meta en andere advertentieplatforms?
Ja. Wie een pixel of plug-in van een derde op zijn website plaatst, is volgens het Hof van Justitie samen met die partij verantwoordelijk voor het verzamelen en doorsturen van de gegevens (Fashion ID, 29 juli 2019, C-40/17, ECLI:EU:C:2019:629).
U moet dus zelf zorgen voor geldige toestemming voordat de pixel wordt geladen, en de bezoeker informeren over de partijen die gegevens ontvangen (artikelen 13 en 26 AVG). Bij remarketing treedt het advertentieplatform meestal op als zelfstandige of gezamenlijke verwerkingsverantwoordelijke, niet als uw verwerker. Een verwerkersovereenkomst volstaat dan niet; controleer welke afspraken het platform aanbiedt. Lees ook over uw verplichtingen als verwerker van persoonsgegevens.
Wat zijn de gevolgen als u de regels overtreedt?
De AP kan bij overtreding van de AVG een boete opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet (artikel 83 AVG). In de praktijk stuurt de AP vaak eerst een normoverdragende brief en controleert zij daarna opnieuw.
Daarnaast kunnen bezoekers schadevergoeding vorderen (artikel 82 AVG) en kunnen belangenorganisaties een collectieve actie instellen op grond van artikel 3:305a BW. Ook de ACM kan bij overtreding van de Telecommunicatiewet handhaven. Een overzicht van recente handhaving bij webwinkels vindt u in webshops en informatieplichten: uitspraken en boetes.
Waar let u op als adverteerder of website-eigenaar?
- Maak een overzicht van alle cookies en scripts, met partij, doel en looptijd.
- Controleer of uw analytics privacyvriendelijk is ingesteld, of vraag toestemming.
- Test met een lege browser of er vóór de keuze tracking wordt geladen.
- Leg vast hoe u toestemming registreert en hoe lang u die bewaart.
- Werk uw privacyverklaring bij als u een nieuwe marketingtool toevoegt.
- Overweeg contextuele advertenties of eigen klantgegevens die u met toestemming verzamelt.
Wat kunnen wij voor u doen bij cookies en online adverteren?
- Uw cookiebanner, cookieverklaring en privacyverklaring toetsen aan artikel 11.7a Tw en de AVG.
- Beoordelen of uw analytics onder de vrijstelling valt.
- Afspraken met advertentieplatforms en analyticsleveranciers beoordelen en verwerkersovereenkomsten opstellen.
- U bijstaan bij een brief, onderzoek of boetebesluit van de AP of ACM, met bewaking van de bezwaartermijn van zes weken.
- Adviseren over contracten met marketingbureaus als advocaat ICT-recht.
Samengevat
- Tracking- en remarketingcookies vereisen vooraf actieve toestemming (artikel 11.7a Tw en AVG).
- Functionele cookies en privacyvriendelijk ingestelde analytics zijn vrijgesteld.
- Vooraf aangevinkte vakjes en toestemming door scrollen zijn ongeldig (Planet49).
- U bent mede verantwoordelijk voor pixels van derden op uw website (Fashion ID).
- De AP kan boetes opleggen; Kruidvat kreeg in 2024 € 600.000.
Veelgestelde vragen
Heb ik toestemming nodig voor Google Analytics?
Niet als u het privacyvriendelijk instelt volgens de voorwaarden van de AP, zoals IP-maskering en geen gegevensdeling met Google. Gebruikt u het in combinatie met advertentiefuncties, dan heeft u wel toestemming nodig.
Mag ik remarketing gebruiken bij bezoekers die cookies hebben geweigerd?
Nee, niet op basis van cookies of pixels. U kunt wel contextueel adverteren of klanten benaderen die u zelf, met toestemming, een e-mailadres hebben gegeven.
Hoe lang is toestemming geldig?
De wet noemt geen vaste termijn. Toestemming geldt zolang de verwerking niet wezenlijk verandert en de bezoeker haar niet intrekt; vraag haar opnieuw als u nieuwe doelen of partijen toevoegt.
Gelden deze regels ook voor apps?
Ja. Artikel 11.7a Tw geldt voor elk apparaat en elke techniek die informatie opslaat of uitleest, dus ook voor SDK’s en advertentie-ID’s in apps.
