Cookiebanner webshop: wanneer toestemming geldig is

Gepubliceerd 30 augustus 2026

De cookiebanner is het eerste wat een bezoeker van je webshop ziet, en in veel gevallen het eerste wat niet klopt. Niet omdat er geen banner is, maar omdat de banner is ontworpen om accepteren makkelijk te maken en weigeren net iets moeilijker. Precies dat verschil maakt de toestemming ongeldig.

Kort antwoord
Functionele cookies mogen zonder toestemming, tracking- en advertentiecookies niet. Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn, en weigeren moet net zo makkelijk zijn als accepteren. Doorscrollen of een vooraf aangevinkt vakje is geen toestemming. De ACM en de Autoriteit Persoonsgegevens houden hier allebei toezicht op.

Welke wet gaat hier eigenlijk over?

De cookieregel zelf staat niet in de AVG maar in artikel 11.7a van de Telecommunicatiewet, dat de Europese ePrivacyrichtlijn omzet. Die regel gaat over het plaatsen en uitlezen van gegevens op het apparaat van een bezoeker, ongeacht of het persoonsgegevens zijn.

Zodra er wél persoonsgegevens bij komen, en bij tracking is dat vrijwel altijd zo, geldt de AVG er bovenop. Die bepaalt hoe geldige toestemming eruitziet. Vandaar dat er twee toezichthouders zijn: de ACM voor het plaatsen, de Autoriteit Persoonsgegevens voor de verwerking daarna.

Welke cookies hebben toestemming nodig?

Niet alle cookies zijn gelijk, en het onderscheid bepaalt of je iets mag vragen of iets moet vragen.

Strikt noodzakelijk: de winkelwagen, de sessie na het inloggen, een taalkeuze, beveiliging tegen misbruik van formulieren. Geen toestemming nodig.
Analytisch met geringe privacygevolgen: mag onder voorwaarden zonder toestemming, mits je gegevens niet met derden deelt voor hun eigen doeleinden en het IP-adres verkort wordt.
Tracking en advertenties: pixels, remarketinglijsten, profielen over meerdere sites. Altijd toestemming nodig, en die moet je kunnen aantonen.
Cookies van ingesloten inhoud, zoals een video of een kaart van een derde partij: die plaatsen doorgaans hun eigen tracking en vallen daarmee onder de derde categorie.

Welke vier fouten komen het vaakst voor?

De vier fouten hieronder komen samen in vrijwel elke banner die niet bewust is ingericht. Ze zijn stuk voor stuk in een middag te herstellen.

Weigeren kost meer klikken dan accepteren. Beide knoppen horen in dezelfde stap te staan, met dezelfde nadruk.
De banner plaatst al cookies vóórdat er een keuze is gemaakt. Controleer dat in de ontwikkelaarsgereedschappen van je browser: laad de pagina en kijk wat er staat voordat je iets aanklikt.
Er is geen manier om terug te komen op de keuze. Zet een permanente link in de footer.
De banner vangt de toetsenbordfocus en laat hem niet los, waardoor iemand zonder muis de winkel nooit bereikt. Dit is tegelijk een toegankelijkheidsfout.

Hoe controleer je het zelf?

Open je winkel in een privévenster en kijk in de ontwikkelaarsgereedschappen bij opslag naar de cookies die er staan voordat je op iets hebt geklikt. Staan er meer dan de strikt noodzakelijke, dan plaatst je banner cookies zonder toestemming, hoe correct de tekst erop ook is.

Kijk daarna naar de netwerkverzoeken. Een verzoek naar een advertentie- of analysedomein dat vertrekt vóór je keuze, is hetzelfde probleem in een andere vorm: er is dan al gegevens gedeeld.

Vragen

Veelgestelde vragen

Heb ik voor elke cookie toestemming nodig?

Nee. Functionele cookies die strikt noodzakelijk zijn om je winkel te laten werken, zoals de winkelwagen en de sessie na het inloggen, mogen zonder toestemming. Analytische cookies mogen onder voorwaarden zonder toestemming als ze geen of geringe gevolgen hebben voor de privacy. Alles wat volgt en profileert, waaronder advertentiecookies, heeft wel toestemming nodig.

Wanneer is toestemming geldig?

Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Praktisch: weigeren moet net zo makkelijk zijn als accepteren, in dezelfde stap en met dezelfde nadruk. Een banner met alleen een groene knop 'Accepteren' en daaronder een grijs linkje 'Instellingen' voldoet daar niet aan, en dat is de meest voorkomende vorm.

Mag ik toestemming afleiden uit doorscrollen?

Nee, dat is precies wat niet mag. Doorscrollen, doorklikken of het simpelweg blijven op de pagina is geen ondubbelzinnige handeling waaruit toestemming blijkt. Ook een vooraf aangevinkt vakje telt niet: het Hof van Justitie heeft dat in de Planet49-zaak expliciet beslist.

Wie houdt hier toezicht op?

De regel over het plaatsen en uitlezen van cookies staat in artikel 11.7a van de Telecommunicatiewet, en daar houdt de ACM toezicht op. Zodra er persoonsgegevens bij komen kijken, en dat is bij tracking vrijwel altijd, geldt daarnaast de AVG en houdt de Autoriteit Persoonsgegevens toezicht. Twee toezichthouders op hetzelfde scherm.

Wat is het risico van een onjuiste banner?

Dan is de toestemming niet geldig en heb je dus feitelijk zonder toestemming gevolgd. Naast een handhavingsrisico betekent dat ook dat de gegevens die je daarmee hebt verzameld op een ongeldige grondslag berusten. Bij analysecijfers is dat lastig terug te draaien: je kunt de historie niet met terugwerkende kracht rechtmatig maken.

Moet iemand zijn toestemming kunnen intrekken?

Ja, en dat is even belangrijk als het geven ervan. Iemand moet zijn keuze net zo eenvoudig kunnen wijzigen als hij hem heeft gegeven. In de praktijk betekent dat een permanente link of knop, meestal in de footer, die de instellingen opnieuw opent. Een banner die na de eerste keuze nooit meer terugkomt, voldoet niet.

Waar dit op gebaseerd is

Deze gids is voorlichting op basis van de bovenstaande bronnen. Het is geen juridisch advies. Lees hoe wij gidsen controleren en herzien in ons redactieproces.