Op vrijdag 16 oktober 2026 maakte de Autoriteit Persoonsgegevens bekend dat ze een onderzoek is gestart naar de websites van twee organisaties. Niet vanwege een datalek of een hack, maar vanwege de cookiebanner. Beide hadden een waarschuwing gehad, met uitleg wat er mis was. Ze pasten niets aan.
Wat er mis was, zie ik bijna elke week: een grote knop “Accepteren” en geen knop om te weigeren. Wie niet gevolgd wil worden, moet eerst via “Instellingen” of “Meer opties”. De AP is daar duidelijk over: weigeren moet net zo makkelijk zijn als accepteren.
Van brieven naar onderzoek
De AP controleert sinds april 2025 structureel of websites goed om toestemming vragen voor trackingcookies. In november 2025 had ze al meer dan tweehonderd websites gewaarschuwd. Ongeveer driekwart paste de banner daarna aan. De afgelopen maanden volgden nog zo’n honderd organisaties, onder meer in de media, de zorg en de verzekeringen. Ook daar paste zo’n zeventig procent de banner aan.
De rest krijgt nu de volgende stap: een onderzoek, en mogelijk een boete. Kruidvat kreeg in 2024 een boete van 600.000 euro voor trackingcookies, na bezwaar in 2025 teruggebracht tot 50.000 euro.
De twee organisaties uit het onderzoek worden niet bij naam genoemd. Reken daar niet op als het tot een boete komt. Sinds 1 september 2026 is openbaarmaking het wettelijke uitgangspunt voor sancties van de AP.
Wat de AP afkeurt
Het gaat bijna altijd om een van deze vijf dingen:
- Geen of een verstopte weigerknop. Een grijs tekstlinkje naast een groene knop telt niet. Weigeren mag niet minder opvallen dan accepteren.
- Vakjes die al aangevinkt staan. Toestemming moet de bezoeker zelf geven.
- Cookies die al geplaatst worden voordat iemand kiest. Dan is de banner versiering.
- De site alleen gebruiken na accepteren. Toestemming mag geen voorwaarde zijn om binnen te komen.
- Een keuze die je niet meer terugdraait. Intrekken moet op elk moment kunnen, bijvoorbeeld via een link in de footer.
De fout onder de banner
De eerste fout zie je meteen. De derde niet, en die kom ik het vaakst tegen. De banner ziet er netjes uit, met twee even grote knoppen. Maar op de achtergrond laden Google Analytics, de Meta-pixel of een YouTube-video al voordat de bezoeker iets heeft gekozen.
Bij WordPress-sites zit dat meestal op een van deze plekken: een trackingcode die ooit direct in het thema is geplakt, Google Tag Manager die tags afvuurt zonder naar de keuze te kijken, of een plugin die zelf een pixel toevoegt. De cookieplugin blokkeert alleen wat hij herkent. Wat ernaast is ingebouwd, laat hij gewoon door.
Zo test je het zelf in vijf minuten
Je hebt er alleen een browser voor nodig.
- Open je site in een privévenster, zodat er geen eerdere keuze bewaard is.
- Druk op F12 en open het tabblad Netwerk. Herlaad de pagina en klik nergens op.
- Typ in het filter
google-analytics,facebook,doubleclickenyoutube. Zie je verzoeken, dan wordt er al iets geladen. - Kijk bij Toepassing (of Opslag) onder Cookies. Staan daar
_gaof_fbp, dan klopt het niet. - Klik op weigeren, herlaad de pagina en kijk opnieuw. Er hoort niets bij te komen.
- Zoek op de pagina een manier om je keuze later te wijzigen.
Vind je bij stap 3 of 4 iets voordat je hebt gekozen, dan maakt je site een van de vijf fouten die de AP afkeurt, ook al ziet je banner er goed uit.
Doe meteen de toetsenbordtest
De cookiebanner is vaak het eerste wat een bezoeker ziet. Kan iemand die geen muis gebruikt de knoppen niet bereiken, dan komt hij niet verder. Druk op Tab: kom je bij beide knoppen, en zie je waar je staat? Sluit Escape de banner? Voor webshops valt dat onder de toegankelijkheidswet. Daarover schreef ik in Geldt de toegankelijkheidswet 2025 voor je webshop? en, over die zichtbare focus, in De focusring die er niet was.
De eenvoudigste oplossing
De AP zegt het zelf: de eenvoudigste manier om de keuze van bezoekers te respecteren, is geen volgsoftware gebruiken. Dan heb je ook geen banner nodig.
Veel mkb-sites draaien Google Analytics en de Meta-pixel omdat ze er ooit in zijn gezet, niet omdat iemand er nog naar kijkt. Gebruik je ze niet, haal ze weg. Wil je wel bezoekcijfers, dan mag je analytische cookies met weinig gevolgen voor de privacy zonder toestemming plaatsen. Dat moet dan wel goed ingesteld zijn, en daar gaat het vaak mis. Laat dat controleren voordat je de banner weghaalt.
Brief van de AP gekregen?
Leg hem niet weg. De AP geeft tijd om aan te passen, en organisaties die dat doen horen meestal niets meer. Pas de banner aan, doe daarna de test hierboven en bewaar wat je hebt veranderd en wanneer, met schermafbeeldingen. Dan kun je laten zien dat je het hebt opgelost.
Nalezen: het bericht van de AP van 16 oktober 2026, het bericht van 11 november 2025 over de eerste tweehonderd waarschuwingen, de boete voor Kruidvat en het besluit op bezwaar daarna, Binnenlands Bestuur over de openbaarmaking sinds 1 september 2026 en de uitleg van ICTRecht over wat de AP afkeurt.
Bij een technische website-audit kijk ik naar de banner en naar wat er op de achtergrond laadt, en meteen naar de toegankelijkheid ervan. Je krijgt een lijst van wat er mis is en wat het kost om het op te lossen.