Is een cookiebanner verplicht in 2026?

Kort antwoord: zodra je website cookies of vergelijkbare technieken gebruikt die niet strikt noodzakelijk zijn, ben je wettelijk verplicht om daar vooraf toestemming voor te vragen. In de praktijk geldt dat voor bijna elke zakelijke website.

Wanneer is een cookiebanner verplicht?

Cookies die puur nodig zijn om de website te laten werken, zoals een winkelmandje of een inlogsessie, mag je zonder toestemming plaatsen. Zodra je meer doet, verandert dat. Gebruik je Google Analytics, Google Ads, een Meta Pixel of andere tracking- en marketingcookies? Dan moet de bezoeker daar eerst actief toestemming voor geven, voordat die cookies worden geplaatst.

De meeste websites met een statistiekpakket of advertentiepixel vallen dus onder de verplichting, ook kleine, lokale bedrijven. De regels maken geen onderscheid naar de grootte van je organisatie.

Wat betekent noodzakelijk precies?

Een cookie is alleen noodzakelijk als de website zonder die cookie niet goed functioneert. Analytics valt daar niet onder: je website werkt prima zonder dat je bijhoudt hoeveel bezoekers er komen. Meten mag, maar alleen met toestemming.

Wat gebeurt er als je het niet regelt?

Sinds april 2025 controleert de Autoriteit Persoonsgegevens structureel of Nederlandse websites op de juiste manier toestemming vragen. De eerste waarschuwingsbrieven gingen in april 2025 de deur uit, en binnen enkele maanden waren meer dan 200 websites gewaarschuwd. Driekwart paste de banner op tijd aan.

Tegen de organisaties die na een waarschuwing niets veranderden, is de AP eind 2025 en begin 2026 overgestapt op echte handhaving: onderzoeken en boetes in plaats van alleen waarschuwen. Voor dit toezicht heeft de AP in 2026 een structureel budget van een half miljoen euro per jaar. Het wettelijk maximum voor een boete ligt op 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Hoe regel je het goed?

Een correcte cookiebanner vraagt vooraf om toestemming, laat weigeren net zo makkelijk zijn als accepteren, en plaatst tracking- en marketingcookies pas nadat de bezoeker ja heeft gezegd. Technisch koppel je dat aan Google Consent Mode v2, zodat je advertentie- en analytische data betrouwbaar blijven. Meer daarover lees je in ons artikel over Google Consent Mode v2 instellen en in waar de AP precies op controleert. Wil je het laten regelen? Bekijk onze dienst Cookiebanner.