Waar controleert de Autoriteit Persoonsgegevens op?

De Autoriteit Persoonsgegevens controleert sinds 2025 structureel op cookiebanners. Hieronder de punten waar ze als eerste naar kijken, zodat je weet of jouw website risico loopt.

1. Tracking voordat er toestemming is

Het allereerste dat onderzoekers checken, is of er al scripts en cookies laden voordat de bezoeker toestemming heeft gegeven. Dit heet pre-consent tracking en is de meest voorkomende overtreding. Als je Analytics of advertentiepixel al afgaat bij het openen van de pagina, ben je in overtreding.

2. Weigeren net zo makkelijk als accepteren

Weigeren moet even eenvoudig zijn als accepteren. Een grote, opvallende accepteer-knop naast een klein, grijs weiger-linkje is niet toegestaan. De keuzes moeten gelijkwaardig zijn in grootte en zichtbaarheid.

3. Geen vooraf aangevinkte keuzes

Toestemming moet vrij en actief gegeven worden. Vakjes die al zijn aangevinkt voordat de bezoeker een keuze maakt, tellen niet als geldige toestemming.

4. Toestemming kunnen intrekken

Een bezoeker die eerder toestemming gaf, moet die net zo makkelijk weer kunnen intrekken. Er hoort dus een manier te zijn om je cookievoorkeuren later aan te passen.

Handhaving in 2026

De AP is eind 2025 en begin 2026 overgestapt van waarschuwen naar handhaven. Tegen organisaties die na een waarschuwing niets aanpasten, zijn onderzoeken en boetes gestart. Met een structureel toezichtbudget van een half miljoen euro per jaar blijft de AP hier in 2026 actief op controleren, deels op basis van steekproeven en deels na klachten.

De standaardinstellingen van veel cookie-tools voldoen niet vanzelf aan deze punten. Wil je zeker weten of jouw website in orde is? Meer over de techniek erachter lees je in ons artikel over Google Consent Mode v2 instellen, en of een banner voor jou verplicht is in is een cookiebanner verplicht. Liever laten regelen? Bekijk onze dienst Cookiebanner.