Cookie-toestemming in Nederland: ePrivacy, de Telecommunicatiewet en een eerlijke banner
7 min lezen · Bijgewerkt 2026-11-12
Cookies en vergelijkbare technieken vallen niet alleen onder de AVG. In de EU eist artikel 5, lid 3, van de ePrivacyrichtlijn toestemming voordat u informatie op het apparaat van een gebruiker opslaat of daartoe toegang krijgt, tenzij een uitzondering geldt. Nederland heeft dit omgezet in artikel 11.7a van de Telecommunicatiewet. De AVG blijft gelden voor persoonsgegevens die u daarna verwerkt.
Wanneer u een cookie zonder toestemming mag plaatsen
Toestemming is niet nodig als de opslag of toegang strikt noodzakelijk is om een door de gebruiker gevraagde dienst te leveren, of, in de Nederlandse omzetting, voor een communicatie over een elektronisch communicatienetwerk. Een inlogcookie, een beveiligingstoken, een cookie die de eigen cookiekeuze bewaart, of een load-balancercookie die nodig is om de pagina te tonen, valt daar vaak onder. Een advertentie-, analytics- of socialmediatrackercookie niet.
Twijfelt u, behandel de cookie dan als niet strikt noodzakelijk en wacht op een geldige keuze. 'De site werkt beter met analytics' is geen uitzondering.
Hoe geldige toestemming eruitziet
Toestemming moet aan de AVG-maatstaf voldoen: vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig, en even makkelijk in te trekken als te geven. Het Europees Comité voor gegevensbescherming en de AP zijn duidelijk: een banner moet weigeren en accepteren op gelijke voet aanbieden. Vooraf aangevinkte vakjes, een verborgen weigerknop, of 'door verder te gaan gaat u akkoord' zijn geen geldige toestemming.
Plaats geen niet-essentiële cookies, en laad geen niet-essentiële scripts, voordat de persoon heeft gekozen voor opt-in. Als zij weigeren, moet die keuze blijven staan. Bewaar bewijs van de keuze (wat is getoond, wanneer, en wat is gekozen).
Een eenvoudige opzet voor een startupsite
Gebruik alleen strikt noodzakelijke cookies totdat u echt iets anders nodig heeft. Publiceer een cookieverklaring met naam, doel, type en duur. Link ernaar vanuit de banner en de footer. Voegt u later analytics toe, kies dan een privacyvriendelijke, bij voorkeur in de EU gehoste tool, laad die pas na opt-in, en bied een manier om de keuze te wijzigen.
DPOne zelf gebruikt geen advertentie- of analytische trackers. De banner op dpone.info biedt accepteren en weigeren met gelijk gewicht, en optionele categorieën blijven uit tot u daarvoor kiest.
Veelgestelde vragen
Voldoet een cookiemuur aan de Nederlandse regels?
Een muur die trackingtoestemming afdwingt als prijs voor toegang is als vrijelijk gegeven toestemming zeer moeilijk te verdedigen. De AP heeft gewaarschuwd tegen cookiemuren zonder echte keuze. Er is in Europese discussies soms ruimte voor een betaal-of-toestemmingmodel, maar dat is geen standaardpad voor een marketingwebsite van een startup.
Zijn first-party analytics uitgezonderd?
Niet automatisch. Als de cookie niet strikt noodzakelijk is voor een dienst die de gebruiker heeft gevraagd, heeft u onder artikel 11.7a nog steeds toestemming nodig, ook als de cookie first-party is.