Misleidende cookiebanners: wat het AP-onderzoek van oktober betekent voor de website van uw gemeente

Stel: u bent functionaris gegevensbescherming (FG) bij een gemeente. Een inwoner mailt een schermafdruk van de gemeentelijke website. Bovenin staat een banner met een grote blauwe knop "Akkoord" en een grijze tekstlink "Instellingen". Wie op de pagina over afvalinzameling een filmpje wil zien, krijgt de melding dat de video pas werkt na het accepteren van "alle cookies". De inwoner vraagt: mag dat?

Sinds 16 oktober 2026 is die vraag scherper geworden. De Autoriteit Persoonsgegevens (AP) maakte toen bekend dat zij een onderzoek is gestart naar twee organisaties die een misleidende cookiebanner bleven gebruiken, ondanks uitleg en een waarschuwing.

Wat de AP deed

Het onderzoek betreft twee organisaties waarvan de cookiebanner geen direct zichtbare knop heeft om trackingcookies te weigeren. Daardoor accepteren bezoekers eerder. De AP schrijft dat zij sinds 2024 vaker controleert of organisaties op de juiste manier toestemming vragen voor cookies en andere volgsoftware. De afgelopen maanden waarschuwde zij zo'n 100 organisaties, onder meer in de media, de zorg en welzijn en de verzekeringsbranche. Het merendeel, ongeveer 70 procent, paste de banner daarna aan.

Het is niet de eerste ronde. Op 11 november 2025 meldde de AP dat meer dan 200 websites een waarschuwing hadden gekregen, en dat ongeveer driekwart de banner had aangepast. En in juli 2024 legde de AP het bedrijf achter Kruidvat een boete van 600.000 euro op voor trackingcookies zonder geldige toestemming. Gemeenten worden in de berichten niet genoemd, maar de regels gelden voor hun websites net zo.

Les 1: twee wetten, één banner

Voor cookies gelden twee regels naast elkaar. Het plaatsen of uitlezen van informatie op het apparaat van een bezoeker mag alleen na duidelijke informatie en toestemming (artikel 11.7a lid 1 Telecommunicatiewet). Dat geldt niet voor cookies die strikt noodzakelijk zijn om de door de bezoeker gevraagde dienst te leveren, of voor het meten van de kwaliteit of effectiviteit van de site als dat geen of geringe gevolgen heeft voor de privacy (lid 3). Verwerkt u met cookies persoonsgegevens, dan geldt daarnaast de AVG.

De toestemming moet voldoen aan de AVG: vrij, specifiek, geïnformeerd en ondubbelzinnig. Een vooraf aangevinkt vakje is geen geldige toestemming, oordeelde het Hof van Justitie in het arrest Planet49 (C-673/17, 1 oktober 2019). Volgens hetzelfde arrest moet de bezoeker ook horen hoe lang cookies werken en of derden er toegang toe hebben. Volgcookies die gebruik over verschillende diensten combineren om iemand anders te behandelen, worden volgens de wet vermoed persoonsgegevens te verwerken; dat vermoeden is weerlegbaar (artikel 11.7a lid 4).

Les 2: weigeren moet net zo makkelijk zijn als accepteren

De AP geeft in haar vuistregels voor heldere cookiebanners een lijst van wat niet mag:

• de acceptatieknop opvallender maken dan de weigerknop, bijvoorbeeld groter of kleuriger;
• de weigerknop verstoppen achter extra klikken, scrollen of een tekstlink;
• vinkjes of schuifjes vooraf aanzetten, ook in een tweede laag;
• een extra bevestiging vragen bij weigeren;
• alleen "alles accepteren" aanbieden zonder gelijkwaardige "alles weigeren"-knop op dezelfde laag;
• vage knoppen zoals "Oké" of "Ik snap het".

De banner uit het voorbeeld, met een blauwe knop "Akkoord" en een grijze link "Instellingen", voldoet daar niet aan. Volgens de AP mag u ook geen persoonsgegevens verwerken met toestemmingsvereiste cookies voordat de bezoeker een keuze heeft gemaakt.

Les 3: een gemeente mag geen cookiewall gebruiken

Voor overheden staat er een extra regel in de wet. De toegang tot een dienst van de informatiemaatschappij die wordt geleverd door of namens een publiekrechtelijke rechtspersoon, mag niet afhangen van toestemming voor cookies (artikel 11.7a lid 5 Telecommunicatiewet). Een gemeente is zo'n rechtspersoon.

Een gemeente kan dus geen cookiewall zetten voor haar website of haar digitale loket. Een bezoeker die cookies weigert, moet de informatie over afvalinzameling net zo goed kunnen lezen en een vergunning net zo goed kunnen aanvragen. Ook de video op de afvalpagina hoort bij de informatie die de gemeente aanbiedt. Die afhankelijk maken van toestemming staat op gespannen voet met lid 5. Toestemming voor "alle cookies" als voorwaarde voor één video is bovendien niet specifiek (artikel 4 punt 11 en artikel 7 lid 4 AVG). Uitspraken of uitleg van de AP over precies dit geval kennen wij niet. De veiligste weg is een versie zonder volgcookies, of een gewone link naar de video, en een pagina die verder werkt zonder toestemming.

Les 4: gerechtvaardigd belang is niet uw grondslag

Voor functionele en beperkt analytische cookies hoeft u volgens de AP geen toestemming te vragen. Dat volgt uit artikel 11.7a lid 3 Telecommunicatiewet, en die uitzondering geldt ook voor een gemeente. U moet bezoekers wel informeren en bezwaar makkelijk maken. Voor de AVG-grondslag schrijft de AP dat u die verwerking baseert op gerechtvaardigd belang. Voor een bedrijf klopt dat. Een overheidsinstantie kan bij de uitoefening van haar taken echter geen gerechtvaardigd belang gebruiken (artikel 6 lid 1, laatste alinea AVG).

Een gemeente moet daarom onderbouwen dat de meting noodzakelijk is voor een taak die in de wet is vastgelegd (artikel 6 lid 1 onder e en lid 3). Lukt dat niet, dan meet zij zonder persoonsgegevens of vraagt zij toestemming. De vuistregels van de AP gaan daar niet op in. Het recht van bezwaar geldt ook bij die grondslag (artikel 21 AVG). Het bezwaar moet dan verband houden met de specifieke situatie van de bezoeker; een gemeente kan ervoor kiezen elk bezwaar te honoreren. De les van de AP blijft staan: maak het bezoekers duidelijk hoe zij bezwaar maken, en houd dat apart van toestemming geven of weigeren.

Les 5: ingesloten video's en knoppen zijn ook van u

Een video, een kaart of een deelknop van sociale media op uw site kan cookies van een derde plaatsen of gegevens naar die derde sturen. In het arrest Fashion ID (C-40/17, 29 juli 2019) ging het om een Facebook-knop op een webwinkel. Wie zo'n knop op de site zet, is volgens het Hof van Justitie samen met de aanbieder verwerkingsverantwoordelijke voor het verzamelen en doorsturen van de gegevens. Wat de aanbieder daarna met de gegevens doet, valt daar niet onder. Het arrest viel nog onder de oude privacyrichtlijn, maar wordt onder de AVG gevolgd (artikel 26) en geldt naar analogie voor video's en kaarten. Omdat de gegevens al bij het laden van de pagina werden doorgestuurd: laad de inhoud van de derde pas na toestemming.

Deelt u voor een doel gegevens met derden, maak dat dan volgens de AP direct duidelijk in de eerste laag van de banner, met het aantal partijen of hun namen. In de tweede laag of het cookiebeleid zet u welke categorieën u deelt, voor welke doelen en met welke partijen.

Les 6: intrekken moet even makkelijk zijn als toestemming geven

Bezoekers moeten hun keuze later eenvoudig kunnen veranderen. Volgens de AP vertelt u dat al in het eerste scherm van de banner, voordat de bezoeker een keuze maakt. Maak het intrekken ook buiten de banner bereikbaar, bijvoorbeeld met een vaste knop in beeld. Bezoekers mogen er niet naar hoeven te zoeken.

Les 7: en de chatbot op de site?

Steeds meer gemeenten zetten een chatbot op hun website. Plaatst de chatwidget cookies of andere informatie op het apparaat, dan geldt artikel 11.7a Telecommunicatiewet ook daarvoor. Daarnaast geldt sinds 2 augustus 2026 de AI Act: een AI-systeem dat bedoeld is voor directe interactie met mensen moet zo zijn ontworpen dat zij horen dat ze met AI praten, tenzij dat voor een normaal oplettende bezoeker al duidelijk is (artikel 50 lid 1 AI Act). De melding komt uiterlijk bij de eerste interactie (lid 5). Die plicht ligt bij de aanbieder. Laat de gemeente de chatbot ontwikkelen en neemt zij hem onder eigen naam in gebruik, dan is zij mogelijk zelf aanbieder. Controleer dus in elk geval of de melding er staat.

Een inwoner typt in zo'n chat vaak persoonsgegevens, soms gevoelige. Spreek in de verwerkersovereenkomst af dat de leverancier chatgesprekken niet voor eigen doelen gebruikt, zoals het trainen van zijn model. En neem als gebruiksverantwoordelijke op grond van artikel 4 AI Act maatregelen die de AI-geletterdheid ondersteunen van de medewerkers die de chatbot beheren of gebruiken; een bepaald niveau hoeft u niet te garanderen.

Voor een bank en een school

Een bank mag als onderneming voor functionele en beperkt analytische cookies wel gerechtvaardigd belang gebruiken. Voor gepersonaliseerde advertenties is dat volgens de AP geen geldige grondslag. Volgt een bank bezoekers voor marketing, dan is toestemming nodig, met een weigerknop die even zichtbaar is als de acceptatieknop. Ook voor bedrijven moet weigeren vrij zijn; lid 5 maakt het verbod op een cookiewall voor overheden uitdrukkelijk. De Kruidvat-boete laat zien dat de AP ook bij grote merken optreedt.

Een school valt soms onder een publiekrechtelijke rechtspersoon. Is het bevoegd gezag van een openbare school de gemeente of een openbare rechtspersoon (artikel 47 WPO), dan geldt artikel 11.7a lid 5 ook voor de schoolsite. Bij een stichting, zoals bij bijzonder onderwijs, geldt lid 5 niet, tenzij de site namens de gemeente wordt aangeboden. Kinderen en ouders bezoeken de site en de leeromgeving vaak, en zijn minder goed in staat een misleidende banner te herkennen. Kies daar voor zo min mogelijk volgcookies.

Wat u nu doet

1. Bekijk de banner van uw gemeentelijke website en het digitale loket op een telefoon en een laptop.
2. Controleer of weigeren en accepteren op dezelfde laag staan, even groot en even zichtbaar.
3. Zorg dat geen pagina en geen formulier afhangt van toestemming voor cookies.
4. Leg per cookie vast welke grondslag u gebruikt; gebruik geen gerechtvaardigd belang voor uw taken.
5. Maak een lijst van ingesloten diensten van derden, en vervang ze waar het kan door versies zonder volgcookies of door een link.
6. Zet een vaste knop in beeld om de keuze te wijzigen.
7. Controleer bij de chatbot de melding dat het AI is, en wat de leverancier met de gesprekken doet.

Wilt u voor een eigen verwerking nagaan welke plichten onder de AVG en de AI Act gelden, gebruik dan de gratis casus-check. Besluiten en richtsnoeren over de AVG vindt u bij AVG-richtsnoeren.

Wat open blijft

• De uitkomst van het onderzoek. De AP noemt de twee organisaties niet en zegt nog niet of er een boete komt.
• De grondslag van overheden voor analytische cookies. De vuistregels van de AP gaan uit van gerechtvaardigd belang; voor overheden werken ze niet uit welke grondslag dan geldt.
• De Europese cookieregels. Het voorstel voor de Digital Omnibus (COM(2025) 837) wil cookies met persoonsgegevens onder een nieuw artikel 88a AVG brengen, met weigeren in één klik. Het compromis van het Raadsvoorzitterschap van juni 2026 schrapte dat artikel en regelde cookies via de ePrivacyrichtlijn. Op 21 oktober 2026 stelde de Raad een onderhandelingsmandaat vast; het Parlement heeft nog geen standpunt. Er is geen aangenomen tekst; vandaag gelden de huidige regels.