AVG cookies website: wat de wet van je site vraagt en hoe je het regelt

Een cookiemelding die alleen een knop “Akkoord” heeft, een privacyverklaring van vijf jaar oud en een Google Analytics-account dat ooit door een stagiair is ingesteld. Op veel Nederlandse mkb-sites ziet het er zo uit. Lang gebeurde daar weinig mee, maar de Autoriteit Persoonsgegevens controleert sinds 2025 structureel of websites goed om toestemming vragen, en Google laat advertentiedata uit de Europese Economische Ruimte alleen nog meetellen als je toestemmingssignalen correct doorgeeft.

Op deze pagina lees je wat de AVG en de Telecommunicatiewet van je website vragen, welke cookies wel en geen toestemming nodig hebben, en hoe je Google Analytics en Google Ads daarop aanpast. Référenceur is een online marketingbureau uit België en Luxemburg; we werken op afstand voor Nederlandse bedrijven, en onze Nederlandse teksten komen van native speakers. We richten websites en meetsystemen technisch in, maar we zijn geen advocatenkantoor. Dit is geen juridisch advies: twijfel je over je eigen situatie, leg die dan voor aan een privacyjurist of je functionaris gegevensbescherming.

Twee wetten, één website

Bij cookies heb je in Nederland met twee wetten tegelijk te maken.

• Artikel 11.7a van de Telecommunicatiewet, de zogenoemde cookiebepaling. Die gaat over het plaatsen en uitlezen van informatie op het apparaat van een bezoeker: cookies, maar ook localStorage, pixels en fingerprinting. Hoofdregel: je informeert de bezoeker duidelijk en je vraagt vooraf toestemming.
• De AVG, de Algemene verordening gegevensbescherming. Die geldt zodra je persoonsgegevens verwerkt, en dat doe je vrijwel altijd: een IP-adres, een klant-ID of een advertentie-ID valt daar al onder.

De Telecommunicatiewet bepaalt of je iets op een apparaat mag zetten; de AVG bepaalt wat je daarna met de gegevens mag doen, hoe lang je ze bewaart en met wie je ze deelt.

Welke cookies vragen om toestemming?

Niet alle cookies zijn gelijk. Grofweg zijn er drie soorten, elk met eigen regels.

De uitzondering voor analytische cookies is in 2015 aan de Telecommunicatiewet toegevoegd: cookies die alleen dienen om de kwaliteit of effectiviteit van je website te meten, hebben geen toestemming nodig als ze geen of geringe gevolgen hebben voor de privacy van bezoekers. Om die “geringe gevolgen” draait het. Zodra je gegevens deelt voor advertenties of profilering, ben je de uitzondering kwijt.

Analytische cookies zonder toestemming: de voorwaarden van de AP

De Autoriteit Persoonsgegevens heeft beschreven wanneer je statistiekcookies privacyvriendelijk inzet. Samengevat komt het op deze punten neer:

1. Je sluit een verwerkersovereenkomst met de leverancier van je analysetool.
2. Je maakt IP-adressen anoniem of verzamelt ze niet.
3. Je zet het delen van gegevens met de leverancier voor eigen doeleinden uit.
4. Je koppelt de statistieken niet aan andere diensten, zoals advertentieplatforms.
5. Je vermeldt in je privacyverklaring dat je deze cookies gebruikt.

Voldoe je aan alle punten, dan kun je statistieken meestal zonder toestemming meten. Mis je er één, dan valt de tool onder de toestemmingsplicht en hoort hij pas te laden nadat de bezoeker “ja” heeft gezegd. Let op: de AP schreef deze voorwaarden destijds voor de oude Google Analytics. Bij GA4, Matomo of Plausible werken de instellingen anders, dus controleer per tool wat er technisch gebeurt.

Een cookiebanner die de toets doorstaat

De meeste problemen die de AP tegenkomt, zitten niet in de juridische tekst maar in het ontwerp van de banner. Weigeren moet net zo makkelijk zijn als accepteren. Wat dat in de praktijk betekent:

• Een knop “Weigeren” of “Alleen noodzakelijk” op hetzelfde niveau als “Accepteren”, niet verstopt achter “Instellingen”.
• Geen vooraf aangevinkte vakjes en geen “door verder te surfen ga je akkoord”.
• Geen trackingcookies of advertentiepixels die al laden voordat de bezoeker kiest.
• Een vaste link, bijvoorbeeld in de footer, waarmee bezoekers hun keuze later kunnen aanpassen.
• Een cookiewall, waarbij je site onbruikbaar is zonder toestemming voor tracking, staat volgens de AP op gespannen voet met vrije toestemming.

Een praktische test: open je site in een privévenster, klik op “Weigeren” en kijk in de ontwikkelaarstools van je browser welke cookies er toch worden geplaatst en welke netwerkverzoeken er toch nog uitgaan.

Privacyverklaring en verwerkersovereenkomsten

Je privacyverklaring vermeldt in begrijpelijke taal welke gegevens je verzamelt, waarvoor, op welke grondslag, hoe lang je ze bewaart, met wie je ze deelt en welke rechten bezoekers hebben. Werk je met tools die gegevens buiten de EU verwerken, vermeld dan ook die doorgifte en de waarborgen die je daarbij treft.

Voor elke partij die namens jou persoonsgegevens verwerkt, heb je een verwerkersovereenkomst nodig (artikel 28 AVG). Denk aan je hostingpartij, je e-mailmarketingtool, je CRM, je chatwidget en je analysetool. Een simpel overzicht met per tool de overeenkomst en de bewaartermijn scheelt veel zoekwerk als er ooit vragen komen.

Google Analytics en Google Ads met Consent Mode v2

Voor adverteerders zijn de gevolgen het meest direct voelbaar. Sinds begin maart 2024 geldt: geef je geen toestemmingssignalen door voor bezoekers uit de EER, dan komen die bezoekers niet meer in de doelgroepen die je aan Google Ads koppelt. Remarketinglijsten lopen dan leeg en conversiemeting wordt minder volledig.

Consent Mode v2 werkt met vier signalen die je cookiebanner aan Google doorgeeft:

• ad_storage: mogen advertentiecookies worden opgeslagen?
• analytics_storage: mogen analysecookies worden opgeslagen?
• ad_user_data: mogen gebruikersgegevens voor advertentiemeting naar Google?
• ad_personalization: mag de bezoeker gepersonaliseerde advertenties en remarketing zien?

Je kiest daarbij tussen een basisvariant, waarin Google-tags pas laden na een keuze, en een geavanceerde variant, waarin tags direct laden maar bij weigering alleen cookieloze signalen sturen. De geavanceerde variant levert betere conversiemodellering op, maar je moet kunnen uitleggen wat er vóór de toestemming wordt verstuurd.

Bij onze webanalyse stellen we GA4, Google Tag Manager en een door Google gecertificeerd cookieplatform zo in dat de signalen kloppen, en testen we elke variant met een echte weigering. Voor adverteerders koppelen we dat aan hun Google Ads-campagnes. Ook remarketing blijft mogelijk, alleen met bezoekers die daar echt toestemming voor hebben gegeven.

Wie handhaaft: AP en ACM

In Nederland houden twee toezichthouders zich met cookies bezig, elk vanuit een eigen invalshoek. De Autoriteit Consument & Markt (ACM) houdt toezicht op de Telecommunicatiewet en trad samen met de AP op tegen advertentiecookies zonder toestemming, bijvoorbeeld bij Stemwijzer.nl in 2017. De AP handhaaft de AVG en richt zich op cookies waarmee persoonsgegevens worden verwerkt. In het voorjaar van 2025 stelde de AP voor om het toezicht op de cookiebepaling volledig van de ACM over te nemen; of en wanneer dat gebeurt, beslist de wetgever.

Dat de AP het menens is, blijkt uit de acties van de afgelopen jaren:

• Eind 2024 legde de AP Coolblue een boete op van € 40.000. Volgens de AP ging de webwinkel uit van toestemming als bezoekers de site gewoon gebruikten, en waren vakjes voor cookietoestemming vooraf aangevinkt.
• Sinds april 2025 controleert de AP structureel of Nederlandse websites goed om toestemming vragen voor trackingcookies.
• In november 2025 meldde de AP dat ze ruim 200 websites had gewaarschuwd voor een misleidende cookiebanner, en dat ongeveer driekwart die banner daarna had aangepast. Wie niets veranderde, kan volgens de AP onderzoek of een boete verwachten.

Een stappenplan voor je eigen website

1. Maak een inventaris: welke cookies, scripts en pixels laadt je site, en van welke partij?
2. Deel ze in: functioneel, analytisch met weinig impact, of tracking.
3. Controleer of trackingscripts pas laden na toestemming, ook na een klik op “Weigeren”.
4. Richt Consent Mode v2 in en controleer in Google Analytics en Google Ads of de signalen binnenkomen.
5. Werk je privacyverklaring bij en verzamel de verwerkersovereenkomsten.
6. Herhaal de controle bij elke nieuwe tool, plug-in of campagne.

Ga je een website laten maken, neem cookiebeheer dan meteen mee in het ontwerp: dat is goedkoper dan achteraf inbouwen. Verkoop je ook over de grens, dan gelden in elk EU-land dezelfde Europese basisregels, met nationale verschillen; daarover lees je meer op onze pagina over verkopen in België en Frankrijk.

Wil je dat we je cookiebanner, tags en meetinrichting doorlichten? Als bureau uit België en Luxemburg werken we volledig op afstand: we lopen je site samen door via een videogesprek en je krijgt een overzicht van wat er technisch beter kan. Vraag een gratis analyse aan en we laten je zien welke cookies en scripts er nu echt laden als een bezoeker weigert.

Veelgestelde vragen over AVG en cookies op je website