AP onderzoekt misleidende cookiebanners: zo controleer je die van jou

Medio oktober 2026 maakte de Autoriteit Persoonsgegevens (AP) bekend dat ze een onderzoek is begonnen naar de websites van twee organisaties. Beide hadden eerder een waarschuwing en uitleg gekregen over hun cookiebanner, en beide hebben die banner niet aangepast. Welke organisaties het zijn, zegt de AP niet. Heb je een website met een cookiebanner, dan is dit een goed moment om er even naar te kijken.

Wat is er aan de hand?

Het gaat om een fout die je op veel websites tegenkomt: er staat een grote knop om cookies te accepteren, maar geen knop om ze te weigeren. Wie nee wil zeggen, moet eerst op "Instellingen" of "Meer informatie" klikken en daar zoeken naar een schuifje of een klein linkje. Volgens de AP mag dat niet. Tracking cookies weigeren moet net zo makkelijk zijn als ze accepteren, en daarom hoort er een zichtbare weigerknop naast de accepteerknop.

De AP werkt al een tijd volgens een vast patroon. Eerst krijgen organisaties een brief met uitleg. Volgens de AP heeft het merendeel van de organisaties die zo'n brief kregen hun banner daarna aangepast. Wie dat niet doet, kan een onderzoek verwachten en mogelijk een boete. Met deze twee onderzoeken laat de AP zien dat die volgende stap ook echt gezet wordt.

Voor wie geldt dit?

Voor iedereen met een website die cookies of vergelijkbare technieken gebruikt om bezoekers te volgen. Dat gaat verder dan je zou denken. Een Facebook-pixel, een tag van Google Ads, een ingesloten YouTube-video of een chatwidget kan allemaal trackers plaatsen. Ook als je die er zelf niet bewust op hebt gezet, maar ze ooit via een plugin of een thema zijn meegekomen.

Het maakt niet uit hoe groot je bedrijf is. De regels gelden voor de webshop met duizend bestellingen per dag net zo goed als voor de kapper met een afsprakenformulier. Jij bent als ondernemer verantwoordelijk voor wat er op je eigen website gebeurt, ook als iemand anders de site voor je gebouwd heeft.

Zo controleer je je eigen cookiebanner

• Open je site in een privévenster. Dan zie je de banner zoals een nieuwe bezoeker hem ziet, zonder eerdere keuzes.
• Kijk of weigeren in één klik kan. Staat er naast "Accepteren" een even duidelijke knop als "Weigeren" of "Alles weigeren"? Even groot, even goed leesbaar? Zo niet, dan is dit precies waar de AP op let.
• Controleer of er niets vooraf is aangevinkt. De AP raadt vooraf aangevinkte vakjes, extra klikken en weinig opvallende linkjes af. Alle keuzes horen op één laag te staan, zonder dat er opties verstopt zitten.
• Weiger en kijk wat er gebeurt. Een banner die er goed uitziet, maar waarbij de trackers toch laden, helpt je niet. Laat je webbouwer controleren of er na weigeren echt niets meer naar advertentienetwerken gaat.
• Zorg dat bezoekers hun keuze later kunnen wijzigen. Een linkje "Cookie-instellingen" onderaan elke pagina is daarvoor de gebruikelijke oplossing.
• Vraag je af of je alle trackers nog gebruikt. Een pixel van een advertentiecampagne die al jaren is afgelopen, kun je beter weghalen. Wat er niet staat, hoeft ook geen toestemming.

Twijfel je, vraag dan je webbouwer of hostingpartij om een lijst van alles wat er op je site laadt voordat een bezoeker toestemming geeft.

Wat betekent dit voor Appset-klanten?

Eerlijk is eerlijk: deze regels gelden voor elke website, ook voor een site bij Appset. Het verschil zit in hoeveel je er zelf van moet weten. Bij Appset hoef je geen cookieplugin te zoeken, in te stellen en bij te houden. Een Appset-site kan bezoek tellen zonder cookies: die statistiek bewaart niets op het apparaat van je bezoeker en volgt niemand over andere websites. Vraag ons gerust wat er op jouw site precies draait.

Wil je meer, bijvoorbeeld adverteren met een pixel van Google of Meta, dan heb je wel toestemming van je bezoekers nodig. Dat regel je niet zelf met een losse plugin, maar overleg je met ons, zodat de tag pas laadt nadat iemand ja heeft gezegd. Op appset.nl zelf werkt het ook zo: weigeren kan met één klik, de knoppen zijn even groot en de site werkt zonder toestemming net zo goed. Hoe wij verder omgaan met beveiliging en privacy, lees je op de pagina over beveiliging.

Heb je naast je Appset-site nog een oude WordPress-site of een losse webshop draaien, dan geldt de controlelijst hierboven daar gewoon voor.

Geen reden voor paniek, wel voor een blik

Bij cookiebanners begint de AP tot nu toe met een brief en uitleg. Maar wie die uitleg naast zich neerlegt, kan op een onderzoek rekenen. Het kost je tien minuten om je eigen banner te bekijken, en het levert je bezoekers een eerlijke keuze op.

Wil je dit soort dingen liever niet zelf hoeven bijhouden, lees dan hoe Appset zich verhoudt tot WordPress, of plan een kennismaking om te kijken wat er bij jouw site past.

Bronnen: het nieuwsbericht "AP onderzoekt websites vanwege misleidende cookiebanner" van de Autoriteit Persoonsgegevens (oktober 2026), de berichtgeving van Security.NL en Securitymanagement.nl (oktober 2026), en de richtlijnen van de AP over cookiebanners.