Een kleine webwinkel heeft een nieuwe cookiebanner. De eigenaar betaalt voor de plug-in, de vormgeving past bij de huisstijl en de privacyverklaring staat in de footer. Op het scherm lijkt alles geregeld. Maar stel dat een bezoeker op ‘weigeren’ drukt en de advertentiesoftware ondertussen al een seintje heeft ontvangen. Dan heeft de ondernemer een keuze aangeboden die technisch niet is uitgevoerd. Dit is een fictieve situatie, geen bevinding uit een controle van een bestaande webshop.
Die afstand tussen wat een website belooft en wat zij doet, verdient aandacht nu de Autoriteit Persoonsgegevens (AP) opnieuw optreedt tegen misleidende cookiebanners. De toezichthouder maakte op 16 oktober 2026 bekend onderzoek te doen naar twee organisaties. Hun banners hadden ook na uitleg en een waarschuwing geen direct zichtbare mogelijkheid om trackingcookies te weigeren. Het nieuwsbericht beschrijft een onderzoek, geen vastgesteld boetebesluit. Bron: AP, 16 oktober 2026.
Voor een starter, zzp’er of kleine werkgever gaat dit verder dan de tekst op twee knoppen. Een website bestaat vaak uit onderdelen van verschillende leveranciers. De webbouwer plaatst een banner, de marketeer voegt campagnes toe en een medewerker sluit een afspraakmodule aan. Zonder duidelijke afspraken kan iedereen zijn eigen onderdeel netjes opleveren, terwijl niemand controleert wat de bezoeker uiteindelijk meemaakt.
De nuttigste vraag is daarom concreet: welke gegevensverwerking hoort bij welke keuze, en kun je laten zien dat die keuze werkelijk doorwerkt? Dat vraagt een bescheiden werkproces dat ook bij een volgende wijziging blijft functioneren.
Wat het AP-onderzoek wel en niet vertelt
De twee onderzochte organisaties kregen al de gelegenheid hun banner aan te passen. De AP wil dat bezoekers een echte weigeroptie krijgen. Het bericht bewijst niet dat iedere website met een onvolmaakte banner direct een boete krijgt. Het vertelt evenmin hoeveel Nederlandse ondernemers hun website verkeerd hebben ingericht. De betrokken organisaties vormen geen representatieve steekproef van alle websites.
De betekenis voor een kleine onderneming zit elders. Een waarschuwing kan uitlopen op nader onderzoek. Een keuze die voor de eigenaar een klein ontwerpdetail lijkt, kan voor de bezoeker bepalen of weigeren praktisch haalbaar is. Wie daarvoor een dienstverlener inschakelt, doet er dus goed aan het resultaat te beoordelen vanuit een bezoeker die juist géén tracking wil.
Dat is een andere oplevervraag dan ‘staat de banner erop?’. Bij die laatste vraag kan een schermafbeelding voldoende lijken. Bij de eerste vraag moet ook iemand controleren welke onderdelen laden, welke signalen worden doorgestuurd en wat er verandert na een klik. Dat werk is minder zichtbaar dan vormgeving, maar het gaat over het gedrag waarvoor de banner bedoeld is.
Eerst vaststellen waarvoor toestemming nodig is
Niet ieder bestandje op een apparaat vereist dezelfde keuze. De AP onderscheidt functionele cookies, beperkt analytische cookies en overige cookies. Voor functionele cookies en beperkt analytische cookies met geen of geringe privacygevolgen kan een uitzondering op toestemming gelden. Bij verwerking van persoonsgegevens blijft daarnaast een passende AVG-grondslag nodig. De naam ‘analytisch’ maakt software dus niet automatisch vrijgesteld. Bron: AP, uitleg over soorten cookies.
Er spelen twee vragen. De eerste gaat over het opslaan of uitlezen van informatie op het apparaat van een bezoeker. De tweede gaat over het verwerken van persoonsgegevens. Die vragen hangen samen, maar vallen niet volledig samen. De ACM legt voor het plaatsen van cookies uit dat tracking en privacygevoelige analytische toepassingen vooraf toestemming vragen. De uitleg omvat ook vergelijkbare technieken, waaronder scripts en beacons. Bron: ACM, Cookies plaatsen.
Voor de bedrijfsvoering betekent dit dat een inventarisatie op productnaam weinig zegt. Een lijst met ‘statistieken’, ‘chat’ en ‘video’ beschrijft functies, geen gegevensstromen. Vraag per onderdeel wat het opvraagt, opslaat en doorstuurt, met welk doel en aan welke partij. Laat de leverancier uitleggen welke instelling daarbij hoort. Een algemene verkooppagina over privacyvriendelijkheid beantwoordt die vragen niet voor jouw installatie.
Ook ‘zonder cookies’ is geen complete juridische beoordeling. Verwerking via een eigen server kan nog steeds over personen gaan. De ondernemer moet dus voorkomen dat een technische term het inhoudelijke gesprek beëindigt. Hetzelfde geldt voor de aanname dat een zakelijke website geen privacyvraag heeft omdat bezoekers namens een bedrijf komen. Aan de andere kant van het scherm zit nog steeds iemand.
Een zichtbaar nee moet een bruikbaar nee zijn
De actuele banneruitleg van de AP vraagt om duidelijke keuzes: accepteren en weigeren op dezelfde laag, een goed zichtbare weigeroptie en geen extra klikken om te weigeren. Toestemmingskeuzes mogen niet vooraf zijn aangevinkt. Een bezoeker moet bovendien begrijpen waarvoor hij kiest. Bron: AP, Heldere cookiebanners.
De praktische toets is eenvoudig te begrijpen, ook zonder zelf code te lezen. Open de site op een telefoon. Kun je de afwijzing vinden zonder te scrollen door reclametekst? Begrijp je wat de knoppen doen? Kun je een beperkte keuze maken zonder onbedoeld alles te activeren? En blijft de gewone inhoud bruikbaar genoeg om een bewuste keuze te maken?
Daarbij helpt het om verschillende mensen verschillende taken te geven. De eigenaar beoordeelt of de woorden passen bij wat het bedrijf doet. De bouwer controleert de werking. Iemand die de banner niet heeft ontworpen, doorloopt de bezoekersroute. Dat is een voorgesteld werkproces, geen verklaring dat deze controles op een specifieke website al zijn uitgevoerd.
Een discussie over knopkleur kan veel tijd opslokken. Die discussie is nuttig als een keuze slecht leesbaar wordt, maar zij mag de werking niet verdringen. Twee opvallende knoppen helpen weinig wanneer beide uiteindelijk dezelfde marketinginstellingen activeren. Andersom is een technisch correcte blokkade lastig uit te leggen wanneer de bezoeker het afwijzen niet kan vinden.
De banner kan correct staan terwijl de website verkeerd reageert
Een banner heeft invloed op andere onderdelen via instellingen en koppelingen. In een fictieve website kan een advertentietag daardoor worden geblokkeerd, terwijl dezelfde tag ook rechtstreeks in een thema staat. Het eerste pad respecteert de keuze; het tweede pad staat daarbuiten. Zo kan een keurige instelling een onvolledige indruk van de werkelijke situatie geven.
Laat een technische controle daarom beginnen bij een bezoek zonder eerdere keuzes. Welke verzoeken worden al verstuurd voordat de bezoeker iets doet? Wat verandert na weigeren? Vergelijk vervolgens een gerichte toestemming voor één doel met de situatie waarin alles is toegestaan. De controleur moet onderscheid maken tussen noodzakelijke werking, toestemmingsplichtige tracking en signalen waarvan de betekenis nog moet worden uitgezocht.
Een onbekend verzoek is niet automatisch een overtreding. Het kan wel een goede vervolgvraag opleveren. Waarom verschijnt het, welke informatie bevat het en wie kan het uitleggen? Een lijst met onbekenden is eerlijker en bruikbaarder dan een groen vinkje dat alleen aangeeft dat een geautomatiseerde scanner niets herkende.
Neem ook pagina’s mee waar onderdelen pas later verschijnen. Denk aan een productvideo, een chatvenster of een formulier dat een externe afspraakmodule opent. De homepage kan rustig ogen, terwijl de bezoeker na drie klikken een andere technische omgeving bereikt. Het doel van zo’n controle is samenhang begrijpen, niet zo veel mogelijk schermen verzamelen.
Gebruik vijf bezoektoestanden als eigen werkprotocol
Een eigenaar hoeft geen zelfstandig softwareonderzoeker te worden. Wel moet hij een controle zo kunnen bestellen dat duidelijk is welke vragen beantwoord worden. De bannerkaart hieronder zet daarvoor vijf bezoektoestanden naast elkaar. Zij is ons eigen werkprotocol, opgebouwd rond bezoekerskeuzes en technisch bewijs. Zij is geen officiële AP-checklist, juridische score of certificaat.
Gebruik de kaart bij oplevering en opnieuw na een relevante wijziging. Laat bij iedere ronde vastleggen welke versie van de website en banner is bekeken. Een waarneming zonder datum of instellingen is moeilijk terug te vinden wanneer een leverancier later vraagt wat er precies anders was.
Het bewijs hoeft niet indrukwekkend te zijn. Een korte beschrijving van de handeling, een passende schermafbeelding en een technisch overzicht kunnen samen duidelijk maken wat gebeurde. Noteer ook wat niet kon worden vastgesteld. De kaart is bedoeld om werk te verdelen en open punten zichtbaar te houden, niet om uit een beperkte proef algemene zekerheid af te leiden.
Fictieve webshop: de campagne verandert de website
Neem een verzonnen webshop met woonaccessoires. De eigenaar laat een bureau de advertenties beheren. De webbouwer heeft de banner ingesteld en de noodzakelijke winkelwerking apart gehouden. Na oplevering start het bureau een campagne met een nieuwe meettag. De eigenaar ziet meer cijfers in het advertentiedashboard en neemt aan dat de bestaande banner alles afvangt.
De relevante vraag is wie vóór de campagne nagaat hoe die meettag reageert op weigering. Als dat niet is afgesproken, ontstaat een gat tussen twee opdrachten. De bouwer heeft de oorspronkelijke website opgeleverd; het bureau kijkt naar de campagne. De eigenaar moet de verbinding tussen die werkzaamheden organiseren.
Een werkbare afspraak zou zijn dat nieuwe tracking pas wordt vrijgegeven nadat de vijf bezoektoestanden zijn bekeken. De marketeer beschrijft het gewenste meetdoel. De bouwer koppelt de software aan de juiste keuze. De eigenaar beslist vervolgens of de extra informatie de bijkomende kosten en gegevensverwerking waard is. Soms leidt dat tot een eenvoudiger campagne. Soms tot een goed uitgewerkte extra toestemming.
Daar zit ook een financiële afweging in. Een onderneming kan veel aandacht besteden aan het verhogen van advertentiebereik en weinig aan de betrouwbaarheid van haar metingen. Als de instellingen veranderen, zijn cijfers van vóór en na die wijziging niet vanzelf vergelijkbaar. Een afwijking kan samenhangen met een andere meetwijze, zonder dat de verkoop in dezelfde verhouding veranderde.
Leg daarom bij campagnerapportages vast wanneer de banner of tracking is aangepast. Beoordeel omzet en orders daarnaast met de eigen verkoopadministratie. Daarmee voorkom je dat een technisch meetprobleem ongemerkt een inkoopbesluit wordt. Een samenhangende digitale boekhouding helpt verschillende bedrijfsgegevens uit elkaar te houden en toch naast elkaar te beoordelen.
Fictief adviesbureau: een video maakt het ingewikkelder
Een zelfstandig adviseur in dit fictieve voorbeeld heeft geen webwinkel en koopt geen advertenties. De website bevat een uitlegvideotje en een externe agenda waarin bezoekers een gesprek kunnen boeken. Omdat er geen marketingcampagne draait, denkt de adviseur dat een cookiecontrole weinig toevoegt.
Toch verdienen juist die twee ingebouwde onderdelen aandacht. Vraag de leveranciers wat er gebeurt vóór het afspelen of openen. Is er al contact met een externe partij? Welke gegevens gaan mee? Kan de inhoud pas worden geladen nadat de bezoeker daarvoor een bewuste keuze heeft gemaakt, en wat ziet iemand die die keuze niet maakt?
Dat is geen uitspraak dat iedere video of afspraakmodule toestemming vereist. De uitkomst hangt af van de toepassing en inrichting. Het voorbeeld laat zien waarom ‘ik doe niets met advertenties’ een inventarisatie niet vervangt. Ook software die de eigenaar vooral als dienstverlening ziet, kan verdere vragen oproepen.
De adviseur kan vervolgens kiezen voor een eenvoudiger inrichting. Een eigen afbeelding met een gewone link naar een video vraagt een andere bezoekersroute dan direct ingesloten beeld. Een contactmogelijkheid naast de agenda houdt aanvragen bereikbaar wanneer de agenda niet laadt. Zulke alternatieven hebben ook nadelen: bezoekers moeten mogelijk meer stappen zetten en de ondernemer krijgt minder geïntegreerde informatie.
Beoordeel dus zowel privacy als bruikbaarheid. Een oplossing die alleen op papier netjes oogt maar vragenstellers laat vastlopen, wordt in de dagelijkse praktijk waarschijnlijk omzeild. Een klein bureau heeft meer aan een duidelijke keuze die het kan onderhouden dan aan een ingewikkelde inrichting die niemand meer begrijpt.
Intrekken hoort bij dezelfde bezoekersreis
Artikel 7 van de AVG bepaalt dat toestemming op ieder moment kan worden ingetrokken en dat dit even eenvoudig moet zijn als het geven ervan. Het artikel verlangt ook dat de verantwoordelijke gegeven toestemming kan aantonen. Intrekking maakt eerdere verwerking op basis van die toestemming niet achteraf onrechtmatig. Bron: AVG, artikel 7.
De AP heeft hierover een afzonderlijke normuitleg gepubliceerd. De documentpagina benadrukt eveneens dat het terugnemen van toestemming even gemakkelijk moet zijn. Voor een ondernemer is dit een reden om de terugweg expliciet mee te nemen in de inrichting, in plaats van die pas te zoeken bij een klacht. Bron: AP, normuitleg over intrekken.
In een praktische proef geeft de bezoeker eerst gericht toestemming en zoekt daarna de mogelijkheid om die keuze terug te draaien. Laat vervolgens controleren of toestemmingsafhankelijke verwerking vanaf dat moment daadwerkelijk wordt aangepast, ook wanneer de bezoeker verdergaat naar een andere pagina. Een gewijzigde schakelaar alleen vertelt dat nog niet.
Verwar deze proef niet met een volledige afhandeling van alle mogelijke privacyverzoeken. Iemand kan andere vragen stellen over al verwerkte gegevens. Daarvoor heeft het bedrijf een eigen procedure nodig. Ons artikel over AVG-verzoeken en terugkerende fouten gaat in op het organiseren van die opvolging. De samenhang is belangrijk: een bezoeker moet niet tussen een bannerleverancier en een algemeen e-mailadres blijven hangen.
Fictief marketingbureau: verdeel het werk voordat er haast is
In het derde fictieve voorbeeld beheert een marketingbureau vijf kleine klantwebsites. De ene klant gebruikt een ander platform dan de andere. Een campagne moet snel online en de advertentieadviseur krijgt de vraag een nieuwe koppeling te activeren. De klant veronderstelt dat ‘websitebeheer’ ook alle cookievragen omvat. Het bureau verstaat daar vooral updates en beschikbaarheid onder.
Dat verschil hoeft niet tot een conflict te leiden als het vooraf wordt besproken. Leg vast wie de gebruikte onderdelen bijhoudt, wie wijzigingen doorgeeft, wie technisch controleert en wie de uiteindelijke afweging maakt. Een afspraak als ‘de klant is verantwoordelijk’ vertelt een medewerker niet welke handeling hij morgen moet uitvoeren.
Omgekeerd maakt een opdracht aan een bureau de inrichting van de eigen website geen onderwerp waar de opdrachtgever nooit meer naar hoeft te kijken. Hij kan het werk uitbesteden, maar moet wel begrijpen wat is afgesproken en welke vragen nog openstaan. De rol van de verschillende partijen moet inhoudelijk worden bepaald; een contractlabel alleen lost dat niet op.
Een bureau kan de beoordeling overzichtelijk houden door bij iedere wijziging dezelfde korte oplevernotitie te gebruiken. Beschrijf het nieuwe doel, de leverancier, de instellingen en de uitkomst van de bezoekersproef. Vermeld wie een open punt behandelt. Daarmee wordt het gesprek concreet zonder dat iedere kleine wijziging automatisch een omvangrijk project wordt.
Plan ook wat er gebeurt als een koppeling de afgesproken keuze niet volgt. Kan die tijdelijk uit? Welke campagne of pagina raakt dat? Wie beslist daarover? De kosten van zo’n onderbreking zijn gemakkelijker te bespreken voordat de advertentiebegroting loopt. Dat maakt de beslissing zakelijker dan een discussie op het moment dat een klant al vragen stelt.
Bewijs verzamelen zonder een nieuw gegevensprobleem te maken
Bij de oplevering zijn twee soorten bewijs nuttig om uit elkaar te houden. Er is bewijs over de inrichting van de website: welke versie en instellingen zijn gecontroleerd en wat gebeurde er tijdens de proef? Daarnaast kan er bewijs nodig zijn over de toestemming waarop een verwerking wordt gebaseerd. Een technisch proefverslag bewijst niet dat iedere latere bezoeker toestemming heeft gegeven. Een registratieregel met een tijdstip bewijst omgekeerd niet dat de toen getoonde keuze begrijpelijk en vrij was.
Vraag een leverancier hoe die onderdelen met elkaar verbonden zijn. Kan die uitleggen welke tekst en doelen bij een registratie hoorden? Wat verandert er als een leverancier of doel wordt toegevoegd? Wie beoordeelt of bestaande keuzes daarvoor nog bruikbaar zijn? Het antwoord mag een open onderzoekspunt zijn. Dan moet alleen wel duidelijk zijn wie dat uitzoekt voordat de nieuwe verwerking begint.
Bewaar bij een proef ook niet gedachteloos complete bezoekersgegevens. Een schermopname of technisch bestand kan meer informatie bevatten dan voor de uitleg nodig is. Gebruik waar mogelijk een eigen testsituatie en bespreek welke onderdelen van het bewijs bewaard moeten worden, wie daarbij kan en wanneer het weer weg kan. Een onderhoudsdossier hoort het probleem begrijpelijker te maken, niet onnodig nieuwe gegevens te verzamelen.
Voor een kleine onderneming kan een eenvoudig wijzigingslog veel opleveren. Bijvoorbeeld: op welke dag ging de nieuwe agenda online, welke toestemming is eraan gekoppeld en waar staat de bijbehorende proef? Zo’n log is geen bewijs dat alles rechtmatig is. Het geeft een volgend gesprek wel een beginpunt, zodat niemand maanden later hoeft te raden waarom een instelling is gekozen.
Minder meetgegevens is niet hetzelfde als minder grip
Een begrijpelijk tegenargument is dat een kleine onderneming haar marketing moet kunnen beoordelen. Wanneer meer bezoekers weigeren, kan de beschikbare informatie veranderen. Dat kan rapportages lastiger maken. Er is geen reden om te beloven dat een duidelijke banner vanzelf meer omzet of betere conversie oplevert.
Maar het omgekeerde is evenmin vanzelfsprekend. Meer geregistreerde signalen zijn geen garantie dat een ondernemer beter beslist. Vraag welk besluit een meting ondersteunt. Is het antwoord alleen ‘dat cijfer staat standaard in het dashboard’, dan is de toegevoegde waarde nog niet uitgelegd.
Begin bijvoorbeeld bij de vraag of een campagne voldoende bestellingen oplevert om haar voort te zetten. Daarvoor kunnen verkoopadministratie, campagnedocumentatie en zorgvuldig ingerichte metingen verschillende informatie leveren. Ze zullen niet altijd exact op elkaar aansluiten. Dat verschil verdient uitleg in de rapportage, zodat onzekerheid niet verdwijnt achter een nauwkeurig ogend getal.
Een overzicht van de financiën van je bedrijf blijft daarom een noodzakelijke gesprekspartner voor marketingcijfers. Welke uitgaven zijn gedaan, welke omzet is geboekt en welke kosten horen daarbij? Een bannerinstelling bepaalt niet of die bedrijfsvragen mogen worden gesteld. Zij beïnvloedt wel welke bezoekersinformatie je daarvoor gebruikt.
De beschikbare tijd blijft een reëel bezwaar. Een zelfstandige kan niet iedere week een technisch dossier nalopen. Maak daarom onderscheid tussen gewoon inhoud bijwerken en een verandering die gegevensverwerking raakt. Een extra advertentiedienst, video of meetfunctie verdient gericht aandacht. Een correctie in een alinea hoeft niet vanzelf dezelfde controle uit te lokken. Laat de beheerder vooraf uitleggen welke wijzigingen hij doorgeeft en welke proef daarbij hoort.
Daarmee wordt onderhoud een afweging die je kunt begroten. Vraag bij een nieuwe functie meteen wat de controle en het latere beheer kosten. Als die lasten niet passen bij het verwachte gebruik, kan afzien van de functie een zakelijke keuze zijn. Een ondernemer hoeft niet iedere beschikbare koppeling te gebruiken om een bruikbare website te hebben. Minder onderdelen kunnen bovendien het gesprek over een fout overzichtelijker maken, zonder dat dit op zichzelf juridische zekerheid oplevert.
Kies een beheersbare inrichting en maak onderhoud zichtbaar
Een Consent Management Platform kan het beheer ondersteunen. Het kan instellingen en keuzes overzichtelijk maken, maar de kwaliteit van de totale website hangt ook af van de aangesloten onderdelen en latere wijzigingen. De AP waarschuwt in haar banneruitleg dat het gebruik van zo’n platform de organisatie niet ontslaat van haar eigen controle op naleving.
Vraag dus niet uitsluitend naar het aantal functies of de prijs van een abonnement. Laat zien hoe een onbekende tag wordt ontdekt, hoe een wijziging wordt beoordeeld en wat het bureau oplevert wanneer een koppeling niet reageert zoals verwacht. Een kleine onderneming kan weinig aan een uitgebreide voorziening als niemand het beheer ervan op zich neemt.
Wees terughoudend met grote conclusies na één proef. Een website verandert door nieuwe inhoud, software en campagnes. Ook een geslaagde controle blijft gekoppeld aan de bekeken situatie. Een volgende wijziging kan een nieuwe beoordeling vragen. De bannerkaart helpt daarbij herinneren wat opnieuw moet worden bekeken.
De vraag naar een werkende weigeroptie is uiteindelijk een vraag naar betrouwbaar websitebeheer. De bezoeker maakt een keuze. De ondernemer moet weten wie zorgt dat de website daarnaar handelt, welke onzekerheden overblijven en waar bewijs van de gemaakte afspraken te vinden is. Dat is concreet genoeg om vandaag met een bouwer of bureau te bespreken.
Bronnen en verantwoording
Geraadpleegd op 17 oktober 2026:
- Autoriteit Persoonsgegevens: AP onderzoekt websites vanwege misleidende cookiebanner, 16 oktober 2026. Nieuwsaanleiding en status van het onderzoek naar twee organisaties.
- Autoriteit Persoonsgegevens: Heldere cookiebanners. Actuele uitleg over de presentatie van keuzes en het gebruik van een CMP.
- Autoriteit Persoonsgegevens: Cookies. Onderscheid tussen soorten cookies, uitzonderingen op toestemming en verwerking van persoonsgegevens.
- Autoriteit Persoonsgegevens: Normuitleg over intrekken van toestemming bij cookiebanners. De documentpagina is gebruikt voor de toelichting op eenvoudig intrekken; dit artikel presenteert geen volledige bespreking van het achterliggende pdf-document.
- Autoriteit Consument & Markt: Cookies plaatsen. Uitleg over toestemming voor cookies en vergelijkbare technieken.
- Algemene verordening gegevensbescherming, artikelen 4 en 7. Begrip toestemming en voorwaarden voor het geven en intrekken daarvan.
De bannerkaart, de voorgestelde werkwijze en de drie bedrijfssituaties zijn eigen redactionele uitwerkingen. De situaties zijn fictief. Er is voor dit artikel geen websiteaudit bij deze ondernemingen uitgevoerd. De kaart geeft geen volledige juridische beoordeling van een website of afzonderlijke verwerking.