Wat erin staat
De AP schrijft over de eerste vijftig brieven dat er in elke brief een waarschuwing staat plus uitleg over hoe het wél moet, en dat de AP precies aanwijst wat er misleidend is aan de cookiebanner van die organisatie. Als voorbeelden noemt zij:
- de website plaatst al cookies voordat de bezoeker toestemming heeft gegeven
- in de cookiebanner is de toestemming voor tracking cookies al aangevinkt
- bezoekers komen pas bij de weigerknop als ze doorklikken naar een volgend venster
Alle drie zijn te meten zonder dat iemand een oordeel hoeft te geven: laadt er iets vóór de keuze, staat er iets vooraf aangevinkt, en staat de weigerknop op de eerste laag. Dat is ook precies wat onze toets doet.
De AP nodigt aangeschreven organisaties ook uit voor een informatiesessie op haar kantoor en verwijst naar haar eigen vuistregels. Wij publiceren geen nagemaakte voorbeeldbrief: dat zou een document zijn dat op niets berust.
Drie maanden, en wat wij ervan maken
De AP schrijft het in het bericht van 15 april 2025 zo op: passen de aangeschreven organisaties hun misleidende cookiebanner niet binnen 3 maanden aan, of stoppen zij niet met indringend volgen, dan start de AP een onderzoek en lopen zij een groot risico op een boete.
Onze eigen indeling van die termijn is geen eis van de AP maar onze werkwijze. Wij rekenen met 90 dagen vanaf de datum die op de brief staat — drie maanden is een dag of twee korter of langer, afhankelijk van de maand, dus houd de datum in je eigen brief aan als die krap is.
| Wanneer | Wat er gebeurt | Van wie is die stap |
|---|---|---|
| Dag 0 | Een gemeten rapport van de site: per criterium wat er nu gebeurt | onze werkwijze |
| Binnen 5 werkdagen | Een plan: wat eruit moet en wat erin komt | onze werkwijze |
| Binnen 30 dagen | Een banner die de toets haalt, met de scripts achter de keuze | onze werkwijze |
| 15 dagen vóór het einde | Hercontrole met een rapport dat als bijlage mee kan | onze werkwijze |
| Na 3 maanden | Onderzoek en een groot risico op een boete bij wie niets aanpaste | de AP |
Hoeveel, en sinds wanneer
| Datum | Wat de AP publiceerde |
|---|---|
| 6 februari 2024 | De AP kondigt aan misleidende cookiebanners aan te pakken. AP pakt misleidende cookiebanners aan |
| 15 april 2025 | De AP maant per brief 50 organisaties hun misleidende cookiebanner aan te passen of te stoppen met indringend volgen. Doen zij dat niet binnen drie maanden, dan start de AP een onderzoek en lopen zij een groot risico op een boete. Het zijn de eerste 50 van in totaal 500 organisaties die de AP elk jaar wil waarschuwen; de AP monitort daarvoor constant 10.000 Nederlandse websites. De eerste brieven gingen onder meer naar webwinkels, mediabedrijven en verzekeraars. AP waarschuwt 50 organisaties om misleidende cookiebanner |
| 11 november 2025 | De AP heeft meer dan 200 websites gewaarschuwd over hun cookiebanner; ongeveer driekwart heeft die inmiddels aangepast. Tegen organisaties die dat niet deden, zet de AP handhavingsstappen. AP: driekwart websites past misleidende cookiebanner aan na waarschuwing, onderzoek gestart naar weigeraars |
| bijgewerkt 21 februari 2025 | De AP schrijft dat zij sinds 2024 strenger controleert op cookiegebruik, dat zij een hulpmiddel heeft gemaakt dat snel controleert of een cookiebanner aan de eisen voldoet, dat niet-naleving een waarschuwingsbrief oplevert met de oproep de banner te controleren en zo nodig aan te passen, en dat bij ernstige overtredingen of weigeren de kans groot is op boetes of andere sancties. Zo houdt de AP toezicht op cookies |
Alle feiten hierboven komen uit berichten en themapagina's van de Autoriteit Persoonsgegevens zelf, gelezen op 17 september 2026. Boetebedragen en namen van organisaties nemen wij niet over, ook niet waar de AP ze zelf noemt.
Negen vuistregels, gebundeld in vier meetbare criteria
De AP schrijft: ‘Zet verschillende keuzes op één laag’, ‘Verberg bepaalde keuzes niet’, ‘Laat iemand niet extra klikken’, ‘Gebruik geen onopvallende link in de tekst’.
Wij meten: Wij meten of er op de eerste laag een weigerknop staat die even groot en even opvallend is als de accepteerknop.
De AP schrijft: ‘Verwar toestemming niet met gerechtvaardigd belang’, ‘U moet toestemming krijgen voor het gebruiken van tracking cookies en veel andere soorten cookies’.
Wij meten: Wij meten welke trackers en trackingcookies er al zijn vóór de bezoeker kiest, en of ze na weigeren uit blijven.
De AP schrijft: ‘Zet vinkjes niet automatisch aan’, ‘Gebruik duidelijke tekst’.
Wij meten: Wij meten of er iets vooraf is aangevinkt en of de banner de site blokkeert tot je accepteert.
De AP schrijft: ‘Geef informatie over de verwerking van persoonsgegevens en het doel van de verwerking’, ‘Maak toestemming intrekken net zo makkelijk als toestemming geven’.
Wij meten: Wij meten of er vanuit de banner of de pagina een cookie- of privacyverklaring te vinden is; de inhoud ervan meten wij niet.
Per criterium de drempel, de meetopzet en de grenzen van die meting staan op de meetdefinities. Twee van de negen vuistregels meten wij niet: duidelijke tekst en het intrekken van toestemming. Dat staat daar ook.
Autoriteit Persoonsgegevens, "Heldere cookiebanners", de pagina met de vuistregels, geraadpleegd op 2026-09-17. Onze bundeling is versie v1.
Twee wetten, twee toezichthouders
Het plaatsen van of toegang krijgen tot gegevens op iemands apparaat staat in artikel 11.7a van de Telecommunicatiewet. Gaat het daarbij om persoonsgegevens — en bij tracking cookies kun je daarvan uitgaan, schrijft de AP — dan geldt daarnaast de Algemene verordening gegevensbescherming.
Dat verklaart waarom er in dit onderwerp twee toezichthouders voorbijkomen. De brieven over misleidende cookiebanners komen van de Autoriteit Persoonsgegevens, die daarover sinds april 2025 structureel controleert. Wat er in de toekomst met die verdeling gebeurt, laten wij hier staan tot er een besluit ligt dat wij kunnen aanwijzen.
De AP noemt zelf de eenvoudigste route: gebruik je geen volgsoftware, dan heb je ook geen cookiebanner nodig. Dat is geen advies van ons maar een citaat van de toezichthouder, en het is wel de enige oplossing waarbij er niets te meten valt.
Drie metingen binnen de termijn
| Meting | Waarom | Waar |
|---|---|---|
| Bij ontvangst | De beginstand vastleggen: wat laadt er nu vóór de keuze, en hoe staat de banner erbij | de toets |
| Na de aanpassing | Nagaan of de scripts echt achter de keuze staan en of weigeren de trackers stopt | de toets |
| Vóór het einde van de termijn | Een rapport dat als bijlage mee kan, met per punt wat er is aangepast | de antwoordbrief |
Heb je de tekst van de banner ook nodig, of een cookieverklaring per cookie, dan staan daar losse toetsen voor: de bannertekst-toets en de cookieverklaring-generator. Wil je het hele traject binnen de termijn uit handen geven, dan is dat de fast-track.
SignumCore is geen onderdeel van en niet verbonden aan de Autoriteit Persoonsgegevens. Wij toetsen aan de eisen die de AP publiceert; dit is een technische meting, geen juridisch oordeel.
Veelgestelde vragen
Is er een voorbeeldbrief van de AP?
Niet van ons en niet van de AP. Wat de AP wél publiceert, is wat er in zo’n brief staat: een waarschuwing, uitleg over hoe het wel moet, en precies aangewezen wat er misleidend is aan die ene cookiebanner. Wij publiceren geen nagemaakte brief; dat zou een document zijn dat op niets berust.
Welke bedrijven hebben een brief gekregen?
De AP publiceert geen lijst van aangeschreven organisaties. Zij noemt alleen soorten: de eerste vijftig brieven van april 2025 gingen onder meer naar webwinkels, mediabedrijven en verzekeraars. Wij publiceren die namen ook niet, ook niet als wij ze zouden weten.
Wat gebeurt er na drie maanden?
De AP schrijft het zo op: past een organisatie haar cookiebanner niet binnen 3 maanden aan, dan start de AP een onderzoek en loopt die organisatie een groot risico op een boete. In november 2025 meldde de AP dat zij handhavingsstappen zet tegen organisaties die na een waarschuwing niets veranderden.
Moet ik de AP antwoorden?
Of en wat je antwoordt, is een vraag voor een jurist; wij geven daar geen advies over. Wat wij leveren is het bewijs: een meting van je site per criterium, en een concept waarin per punt staat wat er is aangepast. Ondertekenen en versturen doe je zelf.
Ik heb een kleine site zonder webshop. Wat regel ik dan?
De vuistregels van de AP gaan over de banner en over wat er laadt, niet over de grootte van je site. Wie geen volgsoftware gebruikt, heeft ook geen cookiebanner nodig — dat is letterlijk de eenvoudigste route die de AP zelf noemt. Gebruik je wel volgsoftware, dan is de eerste vraag of die laadt voordat iemand kiest. Dat is te meten.
Waarom hoor ik bij cookies over twee toezichthouders?
Omdat er twee wetten in het spel zijn. Het plaatsen van of toegang krijgen tot gegevens op iemands apparaat staat in artikel 11.7a van de Telecommunicatiewet; gaat het daarbij om persoonsgegevens, dan geldt daarnaast de AVG. De brieven over misleidende cookiebanners komen van de Autoriteit Persoonsgegevens, die daarover sinds april 2025 structureel controleert.
Begin met meten, niet met een brief schrijven. Vul je adres in en zie per criterium wat je site nu doet. Daarna weet je welke punten je moet aanpassen, en heb je het bewijs dat je het hebt gedaan.
