De Cookie Wall Oorlog: Waarom Jouw Website Mogelijk Illegaal Is
Je weet wel, die irritante pop-ups die je hele scherm blokkeren met “ACCEPTEER COOKIES OF OPROTTEN”? Die zijn hoogstwaarschijnlijk illegaal. En de Autoriteit Persoonsgegevens (AP) is niet blij.
November 2025, en we zitten midden in wat je de “cookie wall crackdown” zou kunnen noemen. De AP heeft de afgelopen maanden meerdere websites op de bon geslingerd met boetes tot €900.000. Niet omdat ze cookies gebruiken, maar omdat ze het op de verkeerde manier vragen.
Laten we eerlijk zijn: de meeste ondernemers hebben geen idee dat hun “gewone” cookie banner eigenlijk een juridisch mijnenveld is. In dit artikel leggen we uit wat er aan de hand is, waarom het belangrijk is, en vooral: hoe je het goed doet zonder advocaat te worden.
Wat Is Er Aan De Hand Met Cookie Walls?
Een cookie wall is simpel: een pop-up die zegt “accepteer onze cookies of je komt er niet in.” Geen cookies = geen toegang tot de website. Klinkt redelijk, toch? Je website, jouw regels?
Helaas: de rechter ziet het anders.
Sinds de AVG en de ePrivacy-regels zijn cookie walls in Nederland praktisch verboden. De Autoriteit Persoonsgegevens heeft dit in 2024 nog eens extra duidelijk gemaakt: een cookie wall is geen “vrije toestemming” en dus niet toegestaan.
Het probleem? Volgens de laatste cijfers gebruiken nog steeds 4 van de 10 Nederlandse MKB-websites een illegale cookie wall. Vaak zonder dat de ondernemer het doorheeft, omdat “de webdeveloper het er gewoon op heeft gezet.”
Waarom Cookie Walls Illegaal Zijn (In Begrijpelijk Nederlands)
De wet zegt: toestemming voor cookies moet vrijwillig, specifiek, geïnformeerd en ondubbelzinnig zijn.
Een cookie wall faalt op punt 1: vrijwillig.
De logica van de rechter:
- Als je website alleen werkt mét cookies accepteren = geen vrije keuze
- Geen vrije keuze = geen geldige toestemming
- Geen geldige toestemming = overtreding AVG
- Overtreding AVG = boete
Het is alsof je zegt: “Je mag gratis naar binnen, maar alleen als je me je portemonnee geeft.” Dat is geen cadeau, dat is diefstal met extra stappen.
Het Google Analytics Probleem
Hier wordt het extra tricky. Veel websites gebruiken Google Analytics om te zien hoeveel bezoekers ze hebben. Logisch, want hoe weet je anders of je website werkt?
Maar: Google Analytics plaatst tracking cookies. En die mag je alleen gebruiken als bezoekers toestemming geven.
Het domme: als je een cookie wall hebt die zegt “accepteer of rot op”, dan kunnen bezoekers die weigeren je website niet zien. Dus je meet alleen de mensen die toestemming geven. Je data is compleet waardeloos omdat je een groot deel van je bezoekers gewoon buitensluit.
Wat Je WEL Mag: De Legale Opties
Oké, genoeg doemdenken. Wat kun je wel doen?
Optie 1: De Eerlijke Banner (Meest Gebruikelijk)
Een cookie banner die geen toegang blokkeert maar wel duidelijk vraagt:
Wat moet erin:
- Knop voor “Accepteren”
- Even grote, even zichtbare knop voor “Weigeren”
- Uitleg wat de cookies doen
- Optie om specifieke cookies aan/uit te zetten
- Link naar privacy policy
Wat NIET:
- Alleen een “Accepteren” knop (moet ook “Weigeren” hebben)
- “Weigeren” verstoppen in klein grijs tekstje
- Toegang blokkeren als ze weigeren
- Pre-aangevinkte vakjes
De website werkt gewoon door, ook als ze weigeren. Dan heb je geen tracking, maar hey, je bent legaal.
Optie 2: Alleen Functionele Cookies (De Simpele Optie)
Gebruik alleen cookies die noodzakelijk zijn voor je website. Dus geen Google Analytics, geen Facebook Pixel, geen tracking.
Voordeel: Je hebt helemaal geen cookie banner nodig.
Nadeel: Je weet niet hoeveel bezoekers je hebt.
Voor veel kleine ondernemers is dit eerlijk gezegd gewoon prima. Je weet toch wel of je telefoon gaat of niet? Dat zegt meer dan een statistiekje.
Een deel van onze klanten heeft geen enkele tracking. Ze weten dat ze gemiddeld 5 aanvragen per week krijgen, en dat is voor hen voldoende data. Ze hoeven niet te weten dat bezoeker #847 3 minuten en 42 seconden op hun homepage rondhing.
Optie 3: Privacy-Vriendelijke Analytics
Er zijn alternatieven voor Google Analytics die géén toestemming nodig hebben:
- Plausible Analytics – simpel, privacy-proof, geen cookies
- Fathom Analytics – zelfde verhaal
- Matomo (zelf hosten met IP anonimisering)
Deze tools geven je gewoon bezoekers-cijfers zonder tracking cookies. Wel betaald (€10-15/maand), maar legaal.
Optie 4: Google Analytics Zonder Toestemming (Ja, Echt)
Je kunt Google Analytics ook privacy-vriendelijk instellen:
- IP-adressen anonimiseren
- Advertentie functies uitschakelen
- Data sharing met Google uitzetten
- Kortere bewaartermijn
Dan heb je volgens sommige privacy-experts geen toestemming nodig. MAAR: dit is een grijs gebied. De AP heeft hier nog geen definitief standpunt over. Dus doe het op eigen risico.
De Praktische Checklist: Maak Je Cookie Banner Legaal
Tijd voor actie. Zo check je of jouw website legaal is:
✅ Stap 1: Check Je Huidige Situatie (5 minuten)
- [ ] Open je website in incognito mode
- [ ] Komt er een cookie pop-up?
- [ ] Kun je op “Weigeren” klikken?
- [ ] Werkt de website nog als je weigert?
Als je “nee” antwoordt op vraag 3 of 4 = je hebt een illegale cookie wall.
✅ Stap 2: Ontdek Welke Cookies Je Gebruikt (10 minuten)
- [ ] Open je website in Chrome
- [ ] Druk F12 (Developer Tools)
- [ ] Ga naar “Application” tab → “Cookies”
- [ ] Schrijf op welke cookies je ziet
Google Analytics? Facebook Pixel? Marketing cookies? Die hebben toestemming nodig.
Alleen session cookies of WordPress basics? Dan ben je waarschijnlijk oké.
✅ Stap 3: Kies Je Strategie (1 uur)
A. Minimale Tracking Route:
- [ ] Verwijder Google Analytics
- [ ] Verwijder Facebook Pixel
- [ ] Verwijder cookie banner
- [ ] Werk met simpele contactformulier metrics
B. Privacy-Vriendelijke Analytics Route:
- [ ] Kies alternatieve analytics tool (Plausible/Fathom)
- [ ] Installeer tool
- [ ] Verwijder Google Analytics
- [ ] Pas cookie banner aan (alleen functionele cookies)
C. Volledige Tracking Route (Met Toestemming):
- [ ] Installeer goede cookie consent tool (Complianz, CookieYes)
- [ ] Configureer met “Weigeren” optie even prominent als “Accepteren”
- [ ] Test of website werkt bij weigeren
- [ ] Update privacy policy
9 van de 10 keer zeggen we: ga voor optie B. Privacy-vriendelijke analytics geeft je genoeg data, je bent legaal, en je hoef niet elke week bang te zijn voor een boete. Het kost €10 per maand, maar dat is goedkoper dan 1 uur met een advocaat.
✅ Stap 4: Implementeer Je Keuze (2-4 uur)
Voor WordPress websites:
- Installeer Complianz Cookie Consent (gratis versie is goed genoeg)
- Doorloop de wizard:
- Kies land: Nederland
- Kies wetgeving: AVG + ePrivacy
- Selecteer je cookies
- Kies banner stijl
- Belangrijk: bij “Wat gebeurt als gebruiker weigert?” kies “Website werkt normaal door”
- Save en test
Kosten: €0 (gratis plugin) of €59/jaar voor premium (meerdere websites)
✅ Stap 5: Test Grondig (30 minuten)
- [ ] Open website in incognito
- [ ] Klik “Weigeren”
- [ ] Werkt de website nog? (scroll, klik, formulieren)
- [ ] Open Developer Tools → Application → Cookies
- [ ] Check: zijn er nog tracking cookies geplaatst? (mag niet!)
- [ ] Test op mobiel
- [ ] Test op verschillende browsers
✅ Stap 6: Update Je Privacy Policy (1 uur)
Je privacy policy moet kloppen met je cookie gebruik:
- [ ] Welke cookies gebruik je?
- [ ] Waarvoor gebruik je ze?
- [ ] Hoe lang blijven ze staan?
- [ ] Met wie deel je data?
- [ ] Hoe kunnen bezoekers weigeren?
Wat Als Je Het Niet Doet?
Laten we realistisch zijn over de risico’s.
Kans dat je gepakt wordt:
- Als kleine ondernemer: klein (maar groeiend)
- Als je een klacht krijgt: groot
- Als je veel verkeer hebt: groter
Wat kan er gebeuren:
- Waarschuwing van de AP – je krijgt tijd om het te fixen (3-6 maanden)
- Last onder dwangsom – fix het binnen X weken of betaal €Y per week
- Direct boete – zeldzaam, maar mogelijk (€10.000-€900.000)
Grotere risico’s:
- Concurrent die je aangeeft bij de AP
- Ontevreden klant die een klacht indient
- Malafide partij die “boetes” int (scam, maar vervelend)
Het grootste risico is niet de boete. Het is het gedoe, de advocaatkosten, en de stress. En waarom dat risico nemen als het gewoon op te lossen is?
De Toekomst: Waar Gaat Dit Heen?
Korte versie: strenger.
De ePrivacy Verordening komt er aan (waarschijnlijk 2026-2027). Die maakt de regels nog strikter. Verwacht:
- Nog minder ruimte voor cookie walls – waarschijnlijk helemaal verboden
- Strengere controles – de AP krijgt meer budget
- Hogere boetes – tot 4% van je omzet (voor grote bedrijven)
- Browser-level consent – Chrome/Safari gaan tracking standaard blokkeren
Het goede nieuws: tools worden beter. Privacy-vriendelijke analytics wordt normaal. Over een paar jaar kijken we terug en denken we “waarom wilden we ook alweer iedereen volgen?”
Veelgestelde Vragen (Eerlijk Beantwoord)
“Moet ik echt mijn Google Analytics weggooien?”
Nee. Maar je moet het óf goed configureren (privacy-mode) óf een eerlijke cookie banner hebben. Geen cookie wall.
“Kan ik niet gewoon ‘Ik ben geen robot’ zeggen als de AP belt?”
Leuk geprobeerd. “Ik wist het niet” is geen excuus. Maar bij een eerste overtreding krijg je meestal wel tijd om het te fixen.
“Zijn die gratis cookie plugins echt goed genoeg?”
Voor 90% van de MKB-websites: ja. Complianz gratis versie is prima. Alleen als je heel complexe tracking hebt, heb je premium nodig.
“Wat als ik helemaal geen pop-up wil?”
Dan gebruik je alleen functionele cookies (geen tracking). Is legaal, geen pop-up nodig. Wel minder data.
“Checked de AP echt kleine websites?”
Op dit moment vooral grote spelers. Maar ze zijn steeds actiever. En als iemand een klacht indient over jouw website, dan checken ze wel.
De Bottom Line
Cookie walls zijn illegaal. Punt. De tijd van “accepteer of oprotten” is voorbij.
Maar het goede nieuws: legaal zijn is niet moeilijk. Het kost je een paar uur werk, misschien €10 per maand voor goede analytics, en dan slaap je weer rustig.
Want laten we eerlijk zijn: die tracking data waar je zo aan hecht? 80% van de ondernemers kijkt er toch nooit naar. En de 20% die het wel doet, kan prima met privacy-vriendelijke alternatieven werken.
Fix het deze week. Dan ben je klaar voor 2026 en hoef je niet bang te zijn voor een brief met het logo van de Autoriteit Persoonsgegevens.
En als je niet weet waar je moet beginnen? Je weet waar je ons kunt vinden.
