Cookiebanners, Zoals Het Hoort

De cookiebanner is het meest geziene en minst geliefde element van het Europese web. Op de meeste mkb-sites is hij bovendien niet correct — niet uit kwade wil, maar omdat hij als plug-in is geïnstalleerd en nooit is nagelopen op wat hij eigenlijk moet doen.

Wat toestemming echt moet zijn

Onder de AVG moet toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Vertaald naar een banner betekent dat vier concrete dingen.

Het moet een echte keuze zijn. Weigeren moet net zo makkelijk zijn als accepteren. Eén klik om te accepteren, één klik om te weigeren, allebei zichtbaar zonder scrollen, allebei ogend als een knop. Het patroon van een felle "Alles accepteren" naast een grijze tekstlink "Voorkeuren beheren" is de meest voorkomende overtreding in Europa, en de AP heeft dat onomwonden gezegd.

Er mag niets afgaan vóór de keuze. Dit gaat bij plug-ins het vaakst mis. Staat je analyticsscript in de head, dan is het al geladen, heeft het een identifier gezet en een verzoek verstuurd voordat de banner in beeld kwam. De banner is dan versiering boven op een beslissing die al genomen is.

Het moet specifiek zijn. Een vinkje voor "statistieken", een voor "marketing" — niet één schakelaar met het woord "cookies" die alles dekt.

Intrekken moet net zo makkelijk zijn als geven. Er moet een manier zijn om later van gedachten te veranderen. Een klein linkje in de voettekst volstaat; helemaal niets volstaat niet.

Twee dingen die uit dezelfde regels volgen: voorgevinkte vakjes zijn geen toestemming, en doorscrollen ook niet. Zwijgen is geen instemming.

Waar geen toestemming voor nodig is

Dit deel bespaart je het meeste werk, en het wordt breed verkeerd begrepen.

Strikt noodzakelijke cookies hebben geen toestemming nodig. Dat zijn de cookies zonder welke de dienst niet werkt: een sessie-identifier zodat een ingelogde gebruiker ingelogd blijft, een winkelmandje, een beveiligingstoken tegen formuliermisbruik, een load-balancercookie en — aardig genoeg — de cookie die de cookiekeuze van de bezoeker onthoudt.

Je moet er nog steeds transparant over zijn in je privacyverklaring. Je hoeft alleen geen toestemming te vragen.

Wat wél toestemming nodig heeft: analytics, advertentie- en remarketingtags, ingesloten video die trackingcookies zet, socialmediawidgets, heatmaps en sessieopnames, en A/B-testtools.

De beste banner is een kleinere

Dit vertelt bijna niemand: hoeveel banner je nodig hebt, wordt bepaald door hoeveel je volgt. Verminder het volgen en het probleem krimpt mee.

De meeste mkb-websites draaien drie of vier scripts van derden, en vraag je waarom elk daar staat, dan is het eerlijke antwoord voor minstens de helft "het zat bij het thema" of "we hebben het jaren geleden ingesteld en kijken er nooit naar".

Er is een goed begaanbare uitweg. Privacyvriendelijke, cookieloze analysetools meten paginaweergaven, verwijzers en globale geografie zonder individuen te identificeren of iets op het apparaat te zetten. Verschillende zijn juist zo ontworpen dat toestemming niet nodig is. Stap over op zo een, gooi de tags weg die je toch niet leest, host je lettertypen zelf, en vervang de automatisch ladende video-embed door een thumbnail die pas laadt bij klikken — en een verrassend aantal kleine sites heeft daarna helemaal geen toestemmingsbanner meer nodig.

Dat is een beter resultaat dan een correcte banner. Het is sneller, het is minder irritant, en — het argument dat de meeste ondernemers overtuigt — je statistieken zijn niet langer een steekproef van alleen de mensen die op accepteren klikten. Weigert 40 procent, dan waren je cijfers nooit echt.

Sinds juni 2025 moet de banner ook toegankelijk zijn

De Europese Toegankelijkheidswet geldt nu voor de banner net als voor de rest van de pagina. In de praktijk:

• Elk bedieningselement bereikbaar met het toetsenbord, in een logische volgorde.
• Een zichtbare focusindicator op elk element.
• Netjes voorgelezen door een schermlezer, met de dialoogrol en het label die daarbij horen.
• Focus die naar de banner gaat als hij verschijnt en netjes terugkeert als hij sluit.
• Tekstcontrast van 4,5 op 1 — ook die grijze "Weigeren"-link, die het meestal niet haalt.

Heel veel banners zakken hierop, waaronder een aantal dat juist als compliance-product wordt verkocht. De moeite waard om die van jou dertig seconden met de Tab-toets te testen.

Hoe je die van jou in vijf minuten controleert

1. Open je site in een verse privévenster. Klik nergens op.
2. Open het netwerktabblad van de ontwikkelaarstools en herlaad.
3. Kijk wat er al is opgevraagd. Alles wat vóór jouw toestemming naar een derde partij gaat, is een probleem.
4. Kijk dan naar de banner zelf: kun je in één klik weigeren, vanaf het eerste scherm?
5. Druk een paar keer op Tab. Bereik en activeer je beide knoppen zonder muis?
6. Zoek de manier om je keuze later te wijzigen. Is die er niet, dan is dat de volgende klus.

De eerlijke samenvatting

Een cookiebanner is geen compliance-product dat je installeert; het is het zichtbare deel van een beslissing over hoeveel je volgt. De meeste sites kunnen die beslissing zo ver terugbrengen dat de banner klein en eerlijk wordt en zelden ergernis oplevert — of helemaal verdwijnt.

Heb je er wel een nodig, dan zijn de regels niet ingewikkeld: vraag voordat je handelt, maak weigeren net zo makkelijk als accepteren, wees specifiek, en laat mensen van gedachten veranderen. De rest zijn dark patterns, en daar kijken de toezichthouders juist naar.

Dit is een praktische gids, geen juridisch advies. In Nederland vallen cookies onder zowel de AVG als de Telecommunicatiewet; raadpleeg de voorlichting van de Autoriteit Persoonsgegevens voor jouw situatie.