Het cookietoezicht is geen papieren tijger meer

Wat er in april 2025 veranderde¶

Jarenlang was cookietoezicht in Nederland klachtgedreven. Iemand meldde iets, de toezichthouder keek, en of er iets gebeurde hing af van de stapel ervoor. Dat is veranderd.

De Autoriteit Persoonsgegevens schreef het op 8 april 2025 zelf op: "Dat doen we door constant en automatisch de cookiebanners van 10.000 websites te scannen om te checken of die duidelijk genoeg zijn." Vindplaats: AP, "Foute cookiebanners aangepast na ingrijpen AP", 8 april 2025. Het project Cookies en tracking waaronder dit valt, startte in 2024. April 2025 is de start van de scan- en waarschuwingsoperatie zelf.

Ik moet mijn eigen kern hier meteen bijstellen. Het getal van 500 waarschuwingen per jaar dat overal rondzingt, is een voornemen. De AP schreef op 15 april 2025 over "de eerste 50 van in totaal 500 organisaties die de AP elk jaar wil waarschuwen". Gerealiseerd waren er in november 2025 ruim 200. Een doel is iets anders dan een telling, en wie het doel als telling citeert, maakt het toezicht groter dan het is.

Driekwart past zich aan, en dat is het echte cijfer¶

Op 11 november 2025 publiceerde de AP de uitkomst: ongeveer driekwart van de gewaarschuwde websites paste de misleidende cookiebanner aan, en er is onderzoek gestart naar de weigeraars. Vindplaats: AP, "Driekwart websites past misleidende cookiebanner aan na waarschuwing, onderzoek gestart naar weigeraars", 11 november 2025.

Dat cijfer is interessanter dan een boete. Het zegt dat een brief bij de grote massa werkt. Het zegt ook waar het handhavingsdossier zit: bij het kwart dat de brief negeerde. Die groep is klein genoeg om echt te onderzoeken en groot genoeg om een norm mee te zetten.

Wie het cijfer citeert, moet er 80 procent van maken noch driekwart van afronden naar boven. Driekwart is wat er staat.

Wat een scan van tienduizend banners wel en niet ziet¶

Hier loopt mijn eigen werk naast dat van de toezichthouder, en het verschil is precies waar het interessant wordt.

Een bannerscan beoordeelt de banner. Is de weigerknop er, staat hij op gelijke hoogte, is de tekst duidelijk. Dat is een goede toets, en hij schaalt.

Mijn scan beoordeelt het verkeer. Wat gebeurde er voordat de bezoeker iets koos. Uit de meting van 14 juli 2026 over 1.718 Nederlandse overheidssites:

1.027 sites (59,8%)   er stond al iets voor de eerste klik
1.636 sites           er werd helemaal geen banner aangetroffen
   82 sites           er was wel een banner

Van die 82 sites met banner laadde op 73,2 procent al iets voor de vraag. Van de 1.636 zonder banner was dat 59,1 procent.

Lees die verhouding nog eens. Een instrument dat banners beoordeelt, zou op deze verzameling naar 82 van de 1.718 sites kijken. De overige 1.636 hebben geen banner om te beoordelen, en daar staat op bijna zes van de tien al iets voordat er iets te kiezen viel. Op 846 sites ging het om trackingcookies terwijl er geen cookiebanner werd aangetroffen.

De twee instrumenten vullen elkaar aan. Een bannerscan pakt de misleidende keuze. Een verkeersmeting pakt de ontbrekende keuze. Zie Hoe mijn scanner werkt, van bezoek tot bewijsstuk voor hoe die tweede werkt en Weigeren doet op vier van de vijf sites niets voor wat hij oplevert.

De boetes die er zijn, en wat ze wegen¶

Er zijn twee Nederlandse cookiegerelateerde boetes, allebei op AVG-grondslag.

AS Watson (Kruidvat)   600.000 euro   16 juli 2024
   verlaagd naar        50.000 euro   besluit op bezwaar, 12 juni 2025
Coolblue                40.000 euro   24 december 2024

De verlaging van Kruidvat is het detail dat zelden wordt meegeciteerd. Wie de 600.000 noemt zonder het besluit op bezwaar, noemt een bedrag dat sinds juni 2025 niet meer geldt.

Uit de scanoperatie zelf is tot 25 juli 2026 geen enkele boete gepubliceerd. De operatie draait dus vooralsnog op waarschuwingen.

Zet daar de maatstaf naast die ik elders al gebruikte. De boete voor DPG Media was 525.000 euro en werd na beroep definitief 262.500 euro. Bij een advertentie-omzet van 753 miljoen euro is dat ongeveer 86.000 euro per uur, dus ongeveer drie uur omzet. Zie Een boete is voor een groot bedrijf geen straf, maar een rekening.

Het budget krimpt terwijl het werkveld groeit¶

De capaciteit voor dit toezicht staat in een Kamerbrief van staatssecretaris Van Huffelen van 28 september 2023, over toezicht en handhaving cookies en online tracking:

2024 tot en met 2026    500.000 euro per jaar   startfase
vanaf 2027              350.000 euro per jaar   structureel

Het geld komt van BZK, en het loopt in 2027 met dertig procent terug. Dat is een politieke keuze, geen natuurwet, en het is wel het getal waaraan je de rest moet afmeten. Een half miljoen euro per jaar staat tegenover een advertentiemarkt waarin een enkele uitgever honderden miljoenen omzet. Zie Wet en handhaving lopen achter op het geld.

Twee toezichthouders, twee grondslagen¶

Er zit een constructiefout in het Nederlandse cookietoezicht die de traagheid deels verklaart.

Artikel 11.7a van de Telecommunicatiewet is de bepaling die zegt dat je zonder toestemming niets op iemands apparaat mag opslaan of eruit lezen. Dat artikel valt formeel onder de Autoriteit Consument en Markt. De AVG valt onder de Autoriteit Persoonsgegevens. De AP schrijft dat zelf in haar ambtsbericht over Google Analytics van 13 november 2025, en zegt daarin ook dat zij nog onderzoekt "in hoeverre zij wat kan zeggen over welke cookies wel en niet onder de uitzondering kunnen vallen".

Dat betekent voor wie klaagt: de snelste juridische route, artikel 11.7a, ligt bij een andere toezichthouder dan de bekendste. Noem in een klacht daarom beide grondslagen en beide artikelen, zodat de zaak niet op een bevoegdheidsvraag strandt. Zie De cookiewet is de snelste toets die een meting kan halen.

Wat dit betekent voor wie bouwt¶

De kans dat iemand kijkt is voor het eerst reëel. Dat is de praktische samenvatting van dit alles.

Voor een bouwer verandert daarmee de volgorde van het werk. De banner is niet meer het laatste vinkje voor oplevering. Hij is het eerste ding dat een geautomatiseerde scanner ziet. En de goedkoopste zelftest kost vijf minuten: open een schoon profiel, weiger, herlaad, en kijk of er iets veranderde. Op de sites zonder herkende toestemmingsmodule leverde die test in mijn meting bij 77,8 procent van de gevallen geen verschil op.

Voor wie iets wil melden ligt het lastiger. De ingang is smaller geworden en de doorlooptijd langer. Zie De privacytoezichthouder maakte melden steeds moeilijker.

Waar mijn beeld ophoudt¶

Drie dingen weet ik niet, en ze zijn allemaal relevant.

Ik weet niet welke tienduizend sites de AP scant. Er is geen publieke lijst. Ik kan dus niet nagaan of Nederlandse overheidssites in die verzameling zitten, en dat is precies de vraag die mij het meest interesseert. Zie De overheid knelt precies op de uitzondering waar ze zich op beroept.

Ik weet niet wat de AP technisch meet. "Of de banner duidelijk genoeg is" kan een DOM-analyse zijn of een volledige verkeersopname. Het verschil bepaalt of de 1.636 sites zonder banner uit mijn meting binnen of buiten hun bereik vallen.

En mijn cijfer over 2026 ontbreekt. De AP publiceerde in 2026 geen nieuw cookiebericht met aantallen. Het meest recente stuk met cijfers is het jaarverslag over 2025, verschenen op 2 april 2026. Alles wat ik hierboven over de omvang van de operatie zeg, gaat dus over 2025. Label dat als verouderd tot de volgende publicatie.