ePrivacyrichtlijn en de Nederlandse cookieregel — toestemming voor cookies, trackers en vergelijkbare technieken

Dit is het dossier achter de cookiebanner. Artikel 5, lid 3, van de ePrivacyrichtlijn bepaalt dat informatie opslaan op of uitlezen van de apparatuur van een bezoeker alleen mag na informatie vooraf en toestemming; Nederland heeft dat omgezet in artikel 11.7a van de Telecommunicatiewet. De regel is techniekneutraal en gaat verder dan cookies: hij raakt ook pixels, scripts, lokale opslag, SDK’s in apps en software op verbonden apparaten. Het verschil met de AVG is dat het hier niet uitmaakt of de opgeslagen of uitgelezen informatie een persoonsgegeven is — de handeling zelf is gereguleerd, en pas wat daarna met persoonsgegevens gebeurt valt onder de AVG.

Waarvoor is dit bedoeld

De randapparatuur van een gebruiker — telefoon, laptop, televisie, auto — wordt gezien als onderdeel van zijn persoonlijke levenssfeer. De richtlijn wil dat niemand daar ongevraagd informatie neerzet of uitleest. Artikel 5, lid 3, luidt dat opslag van of toegang tot informatie in de eindapparatuur alleen is toegestaan ‘op voorwaarde dat de betrokken abonnee of gebruiker toestemming heeft verleend, na te zijn voorzien van duidelijke en volledige informatie (…) onder meer over de doeleinden van de verwerking’.

Voor wie

Iedereen die via een website, webshop, app, nieuwsbrief of verbonden apparaat informatie plaatst op of uitleest uit het apparaat van een gebruiker. Er is geen omzetdrempel, geen personeelsdrempel en geen uitzondering voor kleine bedrijven: een webshop met acht medewerkers valt onder dezelfde regel als een beursgenoteerde uitgever. Artikel 11.7a, lid 2, trekt de eisen door naar situaties waarin niet jijzelf maar een ander namens jou bewerkstelligt dat die opslag of uitlezing plaatsvindt — de partij achter een ingesloten videospeler, chatwidget of advertentietag dus.

Wat er niet onder valt

Artikel 11.7a, lid 3, kent twee uitzonderingen. De eerste geldt voor opslag of toegang met als uitsluitend doel de communicatie over een elektronisch communicatienetwerk uit te voeren. De tweede geldt voor wat strikt noodzakelijk is om de door de gebruiker gevraagde dienst te leveren — de functionele cookie, zoals een winkelwagen of een ingelogde sessie — en, mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer, voor het verkrijgen van informatie over de kwaliteit of effectiviteit van een geleverde dienst. Die laatste zinsnede is de Nederlandse analytische uitzondering. Buiten de richtlijn valt verder alles wat niet op de apparatuur van de gebruiker gebeurt: serverlogs die de aanbieder zelf bijhoudt vallen onder de AVG, niet onder artikel 11.7a.

Wat je moet doen

Voor alles wat niet onder een uitzondering valt, gelden twee cumulatieve eisen: duidelijke en volledige informatie vooraf, en toestemming. De toestemming is de toestemming zoals de AVG die omschrijft — vrij, specifiek, geïnformeerd en ondubbelzinnig, en dus door een actieve handeling. Voor de vrijgestelde functionele en lichte analytische cookies vervalt de toestemming, maar niet de informatieplicht: de ACM schrijft dat u ze ‘ongevraagd mag plaatsen, zolang u dit vertelt’.

Meer dan cookies alleen

De tekst spreekt van ‘informatie’ en niet van cookies. Onder het bereik vallen daarom ook trackingpixels in e-mail, local storage en session storage in de browser, identifiers die apps uit het besturingssysteem opvragen, browserfingerprinting en meetsoftware in apparaten die met internet verbonden zijn. Of de betrokken informatie tot een persoon herleidbaar is, doet voor de vraag of toestemming nodig is niet ter zake.

Wat het Hof over toestemming besliste

In het arrest Planet49 van 1 oktober 2019 (C-673/17) oordeelde het Hof van Justitie dat een vooraf aangevinkt vakje dat de gebruiker moet uitvinken geen geldige toestemming oplevert: nodig is een actieve handeling die een vrije, specifieke en geïnformeerde wilsuiting is. In hetzelfde arrest bepaalde het Hof dat de ‘duidelijke en volledige informatie’ in elk geval de werkingsduur van de cookies omvat en de vraag of derden er toegang toe krijgen.

Wat de toezichthouders van een banner verlangen

De gezamenlijke cookiebanner-taskforce van de Europese privacytoezichthouders legde op 17 januari 2023 een aantal gedeelde standpunten vast. Een banner zonder weiger- of afwijsmogelijkheid levert volgens de meerderheid van de autoriteiten geen geldige toestemming op. Vooraf aangevinkte vakjes evenmin. Een weigerlink die verstopt zit in een lopende alinea of buiten de banner staat, telt niet. Kleur- en contrastkeuzes worden per geval beoordeeld, maar tekst die door minimaal contrast vrijwel onleesbaar wordt, is problematisch. Een beroep op gerechtvaardigd belang als grondslag in een banner wijst de taskforce af. Toestemming intrekken moet even eenvoudig zijn als toestemming geven, bijvoorbeeld via een blijvend pictogram of een blijvende link.

Verhouding tot de AVG

Artikel 11.7a regelt het plaatsen en uitlezen; de AVG regelt wat er daarna met de persoonsgegevens gebeurt. Voor die vervolgverwerking is een eigen grondslag nodig, moet de informatieplicht worden nagekomen, gelden bewaartermijnen en gelden de regels voor doorgifte buiten de EU. Ontbreekt de toestemming voor het plaatsen, dan is ook de daaropvolgende verwerking in de regel onrechtmatig. Artikel 11.7a, lid 4, voegt daar een vermoeden aan toe: wie gebruiksgegevens over verschillende diensten verzamelt, combineert of analyseert zodat de gebruiker anders behandeld kan worden, wordt vermoed persoonsgegevens te verwerken.

Cookiemuren bij de overheid

Artikel 11.7a, lid 5, verbiedt dat de toegang van een gebruiker tot een dienst die wordt geleverd door of namens een publiekrechtelijke rechtspersoon afhankelijk wordt gemaakt van het verlenen van toestemming. Voor commerciële websites staat een vergelijkbaar verbod niet met zoveel woorden in de wet.

De advertentieketen

In het arrest IAB Europe van 7 maart 2024 (C-604/22) oordeelde het Hof dat de TC String uit het Transparency and Consent Framework — de gecodeerde weergave van de keuzes die een bezoeker in een banner maakt — een persoonsgegeven is, omdat die in combinatie met bijvoorbeeld een IP-adres tot een persoon herleidbaar is. IAB Europe is voor het vastleggen en verspreiden daarvan gezamenlijk verwerkingsverantwoordelijke, ook zonder zelf toegang tot de gegevens te hebben. Voor uitgevers en adverteerders die op dit standaardraamwerk leunen, betekent dat dat de banner zelf een verwerking is die onder de AVG valt.

De ePrivacyverordening is van tafel

Het voorstel voor een ePrivacyverordening van 10 januari 2017 (COM(2017) 10, procedure 2017/0003(COD)) is na ruim acht jaar onderhandelen op 6 oktober 2025 door de Europese Commissie ingetrokken. De procedure staat in het register van het Europees Parlement als vervallen. De richtlijn uit 2002 en artikel 11.7a blijven dus het geldende recht.

Wat de Digital Omnibus ermee wil

Het voorstel van 19 november 2025 (COM(2025) 837) haalt de regel uit de ePrivacyrichtlijn en zet hem in de AVG als nieuw artikel 88 bis, met een nieuw artikel 88 ter over geautomatiseerde, machineleesbaar uitgedrukte keuzes van de gebruiker die websites en apps zouden moeten respecteren. Dit is een voorstel: het is niet aangenomen en verandert vooralsnog niets aan de bestaande verplichtingen.

Toezicht NL

Het toezicht is verdeeld. De Autoriteit Persoonsgegevens treedt op waar het plaatsen of uitlezen samenhangt met de verwerking van persoonsgegevens, wat bij tracking- en advertentiecookies vrijwel altijd het geval is. De Autoriteit Consument en Markt houdt toezicht vanuit de Telecommunicatiewet en publiceert eigen uitleg over functionele, analytische en privacygevoelige cookies; daarnaast kan zij misleidende of agressieve bannerontwerpen langs het consumentenrecht leggen.

Boete

Waar de AP optreedt, gelden de boetemaxima van artikel 83 AVG: voor een schending van de beginselen en van de voorwaarden voor toestemming tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. De ACM beschikt daarnaast over de handhavingsinstrumenten van de Telecommunicatiewet, waaronder een last onder dwangsom en een bestuurlijke boete.