Cookieverklaring: model en verplichte inhoud (2026)

Een cookieverklaring is het document waarin u per cookie uitlegt welke gegevens u verzamelt, met welk doel, hoe lang u ze bewaart en met wie u ze deelt. In Nederland is die verklaring verplicht op grond van artikel 11.7a van de Telecommunicatiewet (de “cookiewet”) in combinatie met de informatieplicht uit artikel 13 AVG. De verklaring is niet hetzelfde als de cookiebanner: de banner vraagt toestemming, de verklaring geeft de volledige uitleg. Hieronder vindt u een compleet cookieverklaring-model met de verplichte elementen en een invulbare cookietabel per categorie.

Sinds 2024 controleert de AP actief cookiebanners en -verklaringen. Websites met misleidende banners of een ontbrekende verklaring kregen waarschuwingen. Een sluitende cookieverklaring is dus geen formaliteit maar een handhavingsrisico dat u eenvoudig kunt afdekken.

Key Takeaways

• De cookieverklaring is verplicht onder art. 11.7a Telecommunicatiewet + art. 13 AVG; de banner en de verklaring zijn twee aparte documenten.
• Voor analytische en marketingcookies is voorafgaande toestemming nodig; functionele cookies zijn uitgezonderd.
• De verklaring moet een cookietabel bevatten: naam, doel, categorie, bewaartermijn en (sub)verwerker per cookie.
• De AP en de ACM houden gezamenlijk toezicht op cookies; de AP op de persoonsgegevens, de ACM op de Telecommunicatiewet.
• Reject-knop en accept-knop moeten gelijkwaardig zijn — even zichtbaar, even makkelijk.

Wat verplicht in de cookieverklaring moet staan

Artikel 11.7a Telecommunicatiewet eist dat u de gebruiker duidelijk en volledig informeert vóór het plaatsen van cookies. Gecombineerd met art. 13 AVG levert dat de volgende verplichte onderdelen op:

Onderdeel	Wat u vermeldt
Welke cookies	Naam en type per cookie
Doel	Functioneel, analytisch of marketing
Bewaartermijn	Duur per cookie (sessie of X maanden)
Ontvangers	Eigen cookies vs. cookies van derden
Grondslag	Toestemming of noodzakelijk voor de dienst
Rechten	Intrekken toestemming, cookies verwijderen
Contact	Verwerkingsverantwoordelijke en (indien aanwezig) FG

Model — cookietabel per categorie

Neem in de verklaring een tabel op die u per cookie invult. Dit is de kern die de AP als eerste bekijkt.

Cookie	Categorie	Doel	Bewaartermijn	Partij
sessie_id	Functioneel	Sessiebeheer, winkelwagen	Sessie	Eigen
_ga	Analytisch	Bezoekstatistieken	24 maanden	Derde
_fbp	Marketing	Advertentietargeting	3 maanden	Derde
cookie_consent	Functioneel	Bewaart cookiekeuze	12 maanden	Eigen

Analytische cookies zijn niet automatisch toegestaan. Alleen privacyvriendelijk geconfigureerde statistiek (geanonimiseerd IP, geen delen met derden, geen tracking) valt onder de uitzondering. Zodra een analytisch pakket gegevens deelt met een advertentieplatform, is het een marketingcookie en heeft u toestemming nodig. De precieze grens leest u in de gids over toestemming voor cookies.

De relatie met de cookiebanner

De verklaring beschrijft; de banner vraagt. Een geldige banner heeft een weigeren-knop die net zo prominent is als de accepteren-knop. Een banner met alleen “Accepteren” en een verstopte instellingenlink is misleidend — precies wat de AP in haar cookieonderzoeken sinds 2024 aanpakt.

Link vanuit de banner naar de volledige cookieverklaring, en zorg dat de gebruiker zijn keuze later kan wijzigen via een permanente “cookie-instellingen”-link in de footer. De juridische basis onder dit alles staat uitgelegd in de cookiewet en Telecommunicatiewet 2026.

Let ook op verboden ontwerptrucs. Een accepteer-knop in een felle kleur naast een grijze, nauwelijks zichtbare weiger-optie is een vorm van misleiding die de AP expliciet aanpakt. Hetzelfde geldt voor een “cookiemuur” die de toegang tot de site blokkeert tenzij de bezoeker alles accepteert: dat maakt de toestemming onvrij. De banner en de verklaring moeten samen één eerlijk verhaal vertellen — wat u plaatst, waarom, en dat weigeren net zo makkelijk is als accepteren. Test dit periodiek, want een nieuwe versie van uw consenttool of een marketingplug-in kan de balans ongemerkt verstoren.

Bewaartermijnen per cookie

Vermeld voor elke cookie een concrete bewaartermijn. Een cookie met een looptijd van twee jaar voor een eenvoudige voorkeurinstelling is moeilijk te rechtvaardigen. Toets elke termijn aan het doelbindings- en minimalisatieprincipe van art. 5 AVG. Voor de bredere logica achter bewaartermijnen in uw organisatie is het bewaartermijnenbeleid-model een handig vertrekpunt.

Zet de bewaartermijnen niet één keer en vergeet ze dan. Een marketingcookie die u vandaag op drie maanden zet, kan na een update van uw advertentieplatform ineens twaalf maanden bewaren zonder dat u het merkt. Scan uw site daarom periodiek en werk de tabel bij. Een cookieverklaring die niet overeenkomt met de cookies die daadwerkelijk worden geplaatst, is misleidend en juist het type discrepantie waar de AP bij een steekproef op let.

Cookies van derden en internationale doorgifte

De meeste tracking- en advertentiecookies zijn cookies van derden: het advertentieplatform of analytics-bedrijf plaatst ze en ontvangt de gegevens. Vermeld deze partijen bij naam in de cookietabel, want de gebruiker moet weten aan wie zijn gegevens worden doorgegeven.

Veel van deze partijen zijn gevestigd buiten de EU. Zodra persoonsgegevens naar een land buiten de Europese Economische Ruimte gaan, geldt hoofdstuk V van de AVG over internationale doorgifte. U moet dan een geldige doorgiftegrondslag hebben — bijvoorbeeld een adequaatheidsbesluit of standaardcontractbepalingen. Na het Schrems II-arrest van het Hof van Justitie (C-311/18, 16 juli 2020) is dit voor Amerikaanse dienstverleners een reëel aandachtspunt dat u in de verklaring transparant maakt.

Toestemming intrekken en beheren

De gebruiker moet zijn cookiekeuze net zo makkelijk kunnen wijzigen als geven (art. 7 lid 3 AVG). Plaats daarom een permanente link “cookie-instellingen” in de footer, die de banner opnieuw opent. Beschrijf in de cookieverklaring hoe de bezoeker zijn keuze intrekt en hoe hij bestaande cookies uit zijn browser verwijdert.

Registreer bovendien wanneer en waarvoor toestemming is gegeven. Bij een controle wil de AP kunnen zien dat er daadwerkelijk toestemming was vóórdat de marketingcookies werden geplaatst — niet dat de cookies al draaiden terwijl de banner nog in beeld stond. Dat laatste is een veelvoorkomende technische fout: de tags vuren bij het laden van de pagina, ongeacht de keuze van de bezoeker.

Hoe Legiscope hierbij helpt

Wie meerdere domeinen of talen beheert, loopt snel vast: de cookietabel op de Nederlandse site wijkt af van de Duitse, en scanresultaten verouderen. Legiscope koppelt de cookie-inventaris aan uw verwerkingsregister, zodat de verklaring, de bewaartermijnen en de grondslagen consistent blijven over al uw sites.

FAQ

Is een cookieverklaring wettelijk verplicht?

Ja. Artikel 11.7a Telecommunicatiewet verplicht u de gebruiker vooraf duidelijk en volledig te informeren over cookies, en artikel 13 AVG vereist informatie over de verwerking van persoonsgegevens. Een website zonder cookieverklaring voldoet aan geen van beide.

Mag ik Google Analytics zonder toestemming gebruiken?

Alleen als u het privacyvriendelijk configureert — geanonimiseerd IP, geen gegevensdeling, geen advertentiefuncties — en dan nog is de veilige route om toestemming te vragen. Zodra analytische gegevens naar een advertentieplatform gaan, is het een marketingcookie waarvoor toestemming verplicht is.

Wie houdt toezicht op cookies in Nederland?

De Autoriteit Persoonsgegevens en de Autoriteit Consument & Markt (ACM) delen het toezicht. De AP kijkt naar de verwerking van persoonsgegevens onder de AVG, de ACM naar de naleving van de Telecommunicatiewet. Sinds 2024 controleert de AP actief op misleidende banners.

Wat is het verschil tussen een cookieverklaring en een privacyverklaring?

De cookieverklaring gaat specifiek over cookies en vergelijkbare technieken en is gebaseerd op de Telecommunicatiewet. De bredere privacyverklaring voor uw website beschrijft alle verwerkingen van persoonsgegevens onder art. 13/14 AVG. Ze verwijzen naar elkaar maar zijn niet inwisselbaar. Combineer ze niet tot één onleesbaar document: geef de cookieverklaring een eigen, makkelijk vindbare pagina en link ernaar vanuit de banner en de footer.

---

Bronnen: de Telecommunicatiewet en AVG-tekst op EUR-Lex, de cookie-informatie van de Autoriteit Persoonsgegevens en de EDPB-richtlijnen over toestemming.