In Nederland bepaalt artikel 11.7a van de Telecommunicatiewet, beter bekend als de cookiewet, wanneer je cookies mag plaatsen bij je websitebezoekers. Functionele cookies mag je zonder toestemming plaatsen, zolang je bezoekers erover informeert. Voor analytische cookies met weinig impact op de privacy geldt dezelfde uitzondering. Tracking- en advertentiecookies, zoals de conversietag van Google Ads, remarketing en de UET-tag van Microsoft Ads, vragen vooraf om toestemming. Haal je leads uit Google Ads? Dan is dit geen juridisch detail. Het bepaalt welke conversies je te zien krijgt en dus waarop je je campagnes stuurt.
Kort samengevat
- Artikel 11.7a Telecommunicatiewet geldt sinds 2012 en regelt het plaatsen en uitlezen van cookies en vergelijkbare technieken.
- Functionele cookies en privacyvriendelijke analytische cookies mag je zonder toestemming plaatsen. Marketing- en trackingcookies niet.
- De ACM houdt toezicht op het plaatsen van cookies, de Autoriteit Persoonsgegevens (AP) op wat je daarna met de gegevens doet.
- Server-side tagging maakt je meting robuuster, maar ontslaat je niet van de plicht om toestemming te vragen.
- Een eerlijke cookiebanner kost je conversiedata. Het antwoord daarop is een betere meting van formulieren, telefoontjes en CRM-data, niet een slimmere manier om de regels te omzeilen.
Inhoudsopgave
- Wat artikel 11.7a precies regelt
- Drie soorten cookies, drie regimes
- Twee wetten, twee toezichthouders
- Wat de cookiewet doet met je conversiemeting
- Server-side tagging is geen sluiproute
- Eisen aan een cookiebanner die standhoudt
- Wat er gebeurt bij een overtreding
- Onze kijk op cookies en leadgeneratie
- Meting en campagnes onder één regie
- Veelgestelde vragen
- Bronnen
Wat artikel 11.7a precies regelt
De cookiebepaling in de Telecommunicatiewet trad op 5 juni 2012 in werking. Het doel was de privacy van internetgebruikers beter te beschermen. De wet spreekt overigens niet letterlijk over cookies. Ze gaat over het opslaan van gegevens op het apparaat van een gebruiker en over het uitlezen daarvan. Dat maakt de reikwijdte breder dan veel ondernemers denken: ook pixels, scripts die lokale opslag gebruiken en vergelijkbare technieken vallen eronder.
De wet legt twee plichten op. Je moet bezoekers duidelijk en volledig informeren over de cookies die je plaatst en waarvoor. Daarnaast moet je voor een deel van die cookies vooraf toestemming vragen. Op Ondernemersplein staat een praktisch overzicht van wat dat voor ondernemers betekent.
De regels gelden voor iedere website, groot of klein. Een tandartspraktijk met een afsprakenformulier valt er net zo goed onder als een landelijk adviesbureau. Er bestaat geen drempel in omzet of bezoekersaantallen.
Drie soorten cookies, drie regimes
In de praktijk kun je cookies indelen naar wat ze doen. Die indeling bepaalt wat je moet regelen.
| Soort cookie | Voorbeelden | Toestemming nodig? | Informeren? |
|---|---|---|---|
| Functioneel | Sessie bijhouden, formulierinvoer onthouden, cookiekeuze opslaan | Nee | Ja |
| Analytisch met weinig privacy-impact | Bezoekstatistieken voor eigen gebruik | Nee, onder voorwaarden | Ja |
| Tracking en marketing | Google Ads-conversietag, remarketing, Microsoft UET-tag, social pixels | Ja, vooraf | Ja |
Functionele cookies
De ACM is hier helder over: cookies die je nodig hebt voor een goede werking van je site mag je ongevraagd plaatsen, zolang je dit vertelt. Denk aan het onthouden van een inlog of het bewaren van de keuze die een bezoeker in je cookiebanner maakt.
Analytische cookies
Voor analytische cookies met weinig of geen gevolgen voor de privacy heeft een website-eigenaar geen toestemming nodig, aldus de AP. De voorwaarden staan op die pagina en verdienen een zorgvuldige lezing. Onze vuistregel: zodra je analysegegevens deelt voor advertentiedoeleinden, bijvoorbeeld door GA4 aan Google Ads te koppelen voor doelgroepen of conversies, ga je uit van een toestemmingsplicht. Twijfel je of jouw instellingen binnen de uitzondering vallen? Leg je configuratie dan voor aan je privacyjurist of functionaris gegevensbescherming.
Tracking- en marketingcookies
Hier zit vrijwel alles wat je voor Google Ads en Microsoft Ads gebruikt. Zonder voorafgaande toestemming mag die tag niet vuren. Ook remarketinglijsten bouwen valt hieronder. Wie verder wil kijken dan cookies, vindt in een uitleg over remarketing zonder cookies in lagen hoe adverteerders zich voorbereiden op minder cookiedata.
Twee wetten, twee toezichthouders
De Telecommunicatiewet staat niet op zichzelf. Zodra een cookie persoonsgegevens verzamelt, en bij tracking is dat bijna altijd zo, geldt ook de AVG. Het kabinet beschrijft die verdeling in een Kamerbrief over cookies uit 2023: de ACM kijkt naar het plaatsen van cookies, de AP naar de verwerking van de verzamelde gegevens.
Voor jou betekent dat: je moet aan de voorkant goed zitten (banner en informatie) én aan de achterkant (wat er met de data gebeurt). Een keurige banner helpt niet als je de gegevens daarna ongecontroleerd naar vijf partijen doorstuurt.
De toestemming zelf moet voldoen aan de eisen van de AVG. Volgens de AP is toestemming alleen geldig als die vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven. Voldoet de toestemming niet, dan mag je de gegevens niet verwerken. Een vooraf aangevinkt vakje of “door verder te surfen ga je akkoord” haalt die lat niet.
Wat de cookiewet doet met je conversiemeting
Hier wordt het onderwerp concreet voor iedereen die leads uit Google Ads haalt. Weigert een bezoeker marketingcookies, dan mag de conversietag niet op de gebruikelijke manier meten. Die lead komt binnen in je mailbox, maar verschijnt niet als conversie in je account.
Wat je mist als bezoekers weigeren
Neem een dakdekker die per maand veertig offerteaanvragen via Google Ads binnenkrijgt. Weigert een deel van de bezoekers cookies, dan ziet het account minder aanvragen dan er werkelijk zijn. Zoekwoorden die prima leads leveren, lijken dan duurder dan ze zijn. Wie daarop stuurt, pauzeert misschien precies de verkeerde zoektermen.
Google biedt met Consent Mode een manier om de keuze van de bezoeker door te geven aan de tags, zodat die zich daarnaar gedragen. Dat is een technisch hulpmiddel, geen juridische vrijbrief. De keuze van de bezoeker blijft leidend.
Formulieren en telefoongesprekken
Bij leadgeneratie bestaan conversies uit formulieren en telefoontjes. Beide kun je meten, maar alleen binnen de grenzen van de toestemming. Wat je wel altijd kunt doen, is in je eigen administratie bijhouden hoeveel aanvragen en gesprekken er binnenkomen. Dat cijfer leg je naast de conversies in Google Ads. Het verschil vertelt je hoeveel je account niet ziet.
Offline conversie-import uit je CRM
Veel van onze klanten werken met lange salescycli. Een adviesbureau weet pas na weken of een lead een opdracht wordt. Door die uitkomst vanuit het CRM terug te koppelen naar Google Ads, stuur je op omzet in plaats van op formulieren. Let op: ook dan verwerk je persoonsgegevens. Je hebt een grondslag onder de AVG nodig en je moet de koppeling in je privacyverklaring vermelden. Laat de opzet toetsen door je privacyjurist voordat je hem live zet.
Server-side tagging is geen sluiproute
Een hardnekkig misverstand: wie de tags via een eigen server laat lopen, zou geen toestemming meer nodig hebben. Dat klopt niet. De cookiewet gaat over opslaan en uitlezen op het apparaat van de bezoeker, en de AVG over het verwerken van persoonsgegevens. Waar de tag technisch draait, verandert niets aan die plichten.
Wat server-side tagging wel doet: je krijgt zelf de controle over welke gegevens naar welke partij gaan. Je kunt velden weglaten, IP-adressen inkorten en voorkomen dat scripts van derden ongemerkt meeliften. Dat maakt het makkelijker om aan de achterkant netjes te werken. In ons artikel over AVG en server-side tagging lees je wat het wel en niet regelt.
Voor attributie zonder third-party cookies hebben we een aparte uitleg geschreven: cookieless attributie voor leads.
Eisen aan een cookiebanner die standhoudt
De AP constateert dat organisaties nog vaak op een misleidende manier om toestemming vragen. De toezichthouder heeft die pagina in april 2025 aangepast. Loop je eigen banner langs deze punten:
- Weigeren is net zo makkelijk als accepteren. Een knop om te weigeren hoort op de eerste laag, niet verstopt achter “instellingen”.
- Geen vooraf aangevinkte vakjes. Toestemming is een actieve handeling van de bezoeker.
- Geen sturende vormgeving. Een felgekleurde akkoordknop naast een grijs linkje om te weigeren duwt de bezoeker één kant op.
- Begrijpelijke taal. Leg uit welke cookies je plaatst en waarvoor, zonder vage termen als “voor een optimale ervaring”.
- Geen tags voor de keuze. Marketingtags vuren pas nadat de bezoeker akkoord heeft gegeven. Controleer dit met de ontwikkelaarstools van je browser.
- Intrekken moet kunnen. Bied een vaste link, bijvoorbeeld in de footer, waarmee bezoekers hun keuze kunnen aanpassen.
Punt vijf gaat in de praktijk het vaakst mis. Een banner die netjes oogt maar waarbij de conversietag al bij het laden van de pagina afgaat, is precies het soort fout dat bij een controle naar boven komt.
Wat er gebeurt bij een overtreding
De ACM kan handhaven met boetes en met een last onder dwangsom. Dat dit geen theorie is, bleek in 2014. De ACM stelde toen vast dat de NPO de regels voor het plaatsen van cookies overtrad. De omroep kreeg een dwangsom opgelegd van € 25.000 per week, tot een maximum van € 125.000.
Daarnaast kan de AP optreden als de verwerking van de gegevens niet deugt. Voor een MKB-bedrijf weegt de reputatieschade vaak zwaarder dan het bedrag. Een klant die een tandarts of advocaat zoekt, verwacht zorgvuldigheid, ook op de website.
Onze kijk op cookies en leadgeneratie
We zien de cookiewet niet als vijand van goede Google Ads-resultaten. Het probleem zit ergens anders. Veel accounts leunen volledig op automatische biedstrategieën die op conversiedata draaien. Weigert een deel van de bezoekers cookies, dan krijgt zo’n algoritme minder signalen en gaat het gokken. Het budget lekt dan weg naar zoektermen die toevallig goed meten, niet naar zoektermen die goede leads opleveren.
Onze aanpak is daarom anders. We bieden handmatig op CPC-niveau, werken met een strakke zoekwoordstructuur volgens de SKAG-methodiek, met gesplitste exact- en phrase-varianten, en controleren dagelijks de zoektermen. Daardoor sturen we op wat we zelf zien en begrijpen, niet op wat een model denkt te zien. Een gat in de cookiedata is dan vervelend, maar niet fataal.
Daarbij hoort een meting die je kunt vertrouwen. We richten tracking server-side in via GTM en GA4, met een consentinstelling die doet wat de banner belooft. Leadkwaliteit maken we zichtbaar door uitkomsten uit het CRM terug te koppelen. Zo weet je niet alleen hoeveel aanvragen een zoekwoord oplevert, maar ook wat ze commercieel waard zijn. Eerlijk meten binnen de regels levert op termijn betere beslissingen op dan maximaal meten ernaast.
— Arno Kooijman
Meting en campagnes onder één regie
Wil je Google Ads die op echte leads sturen, met conversiemeting die klopt en een cookie-opzet die je met een gerust hart kunt laten zien? Adworth beheert sinds 2010 uitsluitend campagnes voor leadgeneratie, voor maximaal 25 klanten tegelijk en elk account onder persoonlijke regie van Arno Kooijman. We werken voor bedrijven met minimaal 1 miljoen omzet die klaar zijn met de brede, geautomatiseerde aanpak. Bekijk onze diensten of lees meer over onze Google Analytics-implementaties.
Veelgestelde vragen
Zijn cookies verplicht in Nederland?
Nee, je bent niet verplicht cookies te gebruiken. Plaats je ze wel, dan moet je bezoekers altijd informeren. Voor tracking- en marketingcookies moet je bovendien vooraf toestemming vragen. Een site met alleen functionele cookies heeft daarom geen toestemmingsbanner nodig, wel heldere informatie.
Moet ik toestemming vragen voor analytische cookies?
Niet als ze weinig of geen gevolgen hebben voor de privacy van je bezoekers, volgens de AP. Deel je analysegegevens voor advertentiedoeleinden, bijvoorbeeld via een koppeling tussen GA4 en Google Ads, dan ga je beter uit van een toestemmingsplicht. Bij twijfel laat je je instellingen toetsen door een privacyjurist.
Wat is de cookiewet?
De cookiewet is de informele naam voor artikel 11.7a van de Telecommunicatiewet. Het artikel geldt sinds 5 juni 2012. Het regelt wanneer je informatie mag opslaan op of uitlezen van het apparaat van een bezoeker, en wanneer je daarvoor toestemming nodig hebt.
Wie controleert of mijn website zich aan de regels houdt?
De ACM houdt toezicht op het plaatsen van cookies en de informatie daarover. De AP ziet toe op de verwerking van de persoonsgegevens die je met die cookies verzamelt. Beide toezichthouders kunnen handhaven.
Heb ik geen toestemming meer nodig als ik server-side tagging gebruik?
Je hebt nog steeds toestemming nodig. Server-side tagging verandert waar de tag draait, niet welke regels gelden. Wel krijg je meer controle over welke gegevens je doorstuurt, wat helpt bij het naleven van de AVG.
Bronnen
- ACM: informatiebrief over sessiecookies (2012)
- Autoriteit Persoonsgegevens: cookies
- Autoriteit Persoonsgegevens: heldere cookiebanners
- Autoriteit Persoonsgegevens: wijzigingen op deze website
- Autoriteit Persoonsgegevens: grondslag toestemming
- Ondernemersplein: cookies op uw website
- Kamerbrief over de inzet van het kabinet op cookies (2023)
