Verdwijnt de cookiebanner door de Digitale Omnibus?

Voorlopig niet. De Europese Commissie stelde in november 2025 voor om de cookieregel naar de AVG te verhuizen en weigeren met één klik verplicht te maken. Bijna een jaar later is daar nog niets van besloten. Tot dat gebeurt, gelden voor je website artikel 11.7a van de Telecommunicatiewet en de AVG, en de Autoriteit Persoonsgegevens (AP) controleert nu al of websites goed om toestemming vragen.

In de onderhandelingen tussen de lidstaten verdween de keuze via de browser uit de tekst, en de cookieregel ging terug naar de ePrivacy-richtlijn. In de nieuwste tekst gaat de termijn waarin je na een weigering niet opnieuw om toestemming mag vragen, van zes naar vier maanden. Het Europees Parlement heeft nog geen standpunt. We houden dit artikel bij zolang er wordt onderhandeld.

\ 01Wat is de Digitale Omnibus?

Op vrijwel ieder privacy-event waar je dit jaar komt, gaat het over de Digitale Omnibus. Zo ook tijdens het Dataprotectie & Privacy Congres en het Nationale Privacy Congres.

De Digitale Omnibus is een pakket waarmee de Europese Commissie digitale wetgeving wil vereenvoudigen en de regeldruk voor organisaties wil verlagen. Het hoort bij de vereenvoudigingsagenda die de Commissie in haar werkprogramma voor 2025 aankondigde.

Op 19 november 2025 kwamen er twee voorstellen. Het eerste past de AI-verordening aan en is inmiddels wet (Verordening 2026/1744 van 8 juli 2026). Het tweede wijzigt onder meer de AVG, de Data Act en de ePrivacy-richtlijn. Daarin staan de nieuwe cookieregels, en over dat deel wordt nog onderhandeld.

\ 02Waarom wil Brussel de cookieregels veranderen?

Sinds een wijziging uit 2009 vraagt de ePrivacy-richtlijn toestemming voor cookies en vergelijkbare technieken. Nederland zette dat in 2012 om in artikel 11.7a van de Telecommunicatiewet, en voegde er in 2015 een uitzondering aan toe voor analytische cookies met geen of geringe gevolgen voor de privacy.

Brussel wil iets doen aan hoe dat in de praktijk uitpakt. Op bijna elke website staat een banner, en bezoekers klikken die weg zonder te lezen. In de stukken en op de congressen heet dat consentmoeheid. In het werkdocument bij het voorstel schat de Commissie dat Europeanen samen ongeveer 334 miljoen uur per jaar aan cookiebanners besteden, uitgaande van 100 websites per maand, waarvan 85% een banner toont, en 3,5 seconde per banner.

Eerdere pogingen om dat op te lossen liepen vast. Een ePrivacy-verordening, voorgesteld in januari 2017, haalde het nooit, en de Commissie trok het voorstel in 2025 in. Een vrijwillige cookie pledge van de Commissie uit 2023, die bezoekers minder vaak voor de keuze moest zetten, kreeg geen enkele deelnemer.

\ 03Wat stelt de Commissie voor?

Het voorstel haalt de cookieregel uit de ePrivacy-richtlijn voor zover het om persoonsgegevens van natuurlijke personen gaat, en zet hem in een nieuw artikel 88a van de AVG. Voor al het andere blijft de oude regel uit de richtlijn gelden. Artikel 88a komt hierop neer:

• Toestemming blijft de hoofdregel. Zonder toestemming mag je alleen iets op het apparaat van een bezoeker opslaan of uitlezen als dat nodig is om communicatie te versturen, om een dienst te leveren waar de bezoeker uitdrukkelijk om vraagt, voor geaggregeerde bezoekersstatistieken die je uitsluitend voor eigen gebruik maakt, of voor beveiliging.
• Een bezoeker moet met één klik kunnen weigeren, of op een gelijkwaardige manier.
• Na een weigering mag je minstens zes maanden niet opnieuw om toestemming vragen voor hetzelfde doel.
• Het artikel geldt zes maanden nadat de verordening in werking is getreden.

Een tweede nieuw artikel, 88b, moest de banner echt minder nodig maken. Bezoekers zouden hun keuze automatisch kunnen doorgeven, bijvoorbeeld via een instelling in hun browser, en websites zouden die keuze moeten respecteren. Websites zouden dat na 24 maanden moeten doen. Browsermakers die geen mkb-bedrijf zijn, zouden na 48 maanden de techniek moeten bieden om zo'n keuze door te geven. Aanbieders van mediadiensten, zoals nieuwssites, hoefden de automatische keuze niet te volgen.

Het toezicht zou bij de privacytoezichthouders komen te liggen, in Nederland de AP. Nu is formeel de Autoriteit Consument & Markt (ACM) toezichthouder op artikel 11.7a, terwijl de AP via de AVG optreedt. De Europese privacytoezichthouders, de EDPB en de EDPS, merken in hun gezamenlijke advies op dat de toezichthouders voor deze nieuwe artikelen dan ook boetebevoegdheden nodig hebben, en dat het voorstel die nog niet regelt.

\ 04Waar staat het voorstel nu?

Een verordening komt er pas als de Raad, waarin de lidstaten zitten, en het Europees Parlement het eens worden. Daarvoor bepalen ze eerst elk een eigen standpunt. Op 7 oktober 2026 heeft geen van beide dat.

In de Raad

Het Cypriotische voorzitterschap schreef in de eerste helft van 2026 vijf compromisteksten. Vanaf april stond de cookieregel daarin weer in de ePrivacy-richtlijn, met weigeren met één klik en de termijn van zes maanden. In juni schrapte het voorzitterschap de keuze via de browser, omdat lidstaten het bewijs voor de economische gevolgen en de gevolgen voor grondrechten onvoldoende vonden en technische problemen zagen.

Op 26 juni zou de Raad een onderhandelingsmandaat vaststellen, maar die stemming ging niet door. Volgens het kabinet was er een blokkerende minderheid, deels van lidstaten die vonden dat de tekst te weinig vereenvoudigde, vooral bij de AVG. Het Ierse voorzitterschap, sinds juli aan zet, kwam op 3 september met een nieuwe compromistekst, die via noyb openbaar werd. Daarin staat een uitzondering voor het meten van advertenties die alleen op de inhoud van de bekeken pagina zijn gebaseerd, zonder profilering.

Volgens het persbureau Agence Europe staat in een versie van 21 september ook dat gegevens die zonder toestemming voor anonieme bezoekersstatistieken zijn verzameld, niet voor iets anders gebruikt mogen worden. Na een bespreking op 25 september paste het voorzitterschap de tekst opnieuw aan. Daarin mag je na een weigering al na vier maanden opnieuw om toestemming vragen. Op 7 oktober lag die tekst bij de ambassadeurs van de lidstaten (Coreper), met als doel een onderhandelingsmandaat. Een besluit was die dag nog niet bekend.

In het Parlement

De commissies ITRE en LIBE zijn samen verantwoordelijk, met Aura Salla en Marina Kaljurand als rapporteurs. Hun ontwerpverslag van 22 juni laat de cookieregels en het begrip persoonsgegeven open voor de onderhandelingen in de commissies. Er werden ruim 1.750 amendementen ingediend. Een stemming staat nog niet gepland.

Wanneer komt er een akkoord?

De Europese Raad wil alle omnibuspakketten voor eind 2026 afronden, en het Ierse voorzitterschap streeft naar een akkoord met het Parlement voor het einde van het jaar. Raad en Parlement onderhandelen nog niet eens met elkaar, dus dat wordt krap.

Nu, het voorstel en de Raad naast elkaar

\ 05Wie wil wat?

De Commissie wil minder banners en een keuze die blijft staan. Over dat doel zijn de meeste partijen het eens; de discussie gaat over de weg ernaartoe.

• De EDPB en de EDPS steunen het doel uitdrukkelijk, ook de keuze via de browser. Ze waarschuwen wel dat twee regels naast elkaar, de AVG voor persoonsgegevens en de ePrivacy-richtlijn voor de rest, tot rechtsonzekerheid kunnen leiden. Ook vragen ze om een uitzondering voor contextuele advertenties.
• Het kabinet staat in de BNC-fiche van december 2025 positief tegenover automatisch toestemming geven of weigeren via de browser, "zolang dit in lijn is met de eisen voor toestemming uit de AVG". In de Raad pleitte Nederland voor het behoud van dat artikel, en het wil weigeren met één klik en de termijn van zes maanden per se houden. Het kabinet wil het gebruikers makkelijker maken "zonder consentmoeheid en dark patterns".
• Andere lidstaten wilden de keuze via de browser juist kwijt. Frankrijk vreest gevolgen voor de media en een sterkere positie van de grote browsers. Denemarken, Tsjechië, Polen en Zweden steunden het schrappen, onder meer omdat een effectbeoordeling ontbrak. Frankrijk wil ook de termijn na een weigering terugbrengen naar drie maanden, omdat de advertentiemarkt waarde hecht aan recente gegevens over bezoekers. In de tekst van oktober werden het er vier.
• Uitgevers en de advertentiebranche zijn vooral tegen de keuze via de browser. Negen Europese mediaorganisaties vroegen in juni om artikel 88b te schrappen zolang er geen effectbeoordeling is. IAB Europe noemt een vaste termijn van zes maanden technisch onwerkbaar. DDMA vindt dat een algemene browserinstelling te weinig rekening houdt met context en pleit voor regels die onderscheid maken naar risico.
• Consumenten- en burgerrechtenorganisaties willen de keuze via de browser juist terug. In een open brief van 10 september vragen negentien ondertekenaars, onder wie BEUC, EDRi en noyb, het Ierse voorzitterschap om artikel 88b weer op te nemen.

\ 06Verandert ook het begrip persoonsgegeven?

Een tweede discussie gaat over de definitie van persoonsgegeven. Op Het Nationale Privacy Congres van 6 november heet een sessie zelfs "Het begrip persoonsgegeven herzien: het heetste hangijzer van de Digitale Omnibus?"

De Commissie wil in de AVG vastleggen dat informatie geen persoonsgegeven is voor een partij die de persoon niet kan identificeren, ook als een andere partij dat wel kan. Ze baseert zich op het SRB-arrest van het Hof van Justitie van 4 september 2025, over gepseudonimiseerde gegevens.

De EDPB en de EDPS vinden dat het voorstel verder gaat dan die rechtspraak en het begrip aanzienlijk versmalt. De AP vraagt de wetgever in haar position paper om de definitie te houden zoals die is, en ook het kabinet schrijft dat het voorstel verder gaat dan een codificatie van de rechtspraak. In de compromisteksten van de Raad blijft de definitie zelf ongewijzigd. Wel staat er een aparte bepaling over gepseudonimiseerde gegevens in. In juni volgde die het arrest vrij letterlijk; volgens de tekst van september zijn zulke gegevens geen persoonsgegevens voor wie de persoon niet kan identificeren.

Voor gegevens die je zelf aan een persoon kunt koppelen, verandert hier weinig. Stuur je met Enhanced Conversions of Advanced Matching gehashte e-mailadressen naar Google of Meta, dan heb jij het e-mailadres zelf. Voor jou blijft de hash dus een persoonsgegeven, in elke versie van de tekst. En de ontvanger koppelt de hash juist aan een account, want daar is de functie voor.

Max Schrems van noyb waarschuwde op 22 september dat met deze regel veel tracking-ID's en IP-adressen buiten de AVG kunnen vallen, vooral bij partijen die zelf niemand kunnen identificeren. Wat hij zegt en wat het voor je website betekent, lees je in Max Schrems waarschuwt voor de Digitale Omnibus.

\ 07Wat betekent dit voor je website?

Voorlopig verandert er niets, want er is nog niets aangenomen. Een deel komt wel in elke versie van de tekst terug, en daar kun je nu al rekening mee houden.

De AP controleert nu al

Op de Omnibus wachten is geen reden om je cookiebanner te laten liggen. Voor cookies en trackers gelden artikel 11.7a van de Telecommunicatiewet en de AVG, en de AP controleert sinds april 2025 structureel of websites goed om toestemming vragen. In november 2025 had de AP ruim 200 websites gewaarschuwd, en ongeveer driekwart paste de banner daarna aan. Wie na een waarschuwing niets verandert, kan een onderzoek of een boete verwachten.

Weigeren met één klik komt er hoe dan ook

De Commissie en de Raad willen allebei dat bezoekers met één klik kunnen weigeren. Dat ligt in het verlengde van wat de AP nu al vraagt: weigeren moet net zo makkelijk zijn als accepteren, anders is de toestemming niet vrij gegeven. Staat de weigerknop bij jou pas in een tweede laag of achter een knop "Instellingen", dan loop je nu al risico.

Een weigering onthouden

Bezoekers die weigeren, krijgen volgens de Commissie vaak bij elk volgend bezoek opnieuw een banner. In het voorstel van de Commissie mag je na een weigering minstens zes maanden niet opnieuw vragen, in de nieuwste tekst van de Raad minstens vier maanden. Kijk dus hoe lang jouw banner een weigering onthoudt en wat hij daarna doet.

Hoe je een weigering onthoudt zonder bezoekers te volgen, is nog een open vraag. De EDPB en de EDPS stellen voor om daar een aparte uitzondering voor te maken, op voorwaarde dat je de weigering vastlegt met een algemene code die voor iedereen die weigert hetzelfde is, zonder uniek ID.

Statistieken zonder toestemming, onder voorwaarden

In het voorstel van de Commissie gaat het om geaggregeerde informatie over het gebruik van je eigen dienst, uitsluitend voor eigen gebruik. De Raad spreekt van anonieme, geaggregeerde informatie, die je ook samen met anderen of via een partij die namens jou werkt mag verzamelen. In de tekst van september staat erbij dat de gegevens daarvoor niet met derden worden gedeeld of met hun gegevens worden gecombineerd.

Een analysetool die gegevens ook voor eigen doelen of voor advertenties gebruikt, past daar niet in. Voor Google Analytics met gekoppelde advertentiefuncties zien we in geen van de teksten ruimte om zonder toestemming te meten. Meet je nu al met geaggregeerde cijfers die in je eigen omgeving blijven, dan ligt dat in de lijn van beide teksten.

Nog niet bouwen voor de keuze via de browser

Het artikel over automatische keuzes via de browser staat niet meer in de tekst van de Raad, en het Parlement heeft er nog niets over gezegd. Komt het terug, dan krijgen websites er volgens het voorstel 24 maanden voor. Neem het mee als je een nieuwe cookiebanner kiest of je contract verlengt, en vraag de leverancier hoe die met zulke signalen omgaat.

Eén toezichthouder

In beide teksten komt het toezicht op cookies bij de privacytoezichthouder te liggen. In Nederland was dat al de richting: het kabinet bereidt een wetsvoorstel voor om het toezicht op cookies en online tracking bij de AP onder te brengen. Formeel is dat nu nog een taak van de ACM. Voor jou betekent dat één toezichthouder die cookies en de AVG in samenhang bekijkt.

Wat je nu al kunt doen

Vier dingen die lonen, wat er ook uit Brussel komt:

1. Zet de weigerknop in de eerste laag van je banner, even zichtbaar als de knop om te accepteren.
2. Laat niets laden voordat een bezoeker kiest, behalve wat strikt nodig is.
3. Zoek uit welke statistieken je zonder persoonsgegevens kunt meten, en welke tools gegevens ook voor eigen doelen gebruiken.
4. Leg vast wat je controleert en wanneer, zodat je kunt laten zien dat je toeziet.

Wil je weten hoe je website er vandaag voor staat, doe dan de gratis risicoanalyse. Je ziet dan welke cookies en trackers laden voordat een bezoeker iets kiest, en of je banner een weigerknop heeft.

\ 08Wat is nog niet zeker?

• Waar de regel komt te staan: in de AVG, zoals de Commissie wil, of in de ePrivacy-richtlijn, zoals de Raad wil. In dat laatste geval moet Nederland de Telecommunicatiewet aanpassen.
• Of de keuze via de browser terugkomt, en in welke vorm.
• Welke uitzonderingen er komen, bijvoorbeeld voor publieksmeting en contextuele advertenties.
• Hoe lang je na een weigering moet wachten. Frankrijk wil drie maanden en Nederland zes, en de nieuwste tekst van de Raad zegt vier.
• Of het begrip persoonsgegeven verandert.
• Wanneer het ingaat. Pas na een akkoord tussen Raad en Parlement, en dan na zes maanden (Commissie) of na een omzettingstermijn van 24 maanden (Raad).
• Hoe het toezicht en de boetes precies worden geregeld.

\ 09Zo houden we dit artikel bij

We werken dit artikel bij als er iets verandert: een mandaat van de Raad, een stemming in het Parlement, het begin van de onderhandelingen of een akkoord.

• 1 oktober 2026: eerste versie.
• 7 oktober 2026: bijgewerkt met de nieuwe compromisteksten van het Ierse voorzitterschap, waarin de termijn na een weigering van zes naar vier maanden gaat, en met de bespreking in Coreper op 7 oktober.