Je cookiebanner is een belofte. Maak je hem ook waar?

Wie in een cookiebanner op weigeren klikt, rekent erop dat de website daarna niets meer bijhoudt. Websites beloven dat ook, al gebeurt het vaak toch. Dat was de rode draad toen PRIVAN-oprichter Pim Kitzen aanschoof bij Axel Hommenga in de podcast Recruitment Experiments.

Het ging over boetes voorkomen, volgens Axel zelf niet het meest sexy onderwerp. De toezichthouder kijkt steeds vaker mee, en recruitmentwebsites lopen daarbij extra risico omdat er vaak meer tracking op draait dan gemiddeld, al geldt het meeste wat Pim vertelde voor elke website.

\ 01Na verloop van tijd sluipen er fouten in

Veel organisaties behandelen tracking en privacy-compliance als een klus die je één keer goed doet, waarna het vanzelf op orde zou blijven. “Er gebeurt op en rond een website heel veel waardoor je tracking of je compliance ineens niet meer op orde is”, zegt Pim.

Vaak gaat het om een pixel of script dat er later bij is gezet, bijvoorbeeld door een bureau, of om een update van de cookiebanner zelf. Er zit dan meestal een foutje in een configuratie achter, of iemand heeft iets over het hoofd gezien.

\ 02Waarom recruitmentwebsites extra risico lopen

In recruitment weegt tracking zwaarder dan bij een gemiddelde webshop. Een kandidaat is veel waard en de doelgroep is klein, want je zoekt een specifiek profiel en daar lopen er nu eenmaal geen honderdduizenden van rond.

Je wilt dus precies weten wat een campagne oplevert, per kanaal en per profiel, van de eerste vacatureweergave tot de sollicitatie. Dat meet je met analytics en marketingpixels, en vaak zet je ATS er ook nog eigen pixels bij.

Zo’n koppeling is snel gemaakt. Een tool vraagt je om ‘even dit scriptje’ op je vacaturepagina’s en je bedankpagina te zetten, en klaar. “Het werkt allemaal, totdat er op een later moment zo’n nieuwe pixel wordt toegevoegd”, legt Pim uit. Die pixel plaatst dan cookies of deelt data met een externe partij, terwijl niemand daar in de cookiebanner toestemming voor heeft gegeven.

\ 03De toezichthouder kijkt automatisch mee

De Autoriteit Persoonsgegevens (AP) keek lange tijd vooral naar websites als er een klacht binnenkwam. Sinds april 2025 scant de AP daarnaast doorlopend en automatisch 10.000 Nederlandse websites, met als doel om elk jaar 500 organisaties te waarschuwen.

Welke websites een brief krijgen, maakt de AP niet bekend. Het gaat ook om kleinere organisaties, en bij de start leek volgens de AP al meer dan de helft van die websites de wet te overtreden.

Als de AP iets vindt, krijg je een brief waarin staat wat er mis is, en daarna drie maanden om het op te lossen. Is het dan nog niet in orde, dan volgt een onderzoek en is een boete een reële mogelijkheid. In november 2025 had de AP ruim 200 websites gewaarschuwd. Ongeveer driekwart paste de cookiebanner aan, en tegen de achterblijvers is de AP handhavingsstappen gestart.

Boetes en brieven van de AP

Onder de AVG kunnen boetes oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet. De bekende cookieboetes vielen lager uit (Kruidvat kreeg €600.000, Coolblue €40.000), en “het aantal boetes valt nog best mee”, zegt Pim.

Een brief is waarschijnlijker, en die kan op elk moment binnenkomen. Dan moeten andere plannen wijken en zit je ineens met je jurist om tafel, en met de developer of het bureau dat je website of werkenbij-platform beheert. In die brief staat wat er mis is, maar hoe je het technisch oplost, moet je grotendeels zelf uitzoeken, en intussen lopen de drie maanden door.

Los van de AP wil je het ook gewoon goed doen voor je bezoekers en kandidaten, en in het nieuws komen omdat er ongemerkt data met andere partijen werd gedeeld, wil natuurlijk niemand.

\ 04Wat er gebeurt als iemand weigert

Omdat er een cookiebanner op de site staat, denken veel organisaties dat het goed zit. Die is ooit geplaatst en daarna van de lijst afgevinkt. “Maar een cookiebanner is eigenlijk niets meer dan een belofte”, zegt Pim. Bezoekers vertrouwen op die belofte, en website-eigenaren vaak net zo goed.

Als je nagaat wat er echt gebeurt wanneer iemand weigert of de banner negeert, valt dat regelmatig tegen. “Ik klik nee, maar er gebeurt ja”, zo omschrijft Pim het. De tracking laadt dan alsnog. Elke paginaweergave gaat samen met het IP-adres naar Meta of LinkedIn, en er worden cookies met een uniek ID geplaatst.

Bij tracking komen meestal eerst de pixels van Meta, Google Ads of LinkedIn in beeld. Toch sturen ook onderdelen die onschuldig lijken data door, zoals een YouTube-video op je vacaturepagina of lettertypes die van de servers van Google komen. Een ingesloten sollicitatieformulier of een widget met vacatures kan hetzelfde doen, ook al oogt het als gewone functionaliteit.

\ 05Toestemming en je campagnecijfers

Tracking en compliance gaan prima samen, vindt Pim, zolang je weet wat wel en niet mag en je banner doet wat hij belooft. Toch leeft de angst dat je data misloopt als je het netjes inricht, en dat je campagnes dan slechter gaan presteren.

Hoeveel bezoekers toestemming geven, verschilt sterk per branche. Volgens Pim accepteert meestal meer dan de helft en soms zelfs 80 tot 90 procent, al zijn er ook websites waar het een stuk lager ligt. Per website blijft dat percentage meestal vrij stabiel, dus als je het kent, kun je je cijfers erop corrigeren.

Daarnaast heb je de sollicitaties die in je ATS binnenkomen, en op basis daarvan pas je je biedingen per kanaal aan. Axel herkende dat. Uiteindelijk stuur je op trends, zei hij, en de harde data zit in je eigen systemen.

Meten zonder toestemming

Google Analytics is niet bepaald met privacy voorop gebouwd. Er zijn goede alternatieven die je zo kunt instellen dat je geen toestemming nodig hebt, en op privan.com meten we zelf ook op die manier. Dat kan alleen als de data in je eigen omgeving blijft en niet terug te leiden is naar een persoon, dus controleer goed of dat ook echt zo is ingericht.

Voor marketingtracking, bijvoorbeeld van Meta of LinkedIn, vraag je wel om toestemming, omdat je onder de AVG een grondslag nodig hebt om persoonsgegevens en tracking-ID’s met zulke partijen te delen. Die combinatie noemt Pim “een hele mooie basis”.

\ 06Hoe je het oplost

In de meeste gevallen valt het oplossen mee, want “het gaat heel vaak fout in de details”, zegt Pim. Je bent er geen maanden mee bezig, al moet je wel langs een paar mensen, en hoe ver je gaat, bepaal je zelf.

Het bureau dat je tag manager beheert moet dan iets aanpassen, of je developer haalt een pixel weg of stelt de banner anders in, maar het kan ook zo klein zijn als één instelling in een marketingtool.

1. Cookies pas ná toestemming

Hier gaat het het vaakst mis. Cookies horen pas geplaatst te worden nadat een bezoeker toestemming heeft gegeven, dus als iemand weigert, blijven ze weg.

2. Na een weigering niets meer delen

Veel tools hebben inmiddels een cookieless mode, maar ook dan sturen ze vaak door welke pagina’s iemand bekijkt, samen met het IP-adres. Of dat mag, is twijfelachtig, en al helemaal als die partij buiten Europa zit. Blokkeer na een weigering daarom ook de uitgaande verzoeken naar externe partijen.

3. Ook functionele onderdelen nalopen

Dan blijven de onderdelen over die functioneel lijken, zoals de video’s en lettertypes die hierboven al langskwamen. Zoek per onderdeel uit met wie je data deelt en wat er precies wordt gedeeld. Is daar wel een grondslag voor? Waar nodig vervang je het door iets wat geen bezoekersdata weggeeft, bijvoorbeeld lettertypes die je zelf host of een videospeler die pas iets laadt als iemand op play drukt.

\ 07Waar sta je nu?

Begin met uitzoeken wat er vandaag op je website gebeurt. “Heel vaak hebben bedrijven echt geen idee hoe ze er op dit moment voor staan”, zegt Pim. Omdat een website blijft veranderen, loont het om dat doorlopend in de gaten te houden. Dan zie je een afwijking eerder dan de toezichthouder en kun je het rustig oplossen.

Wil je weten hoe jouw website ervoor staat, doe dan de gratis risicoanalyse. Daar heb je geen account voor nodig en je hoeft niets te installeren. Je ziet dan onder meer wat er vóór toestemming wordt geplaatst en of je banner echt blokkeert.