Cookietoestemming wordt herschreven: wat de Digital Omnibus verandert
De cookiebanner is het meest gehate stukje interface van Europa. Hij is na acht jaar ook nog steeds juridisch wankel op een groot deel van de sites. Brussel heeft eindelijk besloten beide problemen tegelijk aan te pakken, en het vehikel is het Digital Omnibus-pakket dat op 19 november 2025 werd voorgesteld.
Dit artikel behandelt wat er echt in het voorstel staat, wat vandaag al recht is, en wat we nu wel en niet zouden veranderen aan een toestemmingsimplementatie. Per augustus 2026 zit het dossier nog in de trilogen, dus een deel hiervan zal bewegen.
Hoe we hier kwamen
Cookietoestemming heeft nooit in de AVG gewoond. Ze woont in artikel 5, lid 3, van de ePrivacyrichtlijn uit 2002, gewijzigd in 2009, die zegt dat het opslaan van informatie op de randapparatuur van een gebruiker, of het benaderen daarvan, toestemming vereist tenzij het strikt noodzakelijk is voor een door de gebruiker gevraagde dienst.
Die richtlijn zou vervangen worden door een ePrivacyverordening. Het voorstel bleef acht jaar vastzitten in de Raad en werd op 11 februari 2025 formeel ingetrokken. Wat overbleef is een richtlijn uit 2002, zevenentwintig licht verschillende keren omgezet, die een web bewaakt dat niet bestond toen ze werd geschreven.
Het resultaat is de rommel die iedereen kent: banners die per land verschillen, toestemming die op veel sites technisch ongeldig is, en gebruikers die reflexmatig op accepteren klikken omdat weigeren langer duurt.
Wat vandaag al handhaafbaar is
Voor we bij het voorstel komen, is het goed om eerlijk te zijn over de huidige stand, want veel teams denken dat hun banner in orde is en dat is hij niet.
De handhaving is gestaag en specifiek geweest. In september 2025 beboette de Franse toezichthouder op dezelfde dag Google voor 325 miljoen euro en Shein voor 150 miljoen. De bevindingen waren mechanisch in plaats van filosofisch: cookies gezet voordat de banner verscheen, en een weigeroptie die niet betrouwbaar weigerde.
De regels die toezichthouders daadwerkelijk toepassen:
Niets niet-essentieels voordat de gebruiker handelt. Niet de analyticstag, niet de pixel, niet de chatwidget, niet het lettertype van derden. Vuurt het bij het laden van de pagina, dan maakt het niet uit wat de banner zegt.
Weigeren moet gelijk zijn aan accepteren. Zelfde laag, zelfde visuele gewicht, zelfde aantal klikken. Weigeren tot een tweestapsreis door een voorkeurenpaneel maken terwijl accepteren één knop is, wordt behandeld als dark pattern dat de toestemming ongeldig maakt.
Toestemming is granulair. Eén schakelaar die analytics, advertenties en personalisatie bundelt is geen specifieke toestemming.
Intrekken moet net zo makkelijk zijn als geven. Een permanent bereikbare knop, geen supportmail.
Toestemming verloopt. De meeste autoriteiten werken met ongeveer zes tot dertien maanden voordat je opnieuw moet vragen.
Consent or pay is smal. Advies 08/2024 van de Europese Toezichthouders zegt dat grote platforms doorgaans geen binaire keuze mogen bieden tussen tracking accepteren en betalen. Er wordt een echt gratis alternatief zonder gedragsadvertenties verwacht.
Faalt je banner op een van de eerste twee punten, repareer dat dan voordat je je zorgen maakt over de hervorming. Dat zijn de punten die vandaag boetes opleveren.
Wat de Digital Omnibus voorstelt
De centrale structurele zet is de regels over randapparatuur uit de oude richtlijn halen en in de AVG zelf plaatsen, via twee nieuwe artikelen.
Artikel 88a: toestemming voor toegang tot randapparatuur
Dit vervangt artikel 5, lid 3, van de ePrivacyrichtlijn en verbreedt belangrijk de set doelen die geen toestemming vereisen. De huidige uitzondering voor strikt noodzakelijk is zo smal dat zelfs basale publieksmeting doorgaans een banner nodig heeft. Het voorstel verbreedt de uitzonderingen richting beveiliging, geaggregeerde publieksmeting en het behouden van de integriteit van de dienst.
Twee operationele wijzigingen krijgen de meeste aandacht:
- Accepteren of weigeren met één klik. De keuze moet in één handeling presenteerbaar zijn, beide kanten op.
- Een afkoelperiode. Weigert een gebruiker, dan zou je zes maanden niet opnieuw mogen vragen. Alleen dat al zou een groot deel van de bannermoeheid wegnemen.
Artikel 88b: machineleesbare toestemmingssignalen
Dit is het interessantst voor ontwikkelaars. Het zou toestemmingssignalen op browser- of systeemniveau juridisch bindend maken voor verwerkingsverantwoordelijken. Uit een gebruiker eenmaal een voorkeur, in de browser, dan zouden sites die moeten honoreren in plaats van opnieuw te vragen.
Een eerdere versie van het pakket bevatte een sterker browsermechanisme dat tijdens de onderhandeling sneuvelde. Wat overblijft is het beginsel dat geautomatiseerde signalen meetellen.
Andere punten om te weten
Het pakket stelt ook voor de meldtermijn voor datalekken van 72 naar 96 uur te brengen, en past verschillende definities aan rond gepseudonimiseerde data en AI-training. Dat valt buiten dit artikel, maar reist in hetzelfde vehikel, wat deels verklaart waarom het dossier omstreden is.
Timing, en waarom je er nog niet op moet plannen
Het realistische beeld per augustus 2026:
- Het voorstel zit in triloog tussen Parlement, Raad en Commissie.
- Een eindstemming wordt later in 2026 verwacht, al zijn tijdlijnen eerder verschoven.
- Artikel 88a zou ongeveer zes maanden na inwerkingtreding gelden.
- Artikel 88b zou binnen ongeveer 24 maanden gelden.
De vroegst plausibele datum voor de eenkliks- en afkoelregels ligt dus ergens in 2027, en verplichtingen rond browsersignalen in 2028. Wie je vertelt dat de cookiebanner dit jaar dood is, verkoopt je iets.
Wat we nu zouden veranderen, en wat niet
De hervorming is geen recht, maar de richting is stabiel genoeg om architectuur te sturen. Zo adviseren wij klanten.
Doe dit nu
Repareer de mechaniek. Weigeren net zo makkelijk als accepteren, niets dat vuurt vóór interactie, granulaire categorieën, werkend intrekken. Dat is geldend recht en daar zitten de boetes.
Scheid toestemmingsstatus van toestemmingsinterface. Houd een toestemmingsservice die de status bezit, die aan de applicatie blootstelt en het bewijs met versieverwijzing opslaat. Dan wordt de banner een vervangbare presentatielaag. Veranderen de regels, dan wissel je de interface en houd je het leidingwerk.
Sla toestemmingsregistraties goed op. Tijdstempel, status per categorie, de identificatie van de bannertekstversie, het gebruikte mechanisme en de bron van de beslissing. Zonder de tekstversie kun je niet bewijzen waar de gebruiker feitelijk mee instemde.
Begin met luisteren naar signalen. Global Privacy Control is in meerdere jurisdicties al juridisch relevant en kost weinig om te honoreren. Het nu lezen maakt van artikel 88b, als het er komt, een configuratiewijziging in plaats van een project.
Controleer je tags echt. Niet in de interface van de tagmanager, maar in de browser, op een echte pagina, in een schoon profiel. Tel de verzoeken vóór toestemming. Het zijn er meestal meer dan het team verwacht.
Doe dit nog niet
Haal granulaire toestemming niet weg in de aanname dat uitzonderingen worden verbreed. Wordt de eindtekst weer smaller, dan moet je het opnieuw bouwen.
Herschrijf je privacyverklaring niet rond conceptartikelnummers.
Verwijder de banner niet voor publieksmeting. De verbrede uitzondering is een voorstel, geen toestemming.
Leg je niet vast op een proces van 96 uur. Blijf op 72 werken.
De bredere ontwerpvraag
Er is een bredere verschuiving die het benoemen waard is. Toezichthouders zijn overgestapt van de vraag of je toestemming hebt naar de vraag hoe je die kreeg. Interfacemechaniek is nu het handhavingsoppervlak. Daarom draaien cookiebannerzaken om knopplaatsing en aantallen klikken in plaats van om de formulering van een beleid.
Die trend loopt door voorbij de Digital Omnibus. De Digital Fairness Act, verwacht als voorstel eind 2026, richt zich rechtstreeks op dark patterns, manipulatieve interfaces, gepersonaliseerde prijzen en verslavend ontwerp. Toepassing ligt realistisch in 2028 of later, maar het zegt welke patronen een houdbaarheidsdatum hebben.
Hangen je groeicijfers af van een verwarrende interface, dan is dat nu een compliancerisico met een datum, geen slimme optimalisatie.
Een noot over analytics
Een groot deel van het bannerprobleem is zelf veroorzaakt. Teams laden een analyticsplatform van derden dat toestemming vereist, verliezen daarna een derde van hun data aan weigeringen, en proberen er vervolgens omheen te ontwerpen.
Zelfgehoste, privacyvriendelijke analytics kan de rekensom veranderen, want meting die op je eigen infrastructuur blijft en geen profielen over sites heen bouwt, heeft een veel sterker argument voor de uitzondering, en zou comfortabel passen binnen de verbrede uitzonderingen die de Omnibus voorstelt. We beschreven één optie in onze gids voor het opzetten van Matomo, en dezelfde logica geldt voor zelfgehoste marketingautomatisering.
Dit is geen compliancetruc. Het is een echte vermindering van wat je moet verantwoorden.
Waar dit in het grotere plaatje staat
Cookietoestemming is één stuk van een veel grotere regelgevende opbouw. De volledige kaart van EU digitale compliance 2026 dekt de rest, en de technische AVG-gids dekt de laag eronder.
Wil je je toestemmingsimplementatie laten toetsen aan wat toezichthouders echt handhaven, of laten herbouwen zodat de volgende regelwijziging een configuratie is in plaats van een herschrijving, mail dan naar office@c9group.dev.
Wij bouwen systemen, we geven geen juridisch advies, en het laatste woord over interpretatie ligt bij je juristen.