Is een cookiebanner in 2026 nog verplicht?

Dat hangt af van wat je site schrijft naar of leest van het apparaat van de bezoeker. De regel die op 1 september 2026 geldt is nog steeds artikel 5(3) van de ePrivacy-richtlijn 2002/58/EG: toestemming is vereist zodra een site het apparaat benadert voor een doel dat niet strikt noodzakelijk is voor de gevraagde dienst. Een site met advertentiepixels valt daaronder. Een site waarvan de bezoekersmeting het apparaat niet raakt, heeft geen analytische cookie om te laten accepteren, maar moet nog steeds al zijn andere tools controleren. Deze pagina geeft gedateerde feiten en vervangt geen juridische analyse.

Nee, en hij is niet aangenomen. De Digital Omnibus is een ontwerpverordening die de Europese Commissie op 19 november 2025 heeft ingediend onder referentie COM(2025) 837. Op 1 september 2026 wordt er nog over onderhandeld en heeft hij geen enkele rechtsgevolg. Artikel 88b, dat browsersignalen voor toestemming bindend zou maken, is zelfs geschrapt uit het Raadsstandpunt van 18 juni 2026: alleen het Europees Parlement zou het kunnen herstellen. Geen enkele geldende tekst schaft vandaag cookiebanners af.

Nog steeds in onderhandeling. De Raad van de Europese Unie heeft geen gekwalificeerde meerderheid gevonden: het Cypriotische voorzitterschap trok zijn compromistekst in voordat het op 1 juli 2026 doorgaf aan het Ierse voorzitterschap. Het Europees Parlement heeft zijn standpunt niet bepaald. In het meest optimistische scenario zou aanname eind 2026 komen en toepassing op zijn vroegst in 2027. Tot dan kan de tekst nog aanzienlijk veranderen, zoals de schrapping van artikel 88b liet zien.

Het is geen wettelijke verplichting, het is een eis van Google. Sinds begin maart 2024 vallen bezoekers uit de Europese Economische Ruimte van wie de toestemmingskeuze niet aan Google wordt doorgegeven buiten de doelgroepen die zijn advertentieproducten gebruiken. Consent Mode v2 voegt twee parameters toe, ad_user_data en ad_personalization, in november 2023 ingevoerd in het kader van de Digital Markets Act, naast analytics_storage en ad_storage. Gebruikt je site geen enkel Google-advertentie- of meetproduct, dan speelt de vraag voor jou niet.

Shopify plaatst zelf cookies die het eigen cookiebeleid onder Reporting en analyse schaart, waaronder _shopify_y met een looptijd van een jaar. Die vallen in de Europese Unie onder toestemming en worden geplaatst welk meetinstrument je er ook bij zet: van analytics wisselen haalt die regel niet weg. Shopify levert een ingebouwde toestemmingsbanner en een Customer Privacy API om de keuze van de bezoeker vast te leggen. Het antwoord is dus ja, en het ligt niet bij jou.

Nee: de Europese Commissie heeft hem ingetrokken. De intrekking staat in het werkprogramma 2025 van de Commissie, COM(2025) 45 final van 11 februari 2025, onder nummer 29 van de bijlage met intrekkingen, met referentie COM(2017) 10 final / 2017/0003 (COD). Als reden staat vermeld dat geen akkoord van de medewetgevers werd verwacht en dat het voorstel achterhaald was, na acht jaar blokkade. De ePrivacy-richtlijn 2002/58/EG en de nationale omzettingen blijven wel van kracht: die tekst uit 2002 geldt nog altijd.

Als je site alleen Snorklee laadt, is er geen analytische cookie om te laten accepteren: om een bezoek te tellen schrijft of leest Snorklee niets op het apparaat, geen cookie, geen localStorage, geen sessionStorage. De enige mogelijke schrijfactie is een bezwaarvlag, snorklee_optout, die de bezoeker zelf aanzet. Maar Snorklee neemt één reden voor een banner weg, niet alle: elk ander instrument op je pagina houdt zijn eigen verplichtingen. Het antwoord hangt dus af van de hele pagina, nooit van het meetinstrument alleen.

Ja. In twee besluiten van 1 september 2025 legde de Franse toezichthouder CNIL 325 miljoen euro op aan Google LLC en Google Ireland Limited, en 150 miljoen euro aan Infinite Styles Services Co. Limited, de Ierse dochter van Shein. Bij Google was het bij het aanmaken van een account moeilijker om advertentietrackers te weigeren dan te accepteren, en nergens stond dat toegang tot de diensten van die plaatsing afhing. Bij Shein werden advertentietrackers vóór elke toestemming geplaatst en had weigeren geen effect.

Nee: die deadline is Indiaas, niet Europees. Hij komt uit de Indiase wet op de bescherming van digitale persoonsgegevens, de DPDP Act, en de uitvoeringsregels daarvan: een entiteit die als Consent Manager wil optreden moet zich vóór 13 november 2026 registreren bij het Data Protection Board of India. Geen enkele tekst van de Europese Unie creëert een officieel register van Consent Managers, niet de AVG, niet de ePrivacy-richtlijn, niet het Digital Omnibus-voorstel. De twee door elkaar halen betekent een Europese site voorbereiden op een verplichting die niet voor hem geldt.