Snelle Antwoord: De ePrivacy Richtlijn en de GDPR zijn twee verschillende maar overlappende EU-wetten die gezamenlijk cookie-toestemming en online privacy regelen. De ePrivacy Richtlijn stelt de specifieke regels vast voor het plaatsen van cookies op de apparaten van gebruikers, terwijl de GDPR de normen voor geldige toestemming definieert. De meeste websites die in de EU opereren, moeten aan beide voldoen, en vanaf 2026 is er een grote wetgevende herziening aan de gang die de cookie-regels mogelijk rechtstreeks in de GDPR kan consolideren.
Belangrijkste Punten
- De ePrivacy Richtlijn (2002, bijgewerkt in 2009) is de primaire wet die toestemming vereist voordat niet-essentiële cookies worden geplaatst; de GDPR (2018) definieert wat "geldige toestemming" daadwerkelijk betekent.
- Beide wetten zijn gelijktijdig van toepassing op de meeste EU-gerichte websites, de één vervangt de ander niet.
- De voorgestelde ePrivacy Verordening werd in februari 2025 formeel ingetrokken door de Europese Commissie.
- Het Digital Omnibus Package, onthuld in november 2025, stelt voor om de regels voor cookie-toestemming te integreren in de GDPR via nieuwe Artikelen 88a en 88b.
- Essentiële (strikt noodzakelijke) cookies zijn vrijgesteld van de vereisten voor toestemming onder de ePrivacy Richtlijn.
- De ePrivacy Richtlijn is in verschillende EU-lidstaten anders omgezet, wat zorgt voor variatie in naleving per land.
- Een studie uit 2026 toonde aan dat slechts 30,66% van de websites een "alles afwijzen" knop had, wat wijst op wijdverspreide niet-naleving [7].
- Cookie-toestemmingsbanners kunnen voldoen aan beide wetten, maar alleen als ze voldoen aan de voorwaarden van de GDPR voor vrijgegeven, specifieke, geïnformeerde en ondubbelzinnige toestemming.
- Consent Management Platforms (CMP's) moeten zich aanpassen aan de toestemming signalen op browser-niveau onder de voorgestelde wijzigingen in de GDPR [3].
Wat Is het Verschil Tussen de ePrivacy Richtlijn en GDPR
De ePrivacy Richtlijn en de GDPR vervullen verschillende maar complementaire functies. De ePrivacy Richtlijn (Richtlijn 2002/58/EG, gewijzigd door 2009/136/EG) is een sectorspecifieke wet die de privacy van elektronische communicatie regelt, inclusief het gebruik van cookies en vergelijkbare trackingtechnologieën. De GDPR is een algemene verordening inzake gegevensbescherming die het juridische kader vaststelt voor de verwerking van persoonsgegevens in alle sectoren, inclusief de definitie en vereisten voor geldige toestemming.
Het belangrijkste onderscheid:
| Kenmerk | ePrivacy Richtlijn | GDPR |
|---|---|---|
| Juridische vorm | EU Richtlijn (vereist nationale omzetting) | EU Verordening (direct toepasbaar) |
| Primaire focus | Cookies, tracking, elektronische communicatie | Alle verwerking van persoonsgegevens |
| Toestemming standaard | Vereist toestemming voor niet-essentiële cookies | Definieert wat geldige toestemming betekent |
| Handhaving instantie | Nationale telecom/DPA toezichthouders | Nationale Gegevensbeschermingsautoriteiten |
| Status (2026) | Nog steeds van kracht; hervorming in afwachting | Van kracht; voorgestelde wijzigingen in behandeling |
Omdat de ePrivacy Richtlijn een Richtlijn is en geen Verordening, heeft elke EU-lidstaat deze op verschillende manieren in nationale wetgeving omgezet, wat variatie in handhaving en specifieke vereisten per land oplevert [6].
Moet U Voldoen Aan Zowel de ePrivacy Richtlijn als de GDPR, of Slechts Eén
Beide wetten zijn gelijktijdig van toepassing, en naleving van de één voldoet niet aan de andere. De ePrivacy Richtlijn vertelt u wanneer u toestemming nodig heeft (voordat niet-essentiële cookies worden geplaatst); de GDPR vertelt u hoe die toestemming eruit moet zien (vrijgegeven, specifiek, geïnformeerd, ondubbelzinnig en op elk moment intrekbaar) [5].
Denk er zo over: de ePrivacy Richtlijn is de trigger, en de GDPR is de standaard. Een cookie-banner die technisch gezien verschijnt voordat cookies worden geladen, maar gebruik maakt van vooraf aangevinkte vakjes, zou de vereisten voor toestemming van de GDPR schenden, zelfs als deze nominale voldoet aan de meldingsplicht van de ePrivacy Richtlijn.
Veelgemaakte fout: Aannemen dat een cookie-melding (die gebruikers informeert dat er cookies bestaan) voldoende is. Onder beide kaders is passieve melding geen toestemming voor niet-essentiële cookies.
Hoe Past de ePrivacy Richtlijn Toe op Cookies op Uw Website
De ePrivacy Richtlijn vereist dat website-exploitanten voorafgaande, geïnformeerde toestemming verkrijgen voordat ze informatie op het apparaat van een gebruiker opslaan of openen; dit omvat cookies, pixels, lokale opslag en vergelijkbare technologieën [6]. Deze verplichting geldt ongeacht of de verzamelde gegevens als persoonsgegevens onder de GDPR kwalificeren.
Praktisch betekent dit:
- Geen niet-essentiële cookies mogen worden geactiveerd voordat een gebruiker een bevestigende actie onderneemt om toestemming te geven.
- Het toestemmingsmechanisme moet duidelijk zijn en mag niet worden gebundeld met de acceptatie van de gebruiksvoorwaarden.
- Gebruikers moeten hun toestemming net zo gemakkelijk kunnen intrekken als ze deze hebben gegeven.
De Richtlijn is van toepassing op elke dienst die gericht is op EU-gebruikers, ongeacht waar de website-exploitant is gevestigd.
Welke Cookies Vereisen Toestemming Onder de ePrivacy Richtlijn vs. GDPR
Onder de ePrivacy Richtlijn is toestemming vereist voor alle cookies, behalve voor die welke "strikt noodzakelijk" zijn voor een dienst die expliciet door de gebruiker is aangevraagd. Onder de GDPR vereist elke verwerking van persoonsgegevens een wettelijke basis, en voor trackingcookies is die basis bijna altijd toestemming.
Cookiecategorieën en vereisten voor toestemming:
- Strikt noodzakelijke cookies (sessiebeheer, inlogstatus, winkelwagentje): Geen toestemming vereist onder de ePrivacy Richtlijn. De legitieme belangen of contractuele uitvoering basis van de GDPR kan van toepassing zijn.
- Analytische cookies (bijv. paginaweergave tracking die gebruikers identificeert): Toestemming vereist onder beide kaders.
- Marketing- en advertentiecookies (gedragsgerichte targeting, retargeting): Toestemming vereist onder beide kaders, dit is de hoogste risicocategorie voor handhaving.
- Functionele cookies (taalvoorkeuren, UI-instellingen): Besproken; als ze persoonsgegevens verwerken, is toestemming de veiligste aanpak.
Wordt de ePrivacy Richtlijn Vervangen, en Wat Is de ePrivacy Verordening
De ePrivacy Richtlijn wordt niet vervangen door de GDPR. Er was echter een voorgestelde ePrivacy Verordening bedoeld om de Richtlijn te vervangen door een direct toepasbare EU-wet. Dit voorstel werd in februari 2025 formeel ingetrokken door de Europese Commissie, met als reden een gebrek aan voorzienbare overeenstemming onder de lidstaten en de verouderde aard van het voorstel gezien de recente technologische veranderingen [2].
De ePrivacy Richtlijn vs. de voorgestelde ePrivacy Verordening: De Verordening zou direct bindend zijn geweest voor alle lidstaten (waardoor nationale omzettingsverschillen zouden verdwijnen), maar het heeft nooit de adoptie bereikt.
In plaats daarvan introduceerde de Europese Commissie het Digital Omnibus Package op 19 november 2025. Dit pakket stelt voor om de regels voor cookie-toestemming rechtstreeks in de GDPR te integreren via nieuwe Artikelen 88a en 88b [2][3]. Artikel 88a zou scenario's definiëren waarin toestemming niet vereist is (zoals voor de overdracht van elektronische communicatie of diensten die expliciet door de gebruiker zijn aangevraagd). Artikel 88b zou vereisten introduceren voor geautomatiseerde, machine-leesbare toestemmingsmechanismen, inclusief toestemming signalen op browser-niveau [3].
Vanaf juli 2026 is het Digital Omnibus Package nog steeds in wetgevende processen, met de definitieve tekst die naar verwachting eind 2026 of begin 2027 zal verschijnen [4].
Hebben Essentiële Cookies Toestemming Nodig Onder de ePrivacy Richtlijn
Nee. Strikt noodzakelijke cookies zijn expliciet vrijgesteld van de vereiste toestemming onder de ePrivacy Richtlijn. Dit zijn cookies zonder welke de dienst die de gebruiker actief heeft aangevraagd niet kan functioneren, bijvoorbeeld sessie-identificatoren, authenticatietokens en winkelwagentje-cookies [6].
Randgeval: "Noodzakelijk" wordt nauw geïnterpreteerd. Een cookie die de prestaties verbetert of analytics mogelijk maakt, is niet strikt noodzakelijk, zelfs niet als de exploitant het operationeel belangrijk vindt. Bij twijfel, kies ervoor om toestemming te vereisen.
Hoe Geldige Cookie-Toestemming Te Verkrijgen Die Aan Beide Regels Voldoet
Geldige toestemming onder de GDPR (en dus onder de ePrivacy Richtlijn, die verwijst naar de toestemmingsnormen van de GDPR) moet zijn:
- Vrijgegeven, Geen toestemmingsmuren of gedwongen bundeling met acceptatie van voorwaarden.
- Specifiek, Gescheiden toestemming voor elke categorie cookies (analytics, marketing, enz.).
- Geïnformeerd, Gebruikers moeten weten wat cookies doen en wie de gegevens verwerkt.
- Ondubbelzinnig, Een bevestigende actie is vereist; vooraf aangevinkte vakjes zijn ongeldig.
- Intrekbaar, Het intrekken van toestemming moet net zo gemakkelijk zijn als het geven ervan [5].
Een goed geconfigureerd Consent Management Platform (CMP) beheert deze workflow. Biscotti CMP is ontworpen om aan deze vereisten te voldoen, inclusief gedetailleerde toestemmingscategorieën en het loggen van toestemming voor auditdoeleinden. Met het Digital Omnibus Package dat browser-niveau toestemmingssignalen onder Artikel 88b voorstelt, moeten CMP's ook signalen van browserinstellingen verwerken en respecteren, een aanzienlijke operationele verschuiving voor de industrie [3].
Kunnen Cookie Banners Voldoen Aan Zowel ePrivacy- als GDPR-vereisten
Ja, maar alleen als de banner correct is ontworpen. Een cookie-banner die voldoet aan de toestemmingsnormen van de GDPR zal ook voldoen aan de vereiste toestemming van de ePrivacy Richtlijn, omdat de Richtlijn verwijst naar de definitie van toestemming van de GDPR voor EU-lidstaten [5][6].
Een conforme banner moet:
- Een duidelijke "Accepteren" en "Afwijzen" (of gelijkwaardig) optie presenteren met gelijke visuele prominentie.
- Geen donkere patronen gebruiken (bijv. het moeilijker maken om "Afwijzen" te vinden dan "Accepteren").
- Niet-essentiële cookies blokkeren totdat toestemming is gegeven.
- Toestemming registreren en opslaan met een tijdstempel en versie referentie.
- Gebruikers in staat stellen hun voorkeuren op elk moment te wijzigen.
Een studie uit 2026 toonde aan dat slechts 30,66% van de websites een "alles afwijzen" knop had, wat betekent dat de meerderheid van de ondervraagde sites waarschijnlijk niet voldoet aan de nalevingsverwachtingen [7].
Zijn Er Landen Waar de ePrivacy Richtlijn Niet Van Toepassing Is
De ePrivacy Richtlijn is van toepassing in alle EU-lidstaten. Omdat het echter een Richtlijn is (geen Verordening), heeft elk land deze op verschillende manieren in nationale wetgeving omgezet, met enige variatie in reikwijdte, handhavingsprioriteiten en sancties [6]. Landen buiten de EU, waaronder het VK na de Brexit, hebben hun eigen equivalente wetten (de Privacy and Electronic Communications Regulations, of PECR).
Kies uw nalevingsbasis op basis van waar uw gebruikers zich bevinden, niet alleen waar uw bedrijf is geregistreerd. Een in de VS gevestigd bedrijf met aanzienlijke EU-verkeer moet voldoen aan zowel de ePrivacy Richtlijn (zoals omgezet in relevante lidstaten) als de GDPR.
Wat Gebeurt Er Als U Niet Voldoet Aan de Regels van de ePrivacy Richtlijn
Niet-naleving van de ePrivacy Richtlijn (zoals omgezet in nationale wetgeving) kan leiden tot boetes en handhavingsacties van nationale toezichthouders. De sancties variëren per lidstaat, maar kunnen aanzienlijk zijn, en GDPR-overtredingen die worden veroorzaakt door ongeldige toestemming (bijvoorbeeld het verwerken van persoonsgegevens via trackingcookies zonder een geldige juridische basis) kunnen boetes van maximaal 4% van de wereldwijde jaarlijkse omzet of 20 miljoen euro met zich meebrengen, afhankelijk van wat hoger is [5].
Nationale Gegevensbeschermingsautoriteiten (DPA's) blijven actief organisaties onderzoeken en boetes opleggen voor falen in cookie-toestemming [1]. Handhavingsacties hebben zowel grote platforms als kleine exploitanten gericht.
Veelvoorkomende nalevingsfouten:
- Analytics of advertentiecookies activeren bij het laden van de pagina voordat toestemming is geregistreerd.
- Toestemmingsbanners gebruiken die cookies niet blokkeren totdat er interactie is.
- Niet tijdig voldoen aan het intrekken van toestemming.
- Toestemmingsrecords niet bijwerken wanneer cookie-beleid verandert.
- Cookie-meldingen beschouwen als gelijkwaardig aan toestemmingsmechanismen.
Hoe Lang Mogen Cookies Worden Opgeslagen Onder de Regels van de ePrivacy Richtlijn
De ePrivacy Richtlijn specificeert niet direct een maximale opslagduur voor cookies. De principes van gegevensminimalisatie en opslagbeperking van de GDPR zijn echter van toepassing waar cookies persoonsgegevens verwerken. Toestemming moet tijdsgebonden zijn, en toezichthouders verwachten over het algemeen dat organisaties periodiek opnieuw toestemming vragen, vaak wordt 12 maanden als een redelijke termijn genoemd, hoewel dit geen harde wettelijke limiet is [6].
Praktische richtlijn: Stel de vervalperiodes voor cookies vast in verhouding tot hun doel. Een sessiecookie moet vervallen wanneer de browser sluit. Een analytics cookie hoeft geen tweejarige levensduur te hebben als zes maanden hetzelfde doel dient.
Wat Zijn Veelvoorkomende Fouten Die Bedrijven Maken Met ePrivacy Naleving
Naast de hierboven genoemde problemen verschijnen er verschillende patronen consistent in handhavingszaken en audits:
- Impliciete toestemming: Aannemen dat doorblijven browsen toestemming betekent. Dit is expliciet verworpen door EU-rechters en DPA's.
- Gebundelde toestemming: Cookie-toestemming combineren met acceptatie van het privacybeleid in één klik.
- Inconsistente geo-targeting: Strengere toestemmingsregels alleen toepassen voor gebruikers uit bepaalde landen terwijl trackingcookies aan anderen worden aangeboden, een risico gezien het feit dat handhaving de locatie van de gebruiker kan volgen.
- Nationale variaties negeren: Aannemen dat één enkele bannerconfiguratie voldoet aan alle EU-lidstaten, terwijl sommige landen feitelijk strengere nationale vereisten hebben [6].
- Geen toestemmingsauditspoor: Niet registreren wat gebruikers hebben toegestaan, wanneer, en onder welke versie van de privacyverklaring [1].
Conclusie
De relatie tussen De ePrivacy Richtlijn vs. GDPR: Navigeren door de EU's Cookie Regels is geen kwestie van het kiezen van het ene kader boven het andere; beide zijn van toepassing en moeten beide worden nageleefd. De ePrivacy Richtlijn definieert wanneer toestemming nodig is voor cookies; de GDPR definieert hoe geldige toestemming eruit ziet. Samen vormen ze de juridische basis voor cookie-naleving in de EU.
Het regelgevende landschap verandert. Het voorstel voor de ePrivacy Verordening werd begin 2025 ingetrokken, en het Digital Omnibus Package stelt nu voor om de cookie-regels rechtstreeks in de GDPR op te nemen via Artikelen 88a en 88b. De definitieve tekst wordt eind 2026 of begin 2027 verwacht, maar de huidige verplichtingen blijven ondertussen volledig van kracht.
Actiepunten voor 2026:
- Controleer het cookie-gedrag van uw website om te bevestigen dat er geen niet-essentiële cookies worden geactiveerd voordat toestemming is vastgelegd.
- Beoordeel uw toestemmingsbanner op donkere patronen en zorg ervoor dat "afwijzen" net zo prominent is als "accepteren".
- Implementeer een CMP zoals Biscotti CMP die toestemmingsrecords logt en gedetailleerd categoriebeheer ondersteunt.
- Volg de voortgang van het Digital Omnibus Package en beoordeel of uw CMP-leverancier zich voorbereidt op ondersteuning van toestemmingssignalen op browser-niveau.
- Controleer de nationale omzetting van de ePrivacy Richtlijn in elke EU-lidstaat waar u aanzienlijke gebruikersverkeer heeft.
FAQ
V: Vervangt de GDPR de ePrivacy Richtlijn voor cookies?
Nee. De GDPR en de ePrivacy Richtlijn bestaan naast elkaar. De ePrivacy Richtlijn blijft de primaire wet die toestemming voor cookies vereist; de GDPR regelt wat geldige toestemming betekent en hoe persoonsgegevens die via cookies worden verwerkt, moeten worden behandeld.
V: Wat is de ePrivacy Verordening, en komt deze nog steeds?
De ePrivacy Verordening was een voorgestelde EU-wet die bedoeld was om de ePrivacy Richtlijn te vervangen door een direct toepasbare verordening. Het werd formeel ingetrokken door de Europese Commissie in februari 2025 en zal niet verder gaan in zijn huidige vorm.
V: Wat is het Digital Omnibus Package?
Het Digital Omnibus Package, onthuld in november 2025, is een EU-wetgevingsvoorstel dat de digitale regelgeving zou vereenvoudigen door de regels voor cookie-toestemming te integreren in de GDPR via nieuwe Artikelen 88a en 88b. Vanaf juli 2026 is het nog steeds onder wetgevend toezicht.
V: Zijn analytics cookies vrijgesteld van toestemmingseisen?
Nee. Analytics cookies die individuele gebruikers of apparaten identificeren, zijn niet-essentieel en vereisen voorafgaande toestemming onder de ePrivacy Richtlijn, ongeacht of ze voor commerciële doeleinden worden gebruikt.
V: Kan een cookie muur (toegang blokkeren tenzij gebruikers cookies accepteren) geldige toestemming vormen?
Over het algemeen nee. EU-regulators en rechtbanken hebben vastgesteld dat toestemming verkregen via cookie muren niet vrijgegeven is onder de GDPR, omdat gebruikers geen echte keuze hebben. Sommige nationale DPA's staan cookie muren in beperkte omstandigheden toe als een betaalde alternatieve optie wordt aangeboden, maar dit blijft betwist.
V: Hoe vaak moeten gebruikers opnieuw om toestemming voor cookies worden gevraagd?
Er is geen vaste wettelijke periode, maar toezichthouders verwachten over het algemeen dat toestemming wordt vernieuwd wanneer de doeleinden of de lijst met cookies materieel veranderen, of na een redelijke periode (vaak wordt 12 maanden in de praktijk genoemd). Toestemming verkregen onder een eerdere versie van een privacyverklaring dekt mogelijk geen nieuwe verwerkingsactiviteiten.
V: Wat is een strikt noodzakelijke cookie?
Een strikt noodzakelijke cookie is er één zonder welke een dienst die expliciet door de gebruiker is aangevraagd, niet kan functioneren, bijvoorbeeld een inlogsessietoken of een identificator voor een winkelwagentje. Deze zijn vrijgesteld van de vereiste toestemming onder de ePrivacy Richtlijn.
V: Is de ePrivacy Richtlijn van toepassing op niet-EU bedrijven?
Ja, als die bedrijven gebruikers in de EU targeten of bedienen. De territoriale reikwijdte volgt de locatie van de gebruiker, niet het geregistreerde adres van de exploitant.
V: Waar moet ik op letten bij een Consent Management Platform?
Een conforme CMP moet niet-essentiële cookies blokkeren voordat toestemming is gegeven, gedetailleerde toestemmingscategorieën ondersteunen, toestemming loggen met tijdstempels, gemakkelijke intrekking mogelijk maken, en voorbereid zijn om toestemmingssignalen op browser-niveau te ondersteunen zoals vereist onder de voorgestelde wijzigingen in de GDPR.
V: Kan ik één enkele cookie-banner voor de hele EU gebruiken?
Een enkele banner kan als basis werken, maar omdat de ePrivacy Richtlijn op verschillende manieren in nationale wetgeving is omgezet, kunnen sommige landen strengere vereisten hebben. Juridische beoordeling tegen de nationale wetgeving van elke doelmarkt is raadzaam voor sites met veel verkeer.
Referenties
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai