Op deze pagina
Onder de Britse cookiewet heb je niet langer voor elke statistiekcookie toestemming nodig: sinds 5 februari 2026 mogen cookies die alleen dienen om het gebruik van je eigen site te tellen en te verbeteren zonder toestemming draaien, zolang je ze duidelijk uitlegt en bezoekers een gratis en eenvoudige manier geeft om bezwaar te maken. Advertentiecookies, trackingpixels en alles wat een persoon over sites heen volgt, vragen nog altijd toestemming voor ze laden.
De regel staat in regulation 6 van de Privacy and Electronic Communications Regulations 2003 (PECR), die de Data (Use and Access) Act 2025 wijzigde. De wet kreeg op 19 juni 2025 de koninklijke goedkeuring; de wijzigingen over cookies en de nieuwe boetes gingen op 5 februari 2026 in. De Britse privacytoezichthouder, het Information Commissioner's Office (ICO), maakte op 29 april 2026 na twee consultaties zijn richtlijnen definitief over wat het nu opslag- en toegangstechnologieën noemt.
Voor een Vlaamse site met Britse bezoekers, of een webshop die naar het VK levert, is dit de gids. Hij overloopt wat veranderde, de vijf voorwaarden voor een statistiekcookie, welke tags achter een cookiebanner blijven, wat de ICO nu kan beboeten, en waarom een site die ook bezoekers in de EU bedient, niet zomaar het Britse minimum kan nemen. De Europese kant van de vraag beantwoorden we in is een cookiebanner verplicht.
Wat veranderde op 5 februari 2026
PECR kende vroeger twee uitzonderingen op toestemming: opslag die nodig is om een communicatie te versturen, en opslag die strikt nodig is voor een dienst die de gebruiker vroeg. Al de rest, ook een gewone bezoekersteller, vroeg toestemming. De gewijzigde regulation 6 voegt drie nieuwe uitzonderingen toe en trekt de boetes op tot het niveau van de UK GDPR.
| Onderwerp | Tot 4 februari 2026 | Sinds 5 februari 2026 |
|---|---|---|
| Statistieken voor je eigen site | toestemming verplicht | vrijgesteld als ze alleen dienen om je dienst te verbeteren, met duidelijke informatie en een gratis opt-out |
| De gekozen taal, het thema of de lay-out van een bezoeker onthouden | toestemming, tenzij strikt noodzakelijk | vrijgesteld onder de uitzondering voor de weergave, met informatie en een gratis opt-out |
| Een toestel lokaliseren om noodhulp te sturen | toestemming | vrijgesteld onder de uitzondering voor noodhulp |
| Winkelmand, aanmelden, beveiliging, de cookiekeuze zelf | vrijgesteld | vrijgesteld, onveranderd |
| Advertenties, advertentiemeting, tracking over sites heen | toestemming | toestemming, onveranderd |
| Hoogste boete onder PECR | 500.000 pond | 17,5 miljoen pond of 4 procent van de wereldwijde jaaromzet, het hoogste van de twee |
De boetes gelden voor inbreuken vanaf 5 februari 2026; ze werken niet terug. De ICO zei dat het nieuwe richtlijnen over de handhaving van PECR publiceert, en tot dan geldt zijn bestaande Regulatory Action Policy.
In de taal van de ICO is een cookie nu een van vele opslag- en toegangstechnologieën. De richtlijnen noemen trackingpixels, linkdecoratie, lokale opslag, fingerprinting van toestellen, en scripts en tags, en zeggen dat de lijst alleen een illustratie is. Een Meta-pixel die geen cookie plaatst, valt er ook onder, net als een script dat de vingerafdruk van een toestel leest.
Drie banen voor elke cookie, tag en pixel op een Britse site
Niets laadt tot de bezoeker ja zegt, en nee zeggen is even makkelijk als ja.
- Advertentie- en remarketingpixelsMeta-pixel, Google Ads-tags, LinkedIn Insight
- Advertentiemeting en frequentiebeperkingdoor de ICO genoemd als niet vrijgesteld
- Tracking over sites of toestellen heenbezoekers-ID's gekoppeld aan conversies of profielen
- Sessieopnames van personentenzij alleen voor beveiliging
- Sociale plug-ins voor bezoekers die niet aangemeld zijn
Melding en een gratis opt-out
Geen toestemming nodig sinds februari 2026, als je het doel uitlegt en een eenvoudige weg biedt om bezwaar te maken.
- Statistieken voor je eigen diensttotalen, scrolldiepte, verwijzers, laadsnelheid, A/B-tests
- Een aanbieder die als je verwerker optreedtalleen om je site te verbeteren, niet voor zijn eigen advertenties
- Weergave en voorkeurengekozen taal, donkere modus, schermgrootte, een lettertypebibliotheek
Geen toestemming, geen opt-out
Vrijgesteld zoals voorheen: de site werkt voor deze bezoeker niet zonder.
- Winkelmand, aanmelden en kassasessie
- Beveiliging en fraudepreventie
- De cookiekeuze van de bezoeker onthouden
- Load balancing van een paginaverzoekde uitzondering voor communicatie
Een uitzondering geldt alleen als de cookie dat ene doel dient; gebruik je de gegevens voor iets anders, dan geldt opnieuw toestemming.
Statistieken zonder toestemming: de vijf voorwaarden
De uitzondering voor statistische doeleinden is de wijziging waar de meeste Britse sites om geven. Ze geldt alleen als alle vijf voorwaarden vervuld zijn:
- Een doel. De cookie of het script bestaat alleen om statistieken te verzamelen over hoe je dienst gebruikt wordt, om ze te verbeteren. Een tag die ook advertenties, conversiemeting of profilering voedt, valt buiten de uitzondering, wat hij verder ook doet.
- Je eigen dienst. Jij bent de aanbieder van de website of app die gemeten wordt. De voorbeelden van de ICO van wat past: bezoeken per pagina, scrolldiepte en kliks, soorten toestellen en browsers, verwijzende sites, A/B-tests, ruwe locatie per stad of regio, laadsnelheid en bouncepercentages.
- Duidelijke en volledige informatie. Bezoekers horen wat gemeten wordt en waarom, op een plek die ze echt zien, niet alleen in een beleid drie links diep.
- Een eenvoudige, gratis manier om bezwaar te maken. Een schakelaar in je cookie-instellingen of een link in de footer die de meting uitzet. Mensen naar hun browserinstellingen verwijzen volstaat niet, zegt de ICO.
- Geen delen buiten het verbeteren van de dienst. De gegevens mogen alleen naar een statistiekenaanbieder om je te helpen je site te verbeteren. Die aanbieder moet als je verwerker optreden, de gegevens niet voor eigen doelen gebruiken en ze niet aan andere informatie koppelen.
Wat erbuiten blijft, in de eigen voorbeelden van de ICO: logs of sessieopnames per bezoeker (tenzij alleen voor beveiliging), meten of iemand een advertentie zag, bezoekers-ID's gekoppeld aan conversies, en profilering op IP-adres of gedrag. Een opnametool die de sessie van een bezoeker afspeelt, vraagt toestemming, ook als je hem alleen gebruikt om je kassa te verbeteren.
Voor een site die alleen wil weten welke pagina's werken, is meting die geen cookie plaatst en geen identificatie bewaart de properste weg. De ICO verwacht nog altijd dat je ze beschrijft en mensen bezwaar laat maken, maar je vermijdt de vraag of een tool van een derde in aanmerking komt.
De uitzondering voor de weergave en lettertypes
De tweede nieuwe uitzondering dekt opslag die aanpast hoe de site eruitziet of werkt aan de eigen voorkeur van de bezoeker: de taal die hij koos, de donkere modus, een lay-out die zich aan de schermgrootte aanpast. Ze dekt niet het afstemmen van inhoud of advertenties op interesses die een site afleidde. Dezelfde twee plichten gelden als voor statistieken: mensen informeren en hen kosteloos bezwaar laten maken.
De ICO noemt een lettertypebibliotheek onder deze uitzondering, en zelf hosten als optie. Een weblettertype dat van de server van een derde laadt, stuurt die server bij elke paginaweergave het IP-adres van de bezoeker. De lettertypebestanden op je eigen domein hosten, haalt die aanvraag weg, en daarmee ook de plicht om de rol van een derde uit te leggen. In Duitsland ging dezelfde vraag naar de rechter; zie zijn Google Fonts GDPR-conform.
Welke tags nog eerst toestemming vragen
Geen van de nieuwe uitzonderingen raakt advertenties. De ICO zegt uitdrukkelijk dat elk advertentiedoel, ook advertentiemeting en frequentiebeperking, buiten de uitzondering voor statistieken valt. In de praktijk blijven deze in het VK achter een banner:
- de Meta-pixel en de Conversions API van Meta als die vanuit de browser opgezet is;
- conversietags en remarketinglijsten van Google Ads, en Floodlight;
- de LinkedIn Insight Tag, de TikTok-pixel en gelijkaardige platformtags;
- ingebedde spelers van YouTube of Vimeo die cookies plaatsen voor een klik, tenzij je hun privacyvriendelijke modus gebruikt en die echt niets plaatst;
- chatwidgets en sessierecorders die een bezoeker over bezoeken heen herkennen;
- elke identificatie die een bezoek voor een advertentieplatform aan een latere verkoop koppelt.
Voor die tags blijft de oude norm: niets laadt voor de bezoeker kiest, weigeren is even makkelijk als aanvaarden, en toestemming is specifiek, geïnformeerd en even makkelijk in te trekken als te geven. De UK GDPR legt die norm vast, en onze gids over UK GDPR vs EU GDPR behandelt waar de twee stelsels nu uit elkaar gaan.
Draai je Google Ads, dan moet je banner de keuze van de bezoeker ook via Consent Mode aan de tags van Google doorgeven. Wat daar in juni 2026 veranderde, staat in Consent Mode en Google Analytics; hoe de pixel een campagne voedt, bij Facebook- en Instagram-advertenties.
Hoe de ICO handhaaft
De ICO testte de meest bezochte sites van het VK. In januari 2025 bekeek het de top 200, uitte het bezorgdheden bij 134 ervan en kondigde het aan de top 1.000 te bekijken. In december 2025 meldde het dat 979 van de top 1.000 nu zijn tests over advertentiecookies doorstonden: 415 meteen, 564 nadat ze hun praktijk aanpasten na brieven en onderzoeken, en er werden 17 voorlopige handhavingsberichten uitgevaardigd. Het zei de top 1.000 geregeld opnieuw te testen.
De tests die het gebruikte, zijn de tests om op je eigen site te doen:
- er wordt geen niet-essentiële cookie geplaatst voor de bezoeker koos;
- weigeren is even makkelijk als aanvaarden, op de eerste laag van de banner;
- na een weigering verschijnt er toch geen niet-essentiële cookie;
- toestemming kan even makkelijk ingetrokken worden als gegeven.
De ICO zegt dat formele stappen voorbehouden zijn aan organisaties die weigeren zich in orde te stellen, en dat boetes voor de zwaarste inbreuken zijn. Met een plafond dat nu gelijk is aan de UK GDPR, is de kost om een van die gevallen te zijn wel veranderd.
Een site voor het VK en de EU tegelijk
Een Vlaamse site met Britse bezoekers heeft per definitie ook Europese bezoekers. Het Europese recht veranderde op 5 februari 2026 niet. Artikel 5, lid 3 van de ePrivacyrichtlijn vraagt nog altijd toestemming voor alles wat niet strikt noodzakelijk is, en de meeste Europese toezichthouders, ook de Belgische, rekenen statistieken niet tot strikt noodzakelijk. Frankrijk is de uitzondering die de regel bevestigt: de CNIL stelt bezoekersmeting alleen vrij onder eigen strenge voorwaarden, die we behandelen in de cookieregels van de CNIL.
| Wat je site doet | Bezoeker in het VK | Bezoeker in België, Duitsland of Nederland | Bezoeker in Frankrijk |
|---|---|---|---|
| Eigen statistieken om de site te verbeteren | geen toestemming, met informatie en een gratis opt-out | toestemming verplicht | alleen vrijgesteld als de tool aan de voorwaarden van de CNIL voldoet |
| Taal of donkere modus onthouden | geen toestemming, met informatie en opt-out | strikt noodzakelijk als de bezoeker het koos | strikt noodzakelijk als de bezoeker het koos |
| Advertentiepixel of remarketingtag | toestemming voor het laden | toestemming voor het laden | toestemming voor het laden |
| Sessieopnames | toestemming | toestemming | toestemming |
| Winkelmand, aanmelden, beveiliging | geen toestemming | geen toestemming | geen toestemming |
Er zijn twee manieren om dit aan te pakken. Een banner volgens de strengste regel voor iedereen is het eenvoudigst en het veiligst: het kost je wat Britse statistiekgegevens, verder niets. Of de site herkent het land van de bezoeker en toont een lichtere Britse melding met een opt-out, en de volledige banner voor de EU. Het tweede houdt meer gegevens over, maar moet gebouwd en getest worden, want een fout in de herkenning betekent dat een Europese bezoeker de Britse behandeling krijgt. De EU herziet ook haar eigen regels: de digital omnibus over cookies kan de EU dichter bij het Britse model brengen, maar in het Europese recht is nog niets veranderd.
Je eigen site nakijken in twintig minuten
Open je site in een privévenster, met de ontwikkelaarstools van je browser op het tabblad Toepassing of Opslag, en klik niet op de banner.
| Wat je bekijkt | Wat je wilt zien | Als je iets anders ziet |
|---|---|---|
| Cookies en lokale opslag voor een klik | alleen je eigen sessie-, winkelmand- of bannercookie | een advertentie- of statistiekcookie die te vroeg laadde: zet de volgorde van de tags recht |
| Het tabblad Netwerk voor een klik | geen aanvraag naar advertentieplatformen | een pixel die afgaat voor de toestemming: zet hem achter de banner |
| De eerste laag van de banner | een weigerknop even zichtbaar als aanvaarden | weigeren verstopt onder instellingen: zet het op de eerste laag |
| Na een klik op weigeren, herladen | dezelfde cookies als voor de klik | toch niet-essentiële cookies: je tagmanager negeert de keuze |
| Je cookie- of privacyverklaring | elke statistiek- en voorkeurtool genoemd, met doel en opt-out | een algemene lijst: beschrijf wat elke tool doet |
| De instellingen van je statistieken | geen advertentiefuncties, geen delen voor eigen gebruik van de leverancier | functies aan: zet ze uit of houd statistieken achter toestemming |
Verwerk je via de site ook persoonsgegevens, via een contactformulier of een webshop, dan heb je ook een privacyverklaring nodig; zie is een privacyverklaring verplicht. Onze eigen aanpak staat in ons cookiebeleid. Welke cookies je site vandaag plaatst, toont onze cookie scanner.
Vragen van site-eigenaars over Britse cookies
Heb ik in het VK nog een cookiebanner nodig?
Ja, als je site een advertentiepixel, remarketingtag, sessierecorder of andere tracker laadt die niet onder een uitzondering valt. Een site die alleen strikt noodzakelijke cookies en eigen statistieken gebruikt die aan de vijf voorwaarden voldoen, kan de banner vervangen door een duidelijke melding en een opt-out, voor Britse bezoekers.
Valt Google Analytics 4 onder de uitzondering voor statistieken?
Alleen als Google de gegevens uitsluitend voor je site gebruikt en geen advertentiefunctie aanstaat. Staan Google Signals, koppelingen met Google Ads of het delen van gegevens voor de eigen producten van Google aan, dan dienen de gegevens meer dan het verbeteren van je site, en geldt toestemming.
Volstaat een opt-outlink in de footer?
Voor vrijgestelde statistiek- en voorkeurcookies vraagt de wet een gratis en eenvoudige manier om bezwaar te maken, en een duidelijk benoemde footerlink of schakelaar kan dat. Browserinstellingen alleen volstaan niet. Voor advertentietags volstaat een opt-out nooit: die vragen eerst toestemming.
Mag ik een cookiewall of een model met toestemming of betalen gebruiken?
De ICO zegt dat een cookiewall zonder keuze in de meeste gevallen geen vrij gegeven toestemming oplevert: je mag toestemming geen voorwaarde voor de dienst maken tenzij ze ervoor nodig is. Toestemming of betalen, waarbij wie gepersonaliseerde advertenties weigert betaalt, behandelt de ICO in aparte richtlijnen die kijken naar de machtsverhouding, een eerlijke prijs en een echt alternatief. Laat een jurist je model nakijken voor je het bouwt.
Vanaf wanneer gelden de nieuwe PECR-boetes?
Voor inbreuken vanaf 5 februari 2026. Het maximum is 17,5 miljoen pond of 4 procent van de wereldwijde jaaromzet, het hoogste van de twee, hetzelfde plafond als de UK GDPR.