Onderaan deze site staat geen cookiemuur. Er staat een mededeling: deze site is een provocatie aan de AVG. Geen knop “Alles accepteren”, geen knop “Voorkeuren beheren”, geen lijst van 847 partners die uw gedrag met “gerechtvaardigd belang” verwerken. Wie dat niet wil, mag de site verlaten. Dat is onbeleefd. Dat is ook de bedoeling.
Hieronder leg ik uit waarom.
Ik was erbij toen het begon
In 2002 was ik CTO van het destijds beruchte Ab.Fab. We stonden tegenover XS4All in de allereerste spamzaak van Nederland. De kop in de krant: Spamkoning onderuit door rechtszaken. Wat volgde, was bedoeld om e-mailmisbruik in te dammen. Het resultaat was een wet in 2004: opt-in voor marketingmail, en de eerste cookieregel. Acht jaar later werd daar de cookiebanner van. De spammap bleek de echte oplossing. De regels bleven.
Jaren later zat ik aan de andere kant. Bij Vakantieveilingen verloor ik tientallen procenten van mijn team aan DPIA’s, een centrale afmeldservice over 23 subsystemen, en consortiumbrede cookie consent binnen een mediaholding met meer dan honderd websites, elk met een eigen architectuur. Wat kregen onze klanten daarvoor terug, behalve een hogere kostprijs?
De rekening die niemand ziet
De kosten van de cookiewet staan op geen enkele begroting als “cookiewet”. Ze zitten verstopt in licenties voor consentplatforms, juridische reviews, consent modes in tag managers, testtrajecten omdat een banner de conversie raakt, en ontwikkelaars die maandenlang de toestand “wel analytics, geen marketing, half geladen pixel” debuggen. Elke organisatie bouwt hetzelfde opnieuw. Vermenigvuldig dat met elke website in Europa.
En dan de burger. Nieuwe telefoon: opnieuw klikken. Cache gewist: opnieuw klikken. Andere site: opnieuw klikken. Miljarden keren per dag beantwoordt Europa dezelfde vraag, en het antwoord wordt nergens onthouden waar het ertoe doet.
Wat de banner beschermt
Weinig. Mensen klikken door, want ze willen het artikel lezen. En wie op “accepteren” klikt, stemt rechtmatig in met remarketing, met real-time bidding, met het delen van gedragsprofielen met honderden partijen. Het Europese Hof oordeelde in maart 2024 dat zelfs de consentcode van het advertentie-ecosysteem van IAB Europe een persoonsgegeven is. De machine draait gewoon door — met toestemming.
Dat is de kern. De meest walgelijke cookie policies zijn volkomen legaal, zolang er maar iemand heeft geklikt. De banner beschermt geen privacy. Hij legitimeert tracking, en verschuift de verantwoordelijkheid naar de vermoeide duim van de bezoeker.
Waar de keuze thuishoort
Uw privacyvoorkeur is een eigenschap van u, niet van de website. U stelt uw taal één keer in, in uw browser. Geen enkele site vraagt u daarna of u misschien toch Nederlands spreekt. Voor cookies kan precies hetzelfde: één instelling, in uw browser of besturingssysteem, gesynchroniseerd over al uw apparaten, en juridisch bindend voor elke site die u bezoekt.
Het is geprobeerd. Do Not Track bestond al in 2009. Het stierf omdat niemand verplicht was ernaar te luisteren. Een standaard waar je niet op kunt bouwen, is alleen maar vigerend.
Europa had het bijna geregeld
Op 19 november 2025 stelde de Europese Commissie in de Digital Omnibus precies dit voor. Artikel 88b: toestemming en weigering via automatische, machineleesbare signalen, browsers moeten die mogelijk maken, websites moeten ze respecteren. Eindelijk.
Op 18 juni 2026 schrapte de Raad het artikel weer, volgens privacyorganisatie noyb mede op aandringen van Duitsland, Frankrijk en Polen. Kort daarvoor had een door Google bestelde studie becijferd dat browsersignalen Europese bedrijven 40 tot 50 miljard euro per jaar aan advertentie-inkomsten zouden kosten. Ook in de Raadstekst van oktober 2026 is het signaal verdwenen. Het Europees Parlement heeft nog geen standpunt ingenomen.
Veertig tot vijftig miljard. Dat is wat de banner beschermt. Niet uw privacy.
Mijn provocatie
Deze site vraagt niets. Hij gebruikt Google Analytics om te zien welke stukken gelezen worden, en zegt dat gewoon in de privacyverklaring. Geen remarketing, geen profielen, geen partners. Juridisch sta ik daarmee op dun ijs, en dat weet ik. Dat is precies het punt: een regime dat de eerlijke kleine site-eigenaar laat kiezen tussen een betekenisloze banner en een overtreding, terwijl de advertentie-industrie met één klik rechtmatige toestemming ophaalt, is geen privacyregime. Het is een klikregime.
Mijn pleidooi voor een burgervriendelijker stelsel:
- Toestemming is een instelling, geen pop-up. Eén keuze in browser of besturingssysteem, meegenomen naar al je apparaten.
- Het signaal is bindend. Sites moeten het respecteren en mogen er niet omheen vragen.
- Meten voor eigen gebruik is geen tracking. Wie alleen wil weten welke pagina gelezen wordt, hoeft niemand lastig te vallen.
- Wie meer wil, moet het verdienen. Profielen delen kan alleen als de bezoeker dat zelf in zijn instelling heeft aangezet.
Leden van het Europees Parlement: zet artikel 88b terug. Tot die tijd blijft deze banner staan.
Bronnen
- Europese Commissie, Digital Omnibus-voorstel, COM(2025) 837, 19 november 2025
- Taylor Wessing, The Digital Omnibus — cookies (uitleg artikel 88a/88b)
- PPC Land, EU Council drops cookie signal after Google lobbying — EUR 40–50 bn at stake (Raadstekst 18 juni 2026)
- Implement Consulting Group (in opdracht van Google), Gone in one click, maart 2026
- noyb, Open letter: civil society coalition urges EU to kill the cookie banner, 10 september 2026
- Hof van Justitie EU, IAB Europe, zaak C-604/22, 7 maart 2024
Een voorproefje van de reeks Age of Regulation. Meer patronen uit de geschiedenis van data: History of Data.