Hoe lang geldt cookietoestemming? Regels per land
Geen wet bepaalt hoe lang cookietoestemming geldt. Wat CNIL, ICO, Garante en AEPD aanraden, wanneer je opnieuw vraagt en het verschil met cookielevensduur.
Geen enkele wet in de EU of het Verenigd Koninkrijk legt een vaste geldigheidsduur voor cookietoestemming vast. Toezichthouders vullen dat gat met richtsnoeren: de Franse CNIL ziet het zes maanden bewaren van de keuze van een bezoeker als goede praktijk, de Britse ICO en de Italiaanse Garante zeggen dat je na een weigering zes maanden niet opnieuw moet vragen, en de Spaanse AEPD zegt dat toestemming niet langer dan 24 maanden hoort te gelden. Welke termijn je ook kiest, je moet opnieuw vragen zodra je een doel of een derde partij toevoegt die de oorspronkelijke toestemming niet dekte.
Wat de wet zegt
De AVG kent geen vervaldatum voor toestemming. De richtsnoeren van de EDPB over toestemming zeggen het rechtstreeks: “De AVG kent geen specifieke termijn voor hoe lang toestemming geldig blijft. Hoe lang toestemming geldig blijft, hangt af van de context, de reikwijdte van de oorspronkelijke toestemming en de verwachtingen van de betrokkene.” De EDPB beveelt daarna als goede praktijk aan “dat toestemming met passende tussenpozen wordt vernieuwd”.
Twee vaste punten gelden in elk land. Een bezoeker kan zijn toestemming op elk moment intrekken, en artikel 7, lid 3, van de AVG bepaalt: “Het intrekken van de toestemming is even eenvoudig als het geven ervan.” En volgens artikel 7, lid 1, moet je kunnen aantonen dat toestemming is gegeven, wat in de praktijk betekent dat je vastlegt wanneer. Onze AVG-pagina behandelt de rest van wat geldige toestemming vereist.
Wat toezichthouders aanraden
| Toezichthouder | Richtsnoer | Geldt voor |
|---|---|---|
| CNIL (Frankrijk) | De keuze van een bezoeker zes maanden bewaren, of het nu om toestemming of weigering gaat, is goede praktijk, per geval te beoordelen | Toestemming en weigering |
| ICO (Verenigd Koninkrijk) | Wacht na een weigering “een redelijke tijd”; zes maanden is “een geschikte termijn om opnieuw toestemming te vragen” | Weigering |
| Garante (Italië) | Toon de banner niet opnieuw, tenzij de omstandigheden aanzienlijk veranderen, de site niet kan zien of er een keuze is opgeslagen, of er ten minste zes maanden zijn verstreken | Weigering of gedeeltelijke acceptatie |
| AEPD (Spanje) | Goede praktijk dat toestemming niet langer dan 24 maanden duurt, waarbij de keuze in de tussentijd wordt bewaard | Toestemming |
Bronnen: de aanbeveling van de CNIL, de richtsnoeren over het beheren van toestemming van de ICO, de cookierichtsnoeren van 2021 van de Garante en de cookiegids van de AEPD.
Samen gelezen is zes maanden de Europese maatstaf: de minimale tijd om een “nee” te respecteren in het Verenigd Koninkrijk en Italië, en in Frankrijk de termijn die de CNIL als goede praktijk ziet om een keuze überhaupt te bewaren. De 24 maanden van Spanje zijn een bovengrens voor een “ja”, geen streefwaarde. De ICO waarschuwt ook voor de omgekeerde gewoonte: “Je moet mensen niet standaard herhaaldelijk vragen of aansporen om hun voorkeuren op te geven.”
De CNIL en de ICO presenteren hun cijfers allebei als algemene richtlijn, waarbij de juiste termijn afhangt van de site en het publiek. Details per land staan op onze pagina’s over Frankrijk en het Verenigd Koninkrijk.
In de VS
Californië hanteert een opt-outmodel, dus daar loopt de klok andersom. Wanneer een consument zich afmeldt voor de verkoop of het delen van zijn persoonsgegevens, moet een bedrijf dat respecteren en “ten minste 12 maanden wachten voordat het de consument vraagt de verkoop of het delen toe te staan”, volgens sectie 1798.135(c)(4) van de California Civil Code. Meer op onze CCPA-pagina.
Wanneer je eerder opnieuw moet vragen
Je voegt een doel of een partner toe. De EDPB: “Als de verwerkingen aanzienlijk veranderen of zich aanzienlijk ontwikkelen, is de oorspronkelijke toestemming niet langer geldig.” De ICO is concreet: “als je nieuwe tags of cookies invoert voor een ander doel dan je oorspronkelijk vermeldde toen de toestemming werd gegeven, moet je nieuwe toestemming verkrijgen voor het nieuwe doel.” Het eigen voorbeeld van de ICO is een site die een socialemediaplug-in toevoegt en opnieuw moet vragen. De AEPD en de Garante zeggen hetzelfde over nieuwe derde partijen.
De opgeslagen keuze is weg. Wist een bezoeker zijn cookies, dan heeft de site geen registratie meer van de keuze, en de Garante aanvaardt dat je in dat geval opnieuw vraagt. Browsers kunnen de keuze ook wissen: tracking prevention van Safari verwijdert cookies die in JavaScript zijn aangemaakt na zeven dagen zonder interactie met de site, en een banner die de keuze in zo’n cookie opslaat, raakt de keuze samen met die cookies kwijt.
De bezoeker vraagt erom. Intrekken kan altijd, dus houd op elke pagina een link of icoon beschikbaar dat de keuze opnieuw opent.
Info
Er komt mogelijk een wijziging aan. Het Digital Omnibus-voorstel van de Europese Commissie van november 2025 zou een regel aan de AVG toevoegen: na een weigering geen nieuw verzoek voor hetzelfde doel “gedurende een periode van ten minste zes maanden”, en na toestemming geen nieuw verzoek zolang de toestemming nog als grondslag kan dienen. Het is een voorstel, en de legislative train van het Europees Parlement toonde het in augustus 2026 nog in het wetgevingsproces.
Toestemmingsduur is niet de levensduur van een cookie
Er lopen twee klokken naast elkaar, en die zijn makkelijk te verwarren.
| Klok | Wat hem bepaalt | Richtsnoer |
|---|---|---|
| Hoe lang de keuze wordt onthouden | De vervaldatum van de toestemmingscookie, of je registratie aan de serverkant | De termijnen van toezichthouders hierboven |
| Hoe lang elke cookie leeft zodra hij is toegestaan | De eigen vervaldatum van die cookie | Moet passen bij het doel |
De Artikel 29-werkgroep zei in haar advies van 2012 dat een vrijgestelde cookie “een levensduur moet hebben die in directe verhouding staat tot het doel waarvoor hij wordt gebruikt”. Voor de bezoekersmeting die de CNIL vrijstelt van toestemming, raadt ze een levensduur van de tracker aan van bijvoorbeeld 13 maanden, die niet automatisch bij elk bezoek wordt verlengd, en het bewaren van de gegevens voor ten hoogste 25 maanden.
De klokken beïnvloeden elkaar ook. Een analytische cookie die twee jaar leeft, rekt een toestemming die is verlopen of ingetrokken niet op. De CNIL merkt op dat een site, om een intrekking effect te laten hebben, soms specifieke maatregelen moet nemen om ervoor te zorgen dat eerder geplaatste trackers niet meer worden gelezen of geschreven.
Je eigen termijn bepalen
- Kies een termijn en leg vast waarom. Zes maanden past bij de goede praktijk van de CNIL; een langere termijn is makkelijker te verdedigen met een reden die verband houdt met je site en je publiek.
- Behandel een “nee” als minstens zo duurzaam als een “ja”. Een weigering binnen zes maanden opnieuw voorleggen gaat in tegen de richtsnoeren van de ICO en de Garante.
- Vraag opnieuw wanneer je doelen of partners veranderen, wat de termijn ook zegt.
- Leg het tijdstip van elke keuze vast, zodat je kunt laten zien wanneer toestemming is gegeven.
- Houd de keuze bereikbaar, zodat een bezoeker nooit hoeft te wachten tot ze verloopt om van gedachten te veranderen.
Het meeste hiervan is de taak van de toestemmingstool; wat een consent management platform zou moeten afhandelen, bespreken we apart.
Wat Katla doet
Katla bewaart de keuze van een bezoeker 12 maanden, in een cookie op je eigen domein. Bij een weigering betekent dat minder vaak opnieuw vragen dan elk van de zesmaandenregels hierboven vereist. Bij een acceptatie valt dat binnen het plafond van 24 maanden van de AEPD, maar is het twee keer de zes maanden die de CNIL als goede praktijk beschrijft, en er is vandaag geen instelling om het in te korten. Zoals bij elke cookie die door een script is geschreven, kan Safari hem eerder wissen.
Elke beslissing wordt vastgelegd met de categorieën, het tijdstip en een ingekort IP-adres, en Katla
bewaart per bezoeker de laatste beslissing. Een zwevend instellingenicoon, of je eigen link
“Cookie-instellingen” die katla.open() aanroept, opent de keuze opnieuw op elke pagina.
Dit bericht vat richtsnoeren van toezichthouders samen en is geen juridisch advies. Aanbevolen termijnen verschillen per land, dus controleer de eigen tekst van de toezichthouder voor de markten die je bedient.