Sites mogen pas cookies plaatsen wanneer mensen daar expliciet toestemming voor hebben gegeven. Een melding als „Wanneer u doorgaat op deze website, stemt u in met het plaatsen van cookies” is niet toegestaan. Een toestemmingsformulier waarop het hokje met ’ja’ al is aangevinkt, mag ook niet.

De Autoriteit Persoonsgegevens, de privacywaakhond van de overheid, heeft ongeveer 175 websites gecontroleerd. Het gaat niet alleen om webshops, maar ook om gemeenten en media. Bijna de helft voldeed niet aan de regels. Daaronder waren vrijwel alle gecontroleerde webshops.

Eerder liet de Autoriteit Persoonsgegevens al weten dat cookiemuren niet mogen. Bij zo’n muur krijgen mensen pas een site te zien wanneer ze toestemming geven voor cookies. Wie geen toestemming geeft, komt de site niet op.