Een bezoeker stuurt een klacht: hij heeft nooit toestemming gegeven voor reclame-e-mails, maar krijgt ze toch. Je opent je eigen cookie-pop-up en ziet het meteen: de ‘Accepteer alles’-knop is groot en groen, de ‘Weiger’-knop is grijs en half zo klein. De bezoeker heeft op de opvallendste knop geklikt zonder de tekst te lezen. Dat is geen gebruikersfout. Dat is een bewuste ontwerpkeuze met een officiële naam, een eigen categorie in Europese toezichtsrichtlijnen, en een boete die daarbij kan horen.

Wat zijn dark patterns in pop-ups precies?

Dark patterns in pop-ups zijn UX-keuzes die een bezoeker sturen richting een keuze die het platform bevoordeelt, zonder dat de bezoeker dat bewust doorheeft. De Europese koepelorganisatie voor privacytoezichthouders (EDPB) heeft in haar richtlijnen vijf officiële categorieën vastgesteld. De Autoriteit Persoonsgegevens (AP) sluit hier volledig bij aan bij haar handhaving.

De vijf officiële EDPB-categorieën zijn: overloading (de bezoeker overspoelen met keuzes zodat hij opgeeft), skipping (keuzes weglaten zodat de bezoeker ze nooit kan maken), stirring (emotionele of visuele druk om een bepaalde keuze te maken), obstructing (weigeren bewust moeilijker maken dan accepteren) en fickle interface (een inconsistente of verwarrende bediening). Elk van de patronen hieronder valt in een of meer van deze categorieën.

Dark pattern 1: de asymmetrische knop

Een grote, groene of felblauwe ‘Accepteer alles’-knop naast een kleine, grijze of bijna onzichtbare ‘Weiger’-knop. Dit is het meest voorkomende dark pattern dat de AP tegenkomt. Het valt rechtstreeks onder de EDPB-categorie ‘stirring’: visuele manipulatie die de keuze beïnvloedt zonder dat er onjuiste informatie wordt gegeven.

De AVG vereist dat toestemming vrijelijk gegeven wordt. Dat betekent concreet: beide knoppen moeten gelijkwaardig opvallen. Ze hoeven niet identiek te zijn, maar het contrast mag niet zo groot zijn dat één optie duidelijk dominant is. Een verschil in kleur dat niet ook een verschil in functie reflecteert, is een overtreding.

Wat je verandert: gebruik voor beide knoppen hetzelfde formaat. Kies voor ‘Accepteer’ een neutrale huisstijlkleur en geef ‘Weiger’ een even zichtbare randknop (outline-button) in dezelfde kleur. Dat is visueel onderscheidend maar niet manipulatief.

Dark pattern 2: de verborgen sluitoptie

Soms staat er een kruisje (X) rechtsboven in de pop-up. De bezoeker denkt de pop-up weg te klikken zonder iets te accepteren. Maar in de technische implementatie registreert dat kruisje een ‘impliciete toestemming’ of verbergt het de pop-up terwijl cookies al geplaatst zijn. Dit is geen klein verschil: het is het registreren van toestemming die nooit expliciet gegeven is.

De AP beoordeelt dit als een combinatie van ‘fickle interface’ en ‘obstructing’: de interface is onduidelijk over wat er werkelijk gebeurt. De enige rechtsgeldige variant is een X die functioneel gelijkstaat aan ‘Weiger alle niet-noodzakelijke cookies’. Als je een X toevoegt als extra optie om de pop-up te sluiten, moet je dit technisch zo instellen dat er geen trackingcookies geplaatst worden.

Dark pattern 3: misleidende taalmanipulatie

Formuleer je de weigering als ‘Nee, ik wil een slechtere ervaring’ of ‘Nee, ik help jullie niet’, dan valt dat direct onder ‘stirring’. Taal die negatieve emoties koppelt aan de weigeroptie, of positieve framing uitsluitend reserveert voor toestemming, is een overtreding. De AP heeft hier in meerdere onderzoeken expliciet over gecommuniceerd.

Wat je wél mag: ‘Accepteer alle cookies’ en ‘Alleen noodzakelijk’ zijn neutrale formuleringen. ‘Ja, ik accepteer’ naast ‘Nee, bedankt’ is op de grens, maar staat juridisch sterker dan formuleringen die een waardeoordeel insluiten. Vermijd elk bijvoeglijk naamwoord dat de weigeroptie slechter doet klinken.

Dark pattern 4: het obstakelparcours voor weigering

Weigeren kost drie klikken, accepteren kost één. Denk aan het klassieke patroon: klik op ‘Instellingen beheren’, vervolgens elke categorie handmatig uitvinken, dan ‘Opslaan’. Ondertussen staat ‘Accepteer alles’ één klik verderop. De EDPB noemt dit ‘obstructing’ en de rechtspraak in meerdere EU-landen heeft inmiddels bevestigd dat het aantal handelingen voor weigering gelijk moet zijn aan het aantal voor acceptatie.

Als je een uitgebreid instellingenmenu aanbiedt, prima. Maar voeg dan ook een directe knop ‘Weiger alles’ toe op hetzelfde niveau als ‘Accepteer alles’. Het menu mag er naast bestaan, maar mag niet de enige weg zijn voor weigering.

Dark pattern 5: pre-aangevinkte vakjes en verborgen instellingen

In een cookiebeheer-interface staan alle categorieën standaard aangevinkt. De bezoeker moet ze handmatig uitzetten. Dit is juridisch rechtstreeks in strijd met artikel 7 AVG en met de ePrivacy-richtlijn: toestemming moet een actieve handeling zijn, niet het nalaten van een handeling. Een vooraf aangevinkt vakje geldt nooit als geldige toestemming, dit is vaste Europese rechtslijn.

Hetzelfde geldt voor categorieën die technisch aanpasbaar zijn, maar verstopt zitten achter drie submenu’s. Als een gemiddelde bezoeker ze niet kan vinden, telt de optie niet mee als een echte keuze.

Hoe de AP handhaving aanpakt

De AP werkt met een klachtgestuurde aanpak maar initieert ook zelfstandig onderzoeken naar sectoren met hoog bereik. Webshops, nieuwssites en SaaS-platforms hebben de afgelopen jaren de meeste aandacht gekregen. Een klacht van één bezoeker is voldoende om een onderzoek te starten.

Bij een eerste overtreding volgt meestal een aanwijzing met een hersteltermijn, doorgaans 6 tot 12 weken. Herstel je niet binnen de termijn, dan kan de AP een last onder dwangsom opleggen. Boetes voor dark patterns in cookiepop-ups lopen in de praktijk uiteen van enkele tienduizenden euro’s voor kleinere organisaties tot meerdere honderdduizenden euro’s voor platforms met groot bereik. De hoogte hangt af van omzet, bewustheid van de overtreding en het aantal betrokken betrokkenen.

Zes vragen voor je eigen pop-up

Voordat je een nieuw ontwerp liveplaatst, loop je deze vragen langs:

  • Zijn de ‘Accepteer’- en ‘Weiger’-knoppen even groot en even opvallend?
  • Kost weigeren evenveel klikken als accepteren?
  • Staat er ergens een X of sluitoptie, en wat doet die technisch echt?
  • Bevatten de knopteksten een waardeoordeel over de weigeroptie?
  • Staan vakjes standaard aangevinkt?
  • Zijn alle instellingencategorieën zichtbaar zonder meer dan twee klikken?

Kun je alle zes met ‘nee, dit probleem heb ik niet’ beantwoorden, dan zit je in de veilige zone voor een AVG-conforme cookiebanner.

Wat je wél mag doen

De AVG verbiedt manipulatie, niet design. Je mag de ‘Accepteer’-knop in je primaire huisstijlkleur plaatsen, zolang de weigerknop even groot en even goed leesbaar is. Je mag de accepteeroptie als eerste in de volgorde zetten. Je mag een korte uitleg geven over wat cookies bijdragen aan je dienst, mits die tekst feitelijk en neutraal is. Je mag ook functionele cookies zonder toestemming plaatsen, want die vallen buiten het toestemmingsvereiste.

De ruimte die er is, zit in volgorde, framing van het voordeel (zonder het nadeel van weigeren te benoemen) en een duidelijke, aantrekkelijke lay-out van de accepteeroptie. Gebruik die ruimte, maar houd de grens scherp in het vizier.

Stappenplan voor een AVG-compliant redesign

Stap 1: Audit je huidige pop-up. Maak een screenshot en loop de zes vragen hierboven langs. Noteer elk probleem concreet.

Stap 2: Bepaal je knopstructuur. Besluit of je twee gelijkwaardige hoofdknoppen gebruikt (‘Accepteer alles’ en ‘Weiger alles’) of één hoofdknop met een instellingenoptie naast een directe weigerknop. Beide mogen, zolang het aantal klikken gelijk is.

Stap 3: Herschrijf de knopteksten. Gebruik neutrale benamingen. Laat een collega zonder UX-achtergrond beoordelen of een van de opties negatief klinkt.

Stap 4: Controleer de technische laag. Vraag je ontwikkelaar te bevestigen wat de X-knop technisch doet, welke cookies er geplaatst worden vóór toestemming, en of de standaardinstellingen in het voorkeurenmenu op ‘uit’ staan.

Stap 5: Test met echte gebruikers. Laat drie tot vijf mensen de pop-up gebruiken zonder uitleg. Vragen ze ‘wat doet die X?’ of klikken ze per ongeluk op accepteren, dan is er nog werk.

Stap 6: Documenteer je keuzes. Leg in een intern document vast waarom het ontwerp AVG-conform is. Als de AP ooit vragen stelt, heb je aantoonbaar bewust gekozen en niet achteraf geveinsd.

Dark patterns in pop-ups zijn zelden opzettelijk gebouwd, maar de Autoriteit Persoonsgegevens kijkt naar het resultaat, niet naar de bedoeling. Een grijze weigerknop, een pre-aangevinkt vakje of een sluitknop die stilletjes toestemming registreert: kleine ontwerpkeuzes met grote juridische gevolgen. De aanpassingen zijn dat niet. Je past knopmaten aan, herschrijft twee zinnen en controleert wat de sluitknop technisch doet. Dat is een middag werk voor een ontwikkelaar, en het voorkomt een klachtenonderzoek en een mogelijk forse boete.