Het gebruik van cookies is niet geregeld in de AVG, maar in de Telecommunicatiewet, meer specifiek Artikel 11.7a In principe mag je functionele cookies en in meer beperkte mate analytische cookies (bijvoorbeeld om geanonimiseerd gedrag op websites inzichtelijk te maken) plaatsen. Andere typen cookies die niet nodig zijn voor het functioneren of verbeteren van je website mogen niet zonder meer worden geplaatst. Het gaat dan bijvoorbeeld om tracking cookies die jou op het internet herkenbaar maken met een unieke ID (veelgebruikt voor display advertising). Met dit soort cookies maak je inbreuk maakt op de privacy van bezoekers van je website. Daarom moet je voor deze cookies altijd toestemming vragen. Die toestemming moet ondubbelzinnig en vrij zijn. Toestemming vragen voor cookies kan prima met een zogenaamde ‘cookie bar’, maar behalve functionele cookies mag geen enkele optie vooraf zijn aangevinkt. Dit gaat in de praktijk vaak nog mis.
Wat volgens de Autoriteit Persoonsgegevens niet mag is een cookiewall. Een cookiewall is een meestal schermvullende ‘pop-up’ die je verplicht cookies van een website te accepteren. Doe je dat niet, dan kun je geen gebruik maken van de website, of slechts met heel beperkte functionaliteit. Het is maar zeer de vraag of er in dit geval sprake is van vrije en ondubbelzinnige toestemming bij een cookiewall. Er staan echter geen expliciet verbod op cookiewalls in de AVG of Telecomwet. Daarom zie je ze toch nog vaak verschijnen op websites: het laatste woord is er nog niet over gezegd.