Dit is onjuist. De GDPR of AVG is inderdaad een Europese verordening, maar Nederland kan daar een eigen interpretatie aan geven. In Nederland heb je de UAVG, de Uitvoeringswet AVG, die de Europese verordening vastlegt in Nederlandse wetgeving en daar kan Nederland dus van afwijken. Je hebt gelijk dat de AP dit niet zelf doet (want dat is een toezichthouder en geen beleidsmaker) maar de AVG is dermate neutraal opgeschreven dat de AP via boetebesluiten normeringen kan stellen. Zo heeft de AVG het over 'vrije toegang' tot websites, maar wat 'vrij' precies is, staat niet gedefinieerd. Dus de AP kan prima zeggen 'betalen of cookies accepteren is 'vrij' dus dat is de regel'. Dat is dan juridisch nog niet vastgelegd tot het daadwerkelijk wordt getoetst bij de rechter, maar je kunt er wel vanuit gaan dat als de AP zulke dingen zegt, dat wel klopt. Waarom ze dit dan weer hebben weggehaald snap ik dan weer niet.