Een consent management platform (CMP) helpt een website om keuzes over cookies en vergelijkbare technieken te tonen, door te geven en vast te leggen. De koopvraag is niet welk dashboard de meeste schakelaars heeft. Zij is of de combinatie van CMP, websitecode en externe tags bij een bezoeker in Nederland doet wat de tekst belooft. Een goed geconfigureerd scherm kan onjuist zijn als een advertentiepixel al vóór de keuze laadt. Omgekeerd kan een kleine site zonder volgtechniek met een heldere uitleg toe, zonder betaald CMP.
Deze vergelijking is bedoeld voor de eigenaar van de website, marketing, ontwikkelaars en privacyverantwoordelijke die samen een proef kunnen uitvoeren. Ze beoordeelt toetsbare functies en leveranciersvragen; het is geen gecertificeerde ranglijst. De Autoriteit Persoonsgegevens over cookiebanners en de ACM over cookies plaatsen geven het juridische vertrekpunt. Voor de bredere keuze van rechtsgrond en bewijs helpt onze uitleg over cookietoestemming.
Bepaal eerst of toestemming nodig is
Artikel 11.7a Telecommunicatiewet gaat over het opslaan of uitlezen van informatie op de apparatuur van de gebruiker. Functionele technieken die nodig zijn voor de door de bezoeker gevraagde dienst kunnen zonder toestemming worden gebruikt. Ook analytische cookies met geen of geringe gevolgen voor de persoonlijke levenssfeer vallen onder een uitzondering. Dat vergt een beoordeling van de feitelijke configuratie: een leverancier die een analyseproduct ‘privacyvriendelijk’ noemt, beslist dit niet voor u. De ACM-uitleg maakt het onderscheid tussen weinig ingrijpende analytics en privacygevoelige analytics. Tracking voor advertenties of het volgen over websites vraagt vooraf een geldige keuze.
De AVG komt erbij zodra de techniek persoonsgegevens verwerkt, zoals een identificeerbare online identifier. Toestemming voor toegang tot het apparaat en een passende AVG-grondslag zijn twee te onderscheiden vragen. Voor tracking met persoonsgegevens ligt toestemming volgens de AP voor de hand; een vinkje voor de Telecommunicatiewet is geen vrijbrief voor alle latere verwerking. Documenteer daarom per doel welke techniek actief is, welke partij gegevens ontvangt en op welke rechtsgrond de latere verwerking berust. De Nederlandse cookiewetgids behandelt de reikwijdte uitgebreider.
Stel dat een webwinkel alleen de taalkeuze en het winkelmandje onthoudt. Dan is een groot consentvenster waarschijnlijk niet nodig, al moet de bezoeker begrijpen wat gebeurt. Plaatst die winkel daarnaast een advertentietag die terugkerende bezoekers herkent, dan vraagt dat een aparte toestemmingsbeslissing. De keuze moet vóór het laden van de tag werken, ook wanneer de gebruiker via een productpagina, campagne-URL of ingesloten video binnenkomt. Vraag een kandidaat-CMP beide scenario’s te demonstreren, niet alleen de homepage.
Wat een geldige keuze praktisch vraagt
De AP wijst op een even zichtbare mogelijkheid om tracking te weigeren. Een weigerknop achter een extra menu terwijl ‘alles accepteren’ op de eerste laag staat, is geen gelijkwaardige route. Gebruik duidelijke doelen in begrijpelijk Nederlands; bundel geen wezenlijk verschillende doelen zonder reden. Vooraf aangevinkte voorkeuren en stilzwijgen leveren geen actieve toestemming op. De AP-vuistregels voor heldere banners behandelen ook kleur, plaatsing en het aantal handelingen. Vraag in een proef om op telefoon én desktop te tonen hoeveel handelingen accepteren, weigeren en een selectie kosten.
Intrekking moet even gemakkelijk zijn als toestemming geven. Een permanent bereikbare voorkeurenlink is vaak praktisch, maar de vorm moet passen bij de site. Test wat er gebeurt met nieuwe tracking nadat iemand intrekt. Reeds verzamelde gegevens verdwijnen daarmee niet automatisch uit elk systeem; leg vast welke vervolgactie bij uw partijen en verwerkingsdoelen hoort. Voor direct marketing gelden bovendien eigen afwegingen; lees de gids direct marketing en AVG voordat u een advertentievoorkeur als algemene marketingtoestemming behandelt.
Een CMP kan een keuze vastleggen met tijdstip, banner-/beleidversie, doelcategorie en een gekoppeld bewijskenmerk. Vraag hoe dat bewijs is te exporteren en hoe lang het passend bewaard wordt. Verzamel niet reflexmatig méér persoonsgegevens voor bewijs dan nodig. Bij een klacht moet u kunnen uitleggen welke keuze een bezoeker zag en welke tags toen geladen konden worden. Een screenshot van een huidige banner bewijst niet hoe de banner zes maanden geleden werkte. Bewaar daarom ook release- en configuratiegeschiedenis. De cookieverklaring als model helpt bezoekers de categorieën en partijen te begrijpen; de tekst moet wel overeenkomen met de echte tags. Een toestemmingsformulier voor andere verwerkingen kan inspireren tot heldere informatie, maar vervangt de technische cookietest niet.
Maak de leveranciersvergelijking toetsbaar
Start met een inventaris van websites, apps, talen, domeinen, tags en tagmanagers. Voeg een pagina achter login, een formulier, een embedded video en een campagnepagina toe als die werkelijk bestaan. Noteer welke teams nieuwe scripts kunnen publiceren. Een leverancier kan scanning aanbieden, maar een scan mist mogelijk scripts die alleen na een gebeurtenis, login of geografische keuze verschijnen. Het acceptatiecriterium is daarom niet ‘er is een scan’, maar ‘de inventaris sluit aan bij onze echte testpaden en afwijkingen zijn te verklaren’.
Laat kandidaten dezelfde drie routes uitvoeren: eerste bezoek zonder keuze, expliciete weigering en toestemming gevolgd door intrekking. Gebruik browserontwikkeltools of een onafhankelijke netwerktrace om te zien welke verzoeken vóór en ná de keuze vertrekken. Kijk zowel naar cookies als naar pixels, lokale opslag en scripts die identificatoren verzenden. Een blokkadelijst kan bij een websitewijziging verouderen. Vraag wie bij een nieuwe tag de categorie vaststelt, de toestemmingstekst bijwerkt, de blokkering test en de wijziging goedkeurt. De contractuele demonstratie moet die rollen zichtbaar maken.
Verbind de proef aan een besluit over kosten. Vraag per leverancier schriftelijk naar de meeteenheid voor facturering, limieten voor domeinen of sessies, talen, extra modules, implementatie, support en export bij vertrek. Vergelijk geen publiek starttarief met een offerte waarin benodigde functies ontbreken. Houd ook interne tijd voor taginventaris, tekstredactie, acceptatietest en periodieke hercontrole apart. Een goedkoop abonnement is niet goedkoop als een gebroken tagconfiguratie telkens ontwikkeltijd vraagt; een omvangrijk pakket is niet automatisch nuttig voor één eenvoudige website.
Een bruikbare scorekaart bevat per scenario een bewijsstuk, eigenaar en uitkomst: ‘weigeren op mobiele eerste laag’, ‘geen advertentieverzoek vóór keuze’, ‘nieuwe scriptversie ontdekt’, ‘intrekking doorgegeven’, ‘bewijs van historische versie exporteerbaar’. Geef een mislukking een hersteltermijn en voer de proef opnieuw uit. Vermijd een totaalscore die een juridische basisfout verbergt achter veel cosmetische functies. Bij een noodzakelijke integratie kan een fout in de echte tagmanager zwaarder wegen dan tien extra bannerstijlen.
Welke kandidaten passen bij welke omgeving?
Complianz positioneert zich als WordPress-oplossing met cookie-inventaris, banner en scriptbeheer. Dat maakt het een logische kandidaat om op een WordPress-site te testen. De eigen functielijst bewijst niet dat uw specifieke thema, plug-ins en externe tags correct blokkeren. Test juist de niet-standaard scripts en controleer of de configuratie onderhoudbaar blijft na plug-inupdates. Een meertalige site moet beide taalversies van de uitleg en keuzes nalopen.
Cookiebot beschrijft een toestemmingslog en een mechanisme om niet-essentiële diensten voor toestemming te blokkeren. Vraag hoe de feitelijke implementatie omgaat met handmatig geplaatste tags, uitzonderingen en exports. De eigen documentatie is nuttig voor een vragenlijst, maar geen onafhankelijke garantie voor uw website. Laat bij een overstap zien hoe huidige voorkeuren worden behandeld en hoe een verkeerde categorisering wordt hersteld.
Didomi noemt onder meer website- en appscenario’s. Dat kan relevant zijn als de bezoeker tussen beide kanalen beweegt. Vraag welke identiteit nodig is voor een gedeelde voorkeur en of die koppeling op zichzelf proportioneel is. Voor een site zonder app heeft een omvangrijke cross-channelfunctie weinig waarde. Test ook wat een gebruiker ziet wanneer een appupdate een nieuw doel toevoegt.
OneTrust beschrijft een breder consent- en voorkeurenaanbod met scans en verschillende digitale kanalen. Beoordeel het benodigde pakket, de concrete implementatie en export in een offerte. Het bedrijf beschrijft functies, maar de aanwezigheid van een module zegt niets over een juiste Nederlandse banner op uw site. Een bredere vergelijking van de interne privacyprocessen staat in onze AVG-softwarevergelijking; die vraag is anders dan uitsluitend cookiebeheer.
Een eigen of door een ontwikkelaar gebouwde oplossing kan ook passend zijn als er weinig doelen en tags zijn. Stel dan dezelfde eisen aan versiebeheer, begrijpelijke keuze, bewijs en controle na releases. ‘Gratis’ eigen code heeft onderhoudskosten. Vraag wie bij afwezigheid van de oorspronkelijke bouwer de logica kan uitleggen. Een CMP is geen wettelijke productcategorie die elke website verplicht moet inkopen; het is een mogelijk middel om de werkelijke verplichtingen betrouwbaar uit te voeren.
Een technische acceptatietest moet ook toegankelijkheid omvatten. Laat iemand de banner met toetsenbord en schermlezer bedienen, inzoomen en op een klein scherm doorlopen. Een weigering die wel bestaat maar door een overlay niet bereikbaar is, is voor die bezoeker geen werkelijke keuze. Vraag wie na ontwerpwijzigingen toegankelijkheid en tekst opnieuw controleert; een leverancier kan een toegankelijk sjabloon aanbieden, terwijl de uiteindelijke CSS van uw website het resultaat verandert. Documenteer een gevonden fout en de hersteltest in dezelfde releasegeschiedenis als de tagblokkering.
Contract, gegevensstromen en onderhoud
De CMP-leverancier kan persoonsgegevens verwerken, bijvoorbeeld bewijskenmerken, IP-gerelateerde loggegevens of voorkeurhistorie. Bepaal de rollen en vraag zo nodig om een overeenkomst volgens artikel 28 AVG: een schriftelijke overeenkomst óf een andere bindende rechtshandeling onder Unierecht of lidstatelijk recht met de vereiste inhoud. Bekijk subverwerkers, locaties, beveiliging, bewaar- en verwijderregels en het recht op informatie voor audits. EU-hosting als marketingterm beantwoordt niet automatisch de vraag of support, logs of subverwerkers gegevens buiten de EER toegankelijk maken. Voor zulke stromen is de gids internationale doorgifte een nuttige vervolgstap.
Plan een eigenaar voor het maandelijkse of releasegebonden controlewerk. Een nieuwe advertentiepartner, tagmanagercontainer of videospeler kan de vooraf ingestelde categorieën veranderen. Laat marketing een wijzigingsverzoek maken, ontwikkeling testen en privacy de tekst en grondslag beoordelen. Bewaar de testuitkomst naast de configuratieversie. Koppel relevante verwerkingsdoelen aan het register van verwerkingsactiviteiten, zonder te doen alsof elke individuele cookiekeuze een apart registerrecord vereist.
Voer de proef uit als een bezoeker, niet als beheerder
Maak vóór de demonstratie een klein testprotocol dat het team zelf kan herhalen. Open een schone browser zonder eerder opgeslagen voorkeur, controleer eerst de netwerkverzoeken en maak pas daarna een keuze. Bezoek vervolgens rechtstreeks een diepgelegen pagina via een advertentielink. Bij sommige sites wordt het bannermechanisme alleen op de homepage geladen, terwijl een marketingtag op alle pagina’s actief is. Een gunstige demonstratie op de startpagina ontdekt dat probleem niet. Herhaal de proef na een release en noteer browser, apparaat, datum en gebruikte configuratieversie, zodat een afwijking reproduceerbaar blijft.
Test ook gedeeltelijke toestemming. Als iemand statistiek toestaat maar advertenties weigert, mogen de technische signalen niet als ‘alles akkoord’ aan elk marketingplatform worden doorgegeven. Vraag de kandidaat welke koppelingen daadwerkelijk in uw tagmanager bestaan en wie een nieuw doel mag publiceren. Vergelijk de begrijpelijke woorden op het scherm met de technische categorieën. Een categorie met een vriendelijke naam kan alsnog advertentieprofilering omvatten. Schakel bij de test een externe video of chatfunctie pas in nadat de betreffende keuze is gemaakt als daarvoor toestemming nodig is; documenteer de uitleg die de bezoeker vooraf krijgt.
Laat ten slotte een voorkeur wijzigen nadat de bezoeker naar een tweede domein, andere taal of mobiele webweergave is gegaan. De organisatie moet bepalen of keuzes gedeeld moeten worden en of de daarvoor gebruikte identificatie proportioneel is. Een synchronisatiefunctie die op papier bestaat, kan zonder passende implementatie tegenstrijdige voorkeuren opleveren. Bespreek dan met de leverancier een herstelpad: welke bezoeker krijgt opnieuw een keuze, hoe wordt een oud signaal ongeldig gemaakt en wat gebeurt er met scripts in een reeds open tabblad? Dit zijn acceptatievragen, geen belofte dat één knop alle reeds verzamelde data terughaalt.
Maak van de uitkomst een besluit met drie kolommen: wettelijk noodzakelijke werking, bedrijfswensen en extra functies. Een goedkoop pakket dat het eerste niet kan waarmaken valt af, ook als het veel kant-en-klare sjablonen heeft. Een duur pakket hoeft niet te winnen als de website één eenvoudig doel heeft. Laat technische en juridische eigenaar de test samen tekenen. De privacyverantwoordelijke beoordeelt de informatie en keuzevrijheid; ontwikkeling bevestigt de technische blokkering; marketing bevestigt dat de gewenste campagnes binnen die grenzen nog uitvoerbaar zijn. Zo wordt de offerte gekoppeld aan een uitvoerbare inrichting.
Veelgestelde vragen
Is een CMP verplicht voor iedere website?
Nee. De verplichting gaat over rechtmatig plaatsen/uitlezen en, waar persoonsgegevens worden verwerkt, de AVG. Gebruikt een site alleen strikt noodzakelijke technieken en mogelijk niet-privacygevoelige analytics binnen de uitzondering, dan kan een informatiepagina volstaan. Bij meerdere toestemmingsplichtige tags kan een CMP praktisch zijn, maar de eigenaar moet de feitelijke werking blijven controleren.
Moet weigeren op de eerste laag kunnen?
Volgens de huidige AP-uitleg moet weigeren even gemakkelijk en zichtbaar zijn als accepteren. Laat de demonstratie op telefoon en desktop zien, inclusief contrast en handelingen. Een verborgen keuze achter ‘instellingen’ terwijl ‘alles accepteren’ direct zichtbaar is, is een risicovolle opzet. Een fraaie voorbeeldbanner telt pas als uw eigen website dezelfde route levert.
Bewijst een toestemmingslog dat de site compliant is?
Nee. Een log toont hooguit een geregistreerde keuze binnen een bepaalde configuratie. Als tracking al voor die keuze laadde, de informatie onduidelijk was of intrekking niet werkte, lost de log dat niet op. Combineer historische bannertekst, versiegegevens en technische netwerktests. Beperk de loggegevens tot wat voor bewijs en beveiliging nodig is.
Hoe kies ik tussen een eenvoudige plug-in en een platform?
Maak de keuze aan de hand van uw kanalen, tags, talen en wijzigingsproces. Een enkele WordPress-site kan met een goed geteste plug-in uitkomen; meerdere apps en marketingteams vragen mogelijk centrale configuratie. Laat elke kandidaat dezelfde weigering-, intrekking- en exportsituatie tonen en vergelijk de totale kosten van implementatie en beheer.
Besluit op basis van een echte proef
De beste CMP voor uw organisatie is de oplossing die uw huidige tags, websites en werkafspraken controleerbaar ondersteunt. Leg de juridische classificatie van cookies eerst vast, test daarna het gedrag op de echte site en sluit pas dan een contract. Een leverancier kan functies aanbieden; u beoordeelt of de keuzes vrij en geïnformeerd zijn en of niet-toegestane tracking werkelijk uitblijft. Als die bewijzen ontbreken, helpt een hogere positie in een leverancierslijst niet.