Consent logging: waarom je bewijs van toestemming nodig hebt

De AVG legt de bewijslast voor toestemming bij jou. Wat moet een consent log bevatten, hoe lang bewaar je het en hoe laat je het zien bij een controle? Praktische uitleg voor websites en webshops.

Toestemming vragen is één ding; aantonen dat je haar gekregen hebt is iets anders. Artikel 7 lid 1 van de AVG zegt het kort: als een verwerking op toestemming berust, moet je kunnen aantonen dat de betrokkene toestemming heeft gegeven. Voor cookies betekent dat een logboek per bezoeker, met tijdstip en gemaakte keuzes. Dat logboek is wat een toezichthouder, een klant of een advocaat opvraagt als er discussie ontstaat.

Wat een consent log bevat

• Een anonieme consent-ID, gekoppeld aan de cookie die de keuze van de bezoeker onthoudt. Geen naam, geen volledig IP-adres.
• Datum en tijd van de keuze, inclusief tijdzone.
• De gemaakte keuze per categorie: functioneel, statistiek, marketing, eventueel per partij.
• De manier waarop: alles geaccepteerd, alles geweigerd of aangepast.
• De versie van de banner en de cookieverklaring op dat moment, zodat je kunt laten zien welke informatie de bezoeker kreeg.
• Het domein en de taal waarop de keuze is gemaakt.
• Wijzigingen: ieder nieuw besluit van dezelfde bezoeker als nieuwe regel, met behoud van de oude.

Wat je er niet in zet

Het logboek bewijst een keuze, het is geen profiel. Sla geen namen, e-mailadressen of volledige IP-adressen op; die zijn voor het bewijs niet nodig en maken het logboek zelf tot een gevoelige verwerking. Een gemaskeerd IP-adres (laatste octet weg) en een user agent zijn voldoende om een keuze te plaatsen.

Hoe lang bewaren

De AVG noemt geen termijn. Het uitgangspunt is: zolang je op de toestemming vertrouwt, plus de periode waarin iemand er een geschil over kan starten. In de praktijk kiezen de meeste organisaties voor twaalf maanden, waarna de banner opnieuw om toestemming vraagt en een nieuwe logregel ontstaat. Leg de termijn vast in je privacyverklaring. CookieOpt bewaart logs in Pro twaalf maanden en in het gratis pakket dertig dagen.

Bij een controle

Een toezichthouder vraagt doorgaans drie dingen: laat de banner zien zoals die werd getoond, laat de cookieverklaring van dat moment zien en laat voor een periode de logs zien. Zorg dat je dat binnen een dag kunt leveren:

1. Exporteer de logs als CSV voor de gevraagde periode.
2. Voeg de bannerversies en de bijbehorende teksten toe.
3. Voeg de cookieverklaring toe zoals die gold in die periode.
4. Beschrijf kort hoe de scriptblokkering werkt, zodat duidelijk is dat er zonder toestemming geen cookies werden geplaatst.

Logging bij een plugin versus een platform

Een WordPress-plugin slaat toestemmingen op in je eigen database. Dat werkt, maar het bewijs staat dan op dezelfde server als je site: gaat die stuk, migreer je of herstel je een oude back-up, dan verlies je logs. Een platform bewaart de logs centraal, los van je site, en laat je ze per domein exporteren. Beheer je meerdere websites, dan zie je alle logboeken in één dashboard.

Checklist

• Iedere keuze wordt gelogd met tijdstip, categorieën en bannerversie.
• Het logboek bevat geen namen of volledige IP-adressen.
• Logs zijn exporteerbaar (CSV) per domein en periode.
• De bewaartermijn staat in je privacyverklaring en de banner vraagt na die termijn opnieuw.
• Intrekken van toestemming wordt ook gelogd.