Wat is een consent management platform (CMP)?

Een consent management platform (CMP) is de software die je bezoekers vraagt of ze cookies en vergelijkbare tracking accepteren, alles wat toestemming nodig heeft tegenhoudt tot ze antwoorden, en vastlegt wat ze kozen. Veel CMP’s maken ook de cookielijst die je beleid nodig heeft en geven de keuze door aan tools zoals Google Analytics. De banner is het deel dat je ziet; de CMP is het mechanisme erachter.

De term is niet alleen jargon van leveranciers. De Franse CNIL gebruikt hem in haar aanbeveling over cookies, waarin ze voorstelt dat de opeenvolgende configuraties van een CMP, met tijdstempel, kunnen worden bewaard door het bedrijf dat de CMP levert, als één manier om aan te tonen dat toestemming correct is verzameld.

Waarom sites er een nodig hebben

In de EU staat artikel 5, lid 3, van de ePrivacy-richtlijn een site alleen toe om informatie op het apparaat van een bezoeker op te slaan of daar uit te lezen met diens toestemming, tenzij dat strikt noodzakelijk is voor een dienst waar de bezoeker om vroeg, of uitsluitend dient om een communicatie te verzenden. De AVG bepaalt vervolgens wat toestemming is: een “vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting”, gegeven “door middel van een verklaring of een ondubbelzinnige actieve handeling”. Het Verenigd Koninkrijk kent in PECR een gelijkwaardige regel.

Op een site met een tagmanager, een analyticstool, een advertentiepixel en een paar ingesloten video’s is het vrijwel onmogelijk om die regel met de hand na te leven. Dat is de taak die een CMP op zich neemt.

Wat een CMP doet

Een CMP toont de keuze. Een banner die Accepteren en Weigeren op hetzelfde niveau aanbiedt, plus een manier om per categorie te kiezen. Toen de cookiebannertaskforce van de EDPB de Europese toezichthouders bevroeg, zag “een ruime meerderheid” het als een overtreding wanneer een laag van de banner een acceptatieknop heeft maar geen optie om te weigeren. Hetzelfde rapport bevestigt dat vooraf aangevinkte vakjes geen geldige toestemming opleveren.

Hij blokkeert vóór toestemming. Cookies en scripts die toestemming nodig hebben, moeten wachten tot de bezoeker toestemming geeft. Cookies die zonder toestemming werden geplaatst, waren de reden voor de boete van €150 miljoen die de CNIL SHEIN oplegde in 2025, en ons overzicht van wat toezichthouders echt bestraffen laat zien hoe vaak het terugkomt.

Hij legt de beslissing vast. Volgens artikel 7, lid 1, van de AVG “moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven”. Een CMP slaat op wat elke bezoeker koos en wanneer.

Hij laat bezoekers van gedachten veranderen. Artikel 7, lid 3, voegt daaraan toe: “Het intrekken van de toestemming is even eenvoudig als het geven ervan.” In de praktijk betekent dat een link of icoon dat de keuze op elke pagina opnieuw opent.

Hij legt de cookies uit. Toestemming telt alleen als ze geïnformeerd is, dus de banner en het cookiebeleid moeten vermelden welke cookies de site gebruikt en waarom. Welke daarvan überhaupt toestemming nodig hebben, hangt af van het doel; dat behandelen we in welke cookies toestemming nodig hebben.

Hij geeft de keuze door. Andere tools moeten weten wat de bezoeker heeft besloten:

Signaal	Wat het meestuurt	Wie het verwacht
Google Consent Mode	Vier soorten toestemming: `ad_storage`, `analytics_storage`, `ad_user_data` en `ad_personalization`	Tags van Google. Voor bezoekers in de EER zegt Google dat je toestemming “moet verzamelen” en toestemmingssignalen moet delen om de functies voor meting, advertentiepersonalisatie en remarketing van Google te kunnen blijven gebruiken (Google)
Global Privacy Control (GPC)	Een browsersignaal dat sites vraagt de gegevens van de bezoeker niet te verkopen of te delen	De procureur-generaal van Californië zegt dat het “door bedrijven waarop de wet van toepassing is, moet worden gerespecteerd als een geldig verzoek van de consument” (OAG)
TCF van IAB Europe	Een standaard toestemmingsstring voor advertentieleveranciers	Google eist een door Google gecertificeerde CMP die met de TCF is geïntegreerd voor gepersonaliseerde advertenties via AdSense, Ad Manager of AdMob in de EER, het Verenigd Koninkrijk en Zwitserland (Google)

Consent Mode vraagt de bezoeker niets. De documentatie van Google gaat ervan uit dat je de keuze eerst verkrijgt via een banner, een eigen oplossing of een CMP, en die daarna doorgeeft.

Wat een CMP niet doet

Voor een Europese site die analytics of advertenties gebruikt, is een CMP de praktische manier om aan de regel te voldoen. Op zichzelf is hij niet genoeg, en een leverancier die iets anders beweert, belooft meer dan hij kan waarmaken.

Een CMP maakt je niet compliant. Een CMP waarin Weigeren is weggestopt, of waarin een marketingcookie als noodzakelijk is ingedeeld, verzamelt toestemming die niet geldig is.
Hij beheert alleen wat hij kent. Een script dat rechtstreeks in een template is geplakt, of een tag die een marketeer volgend kwartaal toevoegt, kan erbuiten vallen. En hij bepaalt of een tag draait, niet wat de tag doet zodra hij draait: in de zaak-Apoteket werkte de toestemmingspoort, en toch stuurde de Meta Pixel de namen, adressen en aankopen van klanten die marketingcookies hadden geaccepteerd naar Meta.
Hij ziet je servers niet. Gegevens die je backend naar een advertentieplatform stuurt, komen nooit langs de banner.
Hij beslist niet voor je. Welke cookies noodzakelijk zijn, welke rechtsgrond geldt voor de verwerking die volgt en wat er in je privacyverklaring staat, blijven jouw beslissingen.

Hoe je er een kiest

Vraag	Waarom het ertoe doet
Blokkeert de CMP vóór toestemming?	Test het: open een privévenster, open DevTools en bekijk de cookies voordat je de banner aanraakt. Onze cookiechecker doet hetzelfde voor één URL.
Staat Weigeren op de eerste laag, even makkelijk als Accepteren?	De meeste Europese toezichthouders zien een ontbrekende weigeroptie als een overtreding, zoals hierboven beschreven.
Vindt hij je cookies voor je?	Een cookielijst die je met de hand bijhoudt, is verouderd zodra iemand weer een tag toevoegt.
Welke wetten kan hij aan?	De EU en het Verenigd Koninkrijk verwachten opt-in. Amerikaanse staatswetten zoals de CCPA verwachten een opt-out en het respecteren van GPC.
Welke signalen heb je nodig?	Consent Mode v2 als je Google Ads of Analytics gebruikt; de TCF als je gepersonaliseerde advertenties verkoopt via de publisher-producten van Google.
Waar worden toestemmingsregistraties opgeslagen?	Ze bevatten IP-adressen en keuzes, en dat zijn persoonsgegevens.
Wat kost hij je pagina’s?	Elke bezoeker laadt het script vóór al het andere.

We houden vergelijkingen bij van Katla en andere CMP’s naast elkaar, met de feiten over elke concurrent uit diens eigen openbare pagina’s, op onze vergelijkingspagina’s.

Tip

Controleer, voordat je functies vergelijkt, het ene wat elke CMP belooft: laad je eigen site in een privévenster en kijk of er al een analytische of advertentiecookie staat voordat je ergens op klikt.

Waar Katla past

Katla is een CMP, en dit is zonder omwegen wat het vandaag doet. Het heeft twee toestemmingsmodi, AVG (opt-in) en US State Laws (CCPA, opt-out), en Auto kiest daartussen op basis van de tijdzone van de bezoeker. Alles accepteren, Weigeren en Aanpassen staan samen op de eerste laag, en niets is vooraf geselecteerd. In AVG-modus blokkeert de cookieblokker niet-functionele cookies vóór toestemming en verwijdert hij alle cookies die al waren geplaatst voordat hij actief werd, en scripts die met data-katla-category zijn gemarkeerd, wachten tot hun categorie is geaccepteerd.

Het stuurt signalen voor Google Consent Mode v2 en respecteert GPC (maar niet Do Not Track). Toestemmingsregistraties bewaren per bezoeker de laatste beslissing, met de categorieën, het tijdstip en een ingekort IP-adres, en alles wordt gehost in de EU, in Frankfurt. Katla scant ook je site, classificeert elke cookie met AI en genereert het cookiebeleid op basis van wat het vond, in 13 talen.

Het ondersteunt de IAB TCF niet. Heb je voor Europese bezoekers gepersonaliseerde advertenties via AdSense of Ad Manager nodig, dan heb je een TCF-gecertificeerde CMP nodig, en dat is Katla niet.

Dit bericht legt uit wat consent management platforms doen. Het is geen juridisch advies.