Consent vastleggen: wat de AVG echt van je vraagt

Wat geldige toestemming is

De AVG noemt toestemming één van de mogelijke grondslagen om persoonsgegevens te verwerken. Maar niet elke “ja” telt. De wet stelt vier voorwaarden, en ze gelden allemaal tegelijk. Ontbreekt er één, dan is de toestemming aanvechtbaar, en daarmee de hele verwerking die erop steunt, inclusief elke lead die je op basis daarvan doorlevert.

Samen vormen deze vier criteria de lat. Het lastige is dat jij achteraf moet kunnen láten zien dat je eraan voldeed: dat de keuze vrij was, dat het doel specifiek was, dat de betrokkene voldoende was geïnformeerd en dat het akkoord een actieve handeling was. Die bewijslast ligt bij jou als verwerkingsverantwoordelijke, niet bij de betrokkene, en niet bij de publisher die de aanvraag aanleverde.

Wat je precies moet vastleggen

Een veld met de waarde akkoord = ja bewijst weinig. Het zegt niet wélke tekst de betrokkene zag, wannéér het akkoord viel of via welk kanaal de aanvraag binnenkwam. Juist die context maakt het verschil tussen toestemming die standhoudt en toestemming die je achteraf moet zien te reconstrueren, met een afnemer aan de lijn die om bewijs vraagt. Leg daarom op het moment van akkoord minimaal deze vijf onderdelen vast:

• De consent-tekst zoals getoond: Niet een samenvatting, maar de exacte woorden die de betrokkene op het scherm zag op het moment van akkoord.
• De formulier-versie: Een versienummer of -hash van het formulier, zodat een latere tekstwijziging je bewijslast niet vertroebelt.
• Het tijdstip: Datum en tijd van het akkoord, tot op de seconde, vastgelegd op het moment zelf en daarna niet aanpasbaar.
• Bron & kanaal: Via welke landingspagina, campagne en welk kanaal de aanvraag binnenkwam: de herkomst van de toestemming.
• De grondslag: De juridische grondslag voor de verwerking, gekoppeld aan het specifieke doel waarvoor toestemming is gevraagd.

De rode draad: leg het vast op het moment zelf, niet achteraf. Wie de consent-tekst later opzoekt of het tijdstip uit een logregel afleidt, vult gaten in. En een ingevuld gat is precies wat een toezichthouder of een afnemer níét overtuigt, zeker niet als je op meerdere publishers en kanalen tegelijk draait en niet handmatig per aanvraag kunt narekenen wat er is getoond.

Hoe een consent-record eruitziet

Een goed consent-record is geen ja-of-nee, maar een compleet dossiertje per aanvraag. Zo zou een record voor één leadaanvraag eruit kunnen zien:

Het verschil met een kale “akkoord”-waarde is duidelijk: elk veld is op zichzelf controleerbaar, en samen onderbouwen ze dat aan alle vier de AVG-criteria is voldaan, per aanvraag, per publisher, per campagne.

Double opt-in

Bij double opt-in volgt op het eerste akkoord een bevestigingsstap: de betrokkene ontvangt een e-mail of sms en bevestigt daarin actief dat hij de aanvraag écht heeft gedaan. Pas ná die bevestiging wordt de toestemming als definitief beschouwd en de lead doorgeleverd aan een afnemer.

De AVG verplicht double opt-in niet met zoveel woorden, maar in de praktijk versterkt het je positie aanzienlijk. Het toont aan dat het opgegeven contactadres echt van de betrokkene is, het weert getypte fouten en kwaadwillende aanmeldingen, en het levert een tweede, onafhankelijk bewijsmoment op: precies het soort onderbouwing dat een kritische afnemer verwacht voordat hij een lead accepteert. Leg ook die bevestiging vast: het tijdstip, het bevestigde kanaal en het feit dát is bevestigd horen in hetzelfde consent-record thuis.

Toestemming intrekken

De AVG bepaalt dat intrekken net zo eenvoudig moet zijn als geven. Een betrokkene hoeft geen reden op te geven, en de intrekking geldt vanaf het moment dat ze wordt gedaan: verwerkingen die daarvóór op geldige toestemming steunden, blijven rechtmatig.

Wat een intrekking in de praktijk lastig maakt, is de keten erna. Een aanvraag die je al hebt doorgeleverd, leeft verder bij één of meer afnemers. Een intrekking moet daarom méér doen dan een vinkje omzetten: verdere doorlevering stopt, reeds beleverde afnemers ontvangen een intrekkingssignaal, en het oorspronkelijke consent-record blijft bewaard als bewijs dát er ooit geldige toestemming was, met het moment van intrekking eraan toegevoegd. Je verwijdert de toestemming dus niet; je sluit ze herleidbaar af. Zonder een systeem dat afnemers automatisch informeert, moet je dit per geval handmatig nabellen, foutgevoelig en niet houdbaar zodra je volume groeit.

Bewaartermijnen

De AVG schrijft geen vaste termijn voor hoe lang je een lead of een consent-record mag bewaren. In plaats daarvan geldt het principe van opslagbeperking: je bewaart persoonsgegevens niet langer dan nodig is voor het doel waarvoor je ze verwerkt. Welke termijn dat is, bepaal jij als verwerkingsverantwoordelijke, maar je moet die keuze kunnen onderbouwen.

Een nuttig onderscheid is dat tussen de leadgegevens en het bewijs van toestemming. Zodra het doel is bereikt of vervallen, kun je de inhoudelijke gegevens vaak korter bewaren, terwijl je het bewijs dat de verwerking destijds rechtmatig was nog enige tijd nodig hebt, bijvoorbeeld zolang er nog een klacht of vordering kan volgen. Leg per type gegeven een termijn vast, automatiseer het opschonen, en zorg dat dat opschonen zelf óók in je audit trail belandt.

Hoe je dit waterdicht organiseert in je eigen platform

De theorie hierboven is helder; het handwerk is dat niet. Bouw je dit zelf op formulierniveau, dan leun je op discipline van elke publisher en elk formulier afzonderlijk, en één vergeten instelling ondermijnt je hele bewijslast. OXIAE is het besturingssysteem waarmee je dit centraal en automatisch regelt, ongeacht hoeveel publishers of kanalen er binnenkomen: het toestemmingsvinkje kan nooit vooraf staan aangevinkt en is gescheiden van de verzendknop, zodat de keuze altijd vrij en ondubbelzinnig blijft. De exact getoonde consent-tekst en de formulier-versie worden woordelijk meegeschreven, samen met het tijdstip tot op de seconde, bij elke aanvraag, op elk aangesloten formulier.

Tegelijk verifieert het platform de herkomst: kanaal, landingspagina en partner-ID worden bij binnenkomst gecontroleerd en vastgelegd, en aanvragen uit onbekende of niet-geverifieerde bronnen kun je automatisch weren. Double opt-in, intrekkingen en het verlopen van bewaartermijnen worden als afzonderlijke, herleidbare gebeurtenissen aan de audit trail toegevoegd: records worden nooit overschreven, alleen aangevuld. Zo draagt elke lead die je onder je eigen merk doorlevert zijn eigen bewijs mee, exporteerbaar op het moment dat een afnemer of toezichthouder erom vraagt.