مخالفة إلزامية الموافقة على الكوكيز ليست خطرًا نظريًا — فرضت هيئات حماية البيانات في عدة دول أوروبية في السنوات الأخيرة غرامات متكررة وبمبالغ كبيرة. يستمد الإطار القانوني لذلك من المادة 83(5) من GDPR: يمكن أن تصل الغرامات في المخالفات الجسيمة إلى 20 مليون يورو أو ما يصل إلى 4 بالمئة من إجمالي حجم الأعمال السنوي العالمي، أيهما أعلى — حتى وإن كان السبب الفعلي، كما ورد في المقالات السابقة، يأتي شكليًا من توجيه ePrivacy أو نقله الوطني.
من أشهر الأمثلة على ذلك ما أصدرته الهيئة الفرنسية لحماية البيانات (CNIL): ففي ديسمبر 2020، فرضت على جوجل غرامة إجمالية قدرها €100 مليون، وعلى أمازون €35 مليون، لأن الشركتين وضعتا كوكيز إعلانية قبل أن يمنح المستخدمون موافقتهم. وفي يناير 2022، فُرضت غرامة أخرى على جوجل بقيمة €150 مليون، إلى جانب غرامة على فيسبوك (المعروفة الآن باسم ميتا) بقيمة €60 مليون — هذه المرة لأن رفض الكوكيز على موقعيهما كان أصعب بشكل ملحوظ من قبوله: احتاج القبول إلى نقرة واحدة، بينما تطلّب الرفض المرور عبر عدة قوائم. اعتبرت CNIL ذلك مخالفة لشرط أن تكون الموافقة سهلة الرفض بقدر سهولة منحها.
تحركت هيئات أخرى لحماية البيانات أيضًا، وإن كان ذلك غالبًا بمبالغ أصغر ضد شركات صغيرة ومتوسطة: غياب تصنيف الكوكيز، وسكريبتات من أطراف ثالثة كانت تُحمَّل قبل أي تفاعل مع اللافتة أصلاً، أو زر «رفض» لم يكن موجودًا أصلاً، مما أجبر الزوار على القبول لعدم وجود بديل حقيقي. وهذه النقطة الأخيرة تحديدًا — لافتة بلا خيار رفض مكافئ في الوزن — من أكثر الملاحظات شيوعًا في عمليات التدقيق، لأنها تخالف مباشرة شرط القرار الحر الذي أكده حكم Planet49.
يمكن استخلاص ما تريد هيئات حماية البيانات فعليًا التحقق منه أثناء التدقيق من هذه القضايا ومن الإرشادات المنشورة للهيئات الرقابية: هل وُضعت الكوكيز غير الضرورية بعد موافقة نشطة فقط، لا قبلها؟ هل كان هناك خيار رفض حقيقي معروض بوزن مكافئ؟ هل وُصفت الفئات والأغراض بدقة كافية؟ وأخيرًا — وغالبًا ما يكون هذا هو العامل الحاسم في نزاع فعلي — هل يستطيع مشغّل الموقع لاحقًا أن يُثبت أن موافقة معينة قد مُنحت فعلاً في وقت محدد؟
هذه النقطة الأخيرة كثيرًا ما يُستهان بها في الممارسة العملية. لا فائدة تُذكر من لافتة سليمة تقنيًا إذا لم يعد يوجد، عند النزاع — بعد شكوى مثلاً أو تدقيق عشوائي — أي سجل يثبت أن الموافقة أُعطيت وكيفية إعطائها بالضبط. يقع التزام المساءلة بموجب المادة 5(2) من GDPR على عاتق مشغّل الموقع، لا الزائر: عليه هو أن يثبت عند الشك، لا أن يدحض المستخدم ذلك.
بالنسبة لمعظم المواقع الصغيرة والمتوسطة، يبقى احتمال فرض غرامات بحجم القضايا المذكورة أعلاه ضعيفًا — إذ تركز الهيئات الرقابية عمليًا على الجهات ذات الانتشار الواسع أو المخالفات المتكررة أو الشكاوى الموجَّهة تحديدًا. لكن ذلك لا يغيّر من المبدأ الأساسي: الموافقة المستنيرة والنشطة والموثَّقة ليست مجرد شكلية، بل هي الأساس الوحيد الذي تحقق من خلاله لافتة الكوكيز غرضها أصلاً.