من يقرأ النص القانوني على لافتة الكوكيز يجد في أغلب الأحيان قانونين مذكورين جنبًا إلى جنب: توجيه ePrivacy (أو نقله الوطني) واللائحة العامة لحماية البيانات، أي GDPR. هذا ليس سهوًا ولا احتياطًا مزدوجًا من باب الحذر — فالقانونان ينظّمان بالفعل مسائل مختلفة، لكنها متشابكة بشكل وثيق.
اعتُمدت GDPR، وهي رسميًا اللائحة (EU) 2016/679، في 27 أبريل 2016، ودخلت بعد فترة انتقالية مدتها سنتان حيّز النفاذ المباشر في كل الاتحاد الأوروبي في 25 مايو 2018 — وبصفتها لائحة، على عكس التوجيه، لم تكن بحاجة إلى أي نقل وطني. تنظّم GDPR بشكل عام كيفية التعامل مع البيانات الشخصية: أي أساس قانوني تحتاجه أي معالجة، وما الحقوق التي يملكها الأشخاص المعنيون، وما الالتزامات الواقعة على الجهات المسؤولة.
أما توجيه ePrivacy فهو أكثر تحديدًا: فهو ينظّم فقط الوصول إلى المعلومات المخزّنة على الأجهزة الطرفية وتخزينها — بصرف النظر عمّا إذا كانت بيانات شخصية بمعنى GDPR متضمَّنة في ذلك أصلاً أم لا. لهذا السبب بالتحديد يكفي مجرد الوصول إلى الجهاز لتفعيل إلزامية الموافقة على كوكيز، حتى لو كانت المعلومة المخزَّنة لا تحدد هوية أحد بمفردها.
يعمل التداخل بين القانونين على النحو التالي: يقول توجيه ePrivacy إن الموافقة مطلوبة للكوكيز غير الضرورية. لكنه لا يحدد بالتفصيل ما الذي يجعل الموافقة صالحة فعلاً — هذا التعريف يأتي من GDPR. فبحسب المادة 4(11) من GDPR، لا تكون الموافقة صالحة إلا إذا كانت حرة ومحددة ومستنيرة ولا لبس فيها — سواء عبر تصريح أو عبر فعل إيجابي واضح. المربع المعلَّم مسبقًا لا يستوفي هذا الشرط الأخير، لأنه لا ينطوي على أي فعل نشط من جانب المستخدم (مزيد من التفصيل في المقال المخصص لحكم Planet49).
تأتي من GDPR أيضًا متطلبات أخرى أصبحت اليوم بديهية في أي لافتة كوكيز: يجب أن يكون سحب الموافقة سهلاً تمامًا كسهولة منحها في الأصل (المادة 7(3))، وعلى من يجمع الموافقة أن يكون قادرًا، عند النزاع، على إثبات أنها مُنحت فعلاً (المادة 5(2)، ما يُعرف بمبدأ المساءلة). هذا الالتزام بالإثبات هو أحد أسباب عدم كفاية القول ببساطة إن «المستخدم على الأرجح قد نقر» — فبدون سجل يوثّق التوقيت والنطاق والنسخة الدقيقة من اللافتة المعروضة، لا يوجد ما يمكن الاستناد إليه عند النزاع.
في الممارسة العملية، يعني هذا أن على لافتة الكوكيز أن تستوفي قانونين في آن واحد، لا قانونًا واحدًا. يفرض توجيه ePrivacy الموافقة بحد ذاتها، بينما تحدد GDPR جودتها والالتزامات المرتبطة بها — قابلية السحب، قابلية الإثبات، وكون المستخدم مستنيرًا بشكل كافٍ. اللافتة التي تجمع موافقة لكنها لا توثّقها بطريقة يمكن تتبعها قد تستوفي شكليًا شرط ePrivacy، لكنها تظل تخالف GDPR.
هذا الأساس المزدوج يفسّر أيضًا لماذا لم تُحدث GDPR تغييرًا جوهريًا في موافقة الكوكيز، رغم أنها كثيرًا ما تُعتبر خطأً أصل لافتات الكوكيز — فهي جاءت بعد 16 عامًا من توجيه ePrivacy الأصلي، واكتفت بتشديد المعيار الذي يُقاس به التزام كان قائمًا بالفعل. وكيف تُرجم هذان القانونان الأوروبيان إلى قانون وطني ملموس في ألمانيا هو موضوع المقال التالي في هذه السلسلة.