إلزامية الحصول على الموافقة قبل وضع الكوكيز ليست موجودة في GDPR — فهي أقدم من ذلك وتأتي من قانون آخر: توجيه ePrivacy، الذي يحمل رسميًا اسم التوجيه 2002/58/EC المتعلق بمعالجة البيانات الشخصية وحماية الخصوصية في الاتصالات الإلكترونية. اعتُمد هذا التوجيه في 12 يوليو 2002، في وقت كانت فيه الكوكيز تُستخدم أساسًا لجلسات تسجيل الدخول والتخصيص البسيط — وكان التتبع عبر مواقع متعددة ممكنًا تقنيًا، لكنه لم يكن بعد ظاهرة واسعة الانتشار.
في صيغته الأصلية، لم تكن المادة 5(3) من التوجيه تطلب أكثر من إعلام المستخدمين بوضع الكوكيز ومنحهم وسيلة للاعتراض — أي نظام رفض اختياري (opt-out). من لم يفعل شيئًا اعتُبر أنه وافق ضمنيًا. في الممارسة العملية، كان هذا يعني غالبًا إشعارًا صغيرًا مدفونًا في مكان ما من الصفحة لا يقرأه أحد تقريبًا، بينما تكون الكوكيز قد وُضعت بالفعل قبل أن ينتبه أحد للإشعار أصلاً.
تغيّر هذا مع التوجيه 2009/136/EC الصادر في 25 نوفمبر 2009، الذي أعاد صياغة المادة 5(3) من الأساس — ويُعرف في الاستخدام الشائع باسم «توجيه الكوكيز»، رغم أنه رسميًا مجرد تعديل على توجيه ePrivacy الأصلي. تحوّل نظام الرفض الاختياري إلى إلزامية موافقة حقيقية: الكوكيز غير الضرورية بشكل صارم لتقديم خدمة طلبها المستخدم صراحةً لم يعد يجوز وضعها إلا بعد أن يمنح المستخدم موافقة مستنيرة — لا بعد الفعل، ولا بصمت.
يعود سبب هذا التشديد إلى النمو السريع لسوق الإعلانات عبر الإنترنت خلال العقد الأول من الألفية: أصبحت كوكيز التتبع أساسًا لنماذج عمل كاملة، وتشكّلت ملفات تعريف للمستخدمين من بيانات تتجمّع عبر عشرة أو عشرين أو مئة موقع مختلف — غالبًا دون أن يعلم الأشخاص المعنيون بذلك أصلاً. ردّ المشرّع الأوروبي بعكس عبء الإثبات: لم يعد على المستخدم أن يعترض، بل أصبح على الموقع أن يحصل على الموافقة.
من المهم أن نفهم أن توجيه ePrivacy هو توجيه، وليس قانونًا أوروبيًا نافذًا مباشرة كاللائحة. التوجيهات تحدد هدفًا يجب على كل دولة عضو أن تنقله إلى قانونها الوطني — وهذا النقل بالذات كان المشكلة الحقيقية لسنوات. انتهت مهلة النقل في 25 مايو 2011، لكن العديد من الدول الأعضاء — ومن بينها ألمانيا — تبنّت إلزامية الموافقة الجديدة إما بتردد أو بصيغة ظلت قريبة من منطق الرفض الاختياري القديم. كيف حلّت ألمانيا هذه المشكلة في النهاية موضوع مقال مستقل في هذه السلسلة.
لا يزال توجيه ePrivacy حتى اليوم هو الأساس القانوني الفعلي لموافقة الكوكيز نفسها — وليس GDPR، الذي لم يصبح نافذًا إلا عام 2018 وينظّم مسألة مختلفة، وإن كانت وثيقة الصلة: التعامل مع البيانات الشخصية بشكل عام. يتشابك القانونان معًا، وهذا التداخل بالتحديد هو موضوع المقال التالي.
كان من المفترض أن تحل لائحة ePrivacy المخطط لها، بوصفها خلفًا لهذا التوجيه، محل التوجيه وأن تدخل حيّز النفاذ كقانون نافذ مباشرة دون حاجة لنقل وطني. وهي منذ سنوات قيد التفاوض بين مؤسسات الاتحاد الأوروبي ولم تُعتمد بعد — وإلى أن يحدث ذلك، يبقى توجيه 2002/2009 هو الأساس المعتمد.
تستحق هذه الخلفية التاريخية اهتمام أصحاب المواقع، لأنها تفسّر لماذا لم تنشأ موافقة الكوكيز كرد فعل على فضيحة واحدة، بل كاستجابة تدريجية لممارسة تراكمت على مدى سنوات. لم تكن قاعدة 2009 مفاجأة، بل استمرارًا منطقيًا لفكرة أساسية صيغت بالفعل عام 2002 — الوصول إلى جهاز الغير ليس عملية تقنية محايدة، بل تدخّل يتطلب تبريرًا.