قلّما غيّر حكم قضائي ممارسات لافتات الكوكيز في أوروبا بشكل مباشر مثلما فعل حكم محكمة العدل الأوروبية (CJEU) الصادر في 1 أكتوبر 2019 في الدعوى ضد شركة Planet49 (القضية رقم C-673/17). ما بدا في البداية مسألة هامشية من مسابقة عبر الإنترنت تحوّل إلى حكم مرجعي بشأن ما الذي يجعل موافقة الكوكيز صالحة أصلاً.
كانت وقائع القضية بسيطة: نظّمت Planet49 مسابقة عبر الإنترنت وعرضت على المشاركين مربعين. الأول — وكان معلَّمًا مسبقًا — يخص الموافقة على وضع كوكيز لأغراض إعلانية من قِبل شركاء إعلانيين. أما المربع الثاني، الذي كان يجب تعليمه بشكل منفصل، فيخص مشاركة البيانات الشخصية مع رعاة لأغراض إعلانية عبر الهاتف أو البريد الإلكتروني. من أراد المشاركة في المسابقة كان عليه أن يعلّم المربع الثاني بنفسه، لكن كان بإمكانه ترك المربع الأول — المعلَّم مسبقًا — كما هو دون أن يلاحظه بوعي أصلاً.
أحالت المحكمة الاتحادية الألمانية العليا (Bundesgerichtshof) هذا السؤال إلى محكمة العدل الأوروبية: هل يكفي مربع معلَّم مسبقًا ليُعد موافقة بمعنى توجيه ePrivacy؟ كانت إجابة المحكمة قاطعة: لا. تتطلب الموافقة فعلاً نشطًا وواعيًا من المستخدم — مربعًا يجب على المستخدم نفسه تعليمه للموافقة، لا مربعًا يتعيّن عليه إلغاء تعليمه لكي لا يوافق. الفرق بين «الموافقة النشطة» و«عدم الاعتراض» هو بالضبط الفرق الذي كان على المحك في تاريخ توجيه ePrivacy منذ عام 2009 — وأكدت محكمة العدل الأوروبية بذلك أن هذا التشديد كان مقصودًا فعلاً بجدية.
كانت هناك نقطة ثانية لافتة في الحكم: أوضحت محكمة العدل الأوروبية أن إلزامية الموافقة نفسها لا تتوقف على ما إذا كانت المعلومة المخزَّنة في الكوكيز تشكّل بيانات شخصية بمعنى GDPR أم لا. فتوجيه ePrivacy يحمي بالفعل الوصول إلى الجهاز الطرفي بحد ذاته — بصرف النظر عمّا يُخزَّن فيه من محتوى في النهاية. كان هذا توضيحًا مهمًا، لأن بعض مقدمي الخدمات كانوا قد جادلوا سابقًا بأن المعرّفات المستعارة أو التقنية البحتة لا تندرج أصلاً تحت إلزامية الموافقة.
ثالثًا، طلبت المحكمة أن يُبلَّغ المستخدمون قبل الموافقة، وبشكل محدد، بمدة عمل الكوكيز وما إذا كانت أطراف ثالثة تحصل على وصول إليها. لم تعد معلومة عامة وغامضة كافية منذ ذلك الحين — يجب أن تكون إفصاحات الكوكيز محددة بما يكفي كي يستطيع المستخدم فعليًا تقدير ما يوافق عليه.
كانت الآثار العملية للحكم ملموسة فورًا: اختفت المربعات المعلَّمة مسبقًا من لافتات الكوكيز الأوروبية، وأصبح يجب تفعيل أزرار «الموافقة» بنقرة حقيقية ومتعمدة، وأصبح تصنيف الكوكيز مع بيانات دقيقة عن الغرض والمدة ممارسة معيارية. راجعت هيئات حماية البيانات في عدة دول أعضاء إرشاداتها الخاصة مباشرة بعد صدور الحكم، وظل الحكم منذ ذلك الحين مرجعًا في عدد كبير من القضايا اللاحقة — بما في ذلك مسألة ما إذا كانت لافتة تجعل «الرفض» أصعب وصولاً عمدًا من «الموافقة» تخالف أيضًا شرط القرار الحر وغير الملتبس.
يُظهر حكم Planet49 بشكل نموذجي كيف تترجم قضية قضائية واحدة المتطلبات المجردة لنص قانوني إلى متطلبات تقنية ملموسة — ولماذا تبدو لافتة الكوكيز اليوم على النحو الذي هي عليه، بدلاً من الشكل الذي كان شائعًا قبل 2019.
من اللافت أيضًا مدى السرعة التي انتشر بها أثر هذا الحكم إلى ما هو أبعد من النزاع الأصلي نفسه: فرغم أنه لم يوضّح رسميًا سوى تفسير توجيه ePrivacy في نزاع قانوني ألماني محدد، فإن هيئات الرقابة في أنحاء أوروبا كلها اتخذت من هذا التوجه نفسه مرجعًا لها — وهو دليل على مدى قدرة حكم واحد من محكمة العدل الأوروبية على تشكيل الممارسة العملية إلى ما هو أبعد من حدود القضية الأصلية.