ملف تعريف الارتباط (الكوكيز) في جوهره ليس أكثر من ملف نصي صغير يخزّنه موقع إلكتروني في متصفح الزائر ويعيد قراءته في كل زيارة لاحقة. هذا في حد ذاته غير ضار تقنيًا على الإطلاق — فبدون هذه الآلية لن تتذكر أي سلة تسوّق ما بداخلها، ولن يبقى أي تسجيل دخول قائمًا من صفحة إلى أخرى. الكوكيز، بهذا الدور، هي ببساطة ذاكرة الويب.
تبدأ المشكلة عندما لا تعود الكوكيز تخص جلسة المستخدم وحدها، بل تجعله قابلاً للتعرف عليه عبر الزمن وعبر مواقع مختلفة. شبكة إعلانية تضع نفس الكوكيز على مئات المواقع يمكنها أن تبني من ذلك ملفًا كاملاً لتحركات الزائر — أي الصفحات يزورها، وكم مرة، ومتى. يحدث هذا كله بشكل غير مرئي: لا شيء في الصفحة نفسها يكشف أن عشرات الكوكيز من هذا النوع تُوضع في الخلفية.
هنا بالضبط تبدأ القاعدة الأوروبية التي نشأت منها لافتات الكوكيز: كل من يخزّن شيئًا على جهاز مستخدم أو يقرأ منه شيئًا لا يُعد ضروريًا للوظيفة التي طلبها المستخدم فعليًا، يحتاج إلى موافقة مسبقة على ذلك. وينطبق هذا بصرف النظر عمّا إذا كانت بيانات شخصية بالمعنى الضيق متضمَّنة أم لا — يكفي مجرد الوصول إلى الجهاز لتفعيل هذا الشرط. (أصل هذه القاعدة — ما يُعرف بتوجيه ePrivacy — هو موضوع المقال التالي في هذه السلسلة.)
من هذا ينشأ تمييز يمر عبر كل لافتة كوكيز مبنية بشكل صحيح: الكوكيز الضرورية من جهة — سلة التسوّق، جلسة تسجيل الدخول، وظائف الأمان، التي بدونها لا يعمل الموقع أصلاً — وكل شيء آخر من الجهة الأخرى: الإحصاءات، التخصيص، الإعلانات. المجموعة الأولى لا تحتاج إلى موافقة، لأن المشرّع يعتبرها شرطًا مسبقًا للخدمة المطلوبة نفسها. أما المجموعة الثانية فتحتاج إليها.
لافتة الكوكيز، في جوهرها، ليست أكثر من التطبيق العملي لهذا التمييز: فهي تُظهر للزائر ما ينوي الموقع فعله متجاوزًا الوظائف الضرورية، وتحصل على قرار واعٍ بشأن ذلك قبل أن يسري أي منه — قبل ذلك، لا بعده. لافتة لا تظهر إلا عند تحميل الصفحة الثانية، بينما يكون سكريبت تتبّع قد عمل بالفعل في الخلفية، لا تحقق غرضها مهما بدت أنيقة.
بهذا تصبح لافتة الكوكيز أكثر من مجرد عرض. عليها أن تكون قادرة على إثبات أن الموافقة أُعطيت فعلاً — متى، ومن قِبَل من (أو من أي متصفح)، ولأي غرض بالتحديد، وأن سحبها سهل تمامًا كما كان منحها. هذا العبء يقع على مشغّل الموقع، لا على الزائر: في حال النزاع، على المشغّل أن يُثبت وجود موافقة صالحة، لا أن يُثبت المستخدم أنه لم يمنحها.
هذا بالضبط ما يفسّر لماذا تبدو لافتات الكوكيز اليوم على النحو الذي هي عليه: بخيار رفض حقيقي يوازي القبول في الوزن، وبتصنيف حسب الفئات بدلاً من موافقة واحدة شاملة، وبسجلّ يعمل في الخلفية يوثّق بدقة ما حدث. لا شيء من ذلك عرضي أو شكليات مبالغ فيها — إنه نتيجة مباشرة لقاعدة أساسية واحدة: لا يحق الوصول إلى جهاز الغير إلا لمن يملك موافقة حقيقية ومستنيرة وفعّالة. كل شيء آخر يُبنى على هذه القاعدة الواحدة، وتتتبع المقالات التالية من هذه السلسلة أصلها في القانون الأوروبي والألماني بالتفصيل.