هر کس متن حقوقی روی بنر کوکی را بخواند، تقریباً همیشه دو قانون را در کنار هم میبیند: دستورالعمل ePrivacy (یا پیادهسازی ملی آن) و مقرره عمومی حفاظت از داده، یعنی GDPR. این نه یک سهو است و نه احتیاطی دوگانه از سر محافظهکاری — این دو قانون واقعاً به پرسشهای متفاوت اما بهشدت درهمتنیده پاسخ میدهند.
GDPR، که نام رسمی آن مقرره (EU) 2016/679 است، در 27 آوریل 2016 تصویب شد و پس از یک دوره گذار دوساله، در 25 مه 2018 در سراسر اتحادیه اروپا مستقیماً لازمالاجرا شد — چون یک مقرره است، برخلاف دستورالعمل، اصلاً نیازی به پیادهسازی ملی نداشت. این قانون بهطور کلی تعیین میکند که چگونه میتوان با دادههای شخصی برخورد کرد: هر پردازشی به چه مبنای حقوقی نیاز دارد، افراد مربوطه چه حقوقی دارند، و چه تعهداتی بر عهده مسئولان است.
در مقابل، دستورالعمل ePrivacy خاصتر است: تنها دسترسی به اطلاعات روی دستگاههای پایانی و ذخیره آنها را تنظیم میکند — فارغ از اینکه اصلاً داده شخصی به معنای GDPR در این میان مطرح باشد یا نه. دقیقاً به همین دلیل، برای فعال شدن الزام رضایت درباره یک کوکی، صرفِ دسترسی به دستگاه کافی است، حتی اگر اطلاعات ذخیرهشده بهتنهایی هویت کسی را مشخص نکند.
تعامل این دو قانون اینگونه است: دستورالعمل ePrivacy میگوید که برای کوکیهای غیرضروری رضایت لازم است. اما بهتفصیل نمیگوید چه چیزی رضایت را واقعاً معتبر میکند — این تعریف را GDPR ارائه میدهد. بر اساس ماده 4(11) GDPR، رضایت تنها زمانی معتبر است که آزادانه، برای یک مورد مشخص، آگاهانه و بدون ابهام داده شده باشد — از طریق یک اعلام یا یک عمل تأییدی روشن. یک چکباکس از پیش علامتخورده این شرط آخر را برآورده نمیکند، چون در آن هیچ اقدام فعالی از سوی کاربر وجود ندارد (توضیح بیشتر در مقاله مربوط به رأی Planet49).
از GDPR، الزامات دیگری هم میآید که امروز بخشی بدیهی از هر بنر کوکی بهشمار میروند: پس گرفتن رضایت باید به همان اندازه آسان باشد که دادن آن در آغاز بود (ماده 7(3))، و هر کس رضایت جمعآوری میکند باید در صورت اختلاف بتواند ثابت کند که رضایت واقعاً داده شده است (ماده 5(2)، اصل موسوم به پاسخگویی). همین الزام اثبات یکی از دلایلی است که صرفِ گفتن «احتمالاً کاربر کلیک کرده» کافی نیست — بدون ثبتی که زمان، دامنه و نسخه دقیق بنر نمایشدادهشده را ضبط کند، در صورت اختلاف چیزی برای استناد باقی نمیماند.
در عمل، این به این معناست که یک بنر کوکی باید همزمان دو قانون را برآورده کند، نه فقط یکی را. دستورالعمل ePrivacy خودِ رضایت را الزامی میکند، در حالی که GDPR کیفیت آن و تعهدات وابسته به آن را تعیین میکند — قابلیت پسگیری، قابلیت اثبات، آگاهانهبودن. بنری که رضایتی میگیرد اما آن را به شکلی قابلردیابی مستند نمیکند، شاید بهظاهر شرط ePrivacy را برآورده کند، اما همچنان GDPR را نقض میکند.
این مبنای دوگانه همچنین توضیح میدهد چرا GDPR تغییری بنیادین در رضایت کوکی ایجاد نکرد، هرچند اغلب به اشتباه خاستگاه بنرهای کوکی تلقی میشود — این مقرره 16 سال پس از دستورالعمل اصلی ePrivacy پدید آمد و صرفاً معیاری را که یک تعهد از پیش موجود با آن سنجیده میشود، دقیقتر کرد. اینکه این دو قانون اروپایی بهطور مشخص چگونه در آلمان به حقوق ملی ترجمه شدند، موضوع مقاله بعدی این مجموعه است.