الزام به گرفتن رضایت پیش از قرار دادن کوکی در GDPR نیامده — این الزام قدیمیتر است و از قانونی دیگر میآید: دستورالعمل ePrivacy، که نام رسمی آن دستورالعمل 2002/58/EC درباره پردازش دادههای شخصی و حفاظت از حریم خصوصی در ارتباطات الکترونیکی است. این دستورالعمل در 12 ژوئیه 2002 تصویب شد، زمانی که کوکیها عمدتاً برای نشستهای ورود و شخصیسازی ساده به کار میرفتند — ردیابی میان چند وبسایت از نظر فنی ممکن بود، اما هنوز پدیدهای گسترده نبود.
در صورت اصلی خود، ماده 5(3) این دستورالعمل چیز چندانی بیش از اطلاعرسانی به کاربران درباره کوکی و دادن امکان اعتراض نمیخواست — یعنی یک مدل انصراف اختیاری (opt-out). هر کس کاری نمیکرد، گویی بهطور ضمنی رضایت داده بود. در عمل، این اغلب یعنی یک اعلان کوچک در گوشهای از صفحه که تقریباً کسی نمیخواند، در حالی که کوکیها پیش از آنکه کسی متوجه آن اعلان شود، از قبل قرار گرفته بودند.
این وضعیت با دستورالعمل 2009/136/EC مورخ 25 نوامبر 2009 تغییر کرد، که ماده 5(3) را از پایه بازنویسی کرد — در گفتار عمومی به «دستورالعمل کوکی» معروف است، هرچند رسماً فقط اصلاحیهای بر دستورالعمل اصلی ePrivacy است. مدل انصراف اختیاری جای خود را به الزام رضایت واقعی داد: کوکیهایی که برای ارائه خدمتی که کاربر صراحتاً درخواست کرده ضروری نیستند، از آن پس تنها پس از رضایت آگاهانه کاربر قابل قرار گرفتناند — نه پس از آن، و نه خاموش.
دلیل این سختگیری، رشد سریع بازار تبلیغات آنلاین در دهه 2000 بود: کوکیهای ردیابی پایه مدلهای کسبوکار کامل شدند، و نمایههای کاربری از دادههایی ساخته میشد که در ده، بیست، حتی صد وبسایت مختلف جمع میشد — اغلب بدون آنکه افراد مربوطه حتی باخبر باشند. قانونگذار اروپایی با معکوسکردن بار اثبات واکنش نشان داد: دیگر کاربر نبود که باید اعتراض میکرد، بلکه وبسایت بود که باید رضایت میگرفت.
برای درک درست، باید توجه داشت که دستورالعمل ePrivacy یک دستورالعمل است، نه حقوقی از اتحادیه اروپا که مانند یک مقرره مستقیماً لازمالاجرا باشد. دستورالعملها هدفی تعیین میکنند که هر کشور عضو باید در حقوق ملی خود پیاده کند — و دقیقاً همین پیادهسازی سالها مشکل اصلی بود. مهلت پیادهسازی در 25 مه 2011 پایان یافت، اما بسیاری از کشورهای عضو — از جمله آلمان — الزام رضایت جدید را یا با تردید، یا در شکلی نزدیک به منطق قدیمیِ انصراف اختیاری، پذیرفتند. اینکه آلمان سرانجام چگونه این مشکل را حل کرد، موضوع مقالهای جداگانه در همین مجموعه است.
تا به امروز، دستورالعمل ePrivacy همچنان مبنای حقوقی واقعی برای خودِ رضایت کوکی است — نه GDPR، که تازه در سال 2018 لازمالاجرا شد و موضوعی متفاوت، هرچند نزدیک به این، را تنظیم میکند: نحوه برخورد با دادههای شخصی بهطور کلی. این دو قانون در هم تنیدهاند، و دقیقاً همین تعامل موضوع مقاله بعدی است.
قرار بود جانشینی که برای آن برنامهریزی شده بود، یعنی مقرره ePrivacy، در اصل جایگزین این دستورالعمل شود و بهعنوان حقوقی مستقیماً لازمالاجرا بدون نیاز به پیادهسازی ملی به اجرا درآید. این مقرره سالهاست میان نهادهای اتحادیه اروپا در حال مذاکره است و هنوز تصویب نشده — تا زمانی که چنین شود، همان دستورالعمل 2002/2009 مبنای معتبر باقی میماند.
برای گردانندگان وبسایت، نگاهی به این پیشزمینه تاریخی ارزشمند است، زیرا نشان میدهد چرا رضایت کوکی نه واکنشی به یک رسوایی منفرد، بلکه پاسخی گامبهگام به رویهای بود که در طول سالها شکل گرفته بود. قاعده سال 2009 غافلگیرکننده نبود، بلکه ادامه منطقی ایدهای بنیادین بود که از پیش در سال 2002 صورتبندی شده بود — دسترسی به دستگاه دیگری یک فرایند فنیِ خنثی نیست، بلکه مداخلهای است که به توجیه نیاز دارد.