کمتر حکمی به همان اندازه مستقیم رویه بنرهای کوکی در اروپا را تغییر داده که رأی دیوان دادگستری اتحادیه اروپا (CJEU) مورخ 1 اکتبر 2019 در پرونده علیه شرکت Planet49 (پرونده شماره C-673/17). آنچه در نگاه نخست مسئلهای فرعی از یک قرعهکشی آنلاین به نظر میرسید، به رأیی مرجع درباره اینکه چه چیزی رضایت معتبر برای کوکی را میسازد بدل شد.
واقعیت پرونده چندان چشمگیر نبود: Planet49 یک قرعهکشی آنلاین برگزار کرد و دو چکباکس به شرکتکنندگان نشان داد. یکی — از پیش علامت خورده — به رضایت برای قرار دادن کوکی برای اهداف تبلیغاتی توسط شرکای تبلیغاتی مربوط میشد. چکباکس دیگر، که باید جداگانه علامت زده میشد، به اشتراکگذاری دادههای شخصی با حامیان مالی برای تبلیغ از طریق تلفن یا ایمیل مربوط بود. هر کس میخواست شرکت کند، باید چکباکس دوم را فعالانه علامت میزد، اما میتوانست چکباکس اول را همانطور رها کند، بدون آنکه حتی متوجه آن شود.
دیوان عالی فدرال آلمان (Bundesgerichtshof) این پرسش را به دیوان دادگستری اتحادیه اروپا ارجاع داد: آیا چنین چکباکسی که از پیش فعال شده، برای شمردهشدن بهعنوان رضایت به معنای دستورالعمل ePrivacy کافی است؟ پاسخ روشن بود: خیر. رضایت مستلزم یک اقدام فعال و آگاهانه از سوی کاربر است — چکباکسی که کاربر باید خودش برای موافقت علامت بزند، نه چکباکسی که باید علامتش را برای عدمِ موافقت بردارد. تفاوت میان «فعالانه موافقت کردن» و «اعتراض نکردن» دقیقاً همان تفاوتی است که از سال 2009 در تاریخچه دستورالعمل ePrivacy مطرح بود — و دیوان با این حکم تأیید کرد که این سختگیری واقعاً جدی گرفته شده بود.
نکته دوم قابلتوجه این بود: دیوان روشن کرد که خودِ الزام رضایت به این بستگی ندارد که اطلاعات ذخیرهشده در کوکی داده شخصی به معنای GDPR باشد یا نه. دستورالعمل ePrivacy از پیش دسترسی به دستگاه پایانی را فینفسه حفاظت میکند — فارغ از اینکه در نهایت چه چیزی در آن ذخیره میشود. این توضیحی مهم بود، چون برخی ارائهدهندگان پیشتر استدلال کرده بودند که شناسههای مستعار یا صرفاً فنی زیر پوشش الزام رضایت قرار نمیگیرند.
سوم، دیوان خواستار آن شد که کاربران پیش از رضایت، بهطور مشخص از مدت فعالبودن کوکیها و دسترسی احتمالی اشخاص ثالث آگاه شوند. از آن پس، اطلاعات کلی و مبهم دیگر کافی نیست — توضیحات کوکی باید آنقدر مشخص باشند که کاربر واقعاً بتواند ارزیابی کند به چه چیزی رضایت میدهد.
پیامدهای عملی این رأی بلافاصله محسوس شد: چکباکسهای ازپیشعلامتخورده از بنرهای کوکی اروپایی محو شدند، دکمههای «پذیرش» باید با یک کلیک واقعی و آگاهانه فعال میشدند، و دستهبندی کوکیها با اطلاعات دقیق درباره هدف و مدت به رویه استاندارد تبدیل شد. نهادهای حفاظت از داده در چند کشور عضو بلافاصله پس از این رأی دستورالعملهای خود را بازنگری کردند، و از آن زمان این رأی مرجع شمار زیادی از پروندههای بعدی بوده — از جمله در پرسش اینکه آیا بنری که «رد» را عمداً دشوارتر از «پذیرش» میسازد نیز الزام تصمیمی آزاد و بدون ابهام را نقض میکند.
Planet49 بهشکلی نمونهوار نشان میدهد که چگونه یک پرونده قضایی واحد الزامات انتزاعی یک متن قانونی را به الزاماتی فنی و ملموس ترجمه میکند — و چرا بنر کوکی امروز به همین شکل است، نه به شکلی که پیش از 2019 معمول بود.
همچنین جالب توجه است که تأثیر این رأی با چه سرعتی فراتر از خودِ پرونده اصلی گسترش یافت: هرچند رسماً فقط تفسیر دستورالعمل ePrivacy را برای یک اختلاف حقوقی مشخص آلمانی روشن کرد، نهادهای نظارتی در سراسر اروپا خود را با همین خط مشی هماهنگ کردند — گواهی بر اینکه یک رأی واحد از دیوان دادگستری اتحادیه اروپا چقدر میتواند فراتر از مرزهای پرونده اصلی بر رویه عملی تأثیر بگذارد.