همانطور که در مقاله دوم این مجموعه گفته شد، دستورالعمل ePrivacy یک دستورالعمل است، نه حقوقی از اتحادیه اروپا که مستقیماً لازمالاجرا باشد — هر کشور عضو باید آن را در حقوق ملی خود پیاده میکرد. آلمان مدتها با این مسئله دستوپنجه نرم کرد، و همین تاریخچه ارزش نگاهی جداگانه دارد، چون توضیح میدهد چرا بنرهای کوکی آلمانی امروز به قانونی استناد میکنند که تنها از پایان سال 2021 وجود دارد.
پس از سختگیری دستورالعمل ePrivacy در سال 2009 (با مهلت پیادهسازی 25 مه 2011)، آلمان ابتدا به قانون رسانههای ارتباطی موجود (TMG) پایبند ماند. بند 15(3) آن حق اعتراض به کوکی را پیشبینی میکرد، اما صورتبندیاش همچنان به منطق قدیمیِ انصراف اختیاری پیش از 2009 نزدیک بود، نه الزام رضایت جدید. دولت فدرال سالها بر این موضع پافشاری کرد که TMG از قبل بهقدر کافی این دستورالعمل را پیاده کرده — موضعی که بهتدریج از سوی نهادهای حفاظت از داده، دادگاهها و کمیسیون اروپا زیر سؤال رفت. در عمل، این وضعیت مدتها عدم قطعیت حقوقی به همراه داشت: برخی وبسایتها از تفسیر سختگیرانهتر اروپایی پیروی میکردند، برخی دیگر به وضعیت حقوقی ضعیفتر آلمان تکیه میکردند.
این ابهام تنها با قانون حفاظت از داده در مخابرات و رسانههای ارتباطی (TTDSG) پایان یافت، که در 1 دسامبر 2021 لازمالاجرا شد. § 25 TTDSG الزامات ماده 5(3) دستورالعمل ePrivacy را اکنون صریح و بیابهام وارد حقوق آلمان کرد: ذخیره اطلاعات روی دستگاههای پایانی یا دسترسی به آنها تنها با رضایت کاربر مجاز است — با استثنایی محدود برای اهدافی که از نظر فنی برای عملکردی که کاربر صراحتاً درخواست کرده ضروریاند. TTDSG همچنین برای نخستینبار حقوق مخابرات و رسانههای ارتباطی را در یک قانون مستقل واحد گرد هم آورد، بهجای پخششدن میان چند چارچوب جداگانه.
در مه 2024، نام TTDSG به قانون حفاظت از داده در مخابرات و خدمات دیجیتال (TDDDG) تغییر یافت — بخشی از تطبیق حقوق آلمان با قانون خدمات دیجیتال اتحادیه اروپا (DSA)، که قواعدی در سطح اتحادیه اروپا برای خدمات و پلتفرمهای دیجیتال معرفی کرد. در خودِ قاعده کوکی چیزی تغییر نکرد: مقررهای که پیشتر § 25 TTDSG نامیده میشد، از آن پس با همان شماره § 25 TDDDG نامیده میشود — تنها نام قانونی که این ماده در دل آن جای دارد عوض شد.
در عمل، این یعنی یک بنر کوکی در آلمان امروز معمولاً همزمان به دو مبنای حقوقی استناد میکند: § 25 TDDDG برای این پرسش که آیا اصلاً رضایت لازم است، و ماده 6 GDPR (همراه با الزامات ماده 4(11) و ماده 7 GDPR) برای کیفیت آن رضایت. کسی که این تاریخچه را میداند، در این کار دوگانگی بیمورد نمیبیند، بلکه دو قانون میبیند که به دو پرسش متفاوت پاسخ میدهند و بر یکدیگر بنا شدهاند — از یک سو پیادهسازی ملیِ یک دستورالعمل اروپایی، و از سوی دیگر مقررهای اروپایی که مستقیماً لازمالاجرا است.
مقاله بعدی این مجموعه به پروندهای مشخص میپردازد که الزامات مربوط به رضایت معتبر را بهطور تعیینکنندهای سختتر کرد: رأی دیوان دادگستری اتحادیه اروپا (CJEU) در پرونده Planet49.
برای گرداننده یک وبسایت، این استناد دوگانه چیزی بیش از صورتگرایی حقوقی است: نشان میدهد در صورت اختلاف، کدام نهاد مسئول کدام پرسش است. پرسشهای مربوط به مجاز بودن خودِ استفاده از کوکی — یعنی اینکه آیا اصلاً رضایت لازم بوده — زیر چتر § 25 TDDDG قرار میگیرند و در حیطه اختیار نهاد حفاظت از داده ایالت مربوطه جای میگیرند. پرسشهای مربوط به کیفیت رضایت دادهشده، مثلاً آگاهانه بودن کافی، زیر چتر GDPR قرار میگیرند. در عمل معمولاً همان نهادها هر دو را با هم بررسی میکنند، اما مبنای حقوقی متفاوت باقی میماند — جزئیاتی که دقیقاً هنگام اعتراض به یک تصمیم اهمیت پیدا میکند.