کوکی در اصل چیزی جز یک فایل متنی کوچک نیست که یک وبسایت در مرورگر بازدیدکننده ذخیره میکند و در هر بازدید بعدی دوباره میخواند. این کار بهخودیخود از نظر فنی کاملاً بیضرر است — بدون این سازوکار، هیچ سبد خریدی به یاد نمیآورد چه چیزی درون آن است و هیچ ورودی به حساب کاربری از یک صفحه به صفحه بعد ادامه نمییابد. کوکیها در این نقش، چیزی جز حافظه وب نیستند.
مشکل از جایی شروع میشود که کوکی دیگر فقط نشست خود کاربر را حمل نکند، بلکه او را در طول زمان و در وبسایتهای مختلف قابلشناسایی کند. یک شبکه تبلیغاتی که همان کوکی را روی صدها سایت قرار میدهد، میتواند از همین راه یک نمایه کامل از حرکات کاربر بسازد — چه صفحاتی را، چند بار و چه زمانی بازدید میکند. همه اینها نامرئی رخ میدهد: چیزی در ظاهر صفحه نشان نمیدهد که در پسزمینه دهها کوکی از این دست در حال قرار گرفتن است.
دقیقاً همینجاست که قاعده اروپاییای که بنرهای کوکی از آن سرچشمه گرفتهاند وارد میشود: هر کسی که چیزی روی دستگاه کاربر ذخیره کند یا از آن بخواند که برای عملکردی که کاربر واقعاً درخواست کرده ضروری نیست، از پیش به رضایت نیاز دارد. این مسئله فارغ از این است که آیا دادههای شخصی به معنای محدود کلمه در این میان دخیل هستند یا نه — صرفِ دسترسی به دستگاه برای فعال شدن این الزام کافی است. (منشأ این قاعده — موسوم به دستورالعمل ePrivacy — موضوع مقاله بعدی این مجموعه است.)
از اینجا تمایزی پدید میآید که در دل هر بنر کوکی درستساختهشدهای جریان دارد: کوکیهای ضروری از یک سو — سبد خرید، نشست ورود به حساب، کارکردهای امنیتی، که بدون آنها سایت اصلاً کار نمیکند — و همه چیز دیگر از سوی دیگر: آمار و تحلیل، شخصیسازی، تبلیغات. گروه نخست به رضایت نیازی ندارد، چون قانونگذار آن را پیششرط همان خدمتی میداند که درخواست شده است. گروه دوم چرا.
بنر کوکی در نهایت چیزی جز اجرای عملی همین تمایز نیست: به بازدیدکننده نشان میدهد سایت فراتر از کارکردهای ضروری قصد چه کاری دارد، و پیش از آنکه هرکدام از آنها اثر بگذارد — نه بعد، بلکه پیش از آن — یک تصمیم آگاهانه میگیرد. بنری که تنها در بار دوم باز شدن صفحه ظاهر میشود، در حالی که یک اسکریپت ردیابی از قبل در پسزمینه اجرا شده، هدفش را برآورده نمیکند، هرقدر هم که ظاهری مرتب داشته باشد.
با این حساب، بنر کوکی چیزی بیش از یک نمایش صرف است. باید بتواند ثابت کند که رضایت واقعاً داده شده — چه زمانی، توسط چه کسی (یا چه مرورگری)، دقیقاً برای چه چیزی، و اینکه پسگرفتن آن به همان اندازه آسان است که دادنش بود. این بار اثبات بر دوش گرداننده وبسایت است، نه بازدیدکننده: در صورت اختلاف، این گرداننده سایت است که باید نشان دهد رضایت معتبری وجود داشته، نه کاربر که باید ثابت کند رضایتی نداده است.
دقیقاً همین است که توضیح میدهد چرا بنرهای کوکی امروز به همین شکل هستند: با یک گزینه رد واقعی که از نظر وزن با پذیرش برابر است، با تفکیک بر اساس دستهبندی بهجای یک «بله» یکپارچه، و با ثبتی در پسزمینه که دقیقاً آنچه رخ داده را ضبط میکند. هیچکدام از اینها تصادفی یا صورتگرایی افراطی نیست — نتیجه مستقیم یک قاعده بنیادین است: دسترسی به دستگاه دیگری فقط از آنِ کسی است که رضایتی واقعی، آگاهانه و فعال برای آن دارد. همه چیز دیگر بر همین یک قاعده بنا شده، و مقالههای بعدی این مجموعه ریشه آن را در حقوق اروپا و آلمان بهتفصیل پی میگیرند.