कुकी सहमति-अनिवार्यता का उल्लंघन कोई काल्पनिक ख़तरा नहीं है — कई यूरोपीय संघ देशों में डेटा संरक्षण प्राधिकरणों ने पिछले वर्षों में बार-बार और काफ़ी बड़ी रकम के जुर्माने लगाए हैं। इसका कानूनी आधार GDPR के अनुच्छेद 83(5) से मिलता है: गंभीर उल्लंघनों पर 20 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 4 प्रतिशत तक जुर्माना लगाया जा सकता है, जो भी रकम ज़्यादा हो — भले ही असली वजह, जैसा कि पिछली कड़ियों में बताया गया, औपचारिक रूप से ePrivacy निर्देश या उसके राष्ट्रीय रूपांतरण से आती हो।
सबसे जाने-माने उदाहरणों में से एक फ्रांस के डेटा संरक्षण प्राधिकरण CNIL से जुड़ा है: दिसंबर 2020 में इसने Google पर कुल €100 मिलियन और Amazon पर €35 मिलियन का जुर्माना लगाया, क्योंकि दोनों कंपनियों ने उपयोगकर्ताओं की सहमति मिलने से पहले ही विज्ञापन कुकी सेट कर दी थीं। जनवरी 2022 में Google पर एक और जुर्माना लगा — €150 मिलियन — साथ ही Facebook (अब Meta) पर €60 मिलियन का, इस बार इसलिए क्योंकि उनकी वेबसाइटों पर कुकी अस्वीकार करना स्वीकार करने के मुक़ाबले काफ़ी ज़्यादा मुश्किल बना दिया गया था: स्वीकार करने के लिए एक क्लिक काफ़ी था, जबकि अस्वीकार करने के लिए कई मेनू से गुज़रना पड़ता था। CNIL ने इसे इस ज़रूरत का उल्लंघन माना कि सहमति देने जितना ही आसान उसे अस्वीकार करना भी होना चाहिए।
अन्य डेटा संरक्षण प्राधिकरण भी सक्रिय हुए, हालाँकि आमतौर पर छोटी और मझोली कंपनियों के ख़िलाफ़ कम रकम के साथ: कुकी की श्रेणी न बताना, तीसरे पक्ष की ऐसी स्क्रिप्ट जो बैनर से किसी भी बातचीत से पहले ही लोड हो जाती थीं, या ऐसा “अस्वीकार करें” बटन जो सिरे से मौजूद ही नहीं था और विज़िटरों को स्वीकार करने पर मजबूर करता था क्योंकि कोई वास्तविक विकल्प था ही नहीं। यह आख़िरी बिंदु — यानी बराबर वज़न वाले अस्वीकार-विकल्प के बिना बैनर — जाँच में सबसे आम शिकायतों में गिना जाता है, क्योंकि यह Planet49 फ़ैसले से पुष्ट हुई स्वतंत्र निर्णय की ज़रूरत के सीधे ख़िलाफ़ जाता है।
जाँच के दौरान डेटा संरक्षण प्राधिकरण असल में क्या परखना चाहते हैं, यह इन मामलों और प्राधिकरणों के प्रकाशित दिशा-निर्देशों से समझा जा सकता है: क्या गैर-ज़रूरी कुकी एक सक्रिय सहमति के बाद ही सेट की गईं, पहले नहीं? क्या अस्वीकार करने का कोई वास्तविक, बराबर तरीक़े से प्रस्तुत विकल्प था? क्या श्रेणियाँ और उद्देश्य पर्याप्त ठोस रूप से बताए गए थे? और — किसी ठोस विवाद में अक्सर सबसे निर्णायक बिंदु — क्या वेबसाइट संचालक बाद में भी यह साबित कर सकता है कि किसी ख़ास समय पर वाकई एक निश्चित सहमति दी गई थी?
यही आख़िरी बिंदु व्यवहार में अक्सर कम आँका जाता है। एक तकनीकी रूप से बेदाग़ बैनर का बहुत कम फ़ायदा है, अगर किसी विवाद में — जैसे किसी शिकायत के बाद या किसी नमूना-जाँच में — यह दिखाने वाला कोई रिकॉर्ड ही न बचा हो कि सहमति दी गई थी और ठीक-ठीक कैसे दी गई थी। GDPR के अनुच्छेद 5(2) से आने वाला उत्तरदायित्व दायित्व वेबसाइट संचालक पर होता है, विज़िटर पर नहीं: संदेह की स्थिति में उसे साबित करना होता है, उपयोगकर्ता को यह ग़लत साबित करने की ज़रूरत नहीं होती।
अधिकतर छोटी और मझोली वेबसाइटों के लिए ऊपर बताए गए मामलों जैसी रकम का जुर्माना लगने की संभावना कम है — व्यवहार में प्राधिकरण बड़ी पहुँच वाली, बार-बार होने वाले उल्लंघनों वाली या लक्षित शिकायतों वाली कंपनियों पर ध्यान केंद्रित करते हैं। लेकिन इससे बुनियादी सिद्धांत नहीं बदलता: एक सूचित, सक्रिय और दर्ज की गई सहमति कोई औपचारिकता नहीं है, बल्कि वह इकलौती बुनियाद है जिस पर कुकी बैनर सचमुच अपना उद्देश्य पूरा करता है।