जो कोई कुकी बैनर पर लिखा कानूनी पाठ पढ़ता है, उसे लगभग हमेशा दो कानून साथ दिखते हैं: ePrivacy निर्देश (या उसका राष्ट्रीय रूपांतरण) और जनरल डेटा प्रोटेक्शन रेगुलेशन, यानी GDPR। यह न चूक है, न सावधानी का दोहरा बचाव — दोनों कानून वाकई अलग, पर गहराई से जुड़े सवाल तय करते हैं।
GDPR, औपचारिक रूप से विनियम (EU) 2016/679, 27 अप्रैल 2016 को अपनाया गया और दो साल की संक्रमण अवधि के बाद 25 मई 2018 को पूरे यूरोपीय संघ में सीधे प्रभावी हो गया — विनियम होने के नाते इसे किसी राष्ट्रीय रूपांतरण की ज़रूरत नहीं थी। यह तय करता है कि व्यक्तिगत डेटा के साथ कैसा व्यवहार हो सकता है: किस प्रसंस्करण के लिए कौन-सा कानूनी आधार चाहिए, संबंधित व्यक्तियों के क्या अधिकार हैं, और उत्तरदायी पक्षों पर क्या दायित्व बनते हैं।
इसके मुक़ाबले ePrivacy निर्देश ज़्यादा विशिष्ट है: यह केवल अंतिम डिवाइस पर जानकारी तक पहुँच और उसकी सेव को तय करता है — भले ही इसमें GDPR के अर्थ में व्यक्तिगत डेटा शामिल हो या न हो। इसी वजह से किसी कुकी के लिए सहमति-अनिवार्यता तब भी लागू होती है जब केवल डिवाइस तक पहुँच बनाई जाती है, भले ही सहेजी गई जानकारी अपने आप में किसी की पहचान न बताए।
दोनों का तालमेल इस तरह काम करता है: ePrivacy निर्देश कहता है कि गैर-ज़रूरी कुकी के लिए सहमति ज़रूरी है, पर यह नहीं बताता कि वैध सहमति असल में किन बातों से बनती है — यह परिभाषा GDPR से आती है। अनुच्छेद 4(11) के अनुसार सहमति तभी वैध है जब वह स्वतंत्र रूप से, किसी निश्चित मामले के लिए, सूचित तरीके से और स्पष्ट रूप से दी गई हो — किसी वक्तव्य या स्पष्ट पुष्टिकारी कार्रवाई से। पहले से चेक किया बॉक्स इस आख़िरी शर्त को पूरा नहीं करता, क्योंकि उसमें उपयोगकर्ता की कोई सक्रिय कार्रवाई नहीं होती (अधिक विस्तार Planet49 फ़ैसले वाली कड़ी में)।
GDPR से ही कुछ और ज़रूरतें आती हैं, जो आज हर कुकी बैनर का स्वाभाविक हिस्सा हैं: सहमति वापस लेना उतना ही आसान होना चाहिए जितना उसे देना था (अनुच्छेद 7(3)), और सहमति लेने वाले को विवाद में यह साबित करने में सक्षम होना चाहिए कि सहमति वाकई दी गई थी (अनुच्छेद 5(2), उत्तरदायित्व सिद्धांत)। यही वजह है कि सिर्फ़ “उपयोगकर्ता ने शायद क्लिक किया होगा” कहना काफ़ी नहीं है — समय, दायरा और दिखाए गए बैनर का संस्करण दर्ज करने वाले रिकॉर्ड के बिना विवाद में कुछ भी साबित नहीं हो पाता।
व्यवहार में इसका मतलब है: कुकी बैनर को एक साथ दो कानून पूरे करने होते हैं, सिर्फ़ एक नहीं। ePrivacy निर्देश सहमति को अनिवार्य बनाता है, GDPR उसकी गुणवत्ता और जुड़े दायित्व तय करता है — वापसी, साबित करने की क्षमता, सूचित होना। जो बैनर सहमति ले तो लेता है पर उसे पता लगाने-योग्य तरीके से दर्ज नहीं करता, वह भले ही ePrivacy की शर्त औपचारिक रूप से पूरी कर दे, फिर भी GDPR का उल्लंघन करता है।
यह दोहरी बुनियाद यह भी बताती है कि GDPR ने कुकी सहमति में मूल रूप से कुछ नया क्यों नहीं जोड़ा, भले ही इसे अक्सर ग़लती से इसकी शुरुआत मान लिया जाता है — यह मूल ePrivacy निर्देश के 16 साल बाद आया और इसने बस उस मापदंड को तेज़ किया, जिससे पहले से मौजूद अनिवार्यता परखी जाती है। ये दोनों यूरोपीय कानून जर्मनी में ठोस रूप से कैसे राष्ट्रीय कानून बने, यह अगली कड़ी का विषय है।