कुकी सेट करने से पहले सहमति लेने की अनिवार्यता GDPR में नहीं है — यह उससे पुरानी है और एक अलग कानून, ePrivacy निर्देश (औपचारिक नाम: निर्देश 2002/58/EC) से आती है, जो इलेक्ट्रॉनिक संचार में व्यक्तिगत डेटा के प्रसंस्करण और निजता की सुरक्षा से जुड़ा है। यह 12 जुलाई 2002 को अपनाया गया, उस समय जब कुकी मुख्यतः लॉगिन सत्रों और साधारण व्यक्तिगतकरण के लिए इस्तेमाल होती थीं — कई साइटों पर ट्रैकिंग तकनीकी रूप से संभव तो था, पर अभी बड़े पैमाने की परिघटना नहीं बना था।
अपने मूल रूप में अनुच्छेद 5(3) की माँग बस इतनी थी कि उपयोगकर्ताओं को कुकी के बारे में सूचित किया जाए और विरोध का एक तरीका दिया जाए — यानी एक ऑप्ट-आउट व्यवस्था। जो कुछ नहीं करता था, उसे सहमति दे चुका मान लिया जाता था। व्यवहार में इसका मतलब अक्सर होता था: पेज पर कहीं छिपा एक छोटा नोटिस, जिसे शायद ही कोई पढ़ता, जबकि कुकी उस नोटिस पर ध्यान जाने से पहले ही सेट हो चुकी होती थीं।
यह 25 नवंबर 2009 के निर्देश 2009/136/EC से बदल गया, जिसने अनुच्छेद 5(3) को पूरी तरह नए सिरे से लिखा — बोलचाल में इसे “कुकी निर्देश” कहा जाता है, हालाँकि औपचारिक रूप से यह मूल ePrivacy निर्देश का एक संशोधन भर है। ऑप्ट-आउट मॉडल की जगह अब वास्तविक सहमति-अनिवार्यता ने ले ली: जो कुकी किसी स्पष्ट रूप से माँगी गई सेवा के लिए ज़रूरी नहीं, उन्हें अब केवल सूचित सहमति मिलने के बाद ही सेट किया जा सकता है — बाद में नहीं, चुपचाप तो बिल्कुल नहीं।
इस सख्ती की वजह 2000 के दशक में ऑनलाइन विज्ञापन बाज़ार का तेज़ विस्तार था: ट्रैकिंग कुकी पूरे बिज़नेस मॉडल की नींव बन गईं, और उपयोगकर्ता प्रोफ़ाइल ऐसे डेटा से बनने लगीं जो दस, बीस, सौ वेबसाइटों से इकट्ठा होता था — अक्सर संबंधित व्यक्ति की जानकारी के बिना। यूरोपीय कानून निर्माताओं ने सबूत का भार पलट दिया: अब उपयोगकर्ता को विरोध नहीं करना था, बल्कि वेबसाइट को सहमति लेनी थी।
यह समझना ज़रूरी है कि ePrivacy एक निर्देश है, विनियम जैसा सीधे लागू होने वाला यूरोपीय संघ का कानून नहीं। निर्देश एक लक्ष्य तय करते हैं, जिसे हर सदस्य देश को राष्ट्रीय कानून में उतारना होता है — और यही रूपांतरण वर्षों तक असली समस्या बना रहा। समय-सीमा 25 मई 2011 को खत्म हुई, पर कई देशों — जर्मनी सहित — ने नई अनिवार्यता या तो हिचकिचाते हुए अपनाई, या ऐसे रूप में जो पुरानी ऑप्ट-आउट सोच के क़रीब रहा। जर्मनी ने यह समस्या आख़िरकार कैसे सुलझाई, यह इसी शृंखला की एक अलग कड़ी में है।
आज भी कुकी सहमति की असली कानूनी बुनियाद ePrivacy निर्देश ही है — GDPR नहीं, जो 2018 में प्रभावी हुआ और एक अलग, पर निकट से जुड़ा विषय तय करता है: व्यक्तिगत डेटा से जुड़ा सामान्य व्यवहार। दोनों कानून एक-दूसरे में गुँथे हैं, और यह तालमेल अगली कड़ी का विषय है।
एक प्रस्तावित उत्तराधिकारी, ePrivacy विनियम, मूल रूप से इस निर्देश की जगह लेने वाला था और बिना राष्ट्रीय रूपांतरण के सीधे लागू होना था। यह वर्षों से यूरोपीय संघ की संस्थाओं के बीच बातचीत में अटका है और अब तक पारित नहीं हुआ — तब तक 2002/2009 वाला निर्देश ही निर्णायक बुनियाद बना रहेगा।
वेबसाइट संचालकों के लिए यह पूर्व-इतिहास इसलिए सार्थक है क्योंकि यह बताता है कि कुकी सहमति किसी एक घोटाले की प्रतिक्रिया में नहीं, बल्कि वर्षों में विकसित हुई एक प्रथा के चरणबद्ध जवाब के रूप में पैदा हुई। 2009 का नियम कोई झटका नहीं था, बल्कि 2002 में तय किए गए एक बुनियादी विचार की निरंतरता था — किसी और के डिवाइस तक पहुँच कोई तटस्थ तकनीकी प्रक्रिया नहीं, बल्कि एक हस्तक्षेप है, जिसे उचित ठहराना ज़रूरी है।