यूरोप में कुकी बैनर के व्यवहार को शायद ही किसी और फ़ैसले ने इतनी सीधी तरह बदला हो, जितना CJEU के 1 अक्टूबर 2019 के फ़ैसले ने बदला — कंपनी Planet49 के ख़िलाफ़ मामले में (केस C-673/17)। जो शुरुआत में एक ऑनलाइन प्रतियोगिता से जुड़ा मामूली सवाल लग रहा था, वह वैध कुकी सहमति की परिभाषा तय करने वाला एक बुनियादी फ़ैसला बन गया।
मामला साधारण था: Planet49 ने एक ऑनलाइन प्रतियोगिता चलाई और प्रतिभागियों को दो बॉक्स दिखाए। एक — पहले से चेक किया हुआ — विज्ञापन साझेदारों द्वारा कुकी सेट करने की सहमति से जुड़ा था। दूसरा, जिसे अलग से चेक करना था, फ़ोन या ईमेल के ज़रिए प्रायोजकों को व्यक्तिगत डेटा देने से जुड़ा था। प्रतियोगिता में भाग लेने के लिए दूसरा बॉक्स सक्रिय रूप से चेक करना पड़ता था, पर पहला — पहले से चेक — बॉक्स बिना ध्यान दिए भी वैसा ही छूट सकता था।
जर्मनी की संघीय अदालत (Bundesgerichtshof) ने यह सवाल CJEU के सामने रखा: क्या ऐसा पहले से सक्रिय बॉक्स ePrivacy निर्देश के अर्थ में सहमति के रूप में काफ़ी है? जवाब स्पष्ट था: नहीं। सहमति के लिए उपयोगकर्ता की सक्रिय, सचेत कार्रवाई ज़रूरी है — एक बॉक्स जिसे उपयोगकर्ता ख़ुद सहमति के लिए चेक करे, न कि असहमति के लिए अनचेक करे। “सक्रिय सहमति” और “विरोध न करना” का यह फ़र्क़ ठीक वही है, जिस पर 2009 से ePrivacy निर्देश का इतिहास टिका था — और CJEU ने पुष्टि कर दी कि यह सख्ती सचमुच गंभीर थी।
दूसरी उल्लेखनीय बात: CJEU ने स्पष्ट किया कि सहमति-अनिवार्यता इस पर निर्भर नहीं करती कि कुकी में सहेजी जानकारी GDPR के अर्थ में व्यक्तिगत डेटा है या नहीं। ePrivacy निर्देश अंतिम डिवाइस तक पहुँच को स्वयं सुरक्षा देता है — चाहे अंत में उसमें कुछ भी सहेजा जाए। यह अहम स्पष्टीकरण था, क्योंकि कुछ सेवा प्रदाता पहले तर्क देते थे कि छद्म-नाम वाले या शुद्ध तकनीकी पहचानकर्ता सहमति-अनिवार्यता के दायरे में आते ही नहीं।
तीसरी बात, अदालत ने माँग की कि सहमति से पहले उपयोगकर्ताओं को कुकी की अवधि और तीसरे पक्षों की पहुँच के बारे में ठोस रूप से बताया जाए। तब से सामान्य, अस्पष्ट जानकारी काफ़ी नहीं — कुकी से जुड़े खुलासे इतने ठोस होने चाहिए कि उपयोगकर्ता वाकई आँक सके कि वह किसके लिए सहमति दे रहा है।
फ़ैसले के व्यावहारिक असर तुरंत दिखे: पहले से चेक बॉक्स यूरोपीय कुकी बैनर से ग़ायब हो गए, “स्वीकार करें” बटन अब असली, सोचे-समझे क्लिक से ही चालू होता था, और उद्देश्य व अवधि की ठोस जानकारी के साथ कुकी श्रेणीकरण मानक बन गया। कई देशों में डेटा संरक्षण प्राधिकरणों ने फ़ैसले के तुरंत बाद अपने दिशा-निर्देश फिर लिखे, और यह तब से अनगिनत मामलों में संदर्भ रहा है — जैसे इस सवाल पर कि क्या “अस्वीकार करें” को जान-बूझकर “स्वीकार करें” से मुश्किल बनाने वाला बैनर भी स्वतंत्र निर्णय की ज़रूरत का उल्लंघन करता है।
Planet49 इस बात की अच्छी मिसाल है कि कैसे एक अकेला अदालती मामला किसी कानूनी पाठ की अमूर्त माँगों को ठोस, तकनीकी ज़रूरतों में बदल देता है — और आज कुकी बैनर वैसा क्यों दिखता है, न कि जैसा 2019 से पहले दिखता था।
यह भी उल्लेखनीय है कि इसका असर मूल विवाद से कितनी तेज़ी से आगे फैला: भले ही औपचारिक रूप से इसने केवल एक जर्मन विवाद के लिए ePrivacy निर्देश की व्याख्या स्पष्ट की, पूरे यूरोप में निगरानी प्राधिकरणों ने ख़ुद को इसी दिशा में ढाल लिया — यह सबूत है कि CJEU का एक फ़ैसला मूल मामले की सीमा से कहीं आगे व्यवहार को कितनी गहराई से आकार दे सकता है।