जैसा इस शृंखला की दूसरी कड़ी में बताया गया, ePrivacy एक निर्देश है, सीधे लागू होने वाला यूरोपीय संघ का कानून नहीं — हर सदस्य देश को इसे राष्ट्रीय कानून में ढालना था। जर्मनी को इसमें लंबे समय तक दिक्कत हुई, और यह इतिहास ख़ुद देखने लायक है, क्योंकि यह बताता है कि आज जर्मन कुकी बैनर एक ऐसे कानून का हवाला क्यों देते हैं जो 2021 के अंत से ही अस्तित्व में है।
2009 में ePrivacy निर्देश सख्त होने (रूपांतरण की समय-सीमा: 25 मई 2011) के बाद जर्मनी शुरुआत में मौजूदा टेलीमीडिया अधिनियम (TMG) पर टिका रहा। इसकी धारा 15(3) कुकी के विरुद्ध विरोध का अधिकार तो देती थी, पर भाषा अब भी 2009-पूर्व की पुरानी ऑप्ट-आउट सोच के क़रीब थी। संघीय सरकार वर्षों तक यह रुख़ अपनाए रही कि TMG निर्देश को पर्याप्त रूप से लागू करता है — एक रुख़ जिस पर डेटा संरक्षण अधिकारी, अदालतें और यूरोपीय आयोग सवाल उठाते रहे। इससे लंबे समय तक कानूनी अनिश्चितता बनी रही: कुछ वेबसाइटें सख्त यूरोपीय व्याख्या मानती थीं, कुछ कमज़ोर जर्मन स्थिति का सहारा लेती थीं।
यह अस्पष्टता तभी ख़त्म हुई जब टेलीकम्युनिकेशन-टेलीमीडिया डेटा प्रोटेक्शन अधिनियम (TTDSG) 1 दिसंबर 2021 को लागू हुआ। § 25 TTDSG ने अनुच्छेद 5(3) की ज़रूरतों को अब स्पष्ट रूप से जर्मन कानून में उतार दिया: अंतिम डिवाइस पर जानकारी सहेजना या पढ़ना केवल उपयोगकर्ता की सहमति से ही अनुमत है — एक संकीर्ण अपवाद के साथ उन उद्देश्यों के लिए जो किसी माँगी गई सुविधा के लिए तकनीकी रूप से बिल्कुल ज़रूरी हों। TTDSG ने दूरसंचार और टेलीमीडिया कानून को पहली बार एक ही स्वतंत्र अधिनियम में समेटा, बजाय कई अलग नियमों में बाँटने के।
मई 2024 में TTDSG का नाम बदलकर टेलीकम्युनिकेशन-डिजिटल-सर्विसेज़ डेटा प्रोटेक्शन अधिनियम (TDDDG) कर दिया गया — यह जर्मन कानून को यूरोपीय संघ के डिजिटल सर्विसेज़ एक्ट (DSA) के अनुरूप ढालने का हिस्सा था, जिसने डिजिटल सेवाओं और प्लेटफ़ॉर्म के लिए संघ-व्यापी नियम पेश किए। असली कुकी नियम में कुछ नहीं बदला: जो प्रावधान पहले § 25 TTDSG कहलाता था, वह अब उसी नंबर के साथ § 25 TDDDG है — बस उस अधिनियम का नाम बदला जिसमें यह शामिल है।
व्यवहार में इसका मतलब है: जर्मनी में कुकी बैनर आज आमतौर पर दो कानूनी बुनियादों का हवाला देता है — § 25 TDDDG इस सवाल के लिए कि क्या सहमति ज़रूरी है भी, और GDPR का अनुच्छेद 6 (अनुच्छेद 4(11) और 7 GDPR की ज़रूरतों के साथ) उसकी गुणवत्ता के लिए। इतिहास जानने वाला इसमें अनावश्यक दोहराव नहीं, बल्कि दो कानून देखता है जो अलग सवालों के जवाब देते हैं और एक-दूसरे पर टिके हैं — एक तरफ़ यूरोपीय निर्देश का राष्ट्रीय रूपांतरण, दूसरी तरफ़ सीधे लागू विनियम।
इस शृंखला की अगली कड़ी एक ठोस मामले की ओर मुड़ती है, जिसने वैध सहमति की ज़रूरतों को निर्णायक रूप से और तेज़ कर दिया: CJEU का Planet49 फ़ैसला।
वेबसाइट संचालक के लिए यह दोहरा हवाला महज़ औपचारिकता नहीं: यह दिखाता है कि विवाद में कौन-सा प्राधिकरण किस सवाल के लिए ज़िम्मेदार है। कुकी इस्तेमाल की अनुमति के सवाल — क्या सहमति ज़रूरी थी भी — § 25 TDDDG और इस तरह संबंधित राज्य के डेटा संरक्षण प्राधिकरण के अधिकार-क्षेत्र में आते हैं। सहमति की गुणवत्ता के सवाल, जैसे वह पर्याप्त सूचित थी या नहीं, GDPR के दायरे में आते हैं। व्यवहार में अक्सर वही प्राधिकरण दोनों जाँचते हैं, पर कानूनी आधार अलग रहता है — एक विवरण जो किसी आदेश को चुनौती देते समय अहम हो जाता है।