कुकी असल में एक छोटी टेक्स्ट फ़ाइल से ज़्यादा कुछ नहीं है, जिसे कोई वेबसाइट विज़िटर के ब्राउज़र में सहेजती है और हर अगली विज़िट पर वापस पढ़ लेती है। यह तकनीकी रूप से हानिरहित है — इस तंत्र के बिना न कोई शॉपिंग कार्ट याद रख पाती कि उसमें क्या है, न कोई लॉगिन एक पेज से दूसरे तक बना रहता। इस भूमिका में कुकी बस वेब की स्मृति हैं।
समस्या तब शुरू होती है जब कोई कुकी सिर्फ़ सत्र तक सीमित न रहकर किसी व्यक्ति को समय के साथ और अलग-अलग वेबसाइटों पर पहचानने योग्य बना देती है। कोई विज्ञापन नेटवर्क, जो सैकड़ों साइटों पर एक ही कुकी सेट करता है, इसी से किसी की गतिविधि की पूरी तस्वीर बना सकता है — कौन-से पेज कितनी बार और कब देखे गए। यह सब अदृश्य रूप से होता है: पेज देखकर पता नहीं चलता कि पृष्ठभूमि में दर्जनों ऐसी कुकी सेट हो रही हैं।
ठीक यहीं से वह यूरोपीय नियम शुरू होता है, जिससे कुकी बैनर की शुरुआत हुई: जो कोई किसी उपयोगकर्ता के डिवाइस पर कुछ सहेजता या वहाँ से पढ़ता है, जो अनुरोधित कार्य के लिए ज़रूरी नहीं, उसे पहले सहमति लेनी होगी। यह इस बात से स्वतंत्र है कि इसमें संकीर्ण अर्थ में व्यक्तिगत डेटा शामिल है या नहीं — डिवाइस तक पहुँच बनाना ही इसके लिए काफी है। (यह नियम कहाँ से आया — ePrivacy निर्देश से — इस शृंखला की अगली कड़ी का विषय है।)
इससे एक भेद उभरता है, जो हर सही ढंग से बने कुकी बैनर से गुज़रता है: एक तरफ़ ज़रूरी कुकी — शॉपिंग कार्ट, लॉगिन सत्र, सुरक्षा कार्य, जिनके बिना साइट काम ही नहीं करती — और दूसरी तरफ़ बाकी सब: आँकड़े, व्यक्तिगतकरण, विज्ञापन। पहले समूह के लिए सहमति ज़रूरी नहीं, क्योंकि कानून इसे अनुरोधित सेवा की शर्त मानता है। दूसरे समूह के लिए ज़रूरी है।
कुकी बैनर मूलतः इसी भेद का व्यावहारिक क्रियान्वयन भर है: यह विज़िटर को दिखाता है कि साइट ज़रूरी कार्यों से आगे क्या करने वाली है, और असर होने से पहले — बाद में नहीं — एक सचेत निर्णय लेता है। जो बैनर दूसरी बार पेज खुलने पर दिखता है, जबकि ट्रैकिंग स्क्रिप्ट पृष्ठभूमि में पहले ही लोड हो चुकी है, वह अपना उद्देश्य पूरा नहीं करता, चाहे वह देखने में कितना भी सुंदर हो।
इस तरह कुकी बैनर सिर्फ़ एक दिखावटी सूचना से कहीं ज़्यादा है। इसे यह साबित करने में सक्षम होना चाहिए कि सहमति वाकई दी गई थी — कब, किसके द्वारा (या किस ब्राउज़र से), किस चीज़ के लिए, और यह कि उसे वापस लेना उतना ही आसान है जितना उसे देना। यह दायित्व विज़िटर पर नहीं, वेबसाइट संचालक पर होता है: विवाद में उसे दिखाना होता है कि वैध सहमति थी, न कि उपयोगकर्ता को साबित करना होता है कि उसने सहमति नहीं दी।
यही वजह है कि आज कुकी बैनर वैसे ही दिखते हैं: स्वीकृति जितना ही वज़नदार एक वास्तविक अस्वीकार विकल्प, एक सामान्य “हाँ” की बजाय श्रेणियों में विभाजन, और पृष्ठभूमि में चलता एक रिकॉर्ड, जो दर्ज करता है कि क्या हुआ। यह न संयोग है, न अनावश्यक औपचारिकता — यह एक ही बुनियादी नियम का सीधा परिणाम है: किसी और के डिवाइस तक पहुँच केवल उसी को मिलती है जिसके पास वास्तविक, सूचित, सक्रिय सहमति है। बाकी सब इसी नियम पर टिका है, और अगली कड़ियाँ इसके यूरोपीय और जर्मन कानून में मूल की पड़ताल करती हैं।