Pelanggaran terhadap kewajiban persetujuan cookie bukanlah risiko yang bersifat teoretis — otoritas perlindungan data di berbagai negara UE telah berulang kali menjatuhkan denda dalam jumlah yang cukup besar selama beberapa tahun terakhir. Kerangka hukumnya berasal dari Pasal 83(5) GDPR: untuk pelanggaran berat, denda dapat mencapai hingga 20 juta euro atau hingga 4 persen dari omzet tahunan global, tergantung mana yang lebih tinggi — meskipun pemicu sesungguhnya, seperti dijelaskan pada artikel-artikel sebelumnya, secara formal berasal dari Direktif ePrivacy atau penerapan nasionalnya.
Salah satu contoh paling terkenal berasal dari otoritas perlindungan data Prancis, CNIL: pada Desember 2020, otoritas ini menjatuhkan denda kepada Google sebesar total 100 juta euro dan kepada Amazon sebesar 35 juta euro, karena kedua perusahaan tersebut telah memasang cookie iklan sebelum pengguna memberikan persetujuan mereka. Pada Januari 2022, menyusul denda lain terhadap Google sebesar 150 juta euro serta denda terhadap Facebook (kini Meta) sebesar 60 juta euro — kali ini karena penolakan cookie pada situs-situs web mereka dibuat jauh lebih rumit dibandingkan persetujuan: siapa yang ingin menyetujui cukup satu klik, sementara siapa yang ingin menolak harus mengeklik melalui beberapa menu. CNIL menilai hal ini sebagai pelanggaran terhadap persyaratan akan persetujuan yang bebas, yang sama mudahnya untuk ditolak maupun diberikan.
Otoritas perlindungan data lain juga bertindak, meskipun umumnya dengan jumlah denda yang lebih kecil terhadap perusahaan kecil dan menengah: kategorisasi cookie yang tidak lengkap, skrip pihak ketiga yang sudah dimuat sebelum ada interaksi apa pun dengan banner, atau tombol "Tolak" yang sama sekali tidak ada, sehingga memaksa pengunjung untuk menyetujui karena tidak ada alternatif yang nyata. Poin terakhir ini khususnya — sebuah banner tanpa opsi tolak yang setara — termasuk salah satu temuan paling umum dalam audit, karena secara langsung bertentangan dengan persyaratan akan keputusan bebas yang telah ditegaskan dalam putusan Planet49.
Apa yang sebenarnya ingin dipastikan oleh otoritas perlindungan data saat melakukan audit dapat disimpulkan dari kasus-kasus ini serta pedoman resmi yang diterbitkan oleh otoritas pengawas: apakah cookie yang tidak esensial baru dipasang SETELAH persetujuan aktif diberikan, bukan sebelumnya? Apakah tersedia opsi tolak yang nyata dan dirancang setara? Apakah kategori dan tujuannya dijelaskan cukup konkret? Dan — sering kali menjadi poin penentu dalam sebuah sengketa nyata — apakah pengelola situs web masih dapat membuktikan di kemudian hari bahwa sebuah persetujuan tertentu memang benar-benar diberikan pada waktu tertentu?
Poin terakhir ini justru sering diremehkan dalam praktiknya. Sebuah banner yang secara teknis sempurna tidak banyak berguna jika, dalam sebuah sengketa — misalnya setelah pengaduan atau pemeriksaan acak — tidak ada lagi bukti yang menunjukkan bahwa dan bagaimana persetujuan itu diberikan. Kewajiban akuntabilitas menurut Pasal 5(2) GDPR ada pada pengelola situs web, bukan pada pengunjung: jika ada keraguan, pengelolalah yang harus membuktikan, bukan pengguna yang harus menyangkalnya.
Bagi sebagian besar situs web kecil dan menengah, denda dengan skala seperti kasus-kasus yang disebutkan di atas kecil kemungkinannya terjadi — dalam praktiknya, otoritas pengawas berfokus pada jangkauan yang luas, pelanggaran berulang, atau pengaduan yang bersifat spesifik. Namun hal ini tidak mengubah prinsip dasarnya: sebuah persetujuan yang terinformasi, aktif, dan tercatat bukanlah sekadar formalitas, melainkan satu-satunya dasar yang memungkinkan sebuah banner cookie benar-benar memenuhi tujuannya.