Siapa pun yang membaca teks hukum pada sebuah banner cookie hampir selalu menemukan dua undang-undang disebutkan berdampingan: Direktif ePrivacy (atau penerapan nasionalnya) dan Regulasi Umum Perlindungan Data, disingkat GDPR. Ini bukan kekeliruan maupun langkah pengamanan ganda karena kehati-hatian — kedua undang-undang ini memang mengatur persoalan yang berbeda, tetapi saling terkait erat.
GDPR, secara resmi Regulasi (EU) 2016/679, disahkan pada 27 April 2016 dan, setelah masa transisi dua tahun, mulai berlaku langsung di seluruh UE sejak 25 Mei 2018 — sebagai sebuah regulasi, berbeda dari direktif, GDPR tidak memerlukan penerjemahan ke hukum nasional sama sekali. GDPR mengatur secara umum bagaimana data pribadi boleh diperlakukan: dasar hukum apa yang diperlukan suatu pemrosesan data, hak apa yang dimiliki pihak yang bersangkutan, dan kewajiban apa yang dibebankan kepada pihak yang bertanggung jawab.
Sebaliknya, Direktif ePrivacy lebih spesifik: direktif ini hanya mengatur akses ke, dan penyimpanan informasi pada, perangkat pengguna — terlepas dari apakah hal itu menghasilkan data pribadi dalam pengertian GDPR atau tidak. Justru karena itulah, sekadar mengakses perangkat sudah cukup untuk memicu kewajiban persetujuan bagi sebuah cookie, bahkan jika informasi yang disimpan itu sendiri tidak mengidentifikasi siapa pun.
Kerja sama antara keduanya berjalan seperti ini: Direktif ePrivacy menyatakan BAHWA persetujuan diperlukan untuk cookie yang tidak esensial. Namun direktif ini tidak merinci APA sebenarnya yang membuat sebuah persetujuan itu sah — definisi tersebut diberikan oleh GDPR. Menurut Pasal 4(11) GDPR, sebuah persetujuan hanya sah jika diberikan secara sukarela, untuk kasus tertentu, secara terinformasi, dan tidak ambigu — melalui sebuah pernyataan atau tindakan afirmatif yang jelas. Sebuah kotak centang yang sudah dicentang sebelumnya tidak memenuhi kriteria terakhir ini, karena tidak ada tindakan aktif dari pengguna di dalamnya (lebih lanjut mengenai hal ini di artikel tentang putusan Planet49).
GDPR juga menjadi sumber berbagai persyaratan lain yang kini dianggap sudah selayaknya menjadi bagian dari sebuah banner cookie: penarikan persetujuan harus semudah pemberiannya semula (Pasal 7(3)), dan siapa pun yang mengumpulkan persetujuan harus mampu membuktikan, jika terjadi sengketa, bahwa persetujuan itu benar-benar diberikan (Pasal 5(2), yang dikenal sebagai prinsip akuntabilitas). Kewajiban pembuktian ini adalah salah satu alasan mengapa sekadar mengatakan "penggunanya sepertinya sudah mengklik" tidaklah cukup — tanpa sebuah log yang mencatat waktu, cakupan, dan versi persis dari banner yang ditampilkan, tidak ada apa pun yang dapat dibuktikan bila terjadi keraguan.
Dalam praktiknya, ini berarti: sebuah banner cookie harus memenuhi dua undang-undang sekaligus, bukan hanya satu. Direktif ePrivacy mensyaratkan adanya persetujuan itu sendiri; GDPR mendefinisikan kualitasnya serta kewajiban yang melekat padanya — dapat ditarik kembali, dapat dibuktikan, dan disampaikan secara terinformasi. Sebuah banner yang berhasil mengumpulkan persetujuan tetapi tidak mendokumentasikannya secara dapat ditelusuri, mungkin secara formal memenuhi persyaratan ePrivacy, tetapi tetap melanggar GDPR.
Dasar ganda ini juga menjelaskan mengapa GDPR sebenarnya tidak mengubah apa pun secara mendasar pada persetujuan cookie, meskipun sering kali secara keliru dianggap sebagai asal-usul banner cookie — GDPR baru muncul 16 tahun setelah Direktif ePrivacy asli, dan hanya mempertajam standar yang digunakan untuk menilai sebuah kewajiban yang sudah ada sebelumnya. Bagaimana kedua undang-undang UE ini secara konkret diterjemahkan menjadi hukum nasional di Jerman akan menjadi topik artikel berikutnya dalam seri ini.