Kewajiban untuk meminta persetujuan sebelum memasang cookie tidak diatur dalam GDPR — kewajiban ini lebih tua dan berasal dari undang-undang yang berbeda: Direktif ePrivacy, secara resmi Direktif 2002/58/EC tentang pemrosesan data pribadi dan perlindungan privasi dalam komunikasi elektronik. Direktif ini disahkan pada 12 Juli 2002, pada masa ketika cookie terutama digunakan untuk sesi login dan personalisasi sederhana — pelacakan lintas situs sudah dimungkinkan secara teknis, tetapi belum menjadi fenomena massal.
Dalam bentuk aslinya, Pasal 5(3) Direktif ini hanya mensyaratkan tidak lebih dari memberi tahu pengguna tentang pemasangan cookie dan memberi mereka cara untuk menolak — sebuah model opt-out. Siapa yang tidak melakukan apa-apa dianggap telah menyetujui secara diam-diam. Dalam praktiknya, hal ini sering berarti sebuah pemberitahuan kecil yang tersembunyi di suatu tempat pada halaman yang hampir tidak pernah dibaca siapa pun, sementara cookie sudah terpasang bahkan sebelum pemberitahuan itu sempat disadari.
Keadaan ini berubah dengan Direktif 2009/136/EC tanggal 25 November 2009, yang menulis ulang Pasal 5(3) secara menyeluruh — dikenal secara umum sebagai "Direktif Cookie", meskipun secara formal direktif ini hanyalah amendemen atas Direktif ePrivacy aslinya. Model opt-out berubah menjadi kewajiban persetujuan yang sesungguhnya: sejak saat itu, cookie yang tidak benar-benar diperlukan untuk menyediakan layanan yang secara eksplisit diminta pengguna hanya boleh dipasang setelah pengguna memberikan persetujuan yang terinformasi — bukan setelah kejadian, bukan secara diam-diam.
Alasan di balik pengetatan ini terletak pada pesatnya perkembangan pasar periklanan daring pada tahun 2000-an: cookie pelacak menjadi fondasi bagi seluruh model bisnis, dan profil pengguna dibangun dari data yang mengalir bersama dari sepuluh, dua puluh, bahkan seratus situs web berbeda — biasanya tanpa sepengetahuan orang yang bersangkutan sama sekali. Pembuat undang-undang Eropa merespons dengan membalik beban pembuktian: bukan lagi pengguna yang harus menolak, melainkan situs web yang harus mendapatkan persetujuan.
Penting untuk dipahami bahwa Direktif ePrivacy adalah sebuah direktif, bukan hukum UE yang berlaku langsung seperti sebuah regulasi. Direktif menetapkan sebuah tujuan yang harus diterjemahkan setiap negara anggota ke dalam hukum nasionalnya masing-masing — dan justru pada proses penerjemahan inilah masalah sesungguhnya muncul selama bertahun-tahun. Batas waktu penerjemahan berakhir pada 25 Mei 2011, namun banyak negara anggota — termasuk Jerman — hanya mengadopsi kewajiban persetujuan baru ini dengan enggan, atau dalam bentuk yang masih dekat dengan logika opt-out lama. Bagaimana Jerman akhirnya menyelesaikan masalah ini dibahas dalam artikel tersendiri dalam seri ini.
Hingga hari ini, Direktif ePrivacy tetap menjadi dasar hukum sesungguhnya bagi persetujuan cookie itu sendiri — bukan GDPR, yang baru berlaku sejak 2018 dan mengatur hal yang berbeda, meskipun berkaitan erat: penanganan data pribadi secara umum. Kedua undang-undang ini saling terkait, dan bagaimana persisnya keterkaitan itu bekerja akan menjadi topik artikel berikutnya.
Sebuah penerus yang direncanakan, Regulasi ePrivacy, awalnya dimaksudkan untuk menggantikan direktif ini dan berlaku sebagai hukum yang langsung berlaku tanpa memerlukan penerjemahan ke hukum nasional. Regulasi ini telah dalam proses negosiasi antar-lembaga UE selama bertahun-tahun dan hingga kini belum disahkan — sampai hal itu terjadi, Direktif 2002/2009 tetap menjadi dasar hukum yang berlaku.
Bagi pengelola situs web, melihat kembali sejarah ini sangat bermanfaat, karena hal ini menjelaskan mengapa persetujuan cookie tidak muncul sebagai reaksi terhadap satu skandal tunggal, melainkan sebagai jawaban bertahap atas sebuah praktik yang berkembang selama bertahun-tahun. Aturan tahun 2009 bukanlah kejutan, melainkan kelanjutan yang konsisten dari gagasan dasar yang sudah dirumuskan sejak 2002 — mengakses perangkat milik orang lain bukanlah tindakan teknis yang netral, melainkan sebuah intervensi yang memerlukan pembenaran.