Hampir tidak ada putusan lain yang mengubah praktik banner cookie di Eropa secara langsung seperti keputusan Pengadilan Uni Eropa (CJEU) tanggal 1 Oktober 2019 dalam perkara melawan perusahaan Planet49 (Perkara C-673/17). Apa yang awalnya tampak seperti persoalan sepele dari sebuah undian berhadiah daring berubah menjadi putusan mendasar tentang apa sebenarnya yang membuat sebuah persetujuan cookie itu sah.
Fakta perkaranya sederhana: Planet49 menyelenggarakan sebuah undian berhadiah daring dan menampilkan dua kotak centang kepada peserta. Kotak pertama — yang sudah dicentang sebelumnya — berkaitan dengan persetujuan atas pemasangan cookie untuk tujuan iklan oleh mitra periklanan. Kotak lainnya, yang harus dicentang secara terpisah, berkaitan dengan pembagian data pribadi kepada sponsor untuk tujuan pemasaran melalui telepon atau email. Siapa pun yang ingin ikut serta dalam undian harus secara aktif mencentang kotak kedua, tetapi bisa membiarkan kotak pertama — yang sudah dicentang sebelumnya — apa adanya, tanpa pernah benar-benar menyadarinya.
Mahkamah Federal Jerman (BGH) mengajukan pertanyaan ini ke CJEU: apakah kotak yang sudah dicentang sebelumnya seperti itu cukup untuk dianggap sebagai persetujuan menurut Direktif ePrivacy? Jawaban pengadilan tegas: tidak. Persetujuan mensyaratkan sebuah tindakan aktif dan sadar dari pengguna — sebuah kotak yang harus dicentang sendiri oleh pengguna untuk menyetujui, bukan kotak yang harus dihilangkan centangnya untuk TIDAK menyetujui. Perbedaan antara "menyetujui secara aktif" dan "tidak menolak" persis merupakan perbedaan yang menjadi inti sejarah Direktif ePrivacy sejak 2009 — dan CJEU dengan putusan ini menegaskan bahwa pengetatan tersebut memang benar-benar dimaksudkan secara serius.
Poin kedua yang menonjol dari putusan ini: CJEU menegaskan bahwa kewajiban persetujuan itu sendiri tidak bergantung pada apakah informasi yang disimpan dalam cookie tersebut merupakan data pribadi menurut pengertian GDPR atau tidak. Direktif ePrivacy sudah melindungi akses ke perangkat pengguna itu sendiri — terlepas dari apa pun yang pada akhirnya disimpan di dalamnya. Ini merupakan klarifikasi penting, karena sebelumnya sejumlah penyedia layanan berargumen bahwa pengidentifikasi anonim atau yang murni bersifat teknis sama sekali tidak termasuk dalam kewajiban persetujuan.
Ketiga, pengadilan mensyaratkan bahwa pengguna harus diberi tahu secara konkret, sebelum memberikan persetujuan, mengenai berapa lama cookie akan berfungsi dan apakah pihak ketiga akan mendapatkan akses terhadapnya. Sejak putusan ini, informasi yang umum dan samar-samar tidak lagi cukup — pemberitahuan cookie harus cukup konkret sehingga pengguna benar-benar dapat menilai apa yang sedang disetujuinya.
Dampak praktis dari putusan ini terasa langsung: kotak centang yang sudah dicentang sebelumnya menghilang dari banner cookie di seluruh Eropa, tombol "Setuju" harus dipicu oleh klik yang nyata dan disengaja, dan pengkategorian cookie dengan informasi tepat mengenai tujuan dan masa berlakunya menjadi standar. Otoritas perlindungan data di beberapa negara anggota merevisi pedoman mereka sendiri tak lama setelah putusan ini, dan sejak itu putusan tersebut menjadi rujukan dalam banyak perkara lain — misalnya mengenai apakah sebuah banner yang sengaja membuat tombol "Tolak" lebih sulit dijangkau dibandingkan tombol "Setuju" juga melanggar persyaratan akan keputusan yang bebas dan tidak ambigu.
Kasus Planet49 dengan demikian menjadi contoh yang jelas tentang bagaimana satu perkara pengadilan dapat menerjemahkan ketentuan abstrak sebuah teks undang-undang menjadi persyaratan teknis yang konkret — dan mengapa banner cookie kini terlihat seperti sekarang, alih-alih seperti yang lazim sebelum 2019.
Yang juga patut diperhatikan adalah betapa cepatnya dampak putusan ini menyebar jauh melampaui perkara aslinya: meskipun secara formal putusan ini hanya menjelaskan penafsiran Direktif ePrivacy untuk sebuah sengketa hukum konkret di Jerman, otoritas pengawas di seluruh Eropa mengikuti arah yang sama — sebuah bukti betapa kuatnya satu putusan CJEU dapat membentuk praktik jauh melampaui batas-batas perkara asalnya.