Pada dasarnya, cookie hanyalah sebuah file teks kecil yang disimpan oleh sebuah situs web di peramban pengunjung, dan dibaca kembali setiap kali pengunjung itu kembali. Secara teknis, hal ini sama sekali tidak berbahaya — tanpa mekanisme ini, keranjang belanja tidak akan mengingat produk apa yang ada di dalamnya, dan sesi login tidak akan bertahan dari satu halaman ke halaman berikutnya. Dalam peran ini, cookie tak lain adalah "ingatan" dari web.
Masalah muncul begitu sebuah cookie tidak lagi sekadar menyimpan sesi milik pengguna itu sendiri, melainkan membuat pengguna tersebut dapat dikenali sepanjang waktu dan di berbagai situs web yang berbeda. Sebuah jaringan iklan yang memasang cookie yang sama di ratusan situs dapat menyusun profil pergerakan dari data tersebut — halaman mana yang dikunjungi seseorang, seberapa sering, dan kapan. Semua ini terjadi tanpa terlihat: tidak ada tanda apa pun pada halaman itu sendiri yang menunjukkan bahwa selusin cookie semacam itu sedang dipasang di latar belakang.
Di sinilah letak aturan Eropa yang menjadi asal-usul banner cookie: siapa pun yang menyimpan sesuatu di perangkat pengguna, atau membaca sesuatu darinya, yang tidak benar-benar diperlukan untuk fungsi yang sebenarnya diminta, harus meminta persetujuan terlebih dahulu. Hal ini berlaku terlepas dari apakah tindakan tersebut menghasilkan data pribadi dalam arti sempit atau tidak — cukup dengan adanya akses ke perangkat itu saja, kewajiban ini sudah timbul. (Asal-usul aturan ini — yang dikenal sebagai Direktif ePrivacy — akan menjadi topik artikel berikutnya dalam seri ini.)
Dari sini muncul sebuah pembedaan yang berlaku pada setiap banner cookie yang dibuat dengan benar: di satu sisi ada cookie yang diperlukan — keranjang belanja, sesi login, fungsi keamanan, yang tanpanya sebuah situs sederhananya tidak akan berfungsi — dan di sisi lain, segala hal lainnya: statistik, personalisasi, iklan. Kelompok pertama tidak memerlukan persetujuan, karena pembuat undang-undang menganggapnya sebagai prasyarat dari layanan yang memang diminta. Kelompok kedua memerlukannya.
Dengan begitu, banner cookie pada dasarnya tidak lebih dari implementasi praktis dari pembedaan ini: banner tersebut menunjukkan kepada pengunjung apa yang direncanakan sebuah situs di luar fungsi yang benar-benar diperlukan, dan meminta keputusan sadar mengenai hal itu sebelum semuanya berlaku — bukan sesudahnya, melainkan sebelumnya. Sebuah banner yang baru muncul pada pemuatan halaman kedua, sementara skrip pelacak sudah berjalan diam-diam di latar belakang, tidak memenuhi tujuannya, sebagus apa pun tampilannya.
Hal ini juga menjadikan banner cookie lebih dari sekadar tampilan biasa. Banner tersebut harus mampu membuktikan bahwa persetujuan benar-benar diberikan — kapan, oleh siapa (atau oleh peramban mana), untuk apa persisnya, dan bahwa penarikan persetujuan itu semudah pemberiannya. Kewajiban pembuktian ini ada pada pihak pengelola situs web, bukan pada pengunjung: dalam sengketa, pengelola harus dapat menunjukkan bahwa ia memiliki persetujuan yang sah, bukan pengguna yang harus membuktikan bahwa ia tidak pernah memberikannya.
Itulah sebabnya banner cookie masa kini terlihat seperti sekarang: dengan opsi tolak yang benar-benar setara dengan opsi setuju, dengan rincian berdasarkan kategori alih-alih satu tombol "ya" untuk semuanya, dan dengan catatan log di latar belakang yang mencatat persis apa yang terjadi. Ini bukan kebetulan atau formalitas yang berlebihan — ini adalah konsekuensi langsung dari satu aturan dasar: siapa pun yang ingin mengakses perangkat milik orang lain harus memiliki persetujuan yang nyata, terinformasi, dan aktif. Segala sesuatu yang lain dibangun di atas aturan tunggal ini, dan artikel-artikel berikutnya dalam seri ini akan menelusuri asal-usulnya secara rinci dalam hukum Eropa dan Jerman.