Le violazioni dell'obbligo di consenso ai cookie non sono un rischio teorico — negli ultimi anni le autorità per la protezione dei dati di diversi paesi UE hanno inflitto ripetutamente sanzioni di importo considerevole. Il quadro giuridico deriva dall'articolo 83, paragrafo 5, del GDPR: per le violazioni gravi sono possibili sanzioni fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo, a seconda di quale importo sia più elevato — anche se il fattore scatenante vero e proprio, come descritto negli articoli precedenti, deriva formalmente dalla direttiva ePrivacy o dal suo recepimento nazionale.
Uno degli esempi più noti proviene dall'autorità francese per la protezione dei dati, la CNIL: nel dicembre 2020 ha inflitto a Google sanzioni per un totale di 100 milioni di euro e ad Amazon una sanzione di 35 milioni di euro, poiché entrambe le aziende avevano impostato cookie pubblicitari prima che gli utenti avessero prestato il consenso. Nel gennaio 2022 è seguita un'ulteriore sanzione contro Google, pari a 150 milioni di euro, insieme a una contro Facebook (oggi Meta) di 60 milioni di euro — questa volta perché rifiutare i cookie sui rispettivi siti web era reso notevolmente più macchinoso rispetto ad accettarli: chi voleva accettare doveva fare un solo clic, chi voleva rifiutare doveva districarsi tra più menu. La CNIL ha ritenuto che ciò violasse il requisito secondo cui il consenso deve poter essere rifiutato con la stessa facilità con cui viene concesso.
Anche altre autorità per la protezione dei dati sono intervenute, generalmente con importi minori, nei confronti di piccole e medie imprese: mancata categorizzazione dei cookie, script di terze parti che si caricavano già prima di qualsiasi interazione con il banner, oppure un pulsante «Rifiuta» semplicemente inesistente, che costringeva i visitatori ad accettare perché non esisteva una vera alternativa. Proprio quest'ultimo punto — un banner privo di un'opzione di rifiuto di pari peso — è tra i rilievi più frequenti nei controlli, perché contraddice direttamente il requisito di una decisione libera confermato dalla sentenza Planet49.
Ciò che le autorità per la protezione dei dati vogliono concretamente verificare durante un controllo si può dedurre da questi casi e dalle linee guida pubblicate dalle autorità di vigilanza: i cookie non essenziali sono stati impostati solo DOPO un consenso attivo, e non prima? Esisteva una possibilità di rifiuto reale e presentata con pari evidenza? Le categorie e le finalità erano descritte in modo sufficientemente concreto? E — spesso il punto decisivo in una controversia concreta — il gestore del sito è ancora in grado di dimostrare, a posteriori, che un determinato consenso è stato effettivamente prestato in un momento determinato?
Proprio quest'ultimo punto viene spesso sottovalutato nella pratica. Un banner tecnicamente ineccepibile serve a poco se, in caso di controversia — ad esempio a seguito di un reclamo o di un controllo a campione — non esiste più alcuna prova che il consenso sia stato prestato, e in che modo esattamente. L'obbligo di responsabilizzazione previsto dall'articolo 5, paragrafo 2, del GDPR ricade sul gestore del sito, non sul visitatore: in caso di dubbio è lui a dover fornire la prova, non l'utente a doverla confutare.
Per la maggior parte dei siti web piccoli e medi, sanzioni dell'entità dei casi citati sono improbabili — nella pratica le autorità di vigilanza si concentrano su casi ad ampia diffusione, violazioni ripetute o reclami mirati. Questo non cambia però il principio di fondo: un consenso informato, attivo e documentato non è una formalità, ma l'unica base su cui un banner dei cookie adempie effettivamente al proprio scopo.