La direttiva ePrivacy è, come descritto nel secondo articolo di questa serie, una direttiva e non diritto dell'UE direttamente applicabile — ogni Stato membro ha dovuto tradurla nel proprio diritto nazionale. La Germania ha faticato a lungo a farlo, e proprio questa vicenda merita uno sguardo a parte, perché spiega perché i banner dei cookie tedeschi oggi richiamino una legge esistente solo dalla fine del 2021.
Dopo l'inasprimento della direttiva ePrivacy nel 2009 (termine di recepimento: 25 maggio 2011), la Germania si è inizialmente attenuta alla legge sui telemedia allora vigente, il TMG. Il suo articolo 15, paragrafo 3, prevedeva sì una possibilità di opporsi ai cookie, ma la sua formulazione restava vicina alla vecchia logica di opt-out precedente al 2009, non al nuovo obbligo di consenso. Per anni il governo federale ha sostenuto che il TMG recepisse già a sufficienza la direttiva, una posizione sempre più contestata dalle autorità per la protezione dei dati, dai tribunali e dalla Commissione europea. Nella pratica questo ha generato a lungo incertezza giuridica: alcuni siti web si attenevano all'interpretazione europea più rigorosa, altri si appoggiavano alla normativa nazionale, più debole.
Questa incertezza si è conclusa solo con l'entrata in vigore, il 1° dicembre 2021, della legge sulla protezione dei dati nelle telecomunicazioni e nei telemedia (TTDSG). L'articolo 25 del TTDSG ha recepito ora in modo esplicito e inequivocabile nel diritto tedesco le disposizioni dell'articolo 5, paragrafo 3, della direttiva ePrivacy: la memorizzazione di informazioni sui dispositivi terminali, o l'accesso a esse, è consentita solo se l'utente ha prestato il proprio consenso — con una ristretta eccezione per le finalità tecnicamente strettamente necessarie, ad esempio per poter fornire una funzione espressamente richiesta. Il TTDSG ha inoltre riunito per la prima volta il diritto delle telecomunicazioni e quello dei telemedia in un'unica legge autonoma, invece di distribuirli, come in precedenza, su più normative.
Nel maggio 2024, il TTDSG è stato rinominato legge sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali (TDDDG), nell'ambito dell'adeguamento del diritto tedesco al regolamento europeo sui servizi digitali (Digital Services Act, DSA), che ha introdotto regole comuni a livello UE per i servizi digitali e le piattaforme. La regola sui cookie in sé non è cambiata: la disposizione precedentemente citata come articolo 25 del TTDSG si trova da allora, con lo stesso numero, come articolo 25 del TDDDG — è cambiato solo il nome della legge in cui è inserita.
Nella pratica, questo significa che un banner dei cookie in Germania oggi si basa tipicamente su due fondamenti giuridici contemporaneamente: l'articolo 25 del TDDDG per stabilire se sia necessario un consenso, e l'articolo 6 del GDPR (insieme ai requisiti degli articoli 4, punto 11, e 7 del GDPR) per la qualità di tale consenso. Chi conosce questa storia non vi vede una doppia citazione superflua, ma due normative che rispondono a due domande diverse pur basandosi l'una sull'altra — da un lato il recepimento nazionale di una direttiva europea, dall'altro un regolamento europeo direttamente applicabile.
Il prossimo articolo di questa serie affronta un caso concreto che ha decisamente affinato i requisiti per un consenso valido: la sentenza Planet49 della Corte di giustizia dell'Unione europea.
Per chi gestisce un sito web, questa doppia citazione è più di una formalità giuridica: indica, in caso di dubbio, quale autorità sia competente su cosa. Le questioni relative all'ammissibilità stessa dell'uso dei cookie — se fosse necessario un consenso — rientrano nell'articolo 25 del TDDDG e quindi nella competenza dell'autorità per la protezione dei dati del rispettivo Land. Le questioni relative alla qualità del consenso effettivamente prestato, ad esempio se fosse sufficientemente informato, rientrano nel GDPR. Nella pratica, di norma sono le stesse autorità a esaminare entrambi gli aspetti insieme, ma la base giuridica resta distinta — un dettaglio che diventa rilevante non appena si intende impugnare un provvedimento.