Cookieバナーの法的説明にはほぼ必ず二つの法律が並ぶ——ePrivacy指令（または国内法化版）とGDPRだ。これは見落としでも二重の備えでもない。両者は異なりながら密接にかみ合う問題をそれぞれ規律する。
GDPR、正式名称「規則(EU)2016/679」は2016年4月27日採択、2年の移行期間を経て2018年5月25日にEU全域で直接効力を持った——「規則」なので国内法化は不要。個人データの取り扱い全般、すなわち必要な法的根拠、本人の権利、管理者の義務を規律する。
一方ePrivacy指令はより限定的で、端末上の情報へのアクセスと保存のみを規律する——GDPR上の個人データが発生するかは無関係だ。だからCookieでは端末へのアクセス自体だけで同意義務が生じるに十分である。保存情報が誰も識別しなくても同じである。
連動はこうだ。ePrivacy指令は非必須Cookieに同意が要る「こと」を定めるが、何が有効な同意かは定めない——その定義はGDPRが与える。第4条11号によれば同意は自由意思、特定事案、十分な情報、明確な肯定的行為による必要がある。あらかじめチェック済みの箱は最後の要件を満たさない。能動的行為がないからだ（詳細はPlanet49判決の記事で）。
GDPRは他にも、今やバナーに当然の要件の出どころだ。撤回は同意と同じくらい容易であるべきで（第7条3項）、取得側は争いになれば同意が実際にあったことを証明できねばならない（第5条2項、説明責任原則）。この義務があるから「たぶんクリックした」では足りず、時刻・範囲・バナーの版を記録したログが要る。
実務上これは、バナーが一つでなく二つの法律を同時に満たす必要があることを意味する。ePrivacy指令は同意そのものを、GDPRはその質と付随義務——撤回可能性、立証可能性、情報提供——を定める。同意を得ても追跡可能に記録しないバナーは、形式的にePrivacy要件を満たしてもGDPRに違反しうる。
この二重の根拠は、GDPRがCookie同意を根本的には変えなかった理由も説明する。しばしば起源と誤解されるが、実際は元のePrivacy指令から16年後に登場し、既存義務の基準を厳格にしたにすぎない。両EU法が実際にどうドイツ国内法へ翻訳されたかは次回のテーマだ。