第2回で述べた通り、ePrivacy指令は「指令」であって直接適用されるEU法ではなく、各国が国内法に翻訳する必要があった。ドイツは長く苦労した。この経緯は、なぜ今日のドイツのCookieバナーが2021年末に生まれた法律を根拠とするかを説明する。
2009年の厳格化（国内法化期限2011年5月25日）後、ドイツは当初、既存のテレメディア法（TMG）にとどまった。第15条3項はCookie異議権を定めたが、文言は2009年以前の旧オプトアウト的発想のままだった。連邦政府は長年TMGで十分と主張したが、データ保護当局・裁判所・欧州委員会から疑問視され、法的不確実性が続いた。
決着したのは2021年12月1日施行の電気通信・テレメディアデータ保護法（TTDSG）だ。第25条はePrivacy指令第5条3項の要求を明示的にドイツ法に取り込んだ。端末への情報保存またはアクセスは、ユーザーが同意した場合にのみ許される——明示的に求めた機能提供に技術上必須な場合という狭い例外を除いて。TTDSGは通信法とテレメディア法を初めて一つの法律に統合した。
2024年5月、TTDSGは電気通信・デジタルサービスデータ保護法（TDDDG）に改称された。EUのデジタルサービス法（DSA）へのドイツ法適合の一環だ。Cookieルール自体に変化はなく、旧TTDSG第25条は同じ条番号のままTDDDG第25条となった——変わったのは法律の名前だけである。
実務上、今日のドイツのバナーは通常二つの根拠を挙げる——そもそも同意が必要かはTDDDG第25条、同意の質はGDPR第6条（第4条11号・第7条とともに）だ。これは重複ではなく、互いに積み重なる二つの問い——指令の国内法化と直接適用の規則——に答える二つの法律である。
次回は、有効な同意の要件を決定的に明確化した具体的判例、欧州司法裁判所のPlanet49判決を扱う。
運営者にとってこの二重引用は形式以上の意味を持つ。争いの際どの機関が管轄するかを示すからだ。Cookie利用自体の適法性はTDDDG第25条、州のデータ保護当局が管轄。同意の質、例えば十分な情報提供かはGDPRの管轄。同じ当局が両方を審査することが多いが、法的根拠は別で、処分への異議申立てで重要になる。