Cookieとは、サイトが訪問者のブラウザに保存し、次回のアクセス時に読み出す小さなテキストファイルにすぎない。それ自体は無害で、この仕組みがなければショッピングカートは中身を覚えられず、ログインもページをまたいで維持できない。いわばウェブの「記憶」である。
問題は、Cookieが自分のセッションだけでなく、時間や複数サイトをまたいで訪問者を識別できるようになったときに生じる。数百のサイトに同じCookieを設置する広告ネットワークは、それだけで行動プロファイルを構築できる——誰がどのページを、どのくらい、いつ訪れたか。これは見えない場所で起き、訪問者は背後の動きに気づけない。
ここに、Cookieバナーを生んだ欧州のルールが関わる。ユーザーの端末に何かを保存または読み出す者は、要求された機能に必須でない限り、事前に同意を得なければならない。個人データが発生するかは無関係で、端末へのアクセス自体が同意義務を発生させる。（この出どころであるePrivacy指令は次回扱う。）
ここから、まともなCookieバナーに共通する区分が生まれる。一方は必須Cookie——ショッピングカート、ログイン、セキュリティなど、なければサイトが機能しないもの。もう一方はそれ以外——解析、パーソナライズ、広告だ。前者は要求されたサービスの前提として同意不要、後者は同意が必要となる。
Cookieバナーとは、この区分を実務に落とし込んだものだ。必須機能を超えて何をするかを示し、実行前に意識的な決定を得る。裏でトラッキングスクリプトがすでに動いているのに2回目の読み込みでバナーが現れるなら、見た目がどれほど洗練されていても目的を果たしていない。
これによりバナーは表示以上のものになる。同意が実際に与えられたこと——いつ、誰が（どのブラウザが）、何について、そして撤回も同様に容易か——を証明できなければならない。立証責任は訪問者ではなく運営者にある。争いが生じれば運営者が有効な同意を示す必要があり、ユーザーが不同意を証明する必要はない。
だから今日のバナーは、同意と同等の重みを持つ本物の「拒否」、一律の「はい」ではなくカテゴリー別の内訳、そして何が起きたかを記録するログを備える。これは偶然でも過剰な形式主義でもなく、他人の端末には本物の、十分な情報に基づく能動的な同意が要るという一つの規則の帰結だ。以降の記事では、その起源を欧州法とドイツ法にたどっていく。