Overtredingen van de cookietoestemmingsplicht zijn geen theoretisch risico — gegevensbeschermingsautoriteiten in verschillende EU-landen hebben de afgelopen jaren herhaaldelijk en voor aanzienlijke bedragen boetes opgelegd. Het wettelijke kader hiervoor volgt uit artikel 83, lid 5, AVG: bij ernstige overtredingen zijn boetes mogelijk tot 20 miljoen euro of tot 4 procent van de wereldwijde jaaromzet, afhankelijk van wat hoger is — ook al komt de eigenlijke aanleiding, zoals beschreven in de vorige artikelen, formeel uit de ePrivacyrichtlijn of de nationale omzetting ervan.
Een van de bekendste voorbeelden komt van de Franse gegevensbeschermingsautoriteit, de CNIL: in december 2020 legde ze Google een boete op van in totaal 100 miljoen euro en Amazon van 35 miljoen euro, omdat beide bedrijven reclamecookies hadden geplaatst voordat gebruikers toestemming hadden gegeven. In januari 2022 volgde een nieuwe boete tegen Google van 150 miljoen euro, samen met een boete tegen Facebook (tegenwoordig Meta) van 60 miljoen euro — dit keer omdat het weigeren van cookies op de betreffende websites aanzienlijk omslachtiger was gemaakt dan instemmen: wie wilde instemmen, had één klik nodig, wie wilde weigeren, moest zich door meerdere menu's klikken. De CNIL beoordeelde dit als een schending van het vereiste dat toestemming even makkelijk te weigeren als te geven moet zijn.
Ook andere gegevensbeschermingsautoriteiten werden actief, meestal echter met lagere bedragen tegen kleine en middelgrote ondernemingen: ontbrekende categorisering van cookies, scripts van derden die al laadden vóór enige interactie met de banner, of een "Weigeren"-knop die simpelweg niet bestond, waardoor bezoekers gedwongen werden in te stemmen omdat er geen echt alternatief was. Juist dat laatste punt — een banner zonder gelijkwaardige weigeringsoptie — behoort tot de meest voorkomende bevindingen bij controles, omdat het rechtstreeks indruist tegen het vereiste van een vrije beslissing, zoals bevestigd in het Planet49-arrest.
Wat gegevensbeschermingsautoriteiten bij een controle concreet willen nagaan, valt af te leiden uit deze zaken en uit de gepubliceerde richtsnoeren van de toezichthouders: werden niet-noodzakelijke cookies pas NÁ actieve instemming geplaatst, en niet ervoor? Was er een echte, gelijkwaardig vormgegeven mogelijkheid om te weigeren? Waren de categorieën en doeleinden voldoende concreet omschreven? En — vaak het doorslaggevende punt in een concreet geschil — kan de websitebeheerder achteraf nog aantonen dat een bepaalde toestemming op een bepaald moment daadwerkelijk is gegeven?
Precies dat laatste punt wordt in de praktijk vaak onderschat. Een technisch onberispelijke banner heeft weinig nut als er bij een geschil — bijvoorbeeld na een klacht of een steekproefcontrole — geen bewijs meer bestaat dat en hoe precies toestemming is gegeven. De verantwoordingsplicht uit artikel 5, lid 2, AVG rust op de websitebeheerder, niet op de bezoeker: bij twijfel moet hij bewijzen, niet de gebruiker weerleggen.
Voor de meeste kleine en middelgrote websites zijn boetes van de omvang van de genoemde zaken onwaarschijnlijk — toezichthouders richten zich in de praktijk op groot bereik, herhaalde overtredingen of gerichte klachten. Dat verandert echter niets aan het onderliggende principe: geïnformeerde, actieve, vastgelegde toestemming is geen formaliteit, maar de enige basis waarop een cookiebanner zijn doel überhaupt vervult.