Wie de juridische tekst op een cookiebanner doorleest, vindt bijna altijd twee wetten naast elkaar genoemd: de ePrivacyrichtlijn (of de nationale omzetting ervan) en de Algemene Verordening Gegevensbescherming, kortweg AVG. Dat is geen vergissing en geen dubbele voorzichtigheid — beide wetten regelen daadwerkelijk verschillende, maar nauw met elkaar verweven vragen.
De AVG, formeel Verordening (EU) 2016/679, werd op 27 april 2016 aangenomen en trad na een overgangsperiode van twee jaar op 25 mei 2018 rechtstreeks in werking in de hele Unie — als verordening was daarvoor, anders dan bij een richtlijn, geen nationale omzetting nodig. Ze regelt in algemene zin hoe met persoonsgegevens mag worden omgegaan: welke rechtsgrondslag een verwerking nodig heeft, welke rechten betrokkenen hebben, welke plichten op verwerkingsverantwoordelijken rusten.
De ePrivacyrichtlijn daarentegen is specifieker: ze regelt uitsluitend de toegang tot en de opslag van informatie op eindapparatuur — ongeacht of daarbij al dan niet persoonsgegevens in de zin van de AVG ontstaan. Precies daarom volstaat voor een cookie al de loutere toegang tot het apparaat om de toestemmingsplicht te doen ontstaan, zelfs als de opgeslagen informatie op zich niemand identificeert.
De samenwerking werkt zo: de ePrivacyrichtlijn zegt DAT voor niet-noodzakelijke cookies toestemming nodig is. Ze zegt echter niet in detail WAT een geldige toestemming precies inhoudt — die definitie levert de AVG. Volgens artikel 4, lid 11, AVG is toestemming alleen geldig als ze vrij, specifiek, geïnformeerd en ondubbelzinnig wordt gegeven — door een verklaring of een duidelijke actieve handeling. Een vooraf aangevinkt vakje voldoet niet aan dat laatste vereiste, omdat daarin geen actieve handeling van de gebruiker ligt (meer daarover in het artikel over het Planet49-arrest).
Uit de AVG komen bovendien nog andere eisen die vandaag vanzelfsprekend bij elke cookiebanner horen: intrekking moet net zo eenvoudig zijn als de oorspronkelijke instemming (artikel 7, lid 3), en wie toestemming vraagt, moet bij een geschil kunnen aantonen dat ze daadwerkelijk is gegeven (artikel 5, lid 2, het zogenoemde verantwoordingsbeginsel). Deze bewijsplicht is een van de redenen waarom een louter "de gebruiker heeft waarschijnlijk geklikt" niet volstaat — zonder een logboek dat tijdstip, omvang en de precieze versie van de getoonde banner vastlegt, valt er bij twijfel niets te bewijzen.
Voor websitebeheerders betekent dit in de praktijk: een cookiebanner moet aan twee wetten tegelijk voldoen, niet slechts aan één. De ePrivacyrichtlijn eist de toestemming als zodanig, de AVG bepaalt de kwaliteit ervan en de verplichtingen die daaraan vasthangen — intrekbaarheid, aantoonbaarheid, geïnformeerdheid. Een banner die wel instemming vraagt, maar die niet controleerbaar documenteert, voldoet misschien formeel aan de ePrivacy-eis, maar schendt de AVG.
Deze dubbele grondslag verklaart ook waarom er door de AVG niets fundamenteels veranderde aan de cookietoestemming, ook al wordt ze vaak ten onrechte als de oorsprong ervan gezien — ze kwam pas 16 jaar na de oorspronkelijke ePrivacyrichtlijn en heeft vooral de maatstaf aangescherpt waaraan een reeds bestaande plicht wordt getoetst. Hoe deze twee EU-wetten in Duitsland concreet in nationaal recht werden omgezet, komt aan bod in het volgende artikel van deze reeks.