De verplichting om vóór het plaatsen van cookies toestemming te vragen, staat niet in de AVG — die is ouder en komt uit een andere wet: de ePrivacyrichtlijn, formeel Richtlijn 2002/58/EG betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie. Ze werd aangenomen op 12 juli 2002, in een tijd waarin cookies vooral werden gebruikt voor loginsessies en eenvoudige personalisatie — tracking over meerdere websites heen was technisch al mogelijk, maar nog geen massaal verschijnsel.
In haar oorspronkelijke vorm eiste artikel 5, lid 3, van de richtlijn niet veel meer dan gebruikers te informeren over het plaatsen van cookies en hun een mogelijkheid tot bezwaar te bieden — een opt-outmodel. Wie niets deed, had impliciet ingestemd. In de praktijk betekende dat vaak: een klein bericht ergens op de pagina dat bijna niemand las, met cookies die al waren geplaatst voordat het bericht überhaupt was opgemerkt.
Dat veranderde met Richtlijn 2009/136/EG van 25 november 2009, die artikel 5, lid 3, ingrijpend herschreef — in de volksmond bekend als de "cookierichtlijn", hoewel het formeel slechts een wijziging van de oorspronkelijke ePrivacyrichtlijn is. Van de opt-outregeling werd een echte toestemmingsplicht gemaakt: cookies die niet strikt noodzakelijk zijn om een uitdrukkelijk gevraagde dienst te leveren, mogen sindsdien pas worden geplaatst nadat een gebruiker daarmee geïnformeerd heeft ingestemd — niet achteraf, niet stilzwijgend.
De reden voor deze verscherping lag in de snelle groei van de online advertentiemarkt in de jaren 2000: trackingcookies werden de basis van hele verdienmodellen, en gebruikersprofielen ontstonden uit gegevens die samenkwamen van tien, twintig, honderd verschillende websites — meestal zonder dat de betrokkenen daar zelfs maar van wisten. De Europese wetgever reageerde door de bewijslast om te keren: niet langer moest de gebruiker bezwaar maken, maar moest de website toestemming laten geven.
Belangrijk om te begrijpen is dat de ePrivacyrichtlijn een richtlijn is, geen rechtstreeks toepasselijk EU-recht zoals een verordening. Richtlijnen stellen een doel vast dat elke lidstaat moet omzetten in nationaal recht — en precies in die omzetting lag jarenlang het eigenlijke probleem. De omzettingstermijn liep af op 25 mei 2011, maar veel lidstaten — waaronder Duitsland — namen de nieuwe toestemmingsplicht slechts aarzelend over, of in een vorm die dicht bij de oude opt-outgedachte bleef. Hoe Duitsland dit probleem uiteindelijk oploste, komt aan bod in een eigen artikel van deze reeks.
Tot op vandaag is de ePrivacyrichtlijn de eigenlijke rechtsgrondslag voor de cookietoestemming zelf — niet de AVG, die pas in 2018 van toepassing werd en een ander, zij het nauw verwant, onderwerp regelt: de omgang met persoonsgegevens in het algemeen. Beide wetten grijpen in elkaar, en precies die wisselwerking is het onderwerp van het volgende artikel.
Een geplande opvolger, de ePrivacyverordening, moest de richtlijn oorspronkelijk vervangen en als rechtstreeks toepasselijk recht in werking treden, zonder nationale omzetting. Ze wordt al jaren onderhandeld tussen de EU-instellingen en is tot nu toe niet aangenomen — tot dat gebeurt, blijft de richtlijn van 2002/2009 de bepalende grondslag.
Voor websitebeheerders loont het de moeite om naar deze voorgeschiedenis te kijken, omdat ze verklaart waarom cookietoestemming niet ontstond als reactie op één enkel schandaal, maar als geleidelijk antwoord op een praktijk die zich over jaren had ontwikkeld. De regel van 2009 was geen verrassing, maar de consequente voortzetting van een gedachte die al in 2002 was geformuleerd — toegang tot andermans apparaat is geen neutrale technische handeling, maar een ingreep die rechtvaardiging behoeft.