Een cookie is in de kern niets anders dan een klein tekstbestand dat een website opslaat in de browser van een bezoeker en bij elk volgend bezoek weer uitleest. Op zichzelf is dat technisch onschuldig — zonder dit mechanisme zou geen winkelwagentje onthouden wat erin ligt, en zou geen login standhouden van de ene pagina naar de andere. In die rol zijn cookies simpelweg het geheugen van het web.
Problematisch wordt het zodra een cookie niet langer alleen de eigen sessie draagt, maar een bezoeker herkenbaar maakt in de tijd en over verschillende websites heen. Een advertentienetwerk dat op honderden pagina's hetzelfde cookie plaatst, kan daaruit alleen al een bewegingsprofiel opbouwen — welke pagina's iemand bezoekt, hoe vaak, wanneer. Dat gebeurt onzichtbaar: aan de pagina zelf is niet te zien dat op de achtergrond tientallen van zulke cookies worden geplaatst.
Precies daar begint de Europese regel waaruit cookiebanners zijn ontstaan: wie iets opslaat op het apparaat van een gebruiker, of daar iets uitleest, dat niet strikt noodzakelijk is voor de functie die daadwerkelijk werd gevraagd, heeft daarvoor vooraf toestemming nodig. Dat geldt ongeacht of daarbij persoonsgegevens in enge zin ontstaan — de loutere toegang tot het apparaat volstaat al om de verplichting te doen ontstaan. (Waar deze regel vandaan komt — de zogenoemde ePrivacyrichtlijn — is het onderwerp van het volgende artikel in deze reeks.)
Daaruit volgt een onderscheid dat door elke behoorlijk gebouwde cookiebanner loopt: noodzakelijke cookies aan de ene kant — winkelwagentje, loginsessie, beveiligingsfuncties, zonder welke een site simpelweg niet werkt — en al het andere aan de andere kant: statistieken, personalisatie, reclame. Voor de eerste groep is geen toestemming nodig, omdat de wetgever die beschouwt als voorwaarde van de gevraagde dienst zelf. Voor de tweede groep wel.
Een cookiebanner is daarmee in de kern niets anders dan de praktische uitvoering van dat onderscheid: hij laat een bezoeker zien wat een site van plan is buiten het strikt noodzakelijke om, en vraagt daarvoor een bewuste beslissing voordat iets daarvan in werking treedt — niet achteraf, maar vooraf. Een banner die pas bij de tweede paginaweergave verschijnt, terwijl er op de achtergrond allang een trackingscript is geladen, vervult zijn doel niet, hoe verzorgd hij er ook uitziet.
Daarmee is een cookiebanner tegelijk meer dan alleen een weergave. Hij moet kunnen aantonen dat de toestemming daadwerkelijk is gegeven — wanneer, door wie (of door welke browser), waarvoor precies, en dat intrekking net zo eenvoudig is als het geven ervan. Die bewijslast rust op de exploitant van de website, niet op de bezoeker: in een geschil moet de exploitant kunnen aantonen dat er geldige toestemming was, niet de gebruiker dat hij die niet heeft gegeven.
Precies dat verklaart waarom cookiebanners er tegenwoordig uitzien zoals ze eruitzien: met een echte weigeringsoptie die gelijkwaardig is aan instemmen, met een uitsplitsing naar categorie in plaats van één algemeen ja, en met een logboek op de achtergrond dat precies vastlegt wat er is gebeurd. Dat is geen toeval en geen overdreven formalisme — het is het rechtstreekse gevolg van één enkele basisregel: toegang tot andermans apparaat mag alleen wie daarvoor echte, geïnformeerde, actieve toestemming heeft. Al het andere bouwt voort op die ene regel, en de volgende artikelen in deze reeks gaan in detail in op de oorsprong ervan in het Europese en Duitse recht.