Naruszenia obowiązku uzyskania zgody na cookies to nie ryzyko teoretyczne — organy ochrony danych w kilku krajach UE w ostatnich latach wielokrotnie i w znacznej wysokości nakładały kary. Ramy prawne wynikają z art. 83 ust. 5 RODO: przy poważnych naruszeniach możliwe są kary do 20 milionów euro albo do 4 procent globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa — nawet jeśli, jak opisano we wcześniejszych wpisach, faktyczne źródło obowiązku formalnie wynika z dyrektywy ePrivacy lub jej krajowej implementacji.
Jeden z najbardziej znanych przykładów pochodzi od francuskiego organu ochrony danych CNIL: w grudniu 2020 roku nałożył on na Google kary w łącznej wysokości 100 milionów euro, a na Amazon 35 milionów euro, ponieważ obie firmy ustawiały pliki cookie reklamowe, zanim użytkownicy udzielili zgody. W styczniu 2022 roku nastąpiła kolejna kara dla Google w wysokości 150 milionów euro oraz kara dla Facebooka (dziś Meta) w wysokości 60 milionów euro — tym razem dlatego, że odrzucenie plików cookie na odpowiednich stronach było wyraźnie bardziej skomplikowane niż wyrażenie zgody: kto chciał się zgodzić, potrzebował jednego kliknięcia, kto chciał odrzucić, musiał przejść przez kilka menu. CNIL uznał to za naruszenie wymogu, by zgoda była równie łatwa do odmówienia, jak do udzielenia.
Aktywne były też inne organy ochrony danych, choć zwykle nakładały niższe kwoty na małe i średnie firmy: brak kategoryzacji plików cookie, skrypty firm trzecich ładujące się jeszcze przed jakąkolwiek interakcją z banerem, albo przycisk „odrzuć”, który po prostu nie istniał, zmuszając odwiedzających do zaakceptowania, bo nie było prawdziwej alternatywy. Zwłaszcza ten ostatni punkt — baner bez równorzędnej opcji odrzucenia — należy do najczęstszych zastrzeżeń podczas kontroli, ponieważ bezpośrednio narusza wymóg swobodnej decyzji potwierdzony w wyroku w sprawie Planet49.
To, co organy ochrony danych faktycznie chcą sprawdzić podczas kontroli, można wywnioskować z tych spraw oraz z opublikowanych wytycznych organów nadzorczych: czy pliki cookie niepotrzebne do niczego innego były ustawiane dopiero PO aktywnej zgodzie, a nie wcześniej? Czy istniała prawdziwa, równorzędnie zaprojektowana możliwość odrzucenia? Czy kategorie i cele były opisane wystarczająco konkretnie? I — często decydujący punkt w konkretnym sporze — czy operator strony w ogóle może później wykazać, że dana zgoda została rzeczywiście udzielona w danym momencie?
Właśnie ten ostatni punkt jest w praktyce często niedoceniany. Technicznie bezbłędny baner niewiele daje, jeśli w razie sporu — na przykład po skardze albo wyrywkowej kontroli — nie istnieje już żaden dowód na to, że i jak dokładnie udzielono zgody. Obowiązek rozliczalności z art. 5 ust. 2 RODO spoczywa na operatorze strony, nie na odwiedzającym: to on musi w razie wątpliwości udowodnić zgodę, a nie użytkownik obalić jej istnienie.
Dla większości mniejszych i średnich stron internetowych kary w wysokości wymienionych przypadków są mało prawdopodobne — organy nadzorcze w praktyce koncentrują się na dużym zasięgu, powtarzających się naruszeniach albo celowanych skargach. Nie zmienia to jednak leżącej u podstaw zasady: świadoma, aktywna, udokumentowana zgoda nie jest formalnością, lecz jedyną podstawą, na której baner cookie w ogóle spełnia swój cel.