Kto czyta teksty prawne widniejące na banerach cookie, niemal zawsze znajdzie tam obok siebie dwa akty prawne: dyrektywę ePrivacy (albo jej krajową implementację) oraz ogólne rozporządzenie o ochronie danych, w skrócie RODO. To nie przeoczenie ani podwójne zabezpieczenie z ostrożności — oba akty rzeczywiście regulują odmienne, choć ściśle powiązane ze sobą kwestie.
RODO, formalnie Rozporządzenie (UE) 2016/679, zostało przyjęte 27 kwietnia 2016 roku i po dwuletnim okresie przejściowym zaczęło bezpośrednio obowiązywać w całej Unii 25 maja 2018 roku — jako rozporządzenie, w przeciwieństwie do dyrektywy, nie wymagało żadnej implementacji krajowej. Reguluje ono w sposób ogólny, jak wolno postępować z danymi osobowymi: jakiej podstawy prawnej wymaga dane przetwarzanie, jakie prawa mają osoby, których dane dotyczą, i jakie obowiązki spoczywają na administratorach.
Dyrektywa ePrivacy jest natomiast bardziej szczegółowa: reguluje wyłącznie dostęp do informacji przechowywanych na urządzeniach końcowych oraz ich zapisywanie — niezależnie od tego, czy w ogóle powstają przy tym dane osobowe w rozumieniu RODO. Właśnie dlatego już sam dostęp do urządzenia wystarcza, by uruchomić obowiązek uzyskania zgody na plik cookie, nawet jeśli zapisana informacja sama w sobie nikogo nie identyfikuje.
Współdziałanie obu aktów wygląda tak: dyrektywa ePrivacy mówi, ŻE dla plików cookie niekoniecznych do niczego innego potrzebna jest zgoda. Nie precyzuje jednak, CO właściwie czyni zgodę ważną — tę definicję dostarcza RODO. Zgodnie z art. 4 pkt 11 RODO zgoda jest ważna tylko wtedy, gdy jest dobrowolna, konkretna, świadoma i jednoznaczna — wyrażona w formie oświadczenia lub wyraźnego działania potwierdzającego. Domyślnie zaznaczone pole wyboru nie spełnia tego ostatniego kryterium, ponieważ nie zawiera aktywnego działania użytkownika (więcej na ten temat we wpisie o wyroku w sprawie Planet49).
Z RODO pochodzą też dalsze wymogi, które dziś są oczywistym elementem każdego banera cookie: wycofanie zgody musi być równie łatwe jak jej udzielenie (art. 7 ust. 3), a każdy, kto zbiera zgody, musi w razie sporu umieć wykazać, że zgoda rzeczywiście została udzielona (art. 5 ust. 2, tzw. zasada rozliczalności). Ten obowiązek dowodowy to jeden z powodów, dla których samo „użytkownik chyba kliknął” nie wystarcza — bez rejestru odnotowującego moment, zakres i dokładną wersję wyświetlonego banera, w razie sporu nie da się niczego udowodnić.
W praktyce oznacza to dla operatorów stron, że baner cookie musi jednocześnie spełniać dwa akty prawne, a nie tylko jeden. Dyrektywa ePrivacy wymaga samej zgody, RODO definiuje jej jakość i związane z nią obowiązki — możliwość wycofania, udowodnienia, poinformowania. Baner, który wprawdzie zbiera zgodę, ale nie dokumentuje jej w sposób możliwy do prześledzenia, może formalnie spełniać wymóg dyrektywy ePrivacy, a mimo to naruszać RODO.
Ta podwójna podstawa tłumaczy również, dlaczego RODO w istocie niczego zasadniczo nie zmieniło w kwestii zgody na cookies, choć często błędnie uznaje się je za źródło baneru cookie — weszło w życie dopiero 16 lat po pierwotnej dyrektywie ePrivacy i przede wszystkim doprecyzowało miarę, według której ocenia się już istniejący obowiązek. To, jak te dwa unijne akty prawne zostały w Niemczech konkretnie przełożone na prawo krajowe, opisuje kolejny wpis tej serii.