Obowiązek uzyskania zgody przed ustawieniem plików cookie nie wynika z RODO — jest starszy i pochodzi z innego aktu prawnego: dyrektywy ePrivacy, formalnie dyrektywy 2002/58/WE dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej. Przyjęto ją 12 lipca 2002 roku, w czasie, gdy pliki cookie służyły głównie do obsługi sesji logowania i podstawowej personalizacji — śledzenie użytkowników na wielu stronach było technicznie możliwe, ale nie było jeszcze zjawiskiem masowym.
W pierwotnym brzmieniu art. 5 ust. 3 dyrektywy wymagał niewiele więcej niż poinformowania użytkowników o plikach cookie i danie im możliwości sprzeciwu — model opt-out. Brak działania oznaczał domniemaną zgodę. W praktyce często sprowadzało się to do drobnej wzmianki gdzieś na stronie, której prawie nikt nie czytał, podczas gdy pliki cookie były ustawiane, zanim ktokolwiek w ogóle ją zauważył.
Zmieniło się to wraz z dyrektywą 2009/136/WE z 25 listopada 2009 roku, która całkowicie przeredagowała art. 5 ust. 3 — powszechnie znaną jako „dyrektywa cookie”, choć formalnie jest jedynie nowelizacją pierwotnej dyrektywy ePrivacy. Model sprzeciwu zastąpiono prawdziwym obowiązkiem uzyskania zgody: pliki cookie, które nie są bezwzględnie niezbędne do świadczenia usługi wyraźnie żądanej przez użytkownika, od tego momentu mogą być ustawiane dopiero po uzyskaniu świadomej zgody użytkownika — nie później, nie w milczeniu.
Powodem tego zaostrzenia był gwałtowny rozwój rynku reklamy internetowej w latach 2000., kiedy pliki cookie służące do śledzenia stały się podstawą całych modeli biznesowych, a profile użytkowników powstawały z danych spływających z dziesięciu, dwudziestu, stu różnych stron internetowych — najczęściej bez wiedzy osób, których to dotyczyło. Europejski ustawodawca odpowiedział odwróceniem ciężaru dowodu: to już nie użytkownik musiał się sprzeciwiać, lecz strona internetowa musiała uzyskać zgodę.
Ważne dla zrozumienia jest to, że dyrektywa ePrivacy jest dyrektywą, a nie bezpośrednio obowiązującym prawem unijnym, jak rozporządzenie. Dyrektywy wyznaczają cel, który każde państwo członkowskie musi przełożyć na prawo krajowe — i właśnie w tym przełożeniu przez lata tkwił rzeczywisty problem. Termin transpozycji upłynął 25 maja 2011 roku, jednak wiele państw członkowskich — w tym Niemcy — wdrażało nowy obowiązek zgody niechętnie albo w formie, która pozostawała bliska staremu modelowi opt-out. To, jak Niemcy ostatecznie rozwiązały ten problem, opisuje osobny wpis tej serii.
Do dziś dyrektywa ePrivacy pozostaje właściwą podstawą prawną dla samej zgody na cookies — nie RODO, które weszło w życie dopiero w 2018 roku i reguluje inną, choć ściśle powiązaną kwestię: sposób postępowania z danymi osobowymi w ogóle. Oba akty prawne wzajemnie się przenikają, a to, jak dokładnie to działa, jest tematem kolejnego wpisu.
Planowany następca, rozporządzenie ePrivacy, miał pierwotnie zastąpić dyrektywę i wejść w życie jako bezpośrednio obowiązujące prawo, bez konieczności transpozycji krajowej. Od lat jest przedmiotem negocjacji między instytucjami UE i wciąż nie zostało przyjęte — dopóki to nie nastąpi, obowiązującą podstawą pozostaje dyrektywa z 2002/2009 roku.
Dla operatorów stron internetowych warto przyjrzeć się tej historii, ponieważ wyjaśnia ona, dlaczego obowiązek zgody na cookies nie powstał jako reakcja na pojedynczy skandal, lecz jako stopniowa odpowiedź na praktykę narastającą przez lata. Zasada z 2009 roku nie była zaskoczeniem, lecz konsekwentnym rozwinięciem myśli sformułowanej już w 2002 roku — dostęp do cudzego urządzenia nie jest neutralną czynnością techniczną, lecz ingerencją wymagającą uzasadnienia.