Niewiele wyroków tak bezpośrednio zmieniło praktykę banerów cookie w Europie, jak orzeczenie Trybunału Sprawiedliwości Unii Europejskiej (TSUE) z 1 października 2019 roku w sprawie przeciwko spółce Planet49 (sprawa C-673/17). To, co początkowo wyglądało na kwestię poboczną wynikającą z internetowego konkursu, stało się orzeczeniem zasadniczym co do tego, co w ogóle czyni zgodę na cookies ważną.
Stan faktyczny był niepozorny: Planet49 organizowała internetowy konkurs i wyświetlała uczestnikom dwa pola wyboru. Jedno z nich — już domyślnie zaznaczone — dotyczyło zgody na ustawianie plików cookie w celach reklamowych przez partnerów reklamowych. Drugie, które trzeba było zaznaczyć osobno, dotyczyło przekazywania danych osobowych sponsorom w celach reklamowych drogą telefoniczną lub mailową. Kto chciał wziąć udział w konkursie, musiał aktywnie zaznaczyć drugie pole, natomiast pierwsze — domyślnie zaznaczone — mógł po prostu zostawić bez zmian, nawet go świadomie nie zauważając.
Niemiecki Federalny Trybunał Sprawiedliwości (BGH) skierował pytanie do TSUE: czy takie już zaznaczone pole wystarcza jako zgoda w rozumieniu dyrektywy ePrivacy? Odpowiedź Trybunału była jednoznaczna: nie. Zgoda zakłada aktywne, świadome działanie użytkownika — pole, które użytkownik musi sam zaznaczyć, aby wyrazić zgodę, a nie takie, które musiałby odznaczyć, aby zgody NIE wyrazić. Różnica między „aktywnym wyrażeniem zgody” a „brakiem sprzeciwu” to dokładnie ta różnica, o którą chodziło w historii dyrektywy ePrivacy od 2009 roku — a TSUE potwierdził tym samym, że to zaostrzenie było naprawdę pomyślane poważnie.
Godny uwagi był drugi punkt orzeczenia: TSUE wyjaśnił, że dla samego obowiązku uzyskania zgody nie ma znaczenia, czy informacja zapisana w pliku cookie stanowi dane osobowe w rozumieniu RODO. Dyrektywa ePrivacy chroni już sam dostęp do urządzenia końcowego jako taki — niezależnie od tego, co ostatecznie zostaje w nim zapisane pod względem treści. Było to ważne doprecyzowanie, ponieważ niektórzy dostawcy wcześniej argumentowali, że pseudonimowe lub czysto techniczne identyfikatory w ogóle nie podlegają obowiązkowi uzyskania zgody.
Po trzecie, Trybunał zażądał, aby użytkownicy przed wyrażeniem zgody byli konkretnie informowani o okresie działania plików cookie oraz o tym, czy dostęp do nich uzyskują osoby trzecie. Ogólna, mgliście sformułowana informacja od tamtej pory nie wystarcza — wyjaśnienia dotyczące cookies muszą być na tyle konkretne, by użytkownik rzeczywiście mógł ocenić, na co się zgadza.
Praktyczne skutki wyroku były odczuwalne natychmiast: domyślnie zaznaczone pola wyboru zniknęły z europejskich banerów cookie, przyciski „zgadzam się” musiały być uruchamiane przez prawdziwe, świadome kliknięcie, a kategoryzacja plików cookie z dokładnymi informacjami o celu i okresie przechowywania stała się standardem. Organy ochrony danych w kilku państwach członkowskich zmieniły własne wytyczne bezpośrednio po tym orzeczeniu, a od tamtej pory służy ono jako punkt odniesienia w licznych kolejnych sprawach — na przykład przy pytaniu, czy baner, w którym „odrzuć” jest celowo trudniej dostępne niż „zaakceptuj”, również narusza wymóg swobodnej, jednoznacznej decyzji.
Planet49 pokazuje w ten sposób na przykładzie, jak pojedyncza sprawa sądowa przekłada abstrakcyjne wymogi tekstu ustawy na konkretne, techniczne wymagania — i dlaczego baner cookie wygląda dziś tak, jak wygląda, a nie tak, jak było to powszechne jeszcze przed 2019 rokiem.
Godne uwagi jest również to, jak szybko skutki wyroku rozprzestrzeniły się poza sam spór, którego dotyczyły: choć formalnie wyjaśniał on jedynie wykładnię dyrektywy ePrivacy w konkretnym niemieckim sporze prawnym, organy nadzorcze w całej Europie zaczęły kierować się tą samą linią — dowód na to, jak silnie pojedynczy wyrok TSUE potrafi ukształtować praktykę daleko poza granicami postępowania, w którym zapadł.