Jak opisano w drugim wpisie tej serii, dyrektywa ePrivacy jest dyrektywą, a nie bezpośrednio obowiązującym prawem unijnym — każde państwo członkowskie musiało przełożyć ją na własne prawo krajowe. Niemcy długo miały z tym trudności, a ta historia zasługuje na osobne omówienie, bo tłumaczy, dlaczego niemieckie banery cookie powołują się dziś na ustawę istniejącą dopiero od końca 2021 roku.
Po zaostrzeniu dyrektywy ePrivacy w 2009 roku (termin transpozycji: 25 maja 2011) Niemcy trzymały się początkowo obowiązującej ustawy o telemediach (TMG). Jej § 15 ust. 3 przewidywał wprawdzie możliwość sprzeciwu wobec plików cookie, ale formułował ją nadal w duchu starej logiki opt-out sprzed 2009 roku, a nie nowego obowiązku zgody. Rząd federalny przez lata stał na stanowisku, że TMG wystarczająco implementuje dyrektywę — pogląd coraz mocniej kwestionowany przez organy ochrony danych, sądy i Komisję Europejską. W praktyce panowała przez to długotrwała niepewność prawna: część stron kierowała się surowszą wykładnią europejską, inne powoływały się na słabszy niemiecki stan prawny.
Ta niejasność zakończyła się dopiero wraz z ustawą o ochronie danych w telekomunikacji i telemediach (TTDSG), która weszła w życie 1 grudnia 2021 roku. § 25 TTDSG przeniósł wymogi art. 5 ust. 3 dyrektywy ePrivacy do prawa niemieckiego wprost i jednoznacznie: przechowywanie informacji na urządzeniach końcowych lub dostęp do nich są dopuszczalne wyłącznie za zgodą użytkownika — z wąskim wyjątkiem dla celów technicznie bezwzględnie niezbędnych, na przykład po to, by w ogóle udostępnić wyraźnie żądaną funkcję. TTDSG po raz pierwszy połączyło prawo telekomunikacyjne i prawo telemediów w jednym samodzielnym akcie, zamiast rozpraszać je, jak dotychczas, po kilku regulacjach.
W maju 2024 roku TTDSG przemianowano na ustawę o ochronie danych w telekomunikacji i usługach cyfrowych (TDDDG) — w ramach dostosowywania niemieckiego prawa do unijnego aktu o usługach cyfrowych (DSA), który wprowadził ogólnounijne zasady dotyczące usług i platform cyfrowych. Sama zasada dotycząca cookies się przy tym nie zmieniła: przepis cytowany wcześniej jako § 25 TTDSG figuruje odtąd pod tym samym numerem jako § 25 TDDDG — zmieniła się tylko nazwa ustawy, w którą jest wbudowany.
W praktyce oznacza to, że baner cookie w Niemczech powołuje się dziś zazwyczaj na dwie podstawy prawne jednocześnie: § 25 TDDDG w kwestii tego, czy zgoda jest w ogóle potrzebna, oraz art. 6 RODO (w powiązaniu z wymogami z art. 4 pkt 11 i art. 7 RODO) w kwestii jakości tej zgody. Kto zna tę historię, nie widzi w tym zbędnego podwójnego powołania, lecz dwa akty prawne, które odpowiadają na dwa różne pytania i wzajemnie się uzupełniają — implementację europejskiej dyrektywy do prawa krajowego z jednej strony, bezpośrednio obowiązujące rozporządzenie europejskie z drugiej.
Kolejny wpis tej serii zwraca się ku konkretnej sprawie, która decydująco zaostrzyła wymogi dotyczące ważnej zgody: wyrokowi Trybunału Sprawiedliwości Unii Europejskiej w sprawie Planet49.
Dla operatora strony internetowej to podwójne powołanie się na przepisy to więcej niż formalność prawna: pokazuje, który organ jest właściwy w razie wątpliwości. Pytania o dopuszczalność samego stosowania plików cookie — czy zgoda w ogóle była potrzebna — podlegają § 25 TDDDG, a więc kompetencji właściwego krajowego organu ochrony danych. Pytania o jakość udzielonej zgody, na przykład czy była wystarczająco świadoma, podlegają RODO. W praktyce te same organy zwykle badają obie kwestie razem, ale podstawa prawna pozostaje odmienna — szczegół, który staje się istotny najpóźniej wtedy, gdy trzeba zaskarżyć decyzję.