Plik cookie to w gruncie rzeczy nic innego niż mały plik tekstowy, który strona internetowa zapisuje w przeglądarce odwiedzającego i odczytuje przy każdej kolejnej wizycie. Samo w sobie jest to technicznie nieszkodliwe — bez tego mechanizmu żaden koszyk zakupowy nie zapamiętałby, jakie produkty się w nim znajdują, a żadne logowanie nie przetrwałoby przejścia między kolejnymi podstronami. W tej roli pliki cookie są po prostu pamięcią sieci.
Problem zaczyna się w momencie, gdy plik cookie przestaje obsługiwać wyłącznie własną sesję użytkownika, a zaczyna czynić go rozpoznawalnym w czasie i na różnych stronach internetowych. Sieć reklamowa, która ustawia ten sam plik cookie na setkach witryn, może na tej podstawie zbudować profil zachowań — jakie strony ktoś odwiedza, jak często, o jakiej porze. Dzieje się to niewidocznie: odwiedzający nie zauważa po wyglądzie strony, że w tle ustawiany jest tuzin takich plików cookie.
Dokładnie w tym miejscu wkracza europejska zasada, z której wzięły się banery cookie: kto zapisuje coś na urządzeniu użytkownika albo coś z niego odczytuje, a nie jest to bezwzględnie konieczne dla funkcji, o którą użytkownik faktycznie poprosił, potrzebuje na to wcześniejszej zgody. Dotyczy to niezależnie od tego, czy powstają przy tym dane osobowe w ścisłym znaczeniu — wystarczy sam dostęp do urządzenia końcowego. (Skąd wzięła się ta zasada — tak zwana dyrektywa ePrivacy — opisuje kolejny wpis z tej serii.)
Wynika z tego rozróżnienie, które przewija się przez każdy porządnie zbudowany baner cookie: pliki niezbędne z jednej strony — koszyk, sesja logowania, funkcje bezpieczeństwa, bez których strona po prostu nie działa — i wszystko inne z drugiej: statystyki, personalizacja, reklama. Pierwsza grupa nie wymaga zgody, bo ustawodawca traktuje ją jako warunek konieczny żądanej usługi. Druga grupa — wymaga.
Baner cookie jest więc w istocie niczym innym jak praktycznym wdrożeniem tego rozróżnienia: pokazuje odwiedzającemu, co strona zamierza zrobić poza funkcjami niezbędnymi, i zbiera świadomą decyzję na ten temat, zanim cokolwiek z tego zacznie działać — nie potem, tylko wcześniej. Baner, który pojawia się dopiero przy drugim wejściu na stronę, podczas gdy w tle od dawna działa skrypt śledzący, nie spełnia swojej funkcji, niezależnie od tego, jak elegancko wygląda.
To sprawia, że baner cookie to coś więcej niż tylko wyświetlacz. Musi umieć udowodnić, że zgoda rzeczywiście została udzielona — kiedy, przez kogo (a właściwie przez którą przeglądarkę), na co dokładnie, i że można ją cofnąć równie łatwo, jak została udzielona. Ten obowiązek dowodowy spoczywa nie na odwiedzającym, lecz na operatorze strony: w razie sporu to on musi wykazać, że dysponował ważną zgodą, a nie użytkownik — że jej nie udzielił.
To właśnie tłumaczy, dlaczego banery cookie wyglądają dziś tak, jak wyglądają: z prawdziwą opcją odrzucenia równorzędną wobec akceptacji, z podziałem na kategorie zamiast jednego zbiorczego „tak”, i z rejestrem w tle, który zapisuje, co dokładnie się wydarzyło. To nie przypadek ani przesadny formalizm — to bezpośrednia konsekwencja jednej podstawowej zasady: dostęp do cudzego urządzenia ma prawo mieć ten, kto dysponuje prawdziwą, świadomą, aktywną zgodą. Wszystko inne opiera się na tej jednej zasadzie, a kolejne wpisy tej serii prześledzą jej pochodzenie w prawie europejskim i niemieckim szczegółowo.