Como descrito no segundo artigo desta série, a Diretiva ePrivacy é, precisamente, uma diretiva, e não direito da UE diretamente aplicável — cada Estado-Membro teve de a transpor para o seu próprio direito nacional. A Alemanha teve dificuldade em fazê-lo durante muito tempo, e vale a pena olhar de perto para essa história, porque explica por que razão os banners de cookies alemães invocam hoje uma lei que só existe desde finais de 2021.
Depois do endurecimento da Diretiva ePrivacy em 2009 (prazo de transposição: 25 de maio de 2011), a Alemanha manteve inicialmente a Lei alemã dos Telemeios (TMG). O seu artigo 15.º, n.º 3, previa uma possibilidade de oposição aos cookies, mas continuava formulado segundo a antiga lógica de opt-out anterior a 2009 — não segundo a nova obrigação de consentimento. Durante anos, o governo federal alemão defendeu que a TMG já transpunha suficientemente a diretiva, posição cada vez mais contestada por especialistas em proteção de dados, tribunais e pela Comissão Europeia. Na prática, isto gerou uma prolongada insegurança jurídica: alguns sites seguiam a interpretação europeia mais rigorosa, outros invocavam a legislação alemã, mais branda.
Esta indefinição só terminou com a Lei alemã de Proteção de Dados nas Telecomunicações e Telemeios (TTDSG), em vigor desde 1 de dezembro de 2021. O artigo 25.º da TTDSG transpôs, de forma expressa e inequívoca, as exigências do artigo 5.º, n.º 3, da Diretiva ePrivacy para o direito alemão: armazenar informações em dispositivos terminais, ou aceder a informações aí já guardadas, só é permitido com o consentimento do utilizador — com uma exceção restrita para finalidades tecnicamente indispensáveis, como possibilitar a prestação de uma função expressamente pedida. A TTDSG reuniu, pela primeira vez, o direito das telecomunicações e o direito dos telemeios numa lei autónoma, em vez de os manter dispersos por vários diplomas, como acontecia até então.
Em maio de 2024, a TTDSG foi renomeada para Lei alemã de Proteção de Dados nas Telecomunicações e nos Serviços Digitais (TDDDG) — no âmbito da adaptação do direito alemão ao Regulamento dos Serviços Digitais (DSA) europeu, que introduziu regras válidas em toda a UE para serviços digitais e plataformas. A regra sobre cookies em si não mudou: a disposição antes citada como artigo 25.º da TTDSG passou a figurar, com o mesmo número, como artigo 25.º da TDDDG — apenas o nome da lei em que se insere foi alterado.
Na prática, isto significa que um banner de cookies na Alemanha invoca hoje, tipicamente, duas bases legais em simultâneo — o artigo 25.º da TDDDG para a questão de saber se é sequer necessário consentimento, e o artigo 6.º do RGPD (em conjugação com os requisitos dos artigos 4.º, n.º 11, e 7.º do RGPD) para a qualidade desse consentimento. Quem conhece esta história não vê nisto uma dupla menção desnecessária, mas sim duas leis que respondem a duas questões diferentes e que se complementam entre si — de um lado, a transposição de uma diretiva europeia para o direito nacional; do outro, um regulamento europeu diretamente aplicável.
O próximo artigo desta série dedica-se a um caso concreto que veio precisar de forma decisiva os requisitos de um consentimento válido: o acórdão Planet49 do Tribunal de Justiça da União Europeia.
Para um operador de site, esta dupla citação é mais do que uma formalidade: mostra qual a autoridade competente para cada questão, em caso de dúvida. As questões sobre a admissibilidade do uso de cookies — se era sequer necessário consentimento — enquadram-se no artigo 25.º da TDDDG e, portanto, na esfera de competência da respetiva autoridade regional alemã de proteção de dados. As questões sobre a qualidade do consentimento dado, por exemplo se foi suficientemente informado, enquadram-se no RGPD. Na prática, as mesmas autoridades costumam analisar ambos os aspetos em conjunto, mas a base legal mantém-se distinta — um pormenor que se torna importante, o mais tardar, ao impugnar uma decisão.