Um cookie não é, no fundo, mais do que um pequeno ficheiro de texto que um site guarda no navegador de um visitante e volta a ler em cada visita seguinte. Isto, por si só, é tecnicamente inofensivo — sem este mecanismo, nenhum carrinho de compras conseguiria lembrar-se dos artigos que contém, e nenhuma sessão de início de sessão se manteria ativa ao longo de várias páginas. Nesse papel, os cookies são simplesmente a memória da web.
O problema começa quando um cookie deixa de servir apenas a sessão do próprio utilizador e passa a torná-lo reconhecível ao longo do tempo e em diferentes sites. Uma rede publicitária que coloca o mesmo cookie em centenas de páginas pode construir a partir disso um perfil de comportamento — que páginas alguém visita, com que frequência, em que momentos. Isto acontece de forma invisível: nada no site revela ao visitante que, em segundo plano, estão a ser colocados uma dezena de cookies deste tipo.
É exatamente aqui que entra a regra europeia que deu origem aos banners de cookies: quem guarda algo no dispositivo de um utilizador, ou lê algo a partir dele, sem que isso seja estritamente necessário para a função pedida, precisa de obter consentimento prévio para tal. Isto aplica-se independentemente de estarem ou não em causa dados pessoais em sentido estrito — basta que haja acesso ao dispositivo. (A origem desta regra, a chamada Diretiva ePrivacy, é o tema do próximo artigo.)
Daqui resulta uma distinção presente em qualquer banner de cookies bem construído: de um lado, os cookies necessários — carrinho de compras, sessão de início de sessão, funções de segurança, sem os quais o site simplesmente não funciona — e, do outro, tudo o resto: estatísticas, personalização, publicidade. O primeiro grupo não exige consentimento, porque o legislador o considera um pré-requisito do próprio serviço solicitado. O segundo grupo exige-o.
Um banner de cookies não é, no fundo, mais do que a implementação prática desta distinção: mostra ao visitante o que um site pretende fazer para além das funções necessárias e recolhe uma decisão consciente sobre isso antes de qualquer coisa entrar em ação. Não depois — antes. Um banner que só aparece na segunda visita à página, enquanto em segundo plano já foi carregado um script de rastreio, não cumpre a sua função, por muito bem apresentado que esteja.
Isto faz de um banner de cookies mais do que um simples aviso. Tem de conseguir comprovar que o consentimento foi efetivamente dado — quando, por quem (ou por qual navegador), para que finalidade exata, e que é tão fácil revogá-lo como foi dá-lo. Esta obrigação de prova recai sobre o operador do site, não sobre o visitante: em caso de litígio, é o operador que tem de demonstrar que dispunha de um consentimento válido, e não o utilizador que tem de provar que nunca o deu.
É exatamente isto que explica por que razão os banners de cookies têm hoje o aspeto que têm: com uma opção de recusa genuína e equivalente à de aceitação, com uma divisão por categorias em vez de um simples "sim" genérico, e com um registo em segundo plano que documenta exatamente o que aconteceu. Nada disto é acaso nem formalismo excessivo — é a consequência direta de uma única regra fundamental: só pode aceder ao dispositivo de outra pessoa quem tiver para isso um consentimento genuíno, informado e ativo. Tudo o resto assenta nesta única regra, e os próximos artigos desta série acompanham a sua origem em pormenor, no direito europeu e no direito alemão.