Överträdelser av kravet på cookiesamtycke är ingen teoretisk risk — dataskyddsmyndigheter i flera EU-länder har under de senaste åren upprepade gånger utfärdat böter på betydande belopp. Den rättsliga grunden för det finns i artikel 83.5 GDPR: vid allvarliga överträdelser kan böter på upp till 20 miljoner euro eller upp till 4 procent av den globala årsomsättningen utdömas, beroende på vilket belopp som är högst — även om den egentliga utlösande bestämmelsen, som beskrivits i tidigare inlägg, formellt kommer från e-privacydirektivet eller dess nationella genomförande.
Ett av de mest kända exemplen kommer från den franska dataskyddsmyndigheten CNIL: i december 2020 utdömde myndigheten böter på sammanlagt 100 miljoner euro mot Google och 35 miljoner euro mot Amazon, eftersom båda företagen hade satt reklamcookies innan användarna gett sitt samtycke. I januari 2022 följde ytterligare böter mot Google på 150 miljoner euro samt böter mot Facebook (i dag Meta) på 60 miljoner euro — den här gången eftersom det var betydligt krångligare att avvisa cookies på respektive webbplats än att godkänna dem: den som ville godkänna behövde bara ett klick, den som ville avvisa fick klicka sig igenom flera menyer. CNIL bedömde det som en överträdelse av kravet på att samtycke ska vara fritt och lika lätt att vägra som att ge.
Även andra dataskyddsmyndigheter har agerat, om än oftast med lägre belopp mot små och medelstora företag: utebliven kategorisering av cookies, tredjepartsskript som laddades redan innan något som helst samspel med bannern ägt rum, eller en "avvisa"-knapp som helt enkelt inte fanns och som tvingade besökare att godkänna eftersom det inte fanns något verkligt alternativ. Just den sistnämnda punkten — en banner utan en likvärdig avvisningsmöjlighet — hör till de vanligaste anmärkningarna vid kontroller, eftersom den direkt strider mot kravet på ett fritt beslut som bekräftades i Planet49-domen.
Vad dataskyddsmyndigheter konkret vill klargöra vid en kontroll går att utläsa av dessa fall och av myndigheternas publicerade riktlinjer: sattes icke nödvändiga cookies först EFTER ett aktivt godkännande, inte innan? Fanns det en verklig, likvärdigt utformad möjlighet att avvisa? Var kategorierna och ändamålen beskrivna tillräckligt konkret? Och — ofta den avgörande punkten i en faktisk tvist — kan webbplatsägaren i efterhand över huvud taget styrka att ett visst samtycke faktiskt lämnades vid en viss tidpunkt?
Just den sista punkten underskattas ofta i praktiken. En tekniskt felfri banner hjälper föga om det vid en tvist — till exempel efter ett klagomål eller en stickprovskontroll — inte längre finns något bevis för att och exakt hur samtycke gavs. Ansvarsskyldigheten enligt artikel 5.2 GDPR ligger hos webbplatsägaren, inte hos besökaren: det är denne som vid tvivel måste bevisa, inte användaren som måste motbevisa.
För de flesta små och medelstora webbplatser är böter i den storleksordning som beskrivs här osannolika — tillsynsmyndigheterna koncentrerar sig i praktiken på stor räckvidd, upprepade överträdelser eller riktade klagomål. Det ändrar dock inget i den underliggande principen: ett informerat, aktivt och dokumenterat samtycke är ingen formalitet, utan den enda grund på vilken en cookiebanner över huvud taget fyller sitt syfte.