Den som läser igenom den juridiska texten på en cookiebanner hittar nästan alltid två lagar nämnda sida vid sida: e-privacydirektivet (eller dess nationella genomförande) och GDPR (dataskyddsförordningen). Det är varken ett förbiseende eller dubbel försiktighet av gammal vana — de två lagarna reglerar faktiskt olika, men tätt sammanflätade, frågor.
GDPR, formellt förordning (EU) 2016/679, antogs den 27 april 2016 och blev efter en tvåårig övergångsperiod direkt tillämplig i hela unionen den 25 maj 2018 — som förordning, till skillnad från ett direktiv, utan att det krävdes något nationellt genomförande. Den reglerar generellt hur personuppgifter får hanteras: vilken rättslig grund en behandling behöver, vilka rättigheter registrerade har och vilka skyldigheter som åligger personuppgiftsansvariga.
E-privacydirektivet är däremot mer specifikt: det reglerar enbart åtkomst till och lagring av information på slutanvändares enheter — oavsett om det över huvud taget rör sig om personuppgifter i GDPR:s mening. Just därför räcker det med själva åtkomsten till enheten för att utlösa samtyckeskravet för en cookie, även om den lagrade informationen i sig inte identifierar någon.
Samspelet fungerar så här: e-privacydirektivet säger ATT samtycke krävs för icke nödvändiga cookies. Det anger däremot inte i detalj VAD som gör ett samtycke giltigt — den definitionen kommer från GDPR. Enligt artikel 4.11 GDPR är ett samtycke bara giltigt om det lämnas frivilligt, för det specifika fallet, informerat och otvetydigt — genom en förklaring eller en entydig bekräftande handling. En redan ikryssad ruta uppfyller inte det sista kravet, eftersom det inte innebär någon aktiv handling från användarens sida (mer om det i inlägget om Planet49-domen).
Från GDPR kommer också ytterligare krav som i dag är en självklar del av varje cookiebanner: det måste vara lika lätt att återkalla samtycket som att ge det (artikel 7.3), och den som inhämtar ett samtycke måste vid en tvist kunna bevisa att det faktiskt lämnades (artikel 5.2, den så kallade ansvarsskyldighetsprincipen). Den bevisskyldigheten är en av anledningarna till att ett enkelt "användaren klickade nog" inte räcker — utan en logg som fångar tidpunkt, omfattning och den exakta versionen av bannern som visades finns det inget att falla tillbaka på vid tvivel.
För webbplatsägare betyder det i praktiken att en cookiebanner måste uppfylla två lagar samtidigt, inte bara en. E-privacydirektivet kräver samtycket som sådant, GDPR definierar dess kvalitet och de skyldigheter som hänger samman med det — möjligheten att återkalla, bevisbarheten, att vara ordentligt informerad. En banner som visserligen inhämtar ett godkännande men inte dokumenterar det på ett spårbart sätt kanske formellt uppfyller e-privacykravet, men bryter samtidigt mot GDPR.
Den dubbla grunden förklarar också varför GDPR inte förändrade cookiesamtycket i grunden, även om förordningen ofta felaktigt uppfattas som cookiebannerns ursprung — den kom först 16 år efter det ursprungliga e-privacydirektivet och skärpte egentligen bara måttstocken för en redan existerande skyldighet. Hur de här två EU-lagarna konkret omsattes i tysk nationell rätt tar nästa inlägg i den här serien upp.