Kravet på att inhämta samtycke innan cookies sätts finns inte i GDPR (dataskyddsförordningen) — det är äldre och kommer från en annan lag: e-privacydirektivet, formellt direktiv 2002/58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation. Det antogs den 12 juli 2002, vid en tid då cookies främst användes för inloggningssessioner och enkel personalisering — spårning över flera webbplatser var tekniskt möjligt men ännu inte något massfenomen.
I sin ursprungliga lydelse krävde artikel 5.3 i direktivet inte mycket mer än att användare skulle informeras om att cookies sattes och ges en möjlighet att invända — en opt-out-modell. Den som inte gjorde något ansågs implicit ha samtyckt. I praktiken innebar det ofta en liten notis undangömd någonstans på sidan som knappt någon läste, och cookies som redan hunnit sättas innan någon ens lagt märke till notisen.
Det förändrades med direktiv 2009/136/EG av den 25 november 2009, som skrev om artikel 5.3 i grunden — i dagligt tal känt som "cookiedirektivet", trots att det formellt bara är en ändring av det ursprungliga e-privacydirektivet. Opt-out-modellen blev ett verkligt samtyckeskrav: cookies som inte är absolut nödvändiga för att tillhandahålla en tjänst som användaren uttryckligen efterfrågat får sedan dess bara sättas efter att användaren gett ett informerat samtycke — inte i efterhand, inte tyst.
Skärpningen berodde på den snabba utvecklingen av annonsmarknaden på nätet under 2000-talet: spårningscookies blev grunden för hela affärsmodeller, och användarprofiler byggdes upp av data som flöt samman från tio, tjugo, hundra olika webbplatser — oftast utan att de berörda ens visste om det. Den europeiska lagstiftaren svarade genom att vända på bevisbördan: det var inte längre användaren som skulle invända, utan webbplatsen som skulle inhämta samtycke.
Viktigt att förstå är att e-privacydirektivet är just ett direktiv, inte direkt tillämplig EU-rätt som en förordning. Direktiv anger ett mål som varje medlemsstat måste omsätta i egen nationell lagstiftning — och det var precis i det genomförandet som det verkliga problemet låg i flera år. Fristen för genomförande löpte ut den 25 maj 2011, men många medlemsstater — Tyskland bland dem — införde det nya samtyckeskravet endast motvilligt eller i en form som fortfarande låg nära den gamla opt-out-tanken. Hur Tyskland till slut löste det problemet tar ett eget inlägg i den här serien upp.
Ännu i dag är e-privacydirektivet den egentliga rättsliga grunden för själva cookiesamtycket — inte GDPR, som först blev tillämplig 2018 och reglerar en annan, om än nära besläktad, fråga: hur personuppgifter i allmänhet ska hanteras. De båda lagarna griper in i varandra, och just det samspelet är ämnet för nästa inlägg.
En planerad efterföljare, e-privacyförordningen, skulle ursprungligen ersätta direktivet och träda i kraft som direkt tillämplig rätt utan behov av nationellt genomförande. Den har förhandlats mellan EU:s institutioner i flera år och är fortfarande inte antagen — till dess förblir direktivet från 2002/2009 den styrande grunden.
För webbplatsägare är det värt att känna till den här förhistorien, eftersom den förklarar varför cookiesamtycket inte uppstod som en reaktion på en enskild skandal, utan som ett stegvis svar på en praxis som vuxit fram under flera år. 2009 års regel var ingen överraskning utan en följdriktig vidareutveckling av en tanke som redan formulerats 2002 — att komma åt någon annans enhet är inte en neutral teknisk handling, utan ett ingrepp som kräver en rättfärdigande grund.