Knappast någon dom har förändrat hur cookiebanners fungerar i Europa så direkt som EU-domstolens avgörande den 1 oktober 2019 i målet mot företaget Planet49 (mål C-673/17). Det som till en början såg ut som en randanmärkning i en tävling på nätet blev ett vägledande avgörande om vad som egentligen krävs för ett giltigt cookiesamtycke.
Sakförhållandena var i sig odramatiska: Planet49 anordnade en tävling på nätet och visade deltagarna två kryssrutor. Den ena — redan förikryssad — gällde samtycke till att reklampartner satte cookies i marknadsföringssyfte. Den andra rutan, som måste kryssas i separat, gällde att personuppgifter fick lämnas ut till sponsorer för marknadsföring per telefon eller e-post. Den som ville delta i tävlingen var tvungen att aktivt kryssa i den andra rutan, men kunde utan vidare lämna den första — redan ikryssade — som den var, utan att ens medvetet lägga märke till den.
Tysklands federala högsta domstol (Bundesgerichtshof) hänsköt frågan till EU-domstolen: räcker en sådan redan ikryssad ruta som samtycke i den mening som avses i e-privacydirektivet? Domstolens svar var entydigt: nej. Ett samtycke förutsätter en aktiv, medveten handling från användaren — en ruta som användaren själv måste kryssa i för att godkänna, inte en som måste kryssas ur för att INTE godkänna. Skillnaden mellan att "aktivt godkänna" och att "inte invända" är exakt den skillnad som stått i centrum för e-privacydirektivets historia sedan 2009 — och EU-domstolen bekräftade därmed att den skärpningen faktiskt var menad på allvar.
En andra anmärkningsvärd punkt i avgörandet: EU-domstolen klargjorde att det för själva samtyckeskravet inte spelar någon roll om informationen som lagras i cookien utgör personuppgifter i GDPR:s mening eller inte. E-privacydirektivet skyddar redan åtkomsten till slutanvändarens enhet som sådan — oavsett vad som i slutänden faktiskt lagras. Det var ett viktigt klargörande, eftersom vissa aktörer tidigare hade hävdat att pseudonyma eller rent tekniska identifierare inte alls omfattades av samtyckeskravet.
För det tredje krävde domstolen att användare innan de samtycker ska informeras konkret om hur länge cookien är aktiv och om tredje part får tillgång till den. En allmän, vagt hållen information räcker sedan dess inte längre — cookiebeskrivningar måste vara så konkreta att en användare faktiskt kan bedöma vad hen samtycker till.
De praktiska följderna av domen märktes omedelbart: förikryssade rutor försvann från europeiska cookiebanners, "godkänn"-knappar var tvungna att utlösas av ett verkligt, medvetet klick, och kategorisering av cookies med exakta uppgifter om syfte och löptid blev standard. Dataskyddsmyndigheter i flera medlemsstater reviderade sina egna riktlinjer direkt efter avgörandet, och domen har sedan dess fungerat som referens i en rad senare ärenden — bland annat i frågan om en banner som medvetet gör "avvisa" svårare att nå än "godkänn" också strider mot kravet på ett fritt, otvetydigt beslut.
Planet49 visar därmed på ett tydligt sätt hur ett enskilt rättsfall översätter en lagtexts abstrakta krav till konkreta, tekniska krav — och varför en cookiebanner i dag ser ut som den gör, i stället för som den vanligtvis gjorde före 2019.
Anmärkningsvärt är också hur snabbt domens verkan spred sig bortom själva tvisten: även om den formellt bara klargjorde tolkningen av e-privacydirektivet för en konkret tysk rättstvist, rättade tillsynsmyndigheter i hela Europa in sig efter samma linje — ett tydligt bevis på hur starkt en enskild dom från EU-domstolen kan prägla praxis långt utanför gränserna för det ursprungliga målet.