En cookie är i grunden inget annat än en liten textfil som en webbplats lagrar i besökarens webbläsare och läser av igen vid varje senare besök. I sig är det tekniskt helt ofarligt — utan den här mekanismen skulle ingen varukorg komma ihåg vad som ligger i den, och ingen inloggning skulle bestå från en sida till nästa. I den rollen är cookies helt enkelt webbens minne.
Problemet uppstår när en cookie inte längre bara håller reda på den egna sessionen, utan gör en besökare igenkännbar över tid och över olika webbplatser. Ett annonsnätverk som sätter samma cookie på hundratals sidor kan utifrån det bygga upp en rörelseprofil — vilka sidor någon besöker, hur ofta, när. Det sker osynligt: ingenting på sidan avslöjar att ett dussintal sådana cookies sätts i bakgrunden.
Det är precis här som den europeiska regel som gav upphov till cookiebanners kommer in: den som lagrar något på en användares enhet, eller läser något därifrån, som inte är strikt nödvändigt för den funktion användaren faktiskt efterfrågat, behöver samtycke i förväg. Det gäller oavsett om det rör sig om personuppgifter i egentlig mening eller inte — det räcker att enheten över huvud taget nås för att kravet ska utlösas. (Var den här regeln kommer ifrån — det så kallade e-privacydirektivet — är ämnet för nästa inlägg i den här serien.)
Därav följer en distinktion som går genom varje ordentligt utformad cookiebanner: nödvändiga cookies på ena sidan — varukorg, inloggningssession, säkerhetsfunktioner, utan vilka en sida helt enkelt inte fungerar — och allt annat på den andra: statistik, personalisering, reklam. Den första gruppen kräver inget samtycke, eftersom lagstiftaren betraktar den som en förutsättning för den tjänst som faktiskt efterfrågats. Den andra gruppen gör det.
En cookiebanner är i grunden inget annat än det praktiska genomförandet av den här distinktionen: den visar besökaren vad sidan tänker göra utöver det strikt nödvändiga, och inhämtar ett medvetet beslut om detta innan något av det träder i kraft — inte efteråt, utan innan. En banner som först dyker upp vid andra sidladdningen, medan ett spårningsskript redan har körts i bakgrunden, uppfyller inte sitt syfte, hur snygg den än ser ut.
Därmed är en cookiebanner samtidigt mer än bara en visuell komponent. Den måste kunna bevisa att samtycket verkligen gavs — när, av vem (eller av vilken webbläsare), till exakt vad, och att det går lika lätt att återkalla som att lämna. Bevisbördan ligger inte hos besökaren utan hos den som driver webbplatsen: vid en tvist måste denne kunna visa att ett giltigt samtycke förelåg, inte användaren bevisa att hen aldrig gav något.
Det förklarar exakt varför cookiebanners i dag ser ut som de gör: med ett verkligt avvisningsalternativ likvärdigt med att godkänna, med en uppdelning efter kategori i stället för ett generellt ja, och med en logg i bakgrunden som håller reda på exakt vad som hänt. Det är varken en slump eller överdriven formalism — det är den direkta följden av en enda grundregel: den som vill komma åt någon annans enhet måste ha ett verkligt, informerat och aktivt samtycke för det. Allt annat bygger på just den regeln, och de kommande inläggen i den här serien går igenom dess ursprung i europeisk och tysk rätt i detalj.