การละเมิดข้อบังคับเรื่องความยินยอมคุกกี้ไม่ใช่ความเสี่ยงในเชิงทฤษฎี — หน่วยงานคุ้มครองข้อมูลในหลายประเทศของสหภาพยุโรปได้กำหนดค่าปรับซ้ำแล้วซ้ำเล่าในจำนวนที่มากพอสมควรในช่วงหลายปีที่ผ่านมา กรอบทางกฎหมายสำหรับเรื่องนี้มาจากมาตรา 83(5) ของ GDPR: สำหรับการละเมิดร้ายแรง ค่าปรับอาจสูงถึง 20 ล้านยูโร หรือสูงถึง 4% ของยอดขายรวมทั่วโลกต่อปี แล้วแต่ว่าจำนวนใดสูงกว่า — แม้ว่าสาเหตุที่แท้จริงของการกำหนดโทษ ดังที่กล่าวไว้ในบทความก่อนหน้านี้ ในทางรูปแบบจะมาจากคำสั่ง ePrivacy หรือกฎหมายที่แปลงมาใช้ในประเทศนั้น ๆ ก็ตาม
ตัวอย่างที่เป็นที่รู้จักมากที่สุดตัวอย่างหนึ่งมาจากหน่วยงานคุ้มครองข้อมูลของฝรั่งเศส หรือ CNIL: ในเดือนธันวาคม ค.ศ. 2020 หน่วยงานนี้ได้กำหนดค่าปรับ Google รวมเป็นเงิน 100 ล้านยูโร และปรับ Amazon เป็นเงิน 35 ล้านยูโร เนื่องจากทั้งสองบริษัทฝังคุกกี้โฆษณาก่อนที่ผู้ใช้จะให้ความยินยอม ต่อมาในเดือนมกราคม ค.ศ. 2022 มีค่าปรับเพิ่มเติมต่อ Google อีก 150 ล้านยูโร และค่าปรับต่อ Facebook (ปัจจุบันคือ Meta) อีก 60 ล้านยูโร — ครั้งนี้เป็นเพราะการปฏิเสธคุกกี้บนเว็บไซต์ของบริษัทเหล่านี้ถูกออกแบบให้ยุ่งยากกว่าการยอมรับอย่างชัดเจน: ผู้ที่ต้องการยอมรับใช้เพียงคลิกเดียว ในขณะที่ผู้ที่ต้องการปฏิเสธต้องคลิกผ่านเมนูหลายชั้น CNIL มองว่านี่เป็นการละเมิดข้อกำหนดเรื่องความยินยอมที่ต้องเสรี และสามารถปฏิเสธได้ง่ายพอ ๆ กับการให้ความยินยอม
หน่วยงานคุ้มครองข้อมูลอื่น ๆ ก็ดำเนินการเช่นกัน แม้ว่าส่วนใหญ่จะเป็นจำนวนเงินที่น้อยกว่าและมุ่งไปที่ธุรกิจขนาดเล็กและขนาดกลาง เช่น การไม่จัดหมวดหมู่คุกกี้ สคริปต์ของบุคคลที่สามที่ถูกโหลดก่อนมีการโต้ตอบใด ๆ กับแบนเนอร์เลย หรือปุ่ม "ปฏิเสธ" ที่ไม่มีอยู่จริง ซึ่งบังคับให้ผู้เข้าชมต้องยอมรับเพราะไม่มีทางเลือกอื่นที่แท้จริง โดยเฉพาะประเด็นสุดท้ายนี้ — แบนเนอร์ที่ไม่มีตัวเลือกปฏิเสธที่เท่าเทียมกัน — เป็นหนึ่งในข้อบกพร่องที่พบบ่อยที่สุดในการตรวจสอบ เพราะขัดแย้งโดยตรงกับข้อกำหนดเรื่องการตัดสินใจที่เสรีซึ่งได้รับการยืนยันในคำพิพากษาคดี Planet49
สิ่งที่หน่วยงานคุ้มครองข้อมูลต้องการตรวจสอบอย่างเป็นรูปธรรมเมื่อมีการตรวจสอบสามารถสรุปได้จากกรณีเหล่านี้และแนวปฏิบัติที่หน่วยงานกำกับดูแลเผยแพร่ไว้: คุกกี้ที่ไม่จำเป็นถูกฝังหลังจากได้รับความยินยอมเชิงรุกแล้วเท่านั้น ไม่ใช่ก่อนหน้านั้นใช่หรือไม่ มีทางเลือกในการปฏิเสธที่แท้จริงและออกแบบมาอย่างเท่าเทียมกันหรือไม่ หมวดหมู่และวัตถุประสงค์ต่าง ๆ ถูกอธิบายไว้อย่างเป็นรูปธรรมเพียงพอหรือไม่ และ — ซึ่งมักเป็นประเด็นชี้ขาดในข้อพิพาทที่เกิดขึ้นจริง — ผู้ดำเนินการเว็บไซต์ยังสามารถพิสูจน์ได้ในภายหลังหรือไม่ว่าความยินยอมที่เฉพาะเจาะจงหนึ่งรายการนั้นถูกให้จริง ๆ ในเวลาที่เฉพาะเจาะจงนั้น
ประเด็นสุดท้ายนี้เองที่มักถูกประเมินต่ำเกินไปในทางปฏิบัติ แบนเนอร์ที่สมบูรณ์แบบในทางเทคนิคก็มีประโยชน์น้อยมาก หากเมื่อเกิดข้อพิพาท — เช่น หลังจากมีการร้องเรียนหรือการสุ่มตรวจสอบ — ไม่มีหลักฐานหลงเหลืออยู่เลยว่าความยินยอมนั้นถูกให้ไว้จริงหรือไม่ และให้ไว้อย่างไรกันแน่ หน้าที่ในการรับผิดชอบและพิสูจน์ได้ตามมาตรา 5(2) ของ GDPR ตกอยู่ที่ผู้ดำเนินการเว็บไซต์ ไม่ใช่ผู้เข้าชม: เมื่อมีข้อสงสัย ผู้ดำเนินการต้องเป็นฝ่ายพิสูจน์ ไม่ใช่ผู้ใช้ต้องเป็นฝ่ายหักล้าง
สำหรับเว็บไซต์ขนาดเล็กและขนาดกลางส่วนใหญ่ ค่าปรับในระดับเดียวกับกรณีที่กล่าวมาข้างต้นนั้นไม่น่าจะเกิดขึ้น — ในทางปฏิบัติ หน่วยงานกำกับดูแลมักมุ่งเน้นไปที่กรณีที่มีขอบเขตกว้างขวาง การละเมิดซ้ำ ๆ หรือการร้องเรียนที่มีเป้าหมายเฉพาะเจาะจง อย่างไรก็ตาม สิ่งนี้ไม่ได้เปลี่ยนแปลงหลักการพื้นฐานแต่อย่างใด: ความยินยอมที่ได้รับข้อมูลครบถ้วน เกิดจากการกระทำเชิงรุก และมีการบันทึกไว้ ไม่ใช่เพียงพิธีการ แต่เป็นฐานเดียวที่ทำให้แบนเนอร์คุกกี้บรรลุวัตถุประสงค์ของมันได้อย่างแท้จริง