ผู้ที่อ่านข้อความทางกฎหมายบนแบนเนอร์คุกกี้อย่างละเอียดมักจะพบกฎหมายสองฉบับถูกกล่าวถึงคู่กันเสมอ นั่นคือ คำสั่ง ePrivacy (หรือกฎหมายที่แปลงมาใช้ในประเทศนั้น ๆ) และ ข้อบังคับทั่วไปว่าด้วยการคุ้มครองข้อมูล หรือ GDPR สิ่งนี้ไม่ใช่ความผิดพลาดหรือมาตรการป้องกันซ้ำซ้อนด้วยความระมัดระวัง — กฎหมายทั้งสองฉบับนี้ควบคุมประเด็นที่แตกต่างกันจริง ๆ แต่เชื่อมโยงกันอย่างแนบแน่น
GDPR ซึ่งมีชื่อทางการว่า ข้อบังคับ (EU) 2016/679 ผ่านการรับรองเมื่อวันที่ 27 เมษายน ค.ศ. 2016 และหลังจากช่วงเปลี่ยนผ่านสองปี ก็มีผลบังคับใช้โดยตรงทั่วทั้งสหภาพยุโรปตั้งแต่วันที่ 25 พฤษภาคม ค.ศ. 2018 — ในฐานะข้อบังคับ (regulation) ซึ่งต่างจากคำสั่ง (directive) ตรงที่ไม่ต้องผ่านการแปลงเป็นกฎหมายภายในประเทศเลย GDPR ควบคุมในภาพรวมว่าข้อมูลส่วนบุคคลจะถูกจัดการได้อย่างไร ได้แก่ ฐานทางกฎหมายที่จำเป็นสำหรับการประมวลผลข้อมูล สิทธิของเจ้าของข้อมูล และหน้าที่ของผู้รับผิดชอบ
ในทางตรงกันข้าม คำสั่ง ePrivacy มีความเจาะจงมากกว่า: มันควบคุมเฉพาะการเข้าถึงและการจัดเก็บข้อมูลบนอุปกรณ์ปลายทางเท่านั้น — ไม่ว่าการกระทำนั้นจะก่อให้เกิดข้อมูลส่วนบุคคลตามความหมายของ GDPR หรือไม่ก็ตาม ด้วยเหตุนี้เอง เพียงแค่การเข้าถึงอุปกรณ์ก็เพียงพอแล้วที่จะก่อให้เกิดข้อบังคับเรื่องความยินยอมสำหรับคุกกี้ แม้ว่าข้อมูลที่จัดเก็บไว้นั้นเองจะไม่สามารถระบุตัวตนของใครได้เลยก็ตาม
การทำงานร่วมกันของกฎหมายทั้งสองเป็นดังนี้: คำสั่ง ePrivacy บอกว่า จำเป็นต้องมีความยินยอมสำหรับคุกกี้ที่ไม่จำเป็น แต่ไม่ได้ระบุรายละเอียดว่า อะไรคือสิ่งที่ทำให้ความยินยอมนั้นสมบูรณ์ตามกฎหมาย — คำนิยามนั้นมาจาก GDPR ตามมาตรา 4(11) ของ GDPR ความยินยอมจะสมบูรณ์ตามกฎหมายก็ต่อเมื่อให้โดยสมัครใจ เจาะจงกรณี ได้รับข้อมูลครบถ้วน และไม่คลุมเครือ — ผ่านคำแถลงหรือการกระทำที่ยืนยันอย่างชัดเจน ช่องกาเครื่องหมายที่ถูกกาไว้ล่วงหน้าไม่เป็นไปตามเกณฑ์ข้อสุดท้ายนี้ เพราะไม่มีการกระทำเชิงรุกใด ๆ จากผู้ใช้อยู่ในนั้น (รายละเอียดเพิ่มเติมอยู่ในบทความเกี่ยวกับคำพิพากษาคดี Planet49)
นอกจากนี้ GDPR ยังเป็นที่มาของข้อกำหนดอื่น ๆ ที่ปัจจุบันถือเป็นส่วนสำคัญของแบนเนอร์คุกกี้ไปแล้วโดยปริยาย: การถอนความยินยอมต้องทำได้ง่ายพอ ๆ กับการให้ความยินยอมในตอนแรก (มาตรา 7(3)) และผู้ที่เก็บรวบรวมความยินยอมต้องสามารถพิสูจน์ได้ หากมีข้อพิพาทเกิดขึ้น ว่าความยินยอมนั้นถูกให้จริง (มาตรา 5(2) หรือที่เรียกว่าหลักความรับผิดชอบที่พิสูจน์ได้) หน้าที่ในการพิสูจน์นี้เป็นหนึ่งในเหตุผลที่คำพูดง่าย ๆ อย่าง "ผู้ใช้น่าจะคลิกไปแล้ว" นั้นไม่เพียงพอ — หากไม่มีบันทึกที่เก็บเวลา ขอบเขต และเวอร์ชันที่แน่นอนของแบนเนอร์ที่แสดงไว้ ก็จะไม่มีอะไรพิสูจน์ได้เลยเมื่อเกิดข้อสงสัย
ในทางปฏิบัติ สิ่งนี้หมายความว่า: แบนเนอร์คุกกี้ต้องปฏิบัติตามกฎหมายสองฉบับพร้อมกัน ไม่ใช่แค่ฉบับเดียว คำสั่ง ePrivacy กำหนดให้ต้องมีความยินยอม ส่วน GDPR กำหนดคุณภาพของความยินยอมนั้นและหน้าที่ที่เกี่ยวข้อง — การเพิกถอนได้ การพิสูจน์ได้ และการได้รับข้อมูลครบถ้วน แบนเนอร์ที่เก็บความยินยอมได้ก็จริง แต่ไม่ได้บันทึกไว้ในลักษณะที่ตรวจสอบย้อนกลับได้ อาจปฏิบัติตามข้อกำหนดของ ePrivacy ในทางรูปแบบ แต่ก็ยังคงละเมิด GDPR อยู่ดี
ฐานทางกฎหมายคู่นี้ยังอธิบายด้วยว่าเหตุใด GDPR จึงไม่ได้เปลี่ยนแปลงความยินยอมคุกกี้อย่างมีนัยสำคัญเลย แม้ว่ามักจะถูกเข้าใจผิดว่าเป็นจุดกำเนิดของแบนเนอร์คุกกี้ — GDPR เพิ่งเกิดขึ้นหลังจากคำสั่ง ePrivacy ฉบับดั้งเดิมถึง 16 ปี และเพียงแค่ทำให้มาตรฐานที่ใช้วัดข้อบังคับที่มีอยู่แล้วชัดเจนยิ่งขึ้นเท่านั้น กฎหมายทั้งสองฉบับของสหภาพยุโรปนี้ถูกแปลงเป็นกฎหมายภายในของเยอรมนีอย่างเป็นรูปธรรมอย่างไร จะเป็นหัวข้อของบทความถัดไปในชุดนี้