ข้อบังคับที่ต้องขอความยินยอมก่อนฝังคุกกี้นั้นไม่ได้อยู่ใน GDPR — แต่มีมาก่อนหน้านั้นและมาจากกฎหมายอีกฉบับหนึ่ง คือ คำสั่ง ePrivacy ซึ่งมีชื่อทางการว่า คำสั่ง 2002/58/EC ว่าด้วยการประมวลผลข้อมูลส่วนบุคคลและการคุ้มครองความเป็นส่วนตัวในการสื่อสารทางอิเล็กทรอนิกส์ คำสั่งนี้ผ่านการรับรองเมื่อวันที่ 12 กรกฎาคม ค.ศ. 2002 ซึ่งเป็นช่วงเวลาที่คุกกี้ถูกใช้เป็นหลักสำหรับเซสชันการเข้าสู่ระบบและการปรับแต่งเนื้อหาแบบง่าย ๆ — การติดตามข้ามเว็บไซต์นั้นเป็นไปได้ในทางเทคนิคแล้ว แต่ยังไม่ใช่ปรากฏการณ์ที่แพร่หลาย
ในฉบับดั้งเดิม มาตรา 5(3) ของคำสั่งฉบับนี้กำหนดไว้เพียงแค่ให้แจ้งผู้ใช้เกี่ยวกับการฝังคุกกี้และให้โอกาสในการปฏิเสธเท่านั้น — เป็นรูปแบบ opt-out ผู้ที่ไม่ทำอะไรเลยถือว่าได้ให้ความยินยอมโดยปริยาย ในทางปฏิบัติ สิ่งนี้มักหมายถึงข้อความแจ้งเตือนเล็ก ๆ ที่ซ่อนอยู่ที่ไหนสักแห่งบนหน้าเว็บซึ่งแทบไม่มีใครอ่าน ในขณะที่คุกกี้ก็ถูกฝังไปแล้วก่อนที่ใครจะทันสังเกตเห็นข้อความนั้นด้วยซ้ำ
สิ่งนี้เปลี่ยนไปด้วยคำสั่ง 2009/136/EC ลงวันที่ 25 พฤศจิกายน ค.ศ. 2009 ซึ่งเขียนมาตรา 5(3) ขึ้นใหม่ทั้งหมด — เป็นที่รู้จักกันทั่วไปในชื่อ "คำสั่งคุกกี้" แม้ว่าในทางการแล้วจะเป็นเพียงการแก้ไขเพิ่มเติมคำสั่ง ePrivacy ฉบับเดิมก็ตาม รูปแบบ opt-out กลายเป็นข้อบังคับเรื่องความยินยอมอย่างแท้จริง: นับแต่นั้นมา คุกกี้ที่ไม่ได้จำเป็นอย่างแท้จริงต่อการให้บริการที่ผู้ใช้ร้องขออย่างชัดแจ้งจะสามารถฝังได้ก็ต่อเมื่อผู้ใช้ได้ให้ความยินยอมโดยได้รับข้อมูลครบถ้วนแล้วเท่านั้น — ไม่ใช่ภายหลัง ไม่ใช่โดยไม่บอกกล่าว
เหตุผลของการเข้มงวดขึ้นครั้งนี้อยู่ที่การเติบโตอย่างรวดเร็วของตลาดโฆษณาออนไลน์ในช่วงทศวรรษ 2000 คุกกี้ติดตามพฤติกรรมกลายเป็นรากฐานของโมเดลธุรกิจทั้งหมด และโปรไฟล์ผู้ใช้ก็ถูกสร้างขึ้นจากข้อมูลที่ไหลมารวมกันจากเว็บไซต์สิบ ยี่สิบ หรือแม้แต่ร้อยแห่งที่แตกต่างกัน — ส่วนใหญ่แล้วโดยที่เจ้าของข้อมูลไม่รู้ตัวเลยด้วยซ้ำ ฝ่ายนิติบัญญัติของยุโรปตอบสนองด้วยการพลิกภาระการพิสูจน์: ไม่ใช่ผู้ใช้อีกต่อไปที่ต้องเป็นฝ่ายปฏิเสธ แต่เป็นเว็บไซต์ที่ต้องเป็นฝ่ายขอความยินยอม
สิ่งสำคัญที่ต้องเข้าใจคือ คำสั่ง ePrivacy เป็น "คำสั่ง" (directive) ไม่ใช่กฎหมายสหภาพยุโรปที่มีผลบังคับใช้โดยตรงอย่าง "ข้อบังคับ" (regulation) คำสั่งเป็นเพียงการกำหนดเป้าหมายที่แต่ละประเทศสมาชิกต้องนำไปแปลงเป็นกฎหมายภายในของตนเอง — และการแปลงกฎหมายนี้เองที่เป็นปัญหาที่แท้จริงมาเป็นเวลาหลายปี กำหนดเวลาสำหรับการแปลงกฎหมายสิ้นสุดลงในวันที่ 25 พฤษภาคม ค.ศ. 2011 แต่หลายประเทศสมาชิก — รวมถึงเยอรมนี — รับเอาข้อบังคับเรื่องความยินยอมใหม่นี้มาใช้อย่างลังเล หรือในรูปแบบที่ยังคงใกล้เคียงกับตรรกะ opt-out แบบเดิม เยอรมนีแก้ปัญหานี้ได้อย่างไรในที่สุดจะกล่าวถึงในบทความแยกต่างหากของชุดนี้
จนถึงทุกวันนี้ คำสั่ง ePrivacy ยังคงเป็นฐานทางกฎหมายที่แท้จริงสำหรับความยินยอมคุกกี้เอง — ไม่ใช่ GDPR ซึ่งเพิ่งมีผลบังคับใช้ในปี 2018 และควบคุมประเด็นที่แตกต่างออกไป แม้จะเกี่ยวข้องกันอย่างใกล้ชิด นั่นคือการจัดการข้อมูลส่วนบุคคลโดยทั่วไป กฎหมายทั้งสองฉบับนี้ทำงานประสานกัน และรายละเอียดของการประสานงานนี้จะเป็นหัวข้อของบทความถัดไป
กฎหมายฉบับต่อไปที่วางแผนไว้ คือ ข้อบังคับ ePrivacy เดิมทีตั้งใจจะเข้ามาแทนที่คำสั่งฉบับนี้และมีผลบังคับใช้โดยตรงโดยไม่ต้องผ่านการแปลงเป็นกฎหมายภายในประเทศ ข้อบังคับฉบับนี้อยู่ระหว่างการเจรจาระหว่างสถาบันต่าง ๆ ของสหภาพยุโรปมาเป็นเวลาหลายปีแล้ว และยังไม่ได้รับการรับรอง — จนกว่าจะถึงวันนั้น คำสั่งปี 2002/2009 ก็ยังคงเป็นฐานทางกฎหมายที่ใช้บังคับอยู่
สำหรับผู้ดำเนินการเว็บไซต์ การมองย้อนไปที่ประวัติศาสตร์นี้เป็นเรื่องคุ้มค่า เพราะมันอธิบายได้ว่าทำไมความยินยอมคุกกี้จึงไม่ได้เกิดขึ้นจากการตอบสนองต่อเรื่องอื้อฉาวเรื่องใดเรื่องหนึ่งโดยเฉพาะ แต่เป็นคำตอบที่ค่อยเป็นค่อยไปต่อแนวปฏิบัติที่เติบโตขึ้นมาตลอดหลายปี กฎในปี 2009 ไม่ใช่เรื่องที่น่าประหลาดใจ แต่เป็นการสืบทอดแนวคิดพื้นฐานที่ถูกวางไว้ตั้งแต่ปี 2002 อย่างสอดคล้องต่อเนื่อง — การเข้าถึงอุปกรณ์ของผู้อื่นไม่ใช่กระบวนการทางเทคนิคที่เป็นกลาง แต่เป็นการแทรกแซงที่ต้องมีเหตุผลรองรับ