แทบไม่มีคำพิพากษาใดที่เปลี่ยนแปลงแนวปฏิบัติของแบนเนอร์คุกกี้ในยุโรปได้โดยตรงเท่ากับคำวินิจฉัยของศาลยุติธรรมแห่งสหภาพยุโรป (CJEU) เมื่อวันที่ 1 ตุลาคม ค.ศ. 2019 ในคดีที่ฟ้องบริษัท Planet49 (คดีหมายเลข C-673/17) สิ่งที่ในตอนแรกดูเหมือนเป็นประเด็นรองจากการชิงโชคออนไลน์ กลับกลายเป็นคำวินิจฉัยหลักที่กำหนดว่าอะไรคือสิ่งที่ทำให้ความยินยอมคุกกี้สมบูรณ์ตามกฎหมายอย่างแท้จริง
ข้อเท็จจริงของคดีนี้ไม่มีอะไรซับซ้อน: Planet49 จัดกิจกรรมชิงโชคออนไลน์และแสดงช่องกาเครื่องหมายสองช่องให้ผู้เข้าร่วม ช่องแรก — ซึ่งถูกกาไว้ล่วงหน้าแล้ว — เกี่ยวข้องกับความยินยอมให้พันธมิตรโฆษณาฝังคุกกี้เพื่อวัตถุประสงค์ทางการตลาด ส่วนช่องที่สอง ซึ่งต้องกาแยกต่างหาก เกี่ยวข้องกับการเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้สนับสนุนเพื่อวัตถุประสงค์ทางการตลาดผ่านทางโทรศัพท์หรืออีเมล ผู้ที่ต้องการเข้าร่วมชิงโชคต้องกาเครื่องหมายในช่องที่สองด้วยตนเองอย่างจงใจ แต่สามารถปล่อยช่องแรก — ที่กาไว้ล่วงหน้า — ทิ้งไว้อย่างนั้นได้เลย โดยไม่เคยสังเกตเห็นมันอย่างมีสติเลยด้วยซ้ำ
ศาลยุติธรรมสูงสุดแห่งสหพันธ์เยอรมนี (BGH) ได้ส่งคำถามนี้ไปยัง CJEU ว่า ช่องที่ถูกกาไว้ล่วงหน้าเช่นนี้เพียงพอที่จะถือเป็นความยินยอมตามความหมายของคำสั่ง ePrivacy หรือไม่ คำตอบของศาลชัดเจนคือ ไม่ ความยินยอมต้องอาศัยการกระทำเชิงรุกและมีสติของผู้ใช้ นั่นคือช่องที่ผู้ใช้ต้องกาเครื่องหมายด้วยตนเองเพื่อยินยอม ไม่ใช่ช่องที่ผู้ใช้ต้องยกเลิกการกาเครื่องหมายเพื่อ "ไม่" ยินยอม ความแตกต่างระหว่าง "ยินยอมอย่างเชิงรุก" กับ "ไม่ปฏิเสธ" นี้ คือความแตกต่างเดียวกับที่เป็นแก่นของประวัติศาสตร์คำสั่ง ePrivacy มาตั้งแต่ปี 2009 — และคำพิพากษาของ CJEU ในครั้งนี้ก็ยืนยันว่าการทำให้เข้มงวดขึ้นดังกล่าวนั้นตั้งใจให้มีผลจริงจังอย่างแท้จริง
ประเด็นที่น่าสนใจอีกข้อหนึ่งของคำพิพากษานี้คือ CJEU ชี้แจงว่าข้อบังคับเรื่องความยินยอมนั้นไม่ได้ขึ้นอยู่กับว่าข้อมูลที่จัดเก็บไว้ในคุกกี้จะถือเป็นข้อมูลส่วนบุคคลตามความหมายของ GDPR หรือไม่ คำสั่ง ePrivacy คุ้มครองการเข้าถึงอุปกรณ์ปลายทางในตัวมันเองอยู่แล้ว — ไม่ว่าสุดท้ายแล้วจะมีการจัดเก็บเนื้อหาใดไว้ก็ตาม นี่เป็นการชี้แจงที่สำคัญ เพราะก่อนหน้านี้ผู้ให้บริการบางรายเคยโต้แย้งว่าตัวระบุแบบไม่เปิดเผยตัวตนหรือที่เป็นเทคนิคล้วน ๆ นั้นไม่อยู่ภายใต้ข้อบังคับเรื่องความยินยอมเลย
ประการที่สาม ศาลกำหนดให้ผู้ใช้ต้องได้รับแจ้งอย่างเป็นรูปธรรมก่อนการให้ความยินยอม เกี่ยวกับระยะเวลาการทำงานของคุกกี้และว่าบุคคลที่สามจะสามารถเข้าถึงคุกกี้นั้นได้หรือไม่ นับแต่นั้นมา ข้อมูลที่ทั่วไปและคลุมเครือจึงไม่เพียงพออีกต่อไป — คำอธิบายเกี่ยวกับคุกกี้ต้องมีความเป็นรูปธรรมเพียงพอที่ผู้ใช้จะสามารถประเมินได้จริงว่าตนกำลังยินยอมกับอะไร
ผลกระทบเชิงปฏิบัติของคำพิพากษานี้เห็นได้ชัดเจนในทันที: ช่องกาเครื่องหมายที่กาไว้ล่วงหน้าหายไปจากแบนเนอร์คุกกี้ทั่วยุโรป ปุ่ม "ยอมรับ" ต้องถูกกดโดยการคลิกที่แท้จริงและตั้งใจ และการจัดหมวดหมู่คุกกี้พร้อมรายละเอียดที่ชัดเจนเกี่ยวกับวัตถุประสงค์และระยะเวลาก็กลายเป็นมาตรฐาน หน่วยงานคุ้มครองข้อมูลในหลายประเทศสมาชิกได้ปรับปรุงแนวปฏิบัติของตนเองทันทีหลังคำพิพากษานี้ และนับแต่นั้นมันก็กลายเป็นข้อมูลอ้างอิงในคดีอื่น ๆ อีกมากมาย — เช่น คำถามว่าแบนเนอร์ที่จงใจทำให้ปุ่ม "ปฏิเสธ" เข้าถึงได้ยากกว่าปุ่ม "ยอมรับ" ถือเป็นการละเมิดข้อกำหนดเรื่องการตัดสินใจที่เสรีและไม่คลุมเครือด้วยหรือไม่
คดี Planet49 จึงเป็นตัวอย่างที่ชัดเจนว่าคดีในศาลเพียงคดีเดียวสามารถแปลข้อกำหนดเชิงนามธรรมของตัวบทกฎหมายให้กลายเป็นข้อกำหนดทางเทคนิคที่เป็นรูปธรรมได้อย่างไร — และเหตุใดแบนเนอร์คุกกี้ในปัจจุบันจึงมีหน้าตาแบบที่เป็นอยู่ แทนที่จะเป็นแบบที่พบเห็นทั่วไปก่อนปี 2019
ที่น่าสนใจไม่แพ้กันคือความเร็วที่ผลของคำพิพากษานี้แผ่ขยายออกไปไกลเกินกว่าคดีต้นเรื่องเอง: แม้ในทางรูปแบบแล้วคำพิพากษานี้จะเพียงชี้แจงการตีความคำสั่ง ePrivacy สำหรับข้อพิพาททางกฎหมายที่เป็นรูปธรรมในเยอรมนีคดีหนึ่งเท่านั้น แต่หน่วยงานกำกับดูแลทั่วทั้งยุโรปกลับยึดแนวทางเดียวกันนี้ — เป็นหลักฐานว่าคำพิพากษาของ CJEU เพียงคดีเดียวสามารถกำหนดทิศทางแนวปฏิบัติได้ทรงพลังเพียงใด ไกลเกินขอบเขตของคดีต้นเรื่องไปมาก