โดยแก่นแท้แล้ว คุกกี้ก็คือไฟล์ข้อความเล็ก ๆ ที่เว็บไซต์บันทึกไว้ในเบราว์เซอร์ของผู้เข้าชม แล้วอ่านกลับมาใช้ทุกครั้งที่กลับมาเยี่ยมชมอีก ในตัวมันเองนั้นไม่มีอันตรายใด ๆ ในทางเทคนิค — หากไม่มีกลไกนี้ ตะกร้าสินค้าก็จะจำไม่ได้ว่ามีสินค้าอะไรอยู่ข้างใน และการเข้าสู่ระบบก็จะไม่คงอยู่ข้ามหน้าเว็บ ในบทบาทนี้ คุกกี้ก็คือ "ความทรงจำ" ของเว็บนั่นเอง
ปัญหาเริ่มขึ้นเมื่อคุกกี้ไม่ได้ใช้เก็บแค่ข้อมูลของเซสชันของผู้ใช้เองอีกต่อไป แต่กลับทำให้สามารถจดจำผู้ใช้ได้ตลอดช่วงเวลาและข้ามเว็บไซต์ต่าง ๆ เครือข่ายโฆษณาที่ฝังคุกกี้ตัวเดียวกันไว้ในเว็บไซต์นับร้อยแห่งสามารถสร้างโปรไฟล์พฤติกรรมได้จากข้อมูลนั้น — ว่าใครเข้าเว็บไซต์ไหนบ้าง บ่อยแค่ไหน และเมื่อใด ทั้งหมดนี้เกิดขึ้นโดยที่ผู้ใช้มองไม่เห็น: หน้าเว็บไม่มีสัญญาณใด ๆ บอกให้รู้ว่ามีคุกกี้แบบนี้นับสิบตัวกำลังถูกฝังอยู่เบื้องหลัง
ตรงจุดนี้เองที่กฎของยุโรปซึ่งเป็นที่มาของแบนเนอร์คุกกี้เข้ามามีบทบาท: ผู้ใดที่จัดเก็บหรืออ่านข้อมูลบนอุปกรณ์ของผู้ใช้ โดยที่ข้อมูลนั้นไม่ได้จำเป็นอย่างแท้จริงต่อฟังก์ชันที่ผู้ใช้ร้องขอ จะต้องขอความยินยอมล่วงหน้าเสียก่อน กฎนี้ใช้บังคับไม่ว่าการกระทำดังกล่าวจะก่อให้เกิดข้อมูลส่วนบุคคลในความหมายที่แคบหรือไม่ก็ตาม — เพียงแค่มีการเข้าถึงอุปกรณ์ก็เพียงพอที่จะก่อให้เกิดข้อบังคับนี้แล้ว (ที่มาของกฎนี้ — ซึ่งเรียกกันว่า คำสั่ง ePrivacy — จะเป็นหัวข้อของบทความถัดไปในชุดนี้)
จากตรงนี้เกิดเป็นการแบ่งแยกที่ปรากฏอยู่ในแบนเนอร์คุกกี้ที่สร้างมาอย่างถูกต้องทุกอัน: ด้านหนึ่งคือคุกกี้ที่จำเป็น — ตะกร้าสินค้า เซสชันการเข้าสู่ระบบ ฟังก์ชันด้านความปลอดภัย ซึ่งหากขาดสิ่งเหล่านี้เว็บไซต์ก็จะใช้งานไม่ได้เลย — และอีกด้านคือสิ่งอื่นทั้งหมด: สถิติ การปรับเนื้อหาให้เหมาะกับผู้ใช้ และโฆษณา กลุ่มแรกไม่ต้องขอความยินยอม เพราะฝ่ายนิติบัญญัติถือว่าเป็นเงื่อนไขเบื้องต้นของบริการที่ถูกร้องขอเอง ส่วนกลุ่มที่สองต้องขอ
ด้วยเหตุนี้ แบนเนอร์คุกกี้จึงไม่ใช่อะไรมากไปกว่าการนำการแบ่งแยกดังกล่าวมาปฏิบัติจริง: มันแสดงให้ผู้เข้าชมเห็นว่าเว็บไซต์มีแผนจะทำอะไรนอกเหนือจากฟังก์ชันที่จำเป็น และเก็บรวบรวมการตัดสินใจอย่างมีสติเกี่ยวกับเรื่องนั้นก่อนที่สิ่งใดจะเริ่มทำงาน — ไม่ใช่ทำทีหลัง แต่ต้องทำก่อน แบนเนอร์ที่เพิ่งปรากฏขึ้นตอนโหลดหน้าเว็บครั้งที่สอง ในขณะที่สคริปต์ติดตามพฤติกรรมทำงานไปแล้วเบื้องหลัง ย่อมไม่บรรลุวัตถุประสงค์ของมัน ไม่ว่าหน้าตาจะดูดีเพียงใดก็ตาม
สิ่งนี้ยังทำให้แบนเนอร์คุกกี้เป็นมากกว่าแค่การแสดงผลธรรมดา มันต้องสามารถพิสูจน์ได้ว่าความยินยอมนั้นถูกให้จริง ๆ — เมื่อใด โดยใคร (หรือโดยเบราว์เซอร์ใด) เพื่อวัตถุประสงค์ใดโดยเฉพาะ และการถอนความยินยอมนั้นต้องทำได้ง่ายพอ ๆ กับการให้ความยินยอมในตอนแรก ภาระในการพิสูจน์นี้ตกอยู่ที่ผู้ดำเนินการเว็บไซต์ ไม่ใช่ผู้เข้าชม: ในกรณีมีข้อพิพาท ผู้ดำเนินการต้องแสดงให้เห็นว่ามีความยินยอมที่ถูกต้อง ไม่ใช่ผู้ใช้ที่ต้องพิสูจน์ว่าตนไม่เคยให้ความยินยอม
นี่เองคือเหตุผลว่าทำไมแบนเนอร์คุกกี้ในปัจจุบันจึงมีหน้าตาแบบที่เป็นอยู่: มีตัวเลือก "ปฏิเสธ" ที่แท้จริงและมีน้ำหนักเท่าเทียมกับการยอมรับ มีการแยกตามหมวดหมู่แทนที่จะเป็นปุ่ม "ใช่" แบบเหมารวม และมีบันทึกที่ทำงานอยู่เบื้องหลังซึ่งจดสิ่งที่เกิดขึ้นไว้อย่างแม่นยำ ทั้งหมดนี้ไม่ใช่เรื่องบังเอิญหรือพิธีการที่เกินความจำเป็น แต่เป็นผลโดยตรงจากกฎพื้นฐานเพียงข้อเดียว: ผู้ที่จะเข้าถึงอุปกรณ์ของผู้อื่นได้ต้องมีความยินยอมที่แท้จริง ได้รับข้อมูลครบถ้วน และเกิดจากการกระทำเชิงรุก สิ่งอื่นทั้งหมดล้วนต่อยอดมาจากกฎข้อนี้ และบทความถัดไปในชุดนี้จะสืบสาวที่มาของมันในกฎหมายยุโรปและกฎหมายเยอรมันอย่างละเอียด