Çerez onayı zorunluluğunun ihlali teorik bir risk değildir — birçok AB ülkesindeki veri koruma otoriteleri son yıllarda tekrar tekrar ve önemli miktarlarda para cezaları uyguladı. Bunun hukuki çerçevesi GDPR'nin 83(5). Maddesinden gelir: ciddi ihlallerde, hangisi daha yüksekse, 20 milyon avroya kadar veya dünya çapındaki yıllık cirosunun yüzde 4'üne kadar para cezası mümkündür — asıl tetikleyici, önceki yazılarda anlatıldığı gibi, resmi olarak ePrivacy Direktifi'nden veya onun ulusal uygulamasından gelse bile.
En bilinen örneklerden biri Fransız veri koruma otoritesi CNIL'den gelir: Aralık 2020'de CNIL, kullanıcılar onay vermeden önce reklam çerezleri yerleştirdikleri için Google'a toplam 100 milyon avro, Amazon'a ise 35 milyon avro para cezası verdi. Ocak 2022'de Google'a 150 milyon avro tutarında bir ceza daha ve Facebook'a (bugünkü adıyla Meta) 60 milyon avro ceza geldi — bu kez, ilgili web sitelerinde çerezleri reddetmenin kabul etmekten belirgin biçimde daha zahmetli hale getirilmiş olması nedeniyle: kabul etmek isteyenler tek bir tıklama yapıyor, reddetmek isteyenler ise birkaç menüye tıklamak zorunda kalıyordu. CNIL bunu, onayın verilmesi kadar reddedilmesinin de kolay olması gerekliliğinin ihlali olarak değerlendirdi.
Diğer veri koruma otoriteleri de harekete geçti, genellikle küçük ve orta ölçekli işletmelere karşı daha küçük tutarlarla: eksik çerez kategorilendirmesi, bantla herhangi bir etkileşimden önce yüklenen üçüncü taraf betikleri veya basitçe var olmayan bir reddet düğmesi, gerçek bir alternatif olmadığı için ziyaretçileri kabul etmeye zorluyordu. Özellikle bu son nokta — eşdeğer bir reddetme seçeneği olmayan bir bant — denetimlerdeki en sık rastlanan bulgular arasındadır, çünkü Planet49 kararının doğruladığı özgür karar gerekliliğine doğrudan aykırıdır.
Veri koruma otoritelerinin bir denetimde gerçekte neyi doğrulamak istediği, bu vakalardan ve denetim otoritelerinin yayımladığı rehberlerden çıkarılabilir: zorunlu olmayan çerezler, önce değil, aktif onaydan SONRA mı yerleştirildi? Reddetmek için gerçek ve eşdeğer biçimde sunulmuş bir imkân var mıydı? Kategoriler ve amaçlar yeterince somut biçimde tanımlanmış mıydı? Ve — somut bir uyuşmazlıkta çoğu zaman belirleyici nokta — web sitesi işletmecisi, belirli bir onayın belirli bir zamanda gerçekten verildiğini sonradan hâlâ kanıtlayabiliyor mu?
Tam olarak bu son nokta pratikte sıklıkla hafife alınır. Bir uyuşmazlıkta — örneğin bir şikâyet ya da örneklem denetimi sonrasında — onayın verildiğini ve tam olarak nasıl verildiğini gösteren hiçbir kayıt kalmamışsa, teknik açıdan kusursuz bir bant pek işe yaramaz. GDPR'nin 5(2). Maddesindeki hesap verebilirlik yükümlülüğü web sitesi işletmecisine aittir, ziyaretçiye değil: şüphe durumunda kanıtlaması gereken işletmecidir, aksini ispatlaması gereken kullanıcı değil.
Çoğu küçük ve orta ölçekli web sitesi için, yukarıda belirtilen vakalar ölçeğinde para cezaları pek olası değildir — otoriteler pratikte büyük erişime sahip, tekrarlanan ihlallere veya hedefli şikâyetlere odaklanır. Ancak bu, altta yatan ilkeyi değiştirmez: bilgilendirilmiş, aktif ve kaydedilmiş onay bir formalite değildir; bir çerez bantının amacına gerçekten hizmet edebilmesinin tek temelidir.