Bir çerez bantındaki hukuki metni okuyan hemen hemen herkes, yan yana anılan iki yasayla karşılaşır: ePrivacy Direktifi (ya da onun ulusal uygulaması) ve Genel Veri Koruma Tüzüğü, yani GDPR. Bu bir gözden kaçırma ya da ihtiyaten yapılan çifte güvence değildir — iki yasa gerçekten de farklı, ancak birbirine sıkı sıkıya bağlı konuları düzenler.
Resmi adıyla (AB) 2016/679 sayılı Tüzük olan GDPR, 27 Nisan 2016'da kabul edilmiş ve iki yıllık bir geçiş süresinin ardından 25 Mayıs 2018'de AB genelinde doğrudan yürürlüğe girmiştir — bir tüzük olarak, bir direktifin aksine, hiçbir ulusal aktarım gerektirmemiştir. Genel olarak kişisel verilerin nasıl işlenebileceğini düzenler: bir işleme faaliyetinin hangi hukuki dayanağa ihtiyaç duyduğunu, ilgili kişilerin hangi haklara sahip olduğunu ve veri sorumlularının hangi yükümlülükler altında olduğunu belirler.
ePrivacy Direktifi ise daha spesifiktir: yalnızca uç cihazlardaki bilgilere erişimi ve bu bilgilerin saklanmasını düzenler — bu sırada GDPR anlamında kişisel veri söz konusu olup olmadığından bağımsız olarak. Tam da bu nedenle, saklanan bilginin tek başına kimseyi tanımlamaması durumunda bile, bir çerez için onay zorunluluğunu tetiklemeye cihaza erişilmiş olması yeterlidir.
İki yasa şöyle birlikte işler: ePrivacy Direktifi, zorunlu olmayan çerezler için onay gerektiğini söyler. Ancak geçerli bir onayı tam olarak neyin oluşturduğunu ayrıntılı biçimde belirtmez — bu tanımı GDPR sağlar. GDPR'nin 4(11). Maddesine göre onay, yalnızca özgürce verilmiş, belirli bir amaca yönelik, bilgilendirilmiş ve açık olduğunda geçerlidir — bir beyan ya da açık bir onaylayıcı eylem yoluyla verilir. Önceden işaretlenmiş bir kutu bu son koşulu karşılamaz, çünkü kullanıcının aktif bir eylemini içermez (bu konuda daha fazlası Planet49 kararı hakkındaki yazıda).
GDPR'den kaynaklanan ve bugün her çerez bantının doğal bir parçası sayılan başka gereklilikler de vardır: onayın geri alınması, verilmesi kadar kolay olmalıdır (Madde 7(3)), ve onay toplayan herkes, itiraz edilmesi durumunda onayın gerçekten verildiğini kanıtlayabilmelidir (Madde 5(2), sözde hesap verebilirlik ilkesi). Bu ispat yükümlülüğü, sade bir “kullanıcı herhalde tıkladı” ifadesinin neden yeterli olmadığının nedenlerinden biridir — bantın gösterildiği zamanı, kapsamını ve tam sürümünü kaydeden bir günlük olmadan, bir uyuşmazlıkta dayanılacak hiçbir şey kalmaz.
Pratikte bu, bir çerez bantının yalnızca bir değil, aynı anda iki yasayı karşılaması gerektiği anlamına gelir. ePrivacy Direktifi onayın kendisini şart koşar; GDPR ise onun niteliğini ve buna bağlı yükümlülükleri tanımlar — geri alınabilirlik, ispatlanabilirlik, yeterince bilgilendirilmiş olma. Bir onay toplayan ama bunu izlenebilir biçimde belgelemeyen bir bant, teknik olarak ePrivacy gerekliliğini karşılasa bile GDPR'yi ihlal edebilir.
Bu ikili temel, GDPR'nin genellikle yanlışlıkla çerez onayının kökeni sayılmasına rağmen, aslında bu konuda temelden bir şey değiştirmediğini de açıklar — orijinal ePrivacy Direktifi'nden 16 yıl sonra yürürlüğe girmiş ve esas olarak, zaten var olan bir yükümlülüğün ölçüldüğü standardı netleştirmiştir. Bu iki AB yasasının Almanya'da somut olarak ulusal hukuka nasıl aktarıldığı, bu dizinin bir sonraki yazısının konusudur.