Çerez yerleştirmeden önce onay alma zorunluluğu GDPR'de yer almaz — daha eskidir ve başka bir yasadan gelir: elektronik haberleşmede kişisel verilerin işlenmesi ve mahremiyetin korunmasına ilişkin resmi adıyla 2002/58/EC sayılı Direktif, yani ePrivacy Direktifi. 12 Temmuz 2002'de kabul edilmiştir; o dönemde çerezler esas olarak oturum açma işlemleri ve basit kişiselleştirme için kullanılıyordu — siteler arası izleme teknik olarak mümkündü ama henüz kitlesel bir olgu değildi.
Direktifin ilk halinde 5(3). Madde, kullanıcıları çerezler hakkında bilgilendirmek ve onlara itiraz etme imkânı tanımaktan pek fazlasını istemiyordu — bir opt-out modeli. Hiçbir şey yapmamak, örtülü onay anlamına geliyordu. Uygulamada bu genellikle sayfanın bir köşesinde neredeyse kimsenin okumadığı küçük bir uyarı, ve o uyarı fark edilmeden çok önce zaten yerleştirilmiş çerezler anlamına geliyordu.
Bu durum, 5(3). Maddeyi baştan sona yeniden yazan 25 Kasım 2009 tarihli 2009/136/EC sayılı Direktif ile değişti — halk arasında “Çerez Direktifi” olarak bilinse de, aslında yalnızca orijinal ePrivacy Direktifi'ne yapılan bir değişiklikti. Opt-out modeli, gerçek bir onay zorunluluğuna dönüştü: kullanıcının açıkça talep ettiği bir hizmetin sunulması için kesinlikle gerekli olmayan çerezler, o tarihten itibaren ancak kullanıcı bilgilendirilmiş onayını verdikten sonra yerleştirilebilir hale geldi — sonradan değil, sessizce hiç değil.
Bu sıkılaştırmanın nedeni, 2000'li yıllarda çevrimiçi reklamcılık pazarının hızla büyümesiydi: izleme çerezleri bütün iş modellerinin temeli haline geldi, kullanıcı profilleri on, yirmi, yüz farklı web sitesinden akan verilerden oluşturuldu — çoğu zaman ilgili kişilerin bundan haberi bile olmadan. Avrupalı kanun koyucu, ispat yükünü tersine çevirerek karşılık verdi: artık itiraz etmesi gereken kullanıcı değil, onay alması gereken web sitesiydi.
Burada anlaşılması gereken önemli nokta, ePrivacy Direktifi'nin bir tüzük gibi doğrudan uygulanabilir AB hukuku değil, bir direktif olmasıdır. Direktifler bir hedef belirler ve her üye devlet bunu kendi ulusal hukukuna aktarmak zorundadır — asıl sorun da yıllarca tam olarak bu aktarım sürecinde yaşandı. Aktarım için son tarih 25 Mayıs 2011'di, ancak Almanya da dahil olmak üzere birçok üye devlet yeni onay zorunluluğunu ya isteksizce ya da eski opt-out mantığına yakın bir biçimde benimsedi. Almanya'nın bu sorunu nihayetinde nasıl çözdüğü, bu dizideki ayrı bir yazının konusudur.
Bugün hâlâ çerez onayının asıl hukuki dayanağı ePrivacy Direktifi'dir — 2018'de yürürlüğe giren ve farklı, ancak yakından ilişkili bir konuyu, kişisel verilerin genel olarak işlenmesini düzenleyen GDPR değil. İki yasa iç içe geçmiş durumdadır ve bu etkileşimin tam olarak nasıl işlediği, bir sonraki yazının konusudur.
Direktifin yerini almak üzere planlanan halefi, ePrivacy Tüzüğü, ulusal aktarım gerektirmeyen, doğrudan uygulanabilir bir hukuk metni olarak yürürlüğe girecekti. Yıllardır AB kurumları arasında müzakere edilmektedir ve henüz kabul edilmemiştir — bu gerçekleşene kadar 2002/2009 direktifi geçerli temel olmaya devam etmektedir.
Web sitesi işletmecileri için bu geçmişe bakmak faydalıdır, çünkü çerez onayının tek bir skandala tepki olarak değil, yıllar içinde büyüyen bir uygulamaya kademeli bir yanıt olarak ortaya çıktığını gösterir. 2009 kuralı bir sürpriz değil, 2002'de zaten formüle edilmiş bir temel fikrin tutarlı bir devamıydı — başkasının cihazına erişmek tarafsız bir teknik işlem değil, gerekçelendirilmesi gereken bir müdahaledir.