Avrupa Birliği Adalet Divanı'nın (ABAD) Planet49 şirketine karşı açılan davada 1 Ekim 2019 tarihinde verdiği karar (Dava C-673/17) kadar Avrupa çapında çerez bantlarının işleyişini doğrudan etkileyen çok az mahkeme kararı vardır. Başlangıçta çevrimiçi bir çekilişten kaynaklanan ikincil bir mesele gibi görünen şey, geçerli bir çerez onayını gerçekte neyin oluşturduğuna dair emsal niteliğinde bir karara dönüştü.
Olayın kendisi sıradandı: Planet49 çevrimiçi bir çekiliş düzenliyor ve katılımcılara iki kutucuk gösteriyordu. Bunlardan biri — zaten önceden işaretlenmiş olan — reklam ortaklarının pazarlama amacıyla çerez yerleştirmesine onay veriyordu. Ayrı olarak işaretlenmesi gereken diğer kutucuk ise kişisel verilerin telefon veya e-posta yoluyla pazarlama amacıyla sponsorlarla paylaşılmasını kapsıyordu. Çekilişe katılmak isteyen herkesin ikinci kutucuğu bilinçli olarak işaretlemesi gerekiyordu, ancak önceden işaretlenmiş olan birinci kutucuğu fark etmeden olduğu gibi bırakabiliyordu.
Almanya Federal Adalet Divanı (BGH), soruyu ABAD'a yöneltti: zaten işaretlenmiş bir kutucuk, ePrivacy Direktifi anlamında onay sayılmak için yeterli midir? Mahkemenin cevabı netti: hayır. Onay, kullanıcının aktif, bilinçli bir eylemini gerektirir — kabul etmek için kullanıcının kendisinin işaretlemesi gereken bir kutucuk, kabul ETMEMEK için işaretini kaldırması gereken bir kutucuk değil. Aktif olarak kabul etmek ile itiraz etmemek arasındaki fark, tam olarak ePrivacy Direktifi'nin 2009'dan bu yana süregelen tarihinde söz konusu olan farktı — ve ABAD, bu sıkılaştırmanın gerçekten ciddiye alınması gerektiğini bu şekilde doğrulamış oldu.
Karardaki dikkat çekici ikinci nokta şuydu: ABAD, onay zorunluluğunun kendisi açısından, çerezde saklanan bilginin GDPR anlamında kişisel veri oluşturup oluşturmadığının önemli olmadığını netleştirdi. ePrivacy Direktifi, sonunda içerik olarak ne saklandığından bağımsız olarak, uç cihaza erişimin kendisini zaten korur. Bu önemli bir açıklamaydı, çünkü bazı sağlayıcılar daha önce takma ad kullanılan veya salt teknik tanımlayıcıların onay zorunluluğunun kapsamına hiç girmediğini savunmuştu.
Üçüncü olarak mahkeme, kullanıcıların onay vermeden önce çerezlerin ne kadar süre etkin kalacağı ve üçüncü tarafların bunlara erişip erişmediği konusunda somut biçimde bilgilendirilmesini şart koştu. O tarihten beri genel, belirsiz bir bilgilendirme yeterli değildir — çerez açıklamaları, kullanıcının neye onay verdiğini gerçekten değerlendirebileceği kadar somut olmalıdır.
Kararın pratik sonuçları hemen hissedildi: önceden işaretlenmiş kutucuklar Avrupa'daki çerez bantlarından kayboldu, kabul et düğmelerinin gerçek, bilinçli bir tıklamayla tetiklenmesi zorunlu hale geldi ve çerezlerin amaç ve süreye ilişkin kesin bilgilerle kategorilendirilmesi standart uygulama oldu. Birçok üye devletteki veri koruma otoriteleri, kararın hemen ardından kendi rehberlerini gözden geçirdi ve karar o zamandan beri sayısız başka davada referans noktası olarak kullanıldı — örneğin reddet seçeneğini kabul et'ten kasıtlı olarak daha zor ulaşılır kılan bir bantın da özgür ve açık bir karar gerekliliğini ihlal edip etmediği sorusunda.
Planet49 davası böylece, tek bir mahkeme kararının bir yasa metninin soyut gerekliliklerini nasıl somut, teknik gerekliliklere dönüştürdüğünü ve bir çerez bantının bugün, 2019 öncesinde yaygın olduğu gibi değil, neden bu şekilde göründüğünü örnekliyor.
Kararın etkisinin, asıl uyuşmazlığın çok ötesine ne kadar hızlı yayıldığı da dikkat çekicidir: karar resmi olarak yalnızca belirli bir Alman hukuki uyuşmazlığı için ePrivacy Direktifi'nin yorumunu netleştirse de, Avrupa genelindeki denetim otoriteleri aynı çizgiyi benimsedi — bu da tek bir ABAD kararının, kaynaklandığı davanın sınırlarının çok ötesinde uygulamayı ne denli güçlü biçimde şekillendirebileceğinin bir kanıtıdır.