Bir çerez, temelde bir web sitesinin ziyaretçinin tarayıcısına kaydettiği ve her yeni ziyarette tekrar okuduğu küçük bir metin dosyasından başka bir şey değildir. Bu, tek başına teknik olarak zararsızdır — bu mekanizma olmasaydı hiçbir alışveriş sepeti içindeki ürünleri hatırlamaz, hiçbir oturum açma işlemi sayfa geçişleri arasında kalıcı olmazdı. Bu haliyle çerezler, web'in hafızasından ibarettir.
İşler, bir çerez artık yalnızca kendi oturumunuzu taşımaktan çıkıp sizi zaman içinde ve farklı web siteleri arasında tanınabilir kıldığı anda karışır. Yüzlerce sitede aynı çerezi ayarlayan bir reklam ağı, bundan bir hareket profili çıkarabilir — kişinin hangi sayfaları, ne sıklıkla, ne zaman ziyaret ettiğini. Bu görünmez şekilde gerçekleşir: bir ziyaretçi, arka planda bir düzine böyle çerezin ayarlandığını sayfaya bakarak anlayamaz.
Tam da bu noktada, çerez bantlarının ortaya çıkmasına neden olan Avrupa kuralı devreye girer: bir kullanıcının cihazına, talep edilen işlev için kesinlikle gerekli olmayan bir şey kaydeden ya da oradan bir şey okuyan herkesin, bunu yapmadan önce onay alması gerekir. Bu kural, kişisel veri niteliğinde bir bilginin ortaya çıkıp çıkmadığından bağımsız olarak geçerlidir — cihaza erişilmiş olması tek başına yeterlidir. (Bu kuralın kökeni olan sözde ePrivacy Direktifi, bu dizinin bir sonraki yazısının konusudur.)
Buradan, her düzgün kurulmuş çerez bantında karşımıza çıkan bir ayrım doğar: bir tarafta zorunlu çerezler — sepet, oturum açma, güvenlik işlevleri, bunlar olmadan bir site basitçe çalışmaz — diğer tarafta ise geri kalan her şey: istatistik, kişiselleştirme, reklam. Birinci grup onay gerektirmez, çünkü kanun koyucu bunları talep edilen hizmetin ön koşulu olarak görür. İkinci grup için ise onay şarttır.
Bir çerez bantı, aslında bu ayrımın pratiğe dökülmüş halinden başka bir şey değildir: ziyaretçiye, sitenin zorunlu işlevlerin ötesinde ne yapmayı planladığını gösterir ve bunlardan herhangi biri devreye girmeden önce bilinçli bir karar toplar — sonradan değil, önceden. Arka planda bir izleme betiği çoktan yüklenmişken ancak ikinci sayfa görüntülemesinde beliren bir bant, ne kadar özenli görünürse görünsün amacına hizmet etmez.
Bu da bir çerez bantını yalnızca bir görsel unsurdan daha fazlası yapar. Onayın gerçekten verildiğini kanıtlayabilmesi gerekir — ne zaman, kim tarafından (ya da hangi tarayıcı tarafından), tam olarak ne için ve bu onayın, verilmesi kadar kolay geri alınabildiğini. Bu ispat yükümlülüğü ziyaretçiye değil, site işletmecisine aittir: bir uyuşmazlıkta geçerli bir onayı olduğunu göstermesi gereken işletmecidir, onay vermediğini kanıtlaması gereken kullanıcı değil.
Çerez bantlarının bugün neden böyle göründüğünü açıklayan da tam olarak budur: kabul etmekle eşdeğer gerçek bir reddetme seçeneği, toptan bir onay yerine kategorilere ayrılmış bir yapı ve tam olarak ne olduğunu kaydeden arka plandaki bir günlük. Bu ne bir tesadüf ne de aşırı bir biçimcilik — tek bir temel kuralın doğrudan sonucudur: başkasının cihazına erişmek, ancak gerçek, bilgilendirilmiş, aktif bir onaya sahip olanın hakkıdır. Geri kalan her şey bu tek kural üzerine inşa edilir; bu dizinin sonraki yazıları, kökenini Avrupa ve Alman hukukunda ayrıntılarıyla ele alacaktır.