Ai đọc kỹ phần văn bản pháp lý trên một banner cookie hầu như luôn thấy hai đạo luật được nhắc đến song song: Chỉ thị ePrivacy (hay luật chuyển hóa của nó ở từng quốc gia) và Quy định chung về Bảo vệ Dữ liệu, gọi tắt là GDPR. Đây không phải là sự nhầm lẫn hay biện pháp phòng ngừa kép cho chắc chắn — hai đạo luật này thực sự điều chỉnh những vấn đề khác nhau nhưng gắn bó chặt chẽ với nhau.
GDPR, tên chính thức là Quy định (EU) 2016/679, được thông qua ngày 27 tháng 4 năm 2016 và, sau thời gian chuyển tiếp hai năm, có hiệu lực trực tiếp trên toàn Liên minh châu Âu kể từ ngày 25 tháng 5 năm 2018 — là một quy định (regulation), khác với chỉ thị (directive), nên không cần chuyển hóa qua luật quốc gia. Nó điều chỉnh một cách tổng quát việc xử lý dữ liệu cá nhân: hoạt động xử lý cần căn cứ pháp lý nào, người bị ảnh hưởng có những quyền gì, bên chịu trách nhiệm có những nghĩa vụ gì.
Ngược lại, Chỉ thị ePrivacy mang tính chuyên biệt hơn: nó chỉ điều chỉnh việc truy cập và lưu trữ thông tin trên thiết bị đầu cuối — bất kể việc đó có tạo ra dữ liệu cá nhân theo nghĩa của GDPR hay không. Chính vì vậy, chỉ riêng hành vi truy cập vào thiết bị cũng đủ để phát sinh nghĩa vụ xin sự đồng ý đối với một cookie, ngay cả khi thông tin được lưu trữ tự nó không định danh được ai.
Sự phối hợp giữa hai đạo luật diễn ra như sau: Chỉ thị ePrivacy quy định RẰNG cần có sự đồng ý đối với các cookie không cần thiết. Nhưng nó không nói rõ CÁI GÌ tạo nên một sự đồng ý hợp lệ — định nghĩa đó do GDPR cung cấp. Theo Điều 4(11) GDPR, một sự đồng ý chỉ hợp lệ khi được đưa ra một cách tự nguyện, cho một trường hợp cụ thể, trên cơ sở được thông tin đầy đủ và rõ ràng không mập mờ — thông qua một tuyên bố hoặc một hành động xác nhận rõ ràng. Một ô đã được đánh dấu sẵn không đáp ứng tiêu chí cuối cùng này, vì đó không phải là một hành động chủ động của người dùng (chi tiết hơn ở bài viết về phán quyết Planet49).
GDPR cũng là nguồn gốc của nhiều yêu cầu khác mà ngày nay gần như hiển nhiên gắn liền với một banner cookie: việc rút lại sự đồng ý phải dễ dàng như khi đưa ra sự đồng ý ban đầu (Điều 7(3)), và bên thu thập sự đồng ý phải có khả năng chứng minh, khi có tranh chấp, rằng sự đồng ý đó thực sự đã được đưa ra (Điều 5(2), nguyên tắc trách nhiệm giải trình). Nghĩa vụ chứng minh này là một trong những lý do vì sao một câu trả lời đơn giản như "chắc là người dùng đã nhấp vào" không đủ — nếu không có nhật ký ghi lại thời điểm, phạm vi và phiên bản chính xác của banner đã hiển thị, thì trong trường hợp nghi ngờ sẽ không có gì để chứng minh.
Trong thực tế, điều này có nghĩa là: một banner cookie phải đáp ứng đồng thời hai đạo luật, chứ không chỉ một. Chỉ thị ePrivacy yêu cầu phải có sự đồng ý; GDPR định nghĩa chất lượng của sự đồng ý đó cùng các nghĩa vụ đi kèm — khả năng rút lại, khả năng chứng minh, mức độ được thông tin đầy đủ. Một banner tuy có thu thập được sự đồng ý nhưng không ghi lại nó theo cách có thể truy vết được, thì về hình thức có thể đáp ứng yêu cầu của Chỉ thị ePrivacy, nhưng lại vi phạm GDPR.
Nền tảng kép này cũng giải thích vì sao GDPR không hề thay đổi điều gì căn bản đối với sự đồng ý cookie, dù nó thường bị hiểu nhầm là nguồn gốc của banner cookie — GDPR chỉ ra đời 16 năm sau Chỉ thị ePrivacy gốc, và chỉ làm rõ thêm tiêu chuẩn để đánh giá một nghĩa vụ vốn đã tồn tại từ trước. Hai đạo luật này của EU đã được chuyển hóa cụ thể thành luật quốc gia tại Đức như thế nào sẽ là chủ đề của bài viết tiếp theo trong loạt bài này.