Nghĩa vụ xin sự đồng ý trước khi đặt cookie không nằm trong GDPR — nó ra đời sớm hơn và bắt nguồn từ một văn bản pháp luật khác: Chỉ thị ePrivacy, tên chính thức là Chỉ thị 2002/58/EC về xử lý dữ liệu cá nhân và bảo vệ quyền riêng tư trong lĩnh vực truyền thông điện tử. Chỉ thị này được thông qua ngày 12 tháng 7 năm 2002, vào thời điểm cookie chủ yếu được dùng cho phiên đăng nhập và cá nhân hóa đơn giản — việc theo dõi xuyên nhiều trang web khi đó đã khả thi về mặt kỹ thuật, nhưng chưa trở thành hiện tượng phổ biến.
Trong phiên bản ban đầu, Điều 5(3) của Chỉ thị chỉ yêu cầu không nhiều hơn việc thông báo cho người dùng về việc đặt cookie và cho họ khả năng phản đối — một mô hình từ chối (opt-out). Ai không làm gì thì coi như đã ngầm đồng ý. Trong thực tế, điều này thường có nghĩa là một dòng thông báo nhỏ nằm đâu đó trên trang mà hầu như không ai đọc, trong khi cookie đã được đặt từ trước khi thông báo đó kịp được để ý tới.
Điều này thay đổi với Chỉ thị 2009/136/EC ngày 25 tháng 11 năm 2009, viết lại toàn bộ Điều 5(3) — thường được gọi là "Chỉ thị Cookie" trong cách nói thông thường, dù về mặt chính thức nó chỉ là một sửa đổi của Chỉ thị ePrivacy gốc. Mô hình từ chối trở thành một nghĩa vụ xin sự đồng ý thực sự: kể từ đó, các cookie không thực sự cần thiết để cung cấp một dịch vụ mà người dùng chủ động yêu cầu chỉ được phép đặt sau khi người dùng đã đồng ý trên cơ sở được thông tin đầy đủ — không phải sau khi sự việc đã xảy ra, không phải một cách im lặng.
Nguyên nhân của việc siết chặt này nằm ở sự phát triển bùng nổ của thị trường quảng cáo trực tuyến trong những năm 2000: cookie theo dõi trở thành nền tảng của cả những mô hình kinh doanh, hồ sơ người dùng được dựng lên từ dữ liệu hội tụ từ mười, hai mươi, thậm chí hàng trăm trang web khác nhau — phần lớn mà chính người bị theo dõi không hề hay biết. Nhà lập pháp châu Âu phản ứng bằng cách đảo ngược nghĩa vụ chứng minh: không còn là người dùng phải lên tiếng phản đối, mà là trang web phải xin được sự đồng ý.
Điều quan trọng cần hiểu là Chỉ thị ePrivacy là một chỉ thị (directive), không phải luật EU có hiệu lực trực tiếp như một quy định (regulation). Chỉ thị đặt ra một mục tiêu mà mỗi quốc gia thành viên phải chuyển hóa thành luật quốc gia của mình — và chính quá trình chuyển hóa này trong nhiều năm là nơi nảy sinh vấn đề thực sự. Thời hạn chuyển hóa kết thúc vào ngày 25 tháng 5 năm 2011, nhưng nhiều quốc gia thành viên — trong đó có Đức — chỉ áp dụng nghĩa vụ xin sự đồng ý mới một cách miễn cưỡng, hoặc dưới một hình thức vẫn còn gần với tư duy từ chối (opt-out) cũ. Đức cuối cùng đã giải quyết vấn đề này ra sao sẽ được trình bày trong một bài viết riêng của loạt bài này.
Cho đến nay, Chỉ thị ePrivacy vẫn là căn cứ pháp lý thực sự cho chính sự đồng ý cookie — không phải GDPR, vốn chỉ có hiệu lực từ năm 2018 và điều chỉnh một vấn đề khác, dù có liên quan chặt chẽ: việc xử lý dữ liệu cá nhân nói chung. Hai văn bản pháp luật này đan xen với nhau, và chính sự tương tác đó là chủ đề của bài viết tiếp theo.
Một văn bản kế nhiệm theo kế hoạch, Quy định ePrivacy, ban đầu được dự định thay thế Chỉ thị và có hiệu lực trực tiếp mà không cần chuyển hóa qua luật quốc gia. Văn bản này đã được đàm phán giữa các thể chế của EU trong nhiều năm và đến nay vẫn chưa được thông qua — cho đến khi điều đó xảy ra, Chỉ thị 2002/2009 vẫn là căn cứ có hiệu lực.
Đối với chủ sở hữu trang web, việc nhìn lại bối cảnh lịch sử này rất đáng giá, vì nó giải thích vì sao nghĩa vụ xin sự đồng ý cookie không ra đời như phản ứng trước một vụ bê bối đơn lẻ, mà là câu trả lời từng bước cho một thực tiễn đã hình thành trong nhiều năm. Quy định năm 2009 không phải là điều bất ngờ, mà là sự tiếp nối nhất quán của một tư tưởng nền tảng đã được đặt ra từ năm 2002 — truy cập vào thiết bị của người khác không phải là một thao tác kỹ thuật trung lập, mà là một hành vi can thiệp cần có sự biện minh chính đáng.