Hiếm có phán quyết nào làm thay đổi trực tiếp cách vận hành của banner cookie trên khắp châu Âu như quyết định của Tòa án Công lý Liên minh Châu Âu (CJEU) ngày 1 tháng 10 năm 2019 trong vụ kiện chống lại công ty Planet49 (vụ án C-673/17). Điều ban đầu chỉ trông như một vấn đề bên lề trong một chương trình bốc thăm trúng thưởng trực tuyến đã trở thành một quyết định mang tính nguyên tắc, xác định thế nào là một sự đồng ý cookie hợp lệ.
Tình tiết vụ việc khá đơn giản: Planet49 tổ chức một chương trình bốc thăm trúng thưởng trực tuyến và hiển thị cho người tham gia hai ô lựa chọn. Ô thứ nhất — đã được đánh dấu sẵn — liên quan đến việc đồng ý cho các đối tác quảng cáo đặt cookie nhằm mục đích quảng cáo. Ô thứ hai, phải tự tay đánh dấu riêng, liên quan đến việc chia sẻ dữ liệu cá nhân cho các nhà tài trợ để quảng cáo qua điện thoại hoặc email. Ai muốn tham gia chương trình bốc thăm đều phải chủ động đánh dấu vào ô thứ hai, nhưng có thể để nguyên ô thứ nhất — đã được đánh dấu sẵn — mà không hề để ý đến nó.
Tòa án Liên bang Đức (BGH) đã chuyển câu hỏi này lên CJEU: liệu một ô đã được kích hoạt sẵn như vậy có đủ để coi là sự đồng ý theo nghĩa của Chỉ thị ePrivacy hay không? Câu trả lời của tòa án là rõ ràng: không. Một sự đồng ý đòi hỏi một hành động chủ động, có ý thức từ phía người dùng — một ô mà chính người dùng phải tự tay đánh dấu để đồng ý, chứ không phải một ô mà họ phải bỏ đánh dấu để KHÔNG đồng ý. Sự khác biệt giữa "chủ động đồng ý" và "không phản đối" chính là điều đã xuyên suốt lịch sử của Chỉ thị ePrivacy kể từ năm 2009 — và CJEU đã khẳng định rằng việc siết chặt đó thực sự được coi trọng.
Một điểm đáng chú ý khác trong phán quyết: CJEU làm rõ rằng bản thân nghĩa vụ xin sự đồng ý không phụ thuộc vào việc thông tin lưu trong cookie có phải là dữ liệu cá nhân theo nghĩa của GDPR hay không. Chỉ thị ePrivacy bảo vệ ngay chính hành vi truy cập vào thiết bị đầu cuối — bất kể cuối cùng nội dung gì được lưu trữ. Đây là một sự làm rõ quan trọng, vì trước đó một số nhà cung cấp dịch vụ đã lập luận rằng các mã định danh ẩn danh hoặc thuần túy kỹ thuật hoàn toàn không thuộc phạm vi của nghĩa vụ xin sự đồng ý.
Thứ ba, tòa án yêu cầu rằng trước khi đồng ý, người dùng phải được thông báo cụ thể về thời gian hoạt động của cookie và liệu bên thứ ba có được quyền truy cập vào đó hay không. Kể từ đó, một thông tin chung chung, mơ hồ là không đủ — các thông báo về cookie phải cụ thể đến mức người dùng thực sự có thể đánh giá được mình đang đồng ý với điều gì.
Hậu quả thực tiễn của phán quyết được cảm nhận ngay lập tức: các ô đánh dấu sẵn biến mất khỏi banner cookie trên khắp châu Âu, nút "Đồng ý" phải được kích hoạt bằng một cú nhấp chuột thực sự, có ý thức, và việc phân loại cookie kèm thông tin chính xác về mục đích và thời hạn trở thành tiêu chuẩn bắt buộc. Cơ quan bảo vệ dữ liệu tại nhiều quốc gia thành viên đã sửa đổi hướng dẫn của riêng mình ngay sau phán quyết này, và kể từ đó nó trở thành tài liệu tham chiếu trong nhiều vụ việc khác — chẳng hạn như câu hỏi liệu một banner cố tình khiến nút "Từ chối" khó tiếp cận hơn nút "Đồng ý" có vi phạm yêu cầu về một quyết định tự do, rõ ràng không mập mờ hay không.
Vụ Planet49 vì vậy là một ví dụ điển hình cho thấy một vụ kiện đơn lẻ có thể chuyển hóa các quy định trừu tượng của một văn bản luật thành những yêu cầu kỹ thuật cụ thể như thế nào — và vì sao banner cookie ngày nay trông như vậy, thay vì như cách thường thấy trước năm 2019.
Cũng đáng chú ý là tốc độ mà tác động của phán quyết này lan tỏa vượt ra ngoài phạm vi vụ tranh chấp ban đầu: dù về mặt hình thức nó chỉ làm rõ cách diễn giải Chỉ thị ePrivacy cho một vụ tranh chấp pháp lý cụ thể tại Đức, các cơ quan giám sát trên khắp châu Âu đã áp dụng theo cùng một hướng — một minh chứng cho thấy một phán quyết đơn lẻ của CJEU có thể định hình thực tiễn mạnh mẽ đến mức nào, vượt xa ranh giới của vụ việc gốc.