TDDDG: cách nước Đức chuyển hóa các quy định về cookie vào luật quốc gia
Như đã trình bày ở bài viết thứ hai của loạt bài này, Chỉ thị ePrivacy là một chỉ thị, không phải luật EU có hiệu lực trực tiếp — mỗi quốc gia thành viên phải chuyển hóa nó thành luật quốc gia của riêng mình. Nước Đức đã gặp nhiều khó khăn trong việc này suốt một thời gian dài, và câu chuyện đó rất đáng để xem xét riêng, vì nó giải thích vì sao các banner cookie tại Đức ngày nay viện dẫn một đạo luật chỉ mới tồn tại từ cuối năm 2021.
Sau khi Chỉ thị ePrivacy được siết chặt vào năm 2009 (thời hạn chuyển hóa: 25 tháng 5 năm 2011), nước Đức ban đầu vẫn giữ nguyên Đạo luật Viễn thông Đa phương tiện hiện hành (TMG). Điều § 15 Khoản 3 của đạo luật này tuy có quy định khả năng phản đối cookie, nhưng vẫn được diễn đạt theo tinh thần logic từ chối (opt-out) cũ trước năm 2009 — chứ không theo nghĩa vụ xin sự đồng ý mới. Trong nhiều năm, chính phủ liên bang Đức giữ quan điểm rằng TMG đã chuyển hóa Chỉ thị một cách đầy đủ, một lập trường ngày càng bị các cơ quan bảo vệ dữ liệu, tòa án và Ủy ban châu Âu đặt nghi vấn. Trong thực tế, điều này dẫn đến tình trạng bất định pháp lý kéo dài: một số trang web tuân theo cách diễn giải nghiêm ngặt hơn của châu Âu, số khác lại dựa vào quy định pháp luật yếu hơn của Đức.
Tình trạng thiếu rõ ràng này chỉ chấm dứt khi Đạo luật Bảo vệ Dữ liệu trong Viễn thông và Đa phương tiện (TTDSG) có hiệu lực vào ngày 1 tháng 12 năm 2021. Điều § 25 TTDSG khi đó đã đưa các yêu cầu của Điều 5(3) Chỉ thị ePrivacy vào luật Đức một cách rõ ràng và dứt khoát: việc lưu trữ thông tin trên thiết bị đầu cuối hoặc truy cập vào thông tin đó chỉ được phép khi người dùng đã đồng ý — với một ngoại lệ hẹp dành cho các mục đích thực sự cần thiết về mặt kỹ thuật, chẳng hạn để có thể cung cấp một chức năng mà người dùng chủ động yêu cầu. TTDSG cũng lần đầu tiên gộp luật viễn thông và luật đa phương tiện vào một đạo luật độc lập duy nhất, thay vì phân tán trên nhiều văn bản như trước đây.
Vào tháng 5 năm 2024, TTDSG được đổi tên thành Đạo luật Bảo vệ Dữ liệu trong Viễn thông và Dịch vụ Số (TDDDG) — trong khuôn khổ điều chỉnh luật Đức cho phù hợp với Đạo luật Dịch vụ Số của châu Âu (DSA), vốn đưa ra các quy tắc áp dụng trên toàn EU cho các dịch vụ số và nền tảng trực tuyến. Bản thân quy định về cookie không hề thay đổi: điều khoản trước đây được trích dẫn là § 25 TTDSG nay vẫn giữ nguyên số hiệu, chỉ là § 25 TDDDG — chỉ có tên của đạo luật chứa nó thay đổi.
Trong thực tế, điều đó có nghĩa là: một banner cookie tại Đức ngày nay thường viện dẫn đồng thời hai căn cứ pháp lý — § 25 TDDDG cho câu hỏi liệu có cần sự đồng ý hay không, và Điều 6 GDPR (kết hợp với các yêu cầu tại Điều 4(11) và Điều 7 GDPR) cho chất lượng của sự đồng ý đó. Ai hiểu được bối cảnh lịch sử này sẽ không thấy đây là một sự trích dẫn kép thừa thãi, mà là hai đạo luật cùng trả lời hai câu hỏi khác nhau và bổ trợ lẫn nhau — một bên là việc chuyển hóa một chỉ thị châu Âu thành luật quốc gia, bên kia là một quy định châu Âu có hiệu lực trực tiếp.
Bài viết tiếp theo trong loạt bài này sẽ đi vào một vụ việc cụ thể đã làm rõ và siết chặt đáng kể các yêu cầu đối với một sự đồng ý hợp lệ: phán quyết Planet49 của Tòa án Công lý Liên minh Châu Âu.
Đối với đơn vị vận hành trang web, cách trích dẫn kép này không chỉ là thủ tục pháp lý hình thức: nó cho thấy trong trường hợp có nghi vấn thì cơ quan nào có thẩm quyền xử lý vấn đề nào. Các câu hỏi về tính hợp pháp của việc sử dụng cookie — liệu có cần sự đồng ý hay không — thuộc phạm vi § 25 TDDDG và do đó thuộc thẩm quyền của cơ quan bảo vệ dữ liệu cấp bang tương ứng. Các câu hỏi về chất lượng của sự đồng ý đã được đưa ra, chẳng hạn liệu nó có được thông tin đầy đủ hay không, thuộc phạm vi GDPR. Trong thực tế, cùng một cơ quan thường xem xét cả hai vấn đề cùng lúc, nhưng căn cứ pháp lý vẫn khác nhau — một chi tiết trở nên quan trọng nhất là khi cần khiếu nại một quyết định xử phạt.