Về bản chất, cookie chỉ là một tệp văn bản nhỏ mà một trang web lưu trong trình duyệt của người truy cập và đọc lại mỗi khi họ quay lại. Bản thân điều này hoàn toàn vô hại về mặt kỹ thuật — nếu không có cơ chế này, giỏ hàng sẽ không nhớ được những sản phẩm đã thêm vào, và phiên đăng nhập sẽ không thể duy trì qua nhiều lượt truy cập trang. Ở vai trò này, cookie chính là "bộ nhớ" của web.
Vấn đề nảy sinh khi một cookie không còn chỉ phục vụ phiên làm việc của riêng người dùng, mà khiến người đó có thể bị nhận diện theo thời gian và trên nhiều trang web khác nhau. Một mạng quảng cáo đặt cùng một cookie trên hàng trăm trang web có thể dựng nên hồ sơ hành vi từ đó — người dùng ghé những trang nào, bao nhiêu lần, vào lúc nào. Việc này diễn ra hoàn toàn vô hình: người truy cập không hề thấy dấu hiệu nào cho biết có hàng chục cookie như vậy đang được đặt ở hậu trường.
Đây chính là điểm mà quy định của châu Âu — nguồn gốc của banner cookie — can thiệp vào: ai lưu trữ hoặc đọc dữ liệu trên thiết bị của người dùng mà không thực sự cần thiết cho chức năng được yêu cầu thì phải xin sự đồng ý trước. Điều này áp dụng bất kể việc đó có tạo ra dữ liệu cá nhân theo nghĩa hẹp hay không — chỉ cần có hành vi truy cập vào thiết bị là đủ để phát sinh nghĩa vụ này. (Nguồn gốc của quy định này — cái gọi là Chỉ thị ePrivacy — sẽ là chủ đề của bài viết tiếp theo.)
Từ đó hình thành một sự phân biệt xuyên suốt mọi banner cookie được xây dựng đúng cách: một bên là cookie cần thiết — giỏ hàng, phiên đăng nhập, chức năng bảo mật, những thứ mà thiếu chúng trang web đơn giản là không hoạt động được — bên kia là tất cả những gì còn lại: thống kê, cá nhân hóa, quảng cáo. Nhóm thứ nhất không cần sự đồng ý, vì nhà lập pháp coi đó là điều kiện tiên quyết của chính dịch vụ được yêu cầu. Nhóm thứ hai thì cần.
Vì vậy, về bản chất, banner cookie không gì khác hơn là sự hiện thực hóa thực tiễn của sự phân biệt này: nó cho người truy cập biết trang web dự định làm gì ngoài các chức năng cần thiết, và thu thập một quyết định có ý thức về điều đó trước khi bất cứ điều gì trong số đó có hiệu lực — không phải sau, mà là trước. Một banner chỉ xuất hiện ở lượt tải trang thứ hai, trong khi một script theo dõi đã âm thầm chạy từ trước đó, thì không hoàn thành mục đích của nó, dù giao diện có đẹp đến đâu.
Điều đó cũng khiến banner cookie trở thành nhiều hơn một màn hình hiển thị đơn thuần. Nó phải có khả năng chứng minh rằng sự đồng ý thực sự đã được đưa ra — khi nào, bởi ai (hay bởi trình duyệt nào), cho mục đích cụ thể gì, và việc rút lại sự đồng ý đó phải dễ dàng như khi đưa ra. Nghĩa vụ chứng minh này thuộc về đơn vị vận hành trang web, không phải người truy cập: trong trường hợp tranh chấp, đơn vị vận hành phải chứng minh mình có sự đồng ý hợp lệ, chứ không phải người dùng phải chứng minh mình chưa từng đồng ý.
Đó chính là lý do vì sao banner cookie ngày nay trông như vậy: có một lựa chọn từ chối thực sự, ngang hàng với lựa chọn đồng ý, có sự phân loại theo từng danh mục thay vì một nút "có" chung chung, và có một nhật ký chạy ngầm ghi lại chính xác những gì đã xảy ra. Đây không phải là ngẫu nhiên hay hình thức thái quá — đó là hệ quả trực tiếp của một quy tắc nền tảng duy nhất: ai muốn truy cập vào thiết bị của người khác thì phải có sự đồng ý thực sự, được thông tin đầy đủ và chủ động. Mọi thứ khác đều xây dựng trên quy tắc này, và các bài viết tiếp theo trong loạt bài này sẽ đi sâu vào nguồn gốc của nó trong luật châu Âu và luật Đức.