很少有判决像欧洲法院（CJEU）2019年10月1日对Planet49公司一案（案件编号C-673/17）的裁决那样，如此直接地改变了整个欧洲Cookie横幅的实践。这起最初看似网络抽奖中小插曲的案件，最终成为界定"何为有效Cookie同意"的里程碑判决。
案情并不复杂：Planet49举办网络抽奖，向参与者展示两个选框。一个——已预先勾选——涉及同意广告合作伙伴出于营销目的设置Cookie；另一个需单独勾选，涉及将个人数据提供给赞助商以便通过电话或邮件营销联系。想参赛者必须主动勾选第二个选框，但对预先勾选的第一个可放任不管，甚至不会有意识地注意到它。
德国联邦最高法院将问题提交欧洲法院：这样一个预先勾选的选框，是否足以构成ePrivacy指令意义上的有效同意？法院答案明确：不能。同意须建立在用户主动、有意识的行为上——用户必须自己勾选表示同意，而非需取消勾选才能表示不同意。"主动同意"与"不表示反对"的区别，正是2009年以来ePrivacy指令历次收紧要解决的核心问题——欧洲法院借此确认，那次收紧确实认真，绝非一纸空文。
该判决第二个值得注意之处：欧洲法院明确，同意义务是否成立与Cookie中存储的信息是否构成GDPR意义上的个人数据无关。ePrivacy指令保护的是对终端设备本身的访问——无论最终存储何种内容。这是重要澄清，因为此前有服务商辩称，匿名或纯技术性标识符根本不属于同意义务范围。
第三，法院要求用户在同意前须被具体告知Cookie的存续期限，以及第三方是否能访问这些Cookie。此后泛泛而笼统的说明已不够——说明须具体到用户真正能判断自己同意了什么的程度。
判决的实际后果立竿见影：预先勾选的选框从欧洲Cookie横幅上消失，"同意"按钮须通过真实、有意识的点击才能触发，按用途和存续期限分类Cookie成为标准做法。多个成员国的数据保护机构在判决后随即修订指引，此后该判决也一再被援引为后续案件的参考——例如判断刻意让"拒绝"比"同意"更难点击的横幅，是否同样违反自由、明确决定的要求。
Planet49案由此成为典型例证，说明一起个案判决如何将法律条文中抽象要求转化为具体、可操作的技术标准——也说明了为什么今天的Cookie横幅是这个样子，而非2019年之前常见的模样。
同样值得关注的是，该判决影响扩散之快：尽管形式上只是针对一起具体德国诉讼澄清了ePrivacy指令的解释问题，但全欧洲的监管机构此后都参照了同一标准——这充分说明，一起欧洲法院判决的影响力，完全可以远远超出原始诉讼案件本身的边界。