Cookie本质上只是网站存放在访问者浏览器中、并在每次访问时重新读取的一个小文本文件。这本身在技术上无害——没有这套机制，购物车记不住里面放了什么商品，登录状态也无法在多个页面之间保持。在这个意义上，Cookie就是网络的"记忆"。
问题出现在Cookie不再只服务于用户自己的会话，而是让用户在不同时间、不同网站之间都能被重新识别出来的时候。一个在数百个网站上设置同一个Cookie的广告网络，可以借此构建出一份行为画像——某人访问了哪些页面、访问频率如何、什么时间访问。这一切都在用户看不见的地方发生：访问者从页面表面根本看不出后台正在设置多少个这样的Cookie。
正是在这一点上，催生出Cookie横幅的欧洲规则发挥了作用：任何人只要在用户设备上存储信息，或从设备上读取并非提供所请求功能所必需的信息，事先都需要获得同意。无论这一过程是否产生严格意义上的个人数据，这条规则都同样适用——只要访问了终端设备本身，就足以触发同意义务。（这条规则的来源，即所谓的"ePrivacy指令"，将在下一篇文章中详细介绍。）
由此产生了贯穿每一个规范Cookie横幅的区分：一边是必要性Cookie——购物车、登录会话、安全功能，没有它们网站根本无法运作；另一边是其他一切——统计分析、个性化、广告投放。第一类不需要同意，因为立法者将其视为提供所请求服务本身的前提条件；第二类则需要。
Cookie横幅本质上正是这一区分的具体落实：它向访问者展示网站在必要功能之外还打算做什么，并在此之前——而非之后——征求一个明确的决定。一个直到第二次打开页面才出现、而后台早已加载了追踪脚本的横幅，无论界面做得多精美，都没有达到其应有的目的。
这也使Cookie横幅不仅仅是一个展示界面。它必须能够证明同意确实是被给予的——何时给予、由谁（或由哪个浏览器）给予、具体针对什么内容给予，以及撤回同意与给予同意同样容易。这项举证责任落在网站运营者身上，而不是访问者：一旦发生争议，运营者必须证明自己获得了有效同意，而不是由用户去证明自己从未同意过。
这正好解释了为什么如今的Cookie横幅是这个样子：设有与"同意"同等分量的真正"拒绝"选项，按类别列出而非笼统的一键同意，背后还运行着记录具体发生了什么的日志。这些都不是偶然，也不是过度的形式主义——而是同一条基本规则的直接结果：访问他人设备，必须获得真实、知情、主动的同意。其余的一切都建立在这一条规则之上，本系列接下来的文章将逐一追溯它在欧盟法与德国法中的渊源。