הסכמת משתמש ל-Cookies באתר חייבת להינתן באופן אקטיבי ומפורש, כך שתיבה המסומנת מראש להסכמה ושיש לבטלה כדי להביע אי הסכמה אינה מקיימת את דרישות ה-GDPR והדירקטיבה על פרטיות ברשתות תקשורת אלקטרוניות - כך פסק היום בית המשפט האירופי. לפי בית המשפט, ניתן להעלות על הדעת כי משתמש שנמנע מלבטל את הסימון להסכמה לא עשה זאת מתוך כוונה להסכים אלא פשוט מתוך העדר תשומת לב. העדר תשומת לב כשלעצמה לא מהווה הסכמה, וודאי לא "אקטיבית" כנדרש לפי ה-GDPR, שאוסר מפורשות על שימוש בתיבות מסומנות מראש ועל שתיקת המשתמש כאמצעי להסקת הסכמה.
הסכסוך בו ניתן פסק הדין עסק בעמוד רישום של אתר הגרלות שבתחתיתו הופיעו שתי פסקאות שלצד כל אחת מהן תיבת סימון. הראשונה מתארת את הסכמת הגולש לקבל מידע שיווקי מצדדים שלישיים. תיבת הסימון לצד הפסקה לא סומנה כברירת מחדל. הפסקה השניה עוסקת בהסכמה של הגולש לעוגיות שיאפשרו לבעל האתר למקד פרסום מבוסס התנהגות ברשת. תיבת הסימון המלווה את הפסקה השניה סומנה להסכמה כברירת מחדל. בית המשפט המשיך וקבע כי רצון המשתמש להצטרף להגרלה לא יכול לשתמש בסיס לייחס לו הסכמה לשימוש ב-Cookies.
פסק הדין מבהיר עוד כי אין כל חשיבות לשאלה האם השימוש ב-Cookies נוגע למידע אישי. שימוש ב-Cookies ללא עיבוד מידע אישי מחייב אף הוא הסכמה מפורשת של המשתמש. זאת, משום שהדירקטיבה על פרטיות בתקשורת אלקטרונית לא מגבילה את הוראותיה על Cookies רק לעיבוד מידע אישי, אלא לכל שמירת "מידע" במכשיר הקצה של משתמש. לבסוף, פסק הדין קובע כי יש ליידע את המשתמש על משך זמן הפעילות של העוגיה ולציין האם צדדים שלישיים יכולים לגשת ל-Cookies. פסק הדין אימץ את מרבית המסקנות של היועץ המשפטי של בית המשפט, שהגיש את עמדתו מוקדם יותר השנה.