הסכמת משתמש לעוגיות (Cookies) באתרים לא יכולה להיקבע כברירת מחדל (opt-out), אפילו אם העוגיות לא כרוכות באיסוף מידע אישי, ועליה להיות הסכמה אקטיבית (opt-in) המובחנת מהסכמת המשתמש לקבלת השירות - כך לדעת היועץ המשפט הראשי של בית המשפט האירופי (Court of Justice of the European Union - CJEU). עוד קובעת חוות הדעת של היועץ כי יש לידע את המשתמש מהו משך הזמן בו תפעל העוגיה ולאיזה גורמים אחרים תינתן גישה למידע מהעוגיה. חוות הדעת הוגשה לבית המשפט האירופי, שיכול להסתייע בה בפסק דינו שעתיד להנתן בהמשך.

חוות הדעת עוסקת בעמוד רישום של אתר הגרלות שבתחתיתו הופיעו שתי פסקאות שלצד כל אחת מהן תיבת סימון. הראשונה מתארת את הסכמת הגולש לקבל מידע שיווקי מצדדים שלישיים. תיבת הסימון לצד הפסקה לא סומנה כברירת מחדל. הפסקה השניה עוסקת בהסכמה של הגולש לעוגיות שיאפשרו לבעל האתר למקד פרסום מבוסס התנהגות ברשת. תיבת הסימון המלווה את הפסקה השניה סומנה להסכמה כברירת מחדל.

כאמור, היועץ המשפטי בבית המשפט האירופי סבור שהסכמה לעוגיה נדרשת להיות אקטיבית ומובחנת. לטעמו, האפשרות להביע אי-הסכמה באופן יזום (Opt-out) לא מקיימת את הדרישה להסכמה אקטיבית שנקבעה בדירקטיבה על פרטיות ברשתות תקשורת אלקטרוניות. יתר על כן, כפתור אישור השתתפות בהגרלה לא יכול לשמש בו זמנית כביטוי גם להסכמה לעוגיות. חובות אלו חלות בין אם מדובר בעוגיות השומרות מידע אישי כהגדרתו ב-GDPR ובין אם לא. הטעם לכך הוא שהדירקטיבה על פרטיות ברשתות אלקטרוניות, המסדירה את השימוש בעוגיות, נועדה להגן על המרחב הפרטי האלקטרוני של אדם, ולאו דווקא על מידע אישי.

היועץ הסביר עוד כי בשל המורכבות הטכנולוגית של שימוש בעוגיות, יש לידע את הגולשים מהו משך הזמן בה תפעל העוגיה וגם את זהותם של צדדים שלישיים המקבלים גישה למידע.

הערת אגב בחוות הדעת של היועץ נוגעת להצהרה באתר שלפיה הגולש חייב לאשר באופן אקטיבי קבלת פרסומות מצדדים שלישיים כתנאי להשתתפות בהגרלה. על כך העיר היועץ כי להבנתו המטרה העיקרית של קיום ההגרלה היא יכולת שיתוף המידע עם צדדים שלישיים לצרכי פרסום. לדעתו, יתכן שמנקודת המבט של ה-GDPR ניתן לקשור באופן חוקי את ההסכמה להשתתף בהגרלה עם ההסכמה לעיבוד מידע אישי. זאת, אף שכריכה כזו בין שתי הסכמות נחזית בעיני ה-GDPR כפרקטיקה אסורה בדרך כלל.