L’art. 5, par. 3, della Direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche prevede che “l’archiviazione di informazioni oppure l’accesso a informazioni già archiviate nell’apparecchiatura terminale di un abbonato o di un utente [è] consentito unicamente a condizione che l’abbonato o l’utente in questione abbia espresso preliminarmente il proprio consenso, dopo essere stato informato in modo chiaro e completo, a norma della direttiva 95/46/CE, tra l’altro sugli scopi del trattamento”. A questo proposito, pronunciandosi in relazione all’utilizzo di cookie, la Corte di Giustizia dell’Unione Europea ha enunciato il principio di diritto secondo cui, leggendo la disposizione appena richiamata in combinato con il General Data Protection Regulation (GDPR), essa deve essere interpretata “nel senso che il consenso di cui a tali disposizioni non è validamente espresso quando l’archiviazione di informazioni o l’accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente di un sito Internet attraverso cookie sono autorizzati mediante una casella di spunta preselezionata che l’utente deve deselezionare al fine di negare il proprio consenso”. Inoltre, tale soluzione prescinde dal fatto che sia tratti di “dati personali” o meno, in quanto la disposizione fa riferimento alle “informazioni archiviate o consultate nell’apparecchiatura terminale dell’utente di un sito Internet”. Infine, la Corte di Giustizia ha chiarito che sia il periodo di attività dei cookie, sia la possibilità o meno per i terzi di avere accesso a tali cookie rientrano tra le informazioni che il fornitore di servizi deve comunicare all’utente.