Evropská Směrnice č. 2009/136/EC novelizující Směrnici č. 2002/58/ES (tzv. „e-Privacy Directive“) stanovila některá nová pravidla pro poskytovatele elektronických služeb, zejména pak novou povinnost poskytovatele informovat uživatele služby o zpracování údajů prostřednictvím cookies a obdržet jeho souhlas s takovým zpracováním ještě před uložením cookies v počítači návštěvníka webové stránky (tzv. opt-in), a uložila členským státům tuto e-Privacy Directive implementovat do svých vnitrostátních právních řádu nejpozději do 25. května 2011. Česká republika implementovala e-Privacy Directive novelou zákona č. 127/2005 Sb. o elektronických komunikacích s účinností od 1. ledna 2012. Novelizované ustanovení § 89 odst. 3, které upravuje cookies („Každý, kdo hodlá používat nebo používá sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým v koncových zařízeních účastníků nebo uživatelů, je povinen tyto účastníky nebo uživatele předem prokazatelně informovat o rozsahu a účelu jejich zpracování a je povinen nabídnout jim možnost takové zpracování odmítnout. Tato povinnost neplatí pro technické ukládání nebo přístup výhradně pro potřeby přenosu zprávy prostřednictvím sítě elektronických komunikací nebo je-li to nezbytné pro potřeby poskytování služby informační společnosti, která je výslovně vyžádána účastníkem nebo uživatelem.“), však nový opt-in princip vůbec nereflektuje a v podstatě zachovává možnost toto zpracování údajů odmítnout (tedy tzv. opt-out mechanismus, který byl v ČR i EU uplatňován dosud). Jinými slovy, dle momentálně platného českého zákona není potřeba předchozího souhlasu uživatele služby se zavedením cookies.