Da noch nicht klar ist, wann die ePrivacy-Verordnung in Kraft tritt, ist neben der DSGVO aktuell das Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) relevant: Es schreibt fest, dass User grundsätzlich der Verarbeitung und Erhebung von Cookies zustimmen müssen – und das, bevor diese erhoben werden. Ausnahmen gibt es nur für technisch notwendige Cookies wie etwa Session-Cookies. Darüber hinaus sollen Nutzerinnen und Nutzer auch dann alle Inhalte der Website angezeigt bekommen, wenn sie einer Erhebung der Cookies nicht zustimmen. Somit ist im Gegensatz zu früher das sogenannte Double-Opt-in-Verfahren nötig: Nutzerinnen und Nutzer müssen die Erhebung ihrer Daten bestätigen. Vor Inkrafttreten der neuen Rechtsgrundlage genügte die Möglichkeit, dass sie das Setzen von Cookies im Nachhinein ablehnen konnten (sogenanntes Opt-out-Verfahren).