Laut der EU-Richtlinie können Cookies nur dann rechtmäßig eingesetzt werden, wenn der Nutzer ausdrücklich in die Datenerhebung und die Speicherung der personenbezogenen Daten per Opt-in-Verfahren eingewilligt hat. Nur wenn die Datenerhebung notwendig ist, um die angebotenen Dienste zu benutzen, beispielsweise für den Bestellvorgang im Online-Shop, muss keine Einwilligung eingeholt werden. Nutzen Webseitenbetreiber aber Cookies für Werbezwecke, ist diese wieder erforderlich. Richtet man sich nach dem deutschen Telemediengesetz, reicht im Gegensatz zu den EU-Vorschriften schon eine Opt-out-Lösung, bei der durch das Entfernen entsprechender Häkchen einer Nutzung eigener Daten durch Cookies widersprochen werden kann.
Online-Händler sollten laut Solmecke zumindest die Anforderungen des deutschen TMG erfüllen, um keine rechtlichen Konsequenzen fürchten zu müssen. »Das heißt, dass der Internetnutzer beim ersten Aufruf der Webseite über den Einsatz der Cookies informiert werden muss. Das erfolgt in der Regel über eine Cookie-Bar – ein farbiges Banner mit einem Hinweis auf den Einsatz der Cookies und dem Verweis auf die Datenschutzerklärung.« Diese Form der Transparenz sei nicht nur rechtssicher, sondern auch kundenfreundlich. Werden technisch nicht notwendige Cookies erhoben, sollten sich Händler zumindest die Einverständniserklärung der Kunden per Opt-out-Verfahren einholen, wer ganz auf Nummer sicher gehen will, wählt die Opt-in-Variante