Grundlage ist die ePrivacy-Richtlinie von 2002, oft „Cookie-Richtlinie" genannt. In Deutschland sind ihre Vorgaben im TDDDG umgesetzt, das unter anderem regelt, wann für Cookies eine Einwilligung nötig ist.
Eine geplante ePrivacy-Verordnung sollte diese Richtlinie ablösen und die Regeln europaweit vereinheitlichen. Nach jahrelangen Verhandlungen wurde der Entwurf jedoch 2025 von der EU-Kommission zurückgezogen. Für Website-Betreiber gilt damit weiter das Zusammenspiel aus DSGVO und TDDDG: Einwilligung vor nicht notwendigen Cookies, Vertraulichkeit der Kommunikation, klare Information der Nutzer. Taucht der Begriff ePrivacy in Angeboten oder Fachartikeln auf, ist also meist dieser Rechtsrahmen gemeint, nicht ein einzelnes Gesetz.