TSUE w wyroku z dnia 1 października 2019 r., sygn. C 673-17 (sprawa Planet49 GmbH) podkreślił, że takie działanie jest dopuszczalne, ale należy je uzależnić od zgody użytkownika wyrażonej zgodnie z RODO. Taka zgoda musi więc być konkretna, dobrowolna, świadoma i wynikająca z aktywnego działania, a nie automatyzacji algorytmicznej. W praktyce przedsiębiorca powinien rozdzielić cookies niezbędne od marketingowych oraz zapewnić wgląd w politykę RODO i umożliwić konfigurację preferencji użytkownika.