Certo, é isso que estou fazendo (infelizmente).
Estou realmente curioso para saber como você leu esse documento então. Quero dizer, 3.2 Cookies de Autenticação deixa isso bem claro:
Cookies de autenticação são usados para identificar o usuário depois que ele fez login (exemplo: em um site de banco online). Esses cookies são necessários para permitir que os usuários se autentiquem em visitas sucessivas ao site e acessem conteúdo autorizado, como visualizar o saldo da conta, transações, etc. Cookies de autenticação são geralmente cookies de sessão. O uso de cookies persistentes também é possível, mas eles não devem ser considerados idênticos, como discutido abaixo.
Reconhece a necessidade de cookies de autenticação (note, não chamados de cookies técnicos). Afirma explicitamente que o tempo de vida desses cookies, ou seja, sessão vs. persistente, implica que eles devem ser tratados de forma diferente.
Quando um usuário faz login, ele solicita explicitamente acesso ao conteúdo ou funcionalidade para a qual está autorizado. Sem o uso de um token de autenticação armazenado em um cookie, o usuário teria que fornecer um nome de usuário/senha em cada solicitação de página. Portanto, essa funcionalidade de autenticação é uma parte essencial do serviço da sociedade da informação que ele está explicitamente solicitando. Como tal, esses cookies são isentos sob o CRITÉRIO B.
No entanto, é importante notar que o usuário solicitou apenas acesso ao site e a funcionalidades específicas para executar a tarefa que ele requer. O ato de autenticação não deve ser considerado uma oportunidade para usar o cookie para outros fins secundários, como monitoramento de comportamento ou publicidade sem consentimento.
Fazer login significa que o usuário deu consentimento para estar logado, não para outros tipos de uso de dados através de quaisquer cookies de autenticação definidos.
Cookies de login persistentes que armazenam um token de autenticação entre sessões do navegador não são isentos sob o CRITÉRIO B. Esta é uma distinção importante porque o usuário pode não estar imediatamente ciente do fato de que fechar o navegador não limpará suas configurações de autenticação. Eles podem retornar ao site com a suposição de que são anônimos, quando na verdade ainda estão logados no serviço. O método comumente visto de usar uma caixa de seleção e uma simples nota informativa como “lembrar-me (usa cookies)” ao lado do formulário de envio seria um meio apropriado de obter consentimento, negando assim a necessidade de aplicar uma isenção neste caso.
CRITÉRIO B sendo:
o cookie é “estritamente necessário para que o provedor de um serviço da sociedade da informação explicitamente solicitado pelo assinante ou usuário forneça o serviço”.
Portanto, o usuário precisa fornecer consentimento antes que cookies de autenticação persistentes possam ser definidos. Razão: você não pode esperar que um usuário saiba as implicações da autenticação persistente por padrão.
Sim, a legislação é difusa e complexa, com muitas atualizações diferentes ao longo de quase duas décadas. E mesmo os sites oficiais da UE que consultei parecem muito confusos em relação a como lidam com cookies e suas políticas declaradas.