是的，我（不幸地）现在就是这么做的。
我真的很想知道你是如何阅读那份文件的。我的意思是，3.2 身份验证 Cookie 说得很清楚：
身份验证 Cookie 用于在用户登录后（例如：在网上银行网站上）识别用户。这些 Cookie 对于允许用户在 successive visits 到网站上进行身份验证并访问授权内容（例如查看其账户余额、交易等）是必需的。身份验证 Cookie 通常是会话 Cookie。也可以使用持久 Cookie，但它们不应被视为相同，如下文所述。
承认了身份验证 Cookie（注意，不是技术 Cookie）的必要性。明确指出这些 Cookie 的生命周期，即会话 Cookie 与持久 Cookie，意味着它们需要被区别对待。
当用户登录时，他明确请求访问他已授权的内容或功能。如果没有使用存储在 Cookie 中的身份验证令牌，用户将在每次页面请求时都必须提供用户名/密码。因此，此身份验证功能是他明确请求的信息社会服务的关键组成部分。因此，这些 Cookie 在 CRITERION B 下被豁免。
然而，需要注意的是，用户仅请求访问网站和执行其所需任务的特定功能。身份验证行为不应被视为在未经同意的情况下利用 Cookie 进行其他次要目的（如行为监控或广告）的机会。
登录意味着用户同意登录，而不是通过任何身份验证 Cookie 进行其他类型的数据使用。
存储跨浏览器会话的身份验证令牌的持久登录 Cookie 不在 CRITERION B 的豁免范围内。 这是一个重要的区别，因为用户可能没有立即意识到关闭浏览器不会清除其身份验证设置的事实。他们可能会在假设自己是匿名的情况下返回网站，而实际上他们仍然登录到该服务。使用复选框和简单的信息提示（例如“记住我（使用 Cookie）”）与提交表单并列，是获得同意的适当方式，从而无需在此情况下应用豁免。
CRITERION B 是：
Cookie 是“信息社会服务提供商为用户明确请求的服务所必需的”。
因此，在设置持久身份验证 Cookie 之前，用户需要提供同意。原因：您不能期望用户默认了解持久身份验证的含义。
是的，这项立法是模糊而复杂的，近二十年来有许多不同的更新。即使是我查看过的欧盟官方网站，在处理 Cookie 和他们声明的政策方面似乎也非常混乱。