O ponto não é que ele não coleta dados pessoais, o cookie _t identifica você como uma pessoa, pois está diretamente ligado à sessão da sua conta de usuário no servidor Discourse. Portanto, ter o cookie de autenticação definido no seu navegador significa que você é identificável para o servidor sempre que usar seu navegador para visitar o site que o definiu (e, portanto, você não é anônimo). Da Força-Tarefa de Proteção de Dados da Comissão Europeia Opinião WP 29 04/2012 sobre Isenção de Consentimento de Cookies - 00879/12/EN WP 194:
Cookies de login persistentes que armazenam um token de autenticação entre sessões do navegador não são isentos sob o CRITÉRIO B. Esta é uma distinção importante porque o usuário pode não estar imediatamente ciente do fato de que fechar o navegador não limpará suas configurações de autenticação. Eles podem retornar ao site com a suposição de que são anônimos, enquanto na verdade ainda estão logados no serviço. O método comumente visto de usar uma caixa de seleção e uma simples nota informativa como “lembrar-me (usa cookies)” ao lado do formulário de envio seria um meio apropriado de obter consentimento, portanto, negando a necessidade de aplicar uma isenção neste caso.
Note que eles sugerem uma solução simples que os sites podem implementar, uma caixa de seleção “Lembrar-me” no formulário de login, que, é claro, está disponível em quase todos os lugares hoje em dia (mas não no Discourse). Esta foi uma decisão de 2012, portanto, antes da entrada em vigor do GDPR, mas não vejo nenhuma informação de que tenha sido substituída (por exemplo, Cookie Consent Exemptions: Strictly Necessary Cookies - CookieYes atualizado em agosto de 2023 ainda menciona que cookies de autenticação persistentes precisam de consentimento). Mas pode haver algum acompanhamento legal ou desenvolvimentos que eu não conheça.