Een partij heeft geen contract met de uitgever nodig om in diens toestemmingsvenster te staan
De vanzelfsprekende aanname is dat de bedrijven in een cookievenster zakelijke partners van de site zijn. Dat hoeft niet zo te zijn. Opname in het toestemmingsplatform is voldoende om via die site gegevens te mogen verwerken zodra de bezoeker klikt; een overeenkomst tussen uitgever en die partij is daarvoor geen vereiste. Een uitgever kan daardoor volhouden dat hij een partij niet kent en er niets mee is overeengekomen, terwijl diezelfde partij aan zijn bezoekers een identificatienummer geeft. De lijst met gecontracteerde leveranciers zegt dus niets over wie er feitelijk gegevens ontvangt.