No he implementado un sitio web desde que GDPR se convirtió en algo y me confundí con cierta lógica que necesito hacer en el lado del servidor y del cliente para cumplir con GDPR. Lo siento por las múltiples preguntas aquí.

1. Actualmente, solo tengo una cookie propia que almacena una cookie de sesión cuando un usuario inicia sesión correctamente. ¿Debería ser Opt-in? Por ejemplo, ¿debo evitar que alguien inicie sesión si no ha aceptado las cookies? Si es así, ¿existe un estándar en express.js de solo configurar cookies una vez que se han aceptado las cookies?
2. Cuando un usuario rechaza las cookies (ha iniciado sesión o no), ¿dónde debo almacenar esta información que ha rechazado? ¿Lo almaceno como una cookie con un valor binario? ¿O eso va en contra de toda la idea del consentimiento, entonces, si un usuario rechaza las cookies, pero luego hago un seguimiento agregando una cookie?
3. Del mismo modo, si un usuario acepta el consentimiento de cookies, ¿debería almacenarse como una cookie, como un valor binario, para que no aparezca la cookie emergente cada vez que se actualice, o hay un método mejor?
4. Digamos que agregué algunas cookies más al sitio en el futuro, por ejemplo, Google Analytics. ¿Cómo vuelvo a solicitar a los usuarios la ventana emergente de cookies, incluso si ya habían aceptado las cookies antes de que se agregaran las cookies de Google Analytics?

¿Existen buenos recursos sobre la implementación de políticas de cookies más detalladas, particularmente con Express y React?