需要 Cookie 横幅吗？各地区的同意规则

在一个全新的无痕窗口中打开浏览器开发者工具，按以下步骤逐一检查：

1. 列出网站设置的每一个 Cookie 和存储项，以及在您点击任何内容之前网站发出的每一个第三方请求。
2. 对每一项进行分类：严格必要、偏好、分析、广告或嵌入内容。
3. 查看访客所在地。如果您有欧盟或英国的访客，同意规则适用于不属于豁免范围的项目。如果您只面向美国，请重点关注选择退出权利和披露。
4. 如实适用豁免。在英国，核对统计和外观例外的条件。在欧盟国家，查阅关于分析的本国指引。
5. 作出决定。如果对欧盟或英国访客而言仍有任何不属于豁免范围的项目，您就需要一个在用户同意前将其拦截的同意横幅。
6. 更新隐私政策，使其描述 Cookie、同意机制以及如何更改选择。

如果清单很短，可以考虑移除工具，而不是添加横幅。自行托管字体、使用点击后加载的嵌入内容、删除不用的像素，可能让您只剩下必要 Cookie。关于政策本身，请参阅如何为网站制作隐私政策。

“严格必要”豁免的范围比许多横幅所声称的要窄。要问的是：从用户而不是企业的角度看，没有这个 Cookie，用户所请求的服务是否就无法运作？

通常可以豁免：

• 让用户保持登录或记住购物车的会话 Cookie。
• 防范欺诈或保护登录表单的安全 Cookie。
• 分配请求的负载均衡 Cookie。
• 记住访客同意选择的 Cookie。
• 按照部分监管机构的解读，用户为当前服务主动设置的偏好，例如语言。

通常不能豁免：

• 广告、再营销和社交媒体像素。
• 大多数第三方分析工具。
• 会设置自己 Cookie 的嵌入视频和社交帖子。
• A/B 测试和个性化工具。

有些监管机构承认存在狭窄的中间地带。例如，法国的 CNIL 认为，当受众统计严格限于为发布者衡量网站本身、生成匿名统计数据、且不跨网站追踪用户时，可以豁免，但对 Cookie 存续时间和数据保存期限设有条件。在依赖此类豁免之前，请查阅您所面向的每个国家的指引。

如果您需要取得同意，横幅就必须以正确的方式收集。欧洲监管机构对常见错误的态度很明确。欧洲数据保护委员会 Cookie 横幅工作组的报告发现，大多数监管机构认为，如果横幅在与“接受”选项相同的层级上没有拒绝选项，即构成违规；报告还批评了具有欺骗性的按钮设计，以及被错误标为“必要”的 Cookie。

实用检查清单：

• 同意前拦截：在访客同意之前，非必要 Cookie 和脚本不得加载。
• 拒绝与接受一样容易：在第一层同时提供“拒绝”按钮和“接受”按钮。
• 不预先勾选：各类别默认处于关闭状态。
• 细化选择：让用户可以接受分析而不接受广告。
• 清晰的信息：写明目的和所涉及的第三方，并链接到您的隐私政策。
• 便于撤回：提供一个固定入口，例如“Cookie 设置”，让用户改变主意与给予同意一样容易。
• 记录：在依赖同意时保留同意的证据。

欧洲指引还指出，Cookie 墙，即不接受就无法访问的做法，通常无法产生有效的同意。一个只写着“使用本网站即表示您接受 Cookie”的横幅，几乎不符合清单中的任何一项。

欧盟的这项规则来自《电子隐私指令》第 5(3) 条，而不是 GDPR 本身。它规定，只有在用户获得清晰全面的信息并给予同意后，才允许在用户设备上存储信息或访问已存储的信息。各欧盟成员国通过本国法律实施该指令，因此细节略有不同。

有两项豁免：

1. 仅以通过网络传输通信为目的的存储或访问。
2. 服务提供者为提供用户明确请求的服务而严格必要的存储或访问。

有三点让许多网站所有者感到意外：

• 不只是 Cookie。本地存储、像素、SDK 和设备指纹技术都可能受该规则约束。
• 无论数据是否属于个人数据都适用。触发条件是访问设备。
• 同意遵循 GDPR 的标准。同意必须是自由给予、具体、知情且明确的，并通过清晰的肯定性行为作出。在 Planet49 案中，欧盟法院认定，预先勾选的复选框不能构成有效的同意。

通常仍然需要，但英国的规则已经改变。英国与电子隐私规则相对应的是《隐私和电子通信条例》第 6 条。《2025 年数据（使用和访问）法》对其进行了修订，相关条款已于 2026 年 2 月 5 日生效。

ICO 的指引现在列出了同意要求的五项例外：

1. 通信：仅为传输通信。
2. 严格必要：为提供用户所请求的服务所必需。
3. 统计目的：仅为收集关于您的服务使用情况的统计信息，以便改进服务。
4. 外观：仅为根据用户偏好调整服务的外观或功能。
5. 紧急援助：仅为定位设备以提供紧急帮助。

统计和外观两项例外附有条件。您必须提供清晰全面的信息，以及简单、免费的反对方式。对于分析，ICO 表示数据必须是汇总的，不得用于追踪用户、对其进行画像或用于广告，任何第三方服务商都只能代表您行事，不得将数据用于其自身目的。在线广告永远不符合条件。因此，仅使用第一方汇总分析的英国网站或许可以不弹出同意提示，但大多数广告设置仍然需要。

美国没有普遍要求在设置 Cookie 前取得事先同意的法律。美国模式侧重于告知和选择退出，因此欧洲式的横幅在法律上往往并非必需，不过许多美国企业会用它来管理用户的选择。

美国法律确实要求的是：

• 加州 CCPA：达到其门槛、并出售或共享个人信息（包括用于跨情境行为广告）的企业，必须提供选择退出方式，通常是“请勿出售或共享我的个人信息”链接，并且必须遵守全球隐私控制（Global Privacy Control）等选择退出偏好信号。
• 其他州的隐私法：许多州赋予消费者选择退出定向广告的权利，有几个州要求企业遵守通用选择退出机制。部分州要求处理敏感数据前取得事先同意。
• CalOPPA：要求您的隐私政策说明您如何回应“请勿追踪”信号，以及第三方是否可能长期跨网站收集访客在线活动的信息。
• COPPA：面向 13 岁以下儿童的网站，在为行为广告收集持久标识符之前，通常需要取得可验证的家长同意。

请参阅美国各州隐私法概览，了解哪些州的法律适用，以及各州的选择退出规则有何不同。

Google 在法律之上增加了合同层面的要求。其欧盟用户意见征求政策适用于欧洲经济区、英国和瑞士的最终用户。如果您使用 Google Analytics、Google Ads 或 AdSense 等 Google 产品，您必须在法律要求时就 Cookie 或其他本地存储取得合法有效的同意，并就为广告个性化而收集、共享和使用个人数据取得合法有效的同意。您还必须保留同意记录，就如何撤回同意给出清晰的说明，并指明每一个可能收集、接收或使用个人数据的主体。

两个实际后果：

• 发布商：Google 要求使用 AdSense、Ad Manager 或 AdMob 的发布商在向欧洲经济区和英国用户投放广告时，使用经 Google 认证的意见征求管理平台。
• 广告主和分析用户：Google 的意见征求模式让您的横幅可以把存储、广告用户数据和广告个性化方面的同意状态传递给 Google 代码，后者会相应调整其行为。

无论您实施了什么，都请在隐私政策中加以描述。Google Analytics 隐私政策指南和分析工具隐私披露介绍了相关的政策措辞。

大多数情况下都需要，因为它们承担不同的职能。横幅在用户到达的那一刻收集或记录其选择。隐私政策则全面说明您的数据处理：每个工具收集什么、为何收集、谁会收到、保存多久，以及用户如何改变主意。

两者必须一致。如果您的政策说分析工具只在取得同意后运行，横幅就必须真正在此之前拦截它们。如果代码在用户作出选择前就已触发，您的政策就不应声称并非如此。

Legal Policy Generator 负责的是政策这一侧，而不是横幅。它不提供 Cookie 横幅或同意管理工具。它的问卷会询问您使用哪些追踪技术、非必要追踪是仅在取得同意后才开始，还是在同意前就开始并提供选择退出，以及用户如何更改偏好，然后为您服务的地区选取相应的条款。您可以从隐私政策生成器开始，再把结果与您选择的同意工具搭配使用。

如果您还想要一份单独的 Cookie 文件，请阅读隐私政策与 Cookie 政策的区别，判断它对您的网站是否有价值。