欧盟 Cookie 与 ePrivacy 合规实操指南（2026）
Tina · 资深法务首席 · 2026-08-03
一、适用框架
欧盟 Cookie 合规由 ePrivacy Directive 2002/58/EC（经 2009/136/EC 修订）与 GDPR 共同约束。2026 年 ePrivacy Regulation 草案仍在立法流程中，但多数成员国（德国、法国、荷兰、意大利等）已按同一执法口径执行：存储/读取用户终端信息须事先取得知情同意（prior consent）。跨境电商独立站、App、营销邮件均适用。
二、何时需要 Cookie 横幅
| 场景 | 是否需要同意 | 说明 |
|---|---|---|
| 严格必要 Cookie（购物车、登录态、安全） | 否 | 提供服务所必需，仅需告知 |
| 分析 Cookie（统计访问） | 是 | 除非「匿名且不可关联」且不用于广告 |
| 广告/追踪 Cookie | 是 | 明示同意，且拒绝与接受同等便利 |
| 第三方 SDK（像素、社交插件） | 是 | 每个供应商均须单独说明 |
三、合规横幅的 7 项要件
- 明确：说明 Cookie 类别、用途、留存期限；
- 具体：按供应商逐一列出（Facebook Pixel、Google Analytics、TikTok Pixel 等）；
- 知情：提供可点击的隐私政策链接，信息须在同意前可见；
- 自愿：拒绝不得比接受多一步操作（禁止「暗黑模式」dark pattern）；
- 可撤销：同意可随时撤回，撤回方式与给予方式同等便利；
- 记录：留存同意凭证（时间戳、版本、用户标识）至少与数据处理周期一致；
- 同等便利：「全部接受」与「仅必要」按钮层级一致，禁止默认勾选。
四、拒绝后的数据怎么办
- 用户拒绝后：不得再加载第三方追踪脚本，不得跨站关联；GA 可切换为同意模式（Consent Mode）或不追踪的匿名统计；
- 拒绝记录本身是「严格必要」数据，可合法处理；
- 用户撤回同意后：须在合理期限内（建议 30 天内）删除或停止使用已收集的 Cookie 数据用于个性化。
五、邮件营销的 Opt-in 要求
- 向 EU 用户发送营销邮件须事先 opt-in（B2B 部分成员国允许软性 opt-in，如英国 PECR 的 soft opt-in 仅限既有客户同类产品）；
- 邮件须包含：可识别发件人、真实退订链接、退订后 30 天内处理；
- 购买第三方邮件名单发送 EU 用户——高风险，多数成员国认定违规。
六、常见违规与罚则
| 违规行为 | 典型罚则（成员国口径） |
|---|---|
| 无横幅直接加载追踪 | 法国 CNIL：最高 €100,000（ePrivacy）+ GDPR 罚款另计 |
| 默认勾选/预勾选 | 视为无效同意，可叠加 GDPR Art.83 罚款（最高 2000万欧元/4%） |
| 拒绝比接受多两步 | 视为 dark pattern，意大利 AGCM/AGID 联合执法重点 |
| 未记录同意凭证 | 无法自证合规，举证责任倒置 |
七、实操落地清单
- 技术侧：部署 CMP（Consent Management Platform），如 OneTrust、Cookiebot、Didomi 或自研轻量方案；
- 地图绘制：维护 Cookie 清单（名称/域/用途/留存/第三方供应商），季度更新；
- 地区分流：EU/UK 走严格同意模式，其他地区可按当地法律配置；
- 证据留存：同意日志（含时间戳+用户 ID+横幅版本）随主数据保留；
- 广告侧：Meta/TikTok/Google 像素统一由 CMP 控制，未同意不触发；
- 测试：每季度做一次「无痕模式 + 拒绝路径」自测，模拟监管抽查。
八、小结
Cookie 合规是欧盟数字运营的「入场券」，执法趋势是自动化取证（监管机构用爬虫检测横幅行为）。建议独立站卖家以「拒绝路径自测 + 同意日志留存 + CMP 统一管控」三件套落地，一次投入，长期自证。