Cookie 分类与同意管理：出海网站如何满足 GDPR/ePrivacy 要求（附近年海外处罚案例）

发布时间：2026-10-24 · 分类：隐私合规

很多做出海和跨境电商的站长，对 Cookie 合规的理解还停留在「装一个『我们使用 Cookie』的弹窗就够了」。但从近年海外的监管处罚来看，问题远没有这么简单——监管已经不再只看「有没有弹窗」，而是深入到 Cookie 怎么分类、同意怎么取得、拒绝是不是和接受一样容易这些细节。

一、近年海外处罚案例：都栽在「细节」上

1. 希音（SHEIN）：拒绝按钮「形同虚设」，罚 1.5 亿欧元

2025 年 9 月，法国 CNIL 对跨境电商巨头 SHEIN 开出 1.5 亿欧元罚单，是目前因 Cookie 违规开出的最高罚单之一。SHEIN 的问题几乎把 Cookie 合规能犯的错都犯了一遍：

  • 没同意就种 Cookie：用户一进首页、还没跟同意横幅交互，就有 10 种 Cookie 被植入，包括 Pinterest、Bing 等广告类 Cookie，还有一个寿命长达 10 年的受众测量 Cookie；
  • 「拒绝」按钮无效：即使用户点了「全部拒绝」，网站仍继续放置和读取 Cookie；
  • 撤回同意无效：用户撤回同意后，原 Cookie 仍被读取，还新增了更多广告 Cookie。

对出海站长的警示尤其直接：光有弹窗没用，「拒绝」必须真的生效。SHEIN 辩称罚款「不成比例」、计划上诉，但 CNIL 的罚款按集团全球营收计算，信号已经足够明确。

2. 法国 CNIL：拒绝 Cookie 比接受更难，罚

2022 年 1 月，法国数据保护机构 CNIL 对 Google 开出 1.5 亿欧元罚单、对 Meta（Facebook）开出 6000 万欧元罚单，理由完全一致：在这两个平台上，用户拒绝 Cookie 的操作，比接受 Cookie 要麻烦得多——接受是一键，拒绝却要点开设置、层层取消勾选。

CNIL 据此认定：这违反了 GDPR 要求的「同意与拒绝应当同样容易」。这不是「没有弹窗」的问题，而是「弹窗设计在诱导你接受」的问题。

3. 法国 CNIL：没同意就种广告 Cookie，罚

更早的 2020 年 12 月，CNIL 对 Amazon 罚款 3500 万欧元，原因是亚马逊在用户没有事先同意的情况下，就往用户设备上放置了广告用途的 Cookie。

这指向一条更基础的红线：只要是非必要 Cookie（尤其是广告类），在用户同意之前一个都不能种。

一个共同结论

这些案例共同指向一个结论：Cookie 合规不是「装个弹窗」这么简单，而是一套完整的机制——要知道网站用哪些 Cookie、分哪几类、哪些需要同意、同意怎么取得、拒绝能不能一样容易、拒绝会不会真的生效、同意记录能不能拿出来证明。

二、Cookie 为什么要分类

Cookie 分类，是这一切的起点。因为 GDPR/ePrivacy 的核心规则，是分门别类地对待 Cookie：

  • 必要 Cookie：网站正常运转所必需（如登录态、购物车、安全防护），不需要用户同意，但必须向用户披露。
  • 非必要 Cookie：包括功能、偏好、统计、营销、社交媒体等，这些必须事先取得用户明确同意，才能写入。

所以，如果一个网站连自己有哪些 Cookie、各属于哪一类都说不清，就谈不上合规。常见的分类大致如下：

  • 必要 Cookie（Necessary）：登录态、购物车、CSRF 安全防护
  • 功能 Cookie（Functional）：记住用户的偏好设置
  • 偏好 Cookie（Preferences）：语言、地区等
  • 统计 Cookie（Analytics）：流量分析（如 Google Analytics 的 _ga、_gid）
  • 营销 Cookie（Marketing）：广告投放与归因（如 Meta Pixel 的 _fbp）
  • 社交媒体 Cookie（Social Media）：社交分享

三、Cookie 怎么管理才合规

把分类搞清楚之后，管理动作其实很清晰，核心是四件事：

1. 先同意、再种（事先明确同意）

这是最硬的一条红线。非必要 Cookie 必须在用户明确、主动同意之后才能写入。这需要一套同意管理机制（CMP），拦在第三方 SDK 加载之前。

2. 接受和拒绝要「对等」

正如 CNIL 罚 Google、Meta 的案例所示，「接受全部」和「拒绝全部」必须同等显眼、同等易点，不能用设计诱导用户点接受；SHEIN 的案例则进一步说明，「拒绝」按钮还必须真的生效。

3. 单独写一份 Cookie 政策

除了「取得同意」，还有一项独立的「披露义务」：用一份 Cookie 政策页面，说明网站用哪些 Cookie、每类干什么、保存多久、如何撤回同意。

4. 把同意记录下来，能「取证」

GDPR 第 7 条第 1 款要求：控制者必须能证明用户确实同意过。这意味着同意记录要能查、能导出，包含谁、在什么时间、同意了哪些类别、以什么方式。这也是「合规证明」的核心——弹窗只是入口，同意记录才是护城河。

四、一键生成合规 Cookie Banner

上面这套机制，过去通常要靠 Cookiebot、OneTrust 这类海外 CMP，或者专门的开发团队来实现，成本和门槛都不低。

我们把这套能力做成了一个轻量的产品——利剑 Cookie 合规工具，面向出海和跨境电商网站：

  • 全站 Cookie 扫描 + 自动分类：输入网址，自动识别全站 Cookie 并归到对应类别
  • 一键生成 Cookie Banner：全宽横幅、中英双语自适应，海外站默认英文
  • 自动生成 Cookie 政策页：按扫描结果自动生成完整的 Cookie 声明
  • 同意记录云端取证：同意记录存云端，随时查看、导出，满足 GDPR 取证要求

对站长来说，把一段 JS 片段贴进网站，就能补齐「同意横幅 + 政策页 + 同意记录」这套合规机制。

五、给站长的一句话总结

  1. Cookie 合规不是「装个弹窗」，而是「分类 + 先同意再种 + 接受拒绝对等 + 政策披露 + 同意取证」一整套机制。
  2. 近年 CNIL 等监管机构的处罚都在提醒：监管看的是细节，不是形式。
  3. 出海网站把 Cookie Banner + Cookie 政策 + 同意记录当标配，是最省心的合规保险。