GDPR 与 Cookie 同意：装了横幅不代表合规
2025 年法国开出两张上亿欧元的 Cookie 罚单，违规点都是「点了拒绝却仍在设 Cookie」。看起来合规比不合规更糟。
先说结论
- 法律依据是 ePrivacy 指令要求存储 Cookie 前需取得同意，加上 GDPR 对同意有效性的要求。
- 最高罚则为 2000 万欧或全球年营业额 4%，取其高。
- 典型违规：未经交互就投放广告 Cookie、「全部拒绝」点了却仍在设 Cookie、拒绝按钮做成灰色小字。
- 合规要点：非必要 Cookie 在同意前不得加载，尤其是广告和再营销像素。
- 「全部接受」与「全部拒绝」必须同等视觉权重。
- Google Consent Mode v2 不是 Cookie 横幅，它只是把同意信号传给 Google，你仍需要同意管理平台。
照着做：8 步
- 1. 上线合规的同意管理平台，默认阻断所有非必要脚本。
- 2. 用无痕模式实测：未点同意时不应出现广告和统计类 Cookie。
- 3. 横幅上接受与拒绝按钮同尺寸同权重。
- 4. 页脚常驻 Cookie 设置入口，可随时撤回。
- 5. 接入 Google Consent Mode v2。
- 6. 补齐隐私政策、Cookie 政策、条款、退货政策。
- 7. 每次新增营销工具后重跑 Cookie 扫描。
- 8. 建立数据主体请求处理流程，30 天内响应。
这几个坑别踩
- 装了好看的横幅，脚本照样加载——这构成误导，比不做更糟。
- 营销同事随手加像素绕过管理平台。
- 直接复制别人的隐私政策。
- 用 Cookie 墙（不接受不让访问），这不算自由给予的同意。
你可能还想问
我一个小站，欧盟真会来罚我？
执法资源优先给大公司，但平台会核验、职业举报人也会盯。更重要的是：不合规的站 Google 广告投放受限。
装了 Google 统计和 Meta 像素会不会违法？
在用户同意前加载就违法。正确做法是通过同意管理平台默认阻断，同意后再加载。
隐私政策能复制别人的吗？
不能。里面会写着别家公司名和别国法律，反而是不合规的证据。
这块我们能帮上什么
Cookie 同意、隐私政策、退货政策这些页面我们建站时就配好，并留好同意管理平台的接入位，不用你自己从零写。
源码一次交付，归你671 套现成版式任选服务器域名成本价托管不续费也能照常跑
传资料，我们帮你上线