同意与 Cookie：GDPR 和电子隐私法规将如何影响网站？

已发表: 2018-12-13

如果您想根据网站访问者的数据个性化您网站的内容，您必须非常了解两条法律：1) GDPR 和 2) 电子隐私条例。

这些法律管辖同意和 cookie：

GDPR 告诉您在收集、存储或使用他们的数据之前，您需要如何获得访问者的明确“同意”。
电子隐私条例告诉您如何使用 cookie（用于收集访问者数据）。

GDPR 与电子隐私法规：

GDPR 对个人数据的一般处理进行了规范，并不直接涉及 cookie。

另一方面，ePrivacy 法规侧重于 cookie 的使用，这就是为什么它也被称为“cookie 法”。根据拟议的新法律，欧洲的企业必须获得明确同意才能使用 cookie，并向用户提供明确的选择退出。

GDPR + 电子隐私法规 = Cookie + 同意

虽然 GDPR 没有直接解决 cookie，但它确实重新定义了同意，表示任何给予的同意都必须是“明确的”。

并且由于电子隐私条例下的“同意”是通过参考 GDPR 下的“同意”定义来解释的，因此 GDPR 隐含地要求 GDPR 后的 cookie 同意横幅现在必须收集访问者的明确同意。

一般来说，我们可以使用同意来提供 cookie（根据电子隐私条例），但依靠合法利益（或其他合法理由，例如同意、合同、法律义务、重大利益、公共利益）来处理使用cookie（根据 GDPR）。

现在让我们了解您应该如何根据这两项法律处理 cookie 和同意，以便您可以提供强大、个性化和合规的网站体验。

网站使用的 Cookie 有哪些不同类型？

Cookie 是网站存储在用户计算机、手机或平板电脑上的小型数据文件。

网站使用 cookie 来增强用户的浏览体验并更多地了解用户的偏好和兴趣。

然后，此 cookie 信息用于个性化用户未来对同一网站的访问，因此网站体验感觉更相关。 Cookie 数据可用于提供符合浏览器既定偏好的内容和广告。

根据它们的存储时间或来源，有四种类型的 cookie。这些是：

持久性 Cookie ：这些是在浏览器会话之间存储在用户设备上的 Cookie。这些 cookie 有助于记住用户在整个网站（或在某些情况下跨不同网站）的偏好或行为。 持久性 cookie可用于多种目的，包括在使用网站或运行有针对性的广告活动时记住用户的偏好和选择。
会话 Cookie ：这些是在浏览会话结束时过期的 Cookie。这些 cookie 允许网站在浏览器会话期间（从用户打开浏览器窗口到退出浏览器）链接用户的操作。它们可用于多种目的，例如记住用户在其购物车中放入的内容或启用网上银行访问或便于使用网络邮件。这些会话 cookie 不会长期存储。出于这个原因，会话 cookie 有时可能被认为比持久 cookie 更少侵犯隐私。
第一方 Cookie这些是由用户访问的网站设置的 cookie。
第三方 Cookie ：这些是由用户访问的域以外的域设置的 cookie。如果用户访问一个网站，而另一家公司（主要网站的服务提供商）通过该网站设置了一个 cookie，这将是一个第三方 cookie。

不同的饼干类别：

您可以使用国际商会在本 ICC UK Cookie 指南中的建议将这些 cookie 大致分为四类。（某些 cookie 可以出现在多个类别中。）

第 1 类：绝对必要的 Cookie

这些 cookie 是必不可少的，以使您能够在网站上四处走动并使用其功能，例如访问网站的安全区域——例如，在在线购物商店登录您的帐户。

没有这些 cookie，就无法访问网站必须提供的服务。

绝对必要cookies的同意规则：使用绝对必要cookies不需要同意。但是，帮助用户了解这些 cookie 以及使用它们的原因很重要。

以下是《纽约时报》使用的一些绝对必要的 cookie：

第 2 类：性能 Cookie

这些 cookie 收集有关访问者如何使用网站的信息。

Google Analytics、Clicky Analytics、Adobe Analytics 等分析解决方案使用此类 cookie。这些 cookie 不会收集识别访问者的信息，并且这些 cookie 收集的所有信息都是汇总的，因此是匿名的。它仅用于改进网站的工作方式。

性能 cookie 的同意规则：

同意可以写入条款和条件——通过使用您同意使用这些类型的 cookie 的网站。

由于 GDPR 侧重于处理私人或个人身份数据，并且由于无法从经过假名化的数据中识别数据主体，因此性能 cookie（例如 Google Analytics 数据的那些）并不十分关注 GDPR程度。您可以将这些 cookie 的同意规则包含在您的条款和条件中。从本质上讲，当用户使用您的网站时，您会获得使用这些 cookie 的同意。

“因此，本条例不涉及此类匿名信息的处理，包括用于统计或研究目的。” — GDPR 第 26 条

以下是国家地理的一些性能 cookie 示例：

第 3 类：功能性 Cookie

这些 cookie 允许网站记住您所做的选择（例如您的用户名、语言或您所在的地区），并提供增强的、更个性化的网站体验。例如，网站可以通过在 cookie 中存储区域详细信息来为您提供当地天气报告或交通新闻。

这些 cookie 还可用于记住您对所访问网页的文本大小、字体和其他可自定义部分所做的更改。它们还可用于提供您要求的服务，例如观看视频或评论博客。这些 cookie 收集的信息可能是匿名的，它们无法跟踪您在其他网站上的浏览活动。

功能性 cookie 的同意规则：就像性能 cookie 一样，功能性 cookie 的同意也可以写入条款和条件——通过使用网站，您同意使用这些类型的 cookie，或者可以应用通知当用户更改网站上的设置时。但许多公司主动让其用户选择加入或退出功能性 cookie。

以下是 Clym 使用的一些功能性 cookie 示例：

功能性 cookie 也称为偏好 cookie。

第 4 类：定位 Cookie 或广告 Cookie

这些 cookie 用于根据个人兴趣和偏好开展个性化促销和广告活动。

它们还用于限制您看到广告的次数以及帮助跟踪广告系列的效果。

它们通常由广告网络在网站运营商许可的情况下放置。这些 cookie 会记住您的网站访问，并且这些信息会与广告商等其他组织共享。很多时候，定位或广告 cookie 将链接到其他组织提供的网站功能。

针对目标或营销或广告 cookie 的同意规则：必须为这些类型的 cookie 寻求特定同意，因为它们收集有关用户的最多信息。

以下是 HTC 使用的一些广告/目标 cookie 示例：

想要一份关于不同类型 cookie 以及如何使用它们来避免隐私问题的便捷指南吗？我们已将此博客变成了您的信息图。在这里下载

Convert 的 Cookie：平衡隐私和创新

在 Convert，我们仅使用如下所述的第一方性能 cookie ：

_conv_v

Cookie 名称：_conv_v
目的：此 cookie 是以访问者为中心的 cookie。它是一串星号（*）分隔的片段；每个部分都是一个字符串，其中包含用冒号 (:) 粘合在一起的键和值字符串。
持续时间：6个月
域名来源：convert.com
类别：性能
存储的数据：会话计数、当前会话时间戳、第一个会话开始时间戳、网页浏览次数、上一个会话开始时间戳、项目级细分 ID、json 结构以及呈现给访问者的所有体验目标
隐私政策提及此 cookie：是

_conv_s

Cookie 名称：_conv_s
目的：这是以会话为中心的 cookie。它是一串星号（*）分隔的片段；每个部分都是一个字符串，其中包含用冒号 (:) 粘合在一起的键和值字符串。
时长：20 分钟
域名来源：convert.com
类别：性能
存储的数据：会话 ID、当前会话中的综合浏览量、性能问题的会话哈希
隐私政策提及此 cookie：是

_conv_r

Cookie 名称：_conv_r
目的：此 cookie 保存当前访问者的推荐数据。
持续时间：每次访问者来自新的推荐人时，都会被覆盖。
域名来源：convert.com
类别：性能
存储的数据：来源名称、推荐媒体、推荐人搜索词
隐私政策提及此 cookie：是

7 任何网站的 Cookie 政策最佳实践：关于 Cookie 使用的规则

GDPR 和电子隐私条例都侧重于用户同意收集或使用他们的数据。由于 cookie 是收集用户数据的主要工具，因此良好的 cookie 政策可以大大帮助您遵守它们。

此外，通过解释您使用哪些 cookie、存储哪些数据以及如何使用数据，您可以赢得用户的信任，并向他们展示他们的隐私确实很重要。

以下是创建出色 cookie 政策页面的 7 种方法。

使用用户友好的语言

合规的 cookie 政策必须让用户随时清楚准确地了解 cookie 在您的网站上的使用方式。 Cookie 策略以通俗易懂的语言编写是一项实际要求。

查看上面的政策页面示例，您将了解这些组织如何编写用户友好版本的政策，否则这些政策听起来像是法律术语，普通用户很难理解。

对默示同意说不——通过平权行动得到它

与 GDPR 相关的 cookie 和在线跟踪的最大变化是必须通过明确的平权行动给予同意。

欧盟公民已经习惯了——尽管可能有点恼火——所有网站上的横幅，说明使用 cookie，有时要求您检查确定按钮，但没有给出真正的选择。

有了监管，这还不够。 必须以肯定的、积极的行动给予同意，并且拒绝 cookie 必须是一个实际的选择。

很多公司现在已经开始让他们的用户拒绝他们不喜欢的 cookie。例如，在 Clym 上，默认情况下不允许所有 cookie。用户可以选择允许他们想要的：

让您的用户随时撤回同意

用户必须有权随时撤回他们的同意 - 毕竟同意是他们给予或撤回的！

因此，确保您的用户始终可以访问他们当前的同意状态并可以更改设置或完全撤回他们的同意非常重要。

如果您再看一下国家地理 cookie 页面，您会发现它们让用户只需单击一下即可选择退出它们。

Clicky Analytics 也为用户提供一键退出选项，以停止使用其分析解决方案被任何网站跟踪。

因此，请考虑向您的网站添加一个退出页面，并让您的用户管理他们的同意。

每年更新同意书

这很简单，但很容易错过。每 12 个月，更新用户同意所有 cookie 和数据。

不要假设同意是“永恒的！”

在使用 cookie 之前征求同意

对于 GDPR 和 ePrivacy 指令，必须在设置 cookie 之前征得用户同意。

根据 GDPR，您需要事先同意设置跟踪个人数据的 cookie，而 ePrivacy 指令的影响更为深远，并要求您获得同意才能设置除严格必要的 cookie 之外的所有内容。

因此，请确保您没有使用任何“默示同意”来设置 cookie。

记录用户的同意（作为证据……以防万一！）

所有同意必须安全存储，以便在控制时用作证据。

最重要的是，对您网站上的所有 cookie 负责：

每个网站都使用大量的解决方案提供商。其中许多服务提供商都使用 cookie。无论您使用第一方 cookie 还是第三方 cookie，根据较新的严格隐私法，您都可能受到控制，并被要求对与您的网站相关的数据处理进行详尽的说明.

这说起来容易做起来难，因为大多数网站都有大量的第三方 cookie 流经他们的系统。

但是，一条消息说“我们对任何……概不负责”或“我们的服务提供商有自己的数据…… ”或“我们对……概不负责”可能会让您放心……但它们可能并不好防御。

我们可以给您的一个提示是，仅与了解并尊重用户隐私法且尽职尽责的服务提供商合作。

这是进步的、具有隐私意识的企业前进的唯一途径。