2025年同一天CNIL对Google和SHEIN开出合计4.75亿欧元罚单，独立站Cookie同意机制有四项硬指标。
核心要点
- ePrivacy法规2025年已被正式撤回
- 同意机制须做到拒绝与接受同等容易
- GDPR罚则上限为全球年营业额4%
- SHEIN用户点击拒绝后仍在读取cookie
先说三件 2026 年必须知道的事。
第一，ePrivacy Regulation 死了。欧委会 2025 年 2 月 11 日发布 2025 年工作计划，正式撤回这份提案，理由是”无法预见达成一致”且”鉴于近期技术立法进展，提案已过时”。欧盟 Cookie 合规回到《ePrivacy 指令》2002/58/EC（含 2009/136/EC 修订）加各国转化法。法国走《数据保护法》第 82 条，德国走 TDDDG，意大利走 Codice Privacy，英国脱欧后走 PECR 加 ICO。统一化不会来了，成员国监管机构的解释权只会更大。
第二，罚款不是威胁。2025 年 9 月 1 日同一天，CNIL 对 Google 处 3.25 亿欧元（Google LLC 2 亿、Google Ireland 1.25 亿），对 SHEIN 的运营主体 Infinite Styles Services Co. Limited 处 1.5 亿欧元，合计 4.75 亿欧元。按 CNIL 2026 年 2 月 9 日发布的 2025 年执法报告，当年 83 项处罚中有 21 项直接针对追踪器类违规。
第三，EDPB 把监管范围扩大了。指南 2/2023（2024 年 10 月定稿）把第 5(3) 条的适用从 cookie 扩到像素、URL 跟踪、纯 IP 跟踪和指纹识别。你在页面上埋的任何能往用户设备写东西、往回读东西的技术，都在范围内。
四项硬指标，缺一个就违规
| 指标 | 要求 | 依据 |
|---|---|---|
| 事前同意 | 非必要追踪器在用户选择前不得触发 | 指令第 5(3) 条 |
| 拒绝同样容易 | 拒绝按钮须与接受按钮同层级、同视觉权重 | EDPB 指南 03/2022 |
| 第三方具名 | 须点名接收数据的一方，不接受”广告合作伙伴”这类类别表述 | GDPR 第 13 条 |
| 可随时撤回 | 撤回须与给出同意一样容易 | GDPR 第 7(3) 条 |
四项之外还有两条判例线。 欧洲法院 Planet49 案（C-673/17，2019 年 10 月）确认预勾选复选框不构成有效同意，且须告知 cookie 存续期和第三方访问情况。Orange Romania 案与 Meta v. Bundeskartellamt 案进一步明确：举证责任在控制者，Dominant position 是相关因素。
分析类 cookie 的默认结论是需要事前同意。意大利 Garante 点名过未获同意就部署 GA4 的配置。法国 CNIL 给过部分受众测量工具豁免的条件，但没有把分析类整体豁免掉。
严格必要豁免的范围很窄：会话管理、认证、购物车、支付安全。归入这一类的判断标准是”用户明确请求的服务所必需”。广告、再营销、社交像素、A/B 测试都不算。
4.75 亿欧元罚单暴露的两个最贵违规点
Google 那 3.25 亿欧元，CNIL 认定两件事。一是用户创建 Google 账号时设置的”cookie wall”——必须接受追踪才能继续注册——没有充分说明后果，用户无法做出知情同意。涉及超过 7400 万个账号。二是 Gmail 的”Promotions”和”Social”标签页里投放推广邮件，违反法国邮政与电子通信法典 L. 34-5 条。影响约 5300 万人。
SHEIN 那 1.5 亿欧元，三个违规点叠加。在用户与同意横幅发生任何交互之前就放置了广告 cookie。同意界面没有点名接收 cookie 数据的第三方。用户点击”全部拒绝”后仍在继续设置和读取 cookie。
第三点是所有独立站最容易踩的。很多站点的”拒绝”按钮只是把横幅关掉，标签管理器的触发器没关，数据照跑。CNIL 的措辞很直接：违规类别包括”未在用户拒绝或撤回同意时有效处理”。
主编判断：同意管理工具的问题不在于”有没有用”，在于”拒绝路径有没有真的断开触发器”。 一个 SAVE 按钮改成 DEcline 按钮，但脚本里的 firing trigger 没跟着改，等于什么都没做。这是独立站自查最容易漏的一层。
该做什么、什么时候做、漏了会怎样
该做什么。 五件事，按顺序做。
第一，做全站扫描，把所有往用户设备写数据、往回读数据的技术列出来：cookie、localStorage、像素、URL 参数跟踪、指纹脚本、聊天工具、客服组件。列出每项的用途、提供方、是否严格必要、触发条件。
第二，重构同意机制。”接受全部”和”拒绝全部”同层级、同尺寸、同颜色。横幅在选择前不触发任何非必要标签。不能用”继续浏览即视为同意”。
第三，第三方具名。写 Google Ads、Meta、The Trade Desk、TikTok 这些具体名字，不写”广告合作伙伴”。
第四，落同意记录。第 7(1) 条规定举证责任在控制者。记录要含时间戳、用户标识（会话或 cookie ID）、同意文本版本号、用户接受或拒绝了哪些目的。
第五，做撤回。页脚常驻”管理我的偏好”链接，随时能改。CNIL 建议约 6 个月重新征询一次。
什么时候做。 现在。GDPR 罚则上限是 2000 万欧元或全球年营业额 4%，取高者。数据泄露 72 小时内必须报。同意机制改造是网站改版里最容易被排到最后的一项，排到最后通常就是来不及。
漏了会怎样。 直接后果是被罚款。CNIL 在 Google 案的附加处罚是：6 个月内不整改，每日加罚 10 万欧元。SHEIN 法国月活约 1200 万用户，这批用户的数据都在采集范围内。
间接后果更疼。独立站流量结构里如果广告像素被停，ROAS 数据链会断一截。GDPR 允许基于合法利益的处理（第 6 条），但 ePrivacy 第 5(3) 条要求事前同意时，GDPR 第 6(1)(f) 条的合法利益不能替代它。这是最常见的一个误解。
常见违规的四个具体形态
Cookie wall。注册或结账前必须接受追踪才能继续。CNIL 在 Google 案里没有直接判定 cookie wall 本身违法，原文表述是”本身不违法，前提是同意是自由给出的”，且各种选项须平衡呈现、不引导用户选某一项。它这次认定违法的是没有充分说明后果。但对面向大众的零售站，CNIL 明确表示要谨慎。
纯浏览即同意。2022 年 CNIL 修订指南后，”继续浏览”不再构成同意，必须是点击或勾选这类积极行为。预勾选框同样不行。
美国站点不管欧盟流量。这是跨境卖家的常见误判。GDPR 有域外效力，你面向欧盟境内的人提供服务就适用，跟你在哪注册公司无关。挪威、冰岛不是欧盟成员，但通过 EEA 协议适用等效规则，那部分流量也要算。
只做 banner 不做记录。同意给了但没留证据，事后无法举证自己合规，等于白做。
FAQ
ePrivacy Regulation 撤回后，Cookie 规则会变松吗？
不会。撤回意味着回到指令加各国国内法的状态，执法强度反而可能上升。CNIL 在 2025 年执法报告里把追踪器违规列为重点，比统一立法时代更分散，但罚款总额更高。德国 TDDDG、法国第 82 条、意大利 Codice Privacy 各自的要求略有差异，要做多国业务就得分别核对。
Shopify 自带的 Cookie 横幅够用吗？
不够。Shopify 提供的是技术框架，各国监管机构对”拒绝同样容易””第三方具名””同意记录”这三条的具体要求，是你自己要满足的。而且 Shopify 商店之外的销售页、落地页、博客、邮件营销页面不在这套机制的默认覆盖范围内。同一批用户在站内被同意过，不代表你在站外的页面也被覆盖。
分析类 cookie 到底要不要同意？
要，除非严格必要。EDPB 明确”严格必要”是窄例外。法国 CNIL 给过部分受众测量工具的豁免条件，但前提是配置满足特定要求，且不豁免同意义务本身。意大利 Garante 已经处罚过未获同意部署 GA4 的案例。稳妥做法是按需要同意处理。
拒绝按钮要放在什么位置？
CNIL 的判断标准是三个维度：呈现方式、拒绝的容易程度、提供的信息。”全部拒绝”和”全部接受”要在同一层级、同样视觉格式。把”拒绝”做成大按钮下方的一个灰色文字链接，不符合要求。
罚款怎么算出来的？
GDPR 第 83 条给了两档上限：2000 万欧元或全球年营业额 4%，取较高者；严重违规最高 5000 万欧元或 6%。CNIL 在具体案件中会综合考量违规性质、持续时间、是否配合整改、影响的用户规模。Google 案的 3.25 亿欧元和”未充分说明后果”、”影响 7400 万账号”直接相关。
参考文献
- 《通用数据保护条例 Regulation EU 2016/679, GDPR 第 6、7、13、83 条》｜欧盟 EUR-Lex｜https://eur-lex.europa.eu/eli/reg/2016/679/oj
- 《电子隐私指令 Directive 2002/58/EC，经 Directive 2009/136/EC 修订 第 5 3 条》｜欧盟 EUR-Lex｜https://eur-lex.europa.eu/eli/dir/2002/58/oj
- 《Guidelines 2/2023 on Technical Scope of Art. 5 3 of ePrivacy Directive Version 2.0，2024 年 10 月 7 日通过》｜欧洲数据保护委员会 EDPB｜https://www.edpb.europa.eu/documents/530_en
- 《Cookie regulation: the CNIL is continuing the action plan initiated in 2019 and has imposed two fines on SHEIN and GOOGLE》｜法国国家信息与自由委员会 CNIL｜https://www.cnil.fr/en/cookie-regulation-cnil-continuing-action-plan-initiated-2019-and-has-imposed-two-fines-shein-and
- 《欧委会 2025 年工作计划：撤回 ePrivacy Regulation 提案》｜欧盟委员会｜https://commission.europa.eu/publications/commission-work-programme-2025_en
原创文章，作者：跨境头条编辑部，如若转载，请注明出处：https://www.tokenfff.com/gdpr-cookie-2026/
