正如前文所述，数字Cookie（又称“计算机Cookie”或“跟踪Cookie”）是由服务器指令放置于浏览器目录中的加密文本文件。
尽管我们常听到关于Cookie的讨论，但是否真正了解其含义并主动接受？是否知晓其收集的信息及用途？本文将深入解析Cookie的定义、类型，并结合欧洲数据保护委员会（EDPB）指导方针，详细解读西班牙数据保护局（AEPD）发布的Cookie使用指南及其合规要求。
什么是 Cookie
据西班牙数据保护局（AEPD）解释，Cookie是支撑众多信息服务的关键工具，不仅承载大量广告投资、便利用户浏览，还能基于用户习惯提供定向广告。
Cookie旨在让用户更便捷地浏览网站并执行特定功能。当浏览器加载页面时，服务器发送信息生成加密文本文件；每次回访时，浏览器检索该文件并回传至服务器。此外，页面上还可能显示来自其他网站的第三方Cookie，用于在用户访问的URL上投放广告。
Cookie 的类型
根据发送来源的域名
依据管理设备及域名的不同，Cookie分为两类：
第一方 Cookie
由当前访问网站自身管理的设备或域名发送至用户终端，用于提供用户请求的服务，通常旨在提升浏览体验。
例如：登录Cookie（记住用户名简化登录）、个性化Cookie（记录互动以展示相关内容）或偏好Cookie（收集语言、内容展示方式等偏好）。
第三方 Cookie
由非网站自身的其他实体通过其设备或域名发送，用于处理获取的数据。此类Cookie种类繁多且目的各异，包括收集统计数据、使用情况、用户偏好等（如Facebook社交网络Cookie、Google Analytics分析工具Cookie）。
需注意，上述信息按浏览行为而非用户身份进行分析。例如，若您在Chrome中同意某网页Cookie，随后切换至Firefox访问同一页面，原设置不会保留。
根据其目的
依据功能目的，可区分如下类型：
技术 Cookie
允许用户浏览网页、平台或应用并使用各项服务，包括编辑者用于管理操作网页及启用功能的Cookies（如流量控制、会话识别、社交分享等）。
此外，还包括技术上允许高效管理广告空间的Cookie。这类Cookie作为服务设计元素嵌入网页，仅基于已编辑内容等标准进行个性化，不收集除广告内容个性化外的其他用户信息。
偏好或个性化 Cookies
允许记住特定特征以便用户差异化访问服务，如语言选择、搜索结果数量、基于浏览器类型或地区的界面调整等。
若特征由用户自主选择（如点击国旗图标选择语言），且Cookie仅服务于该选定目的，则视为用户明确请求的服务，可免除LSSI第22.2条规定的义务。
分析或测量 Cookie
用于跟踪和分析关联网站的用户行为（含广告影响量化）。收集的信息旨在衡量网站、应用或平台的活跃度，以便基于数据分析优化服务。
行为广告 Cookie
存储通过持续观察用户浏览习惯获得的行为信息，从而基于特定画像展示相关广告。
注：以上分类仅供参考。发布者和第三方可根据实际使用目的进行分类，但须遵循对用户透明的原则。
根据持续时间
依据激活时长，可分为两类：
会话 Cookie
仅在用户访问期间收集和存储数据，属临时性Cookies，离开页面并关闭浏览器后即被删除。
持久 Cookie（永久 Cookie）
数据存储于终端设备，在负责人规定期限内（几分钟至数年不等）可供查阅处理。文件保留在浏览器子文件夹中，直至用户手动删除或浏览器按有效期自动清除。
立法变更：发生了什么变化？
AEPD已更新《Cookie使用指南》以适配EDPB 2020年5月修订的同意指南。核心变更摘要如下：
EDPB 05/2020号指南澄清了以下两点立场：(1) “继续浏览”作为同意方式的有效性；(2) “Cookie墙”的使用可能性（即仅向接受Cookie的用户开放服务访问权限）。
针对第一点，委员会认定“继续浏览”在任何情况下均不构成有效同意，因该行为难以与其他交互区分，无法证明同意是明确无误的。
Cookie管理系统须整合进Cookie政策，或在政策中提供直达链接；若无法充分说明（如第三方Cookie目的或清除方法），可通过链接至第三方网页补充信息。
针对“Cookie墙”，委员会明确指出：为使同意被视为自由给予，访问服务及其功能不得以用户同意使用Cookie为前提条件。
展示 Cookie 通知的示例
AEPD《Cookie使用指南》包含多个视觉化示例。以下为3个第一层通知（即首条消息）的设计案例，供参考。各公司应自行评估消息展示方式及附加信息、配置选项的获取路径。
这种接受 Cookie 方式的改变将如何影响用户
访问网站时，用户必须看到清晰易懂的提示消息，且该消息需持续显示直至用户完成同意或拒绝操作。此信息须在注入Cookie前展示，以确保根据用户意愿决定是否注入。
用户必须执行明确的肯定性行为方视为有效授予同意。除点击接受按钮外，其他构成明确肯定动作且能证明用户知情、明确同意的行为亦可认可。
然而，仅停留屏幕、滚动页面或浏览网站的行为绝不视为明确肯定性行为。EDPB已确立：继续浏览非有效同意形式；查阅第二层信息及为管理偏好进行的必要导航，也不构成推定接受的主动行为。
第一层信息（提示横幅）须辅以配置系统或面板，允许用户逐项选择接受/拒绝，或提供指向该系统的链接。
为确保同意自由且知情，须注意以下几点：
a) 同意形式可多样化。
b) 用户须采取明确肯定行动。
c) 用户须清楚知晓通过何种具体行为接受Cookie。使用“接受”按钮即视为充分告知；但对于复杂或不明显的行为，需额外解释。
d) 用户有权随时拒绝Cookie。
e) Cookie同意信息应与其他事项信息分离。
f) 服务条款接受应与隐私/Cookie政策接受分离。
g) 涉及GDPR要求明确同意的场景（如敏感数据、健康数据等），只能通过标有“我同意”字样的按钮获得，并提供关于特殊类别数据、自动化决策或跨境传输的完整信息。
此外，Cookie政策必须始终包含以下信息：
a) Cookie定义及一般功能。
b) 所用Cookie类型及目的。
c) Cookie使用者身份标识。
d) 接受、拒绝或撤销同意的方法。
e) 必要时，向第三国数据传输的信息。
f) 若画像涉及法律效力或重大影响的自动化决策，须告知所用逻辑。
g) 不同目的的数据保存期限。
h) GDPR第13条要求的其余非直接关联信息（如数据主体权利），可援引数据保护政策。
何时以及如何实施这一变更
新标准最迟须于2020年10月31日实施，自通知之日起设有三个月过渡期，以便调整现有Cookie同意机制。
企业可选择自主开发或使用同意管理平台（CMP）。CMP是安装在网站或应用上的工具，帮助责任方履行告知和收集同意义务。
有效的CMP须使使用者（含出版商及其他参与者）能按指南满足法规要求。知名CMP平台包括OneTrust、Cookiefirst或Cookiebot等。