近期，行政与司法机构针对Cookie合规问题作出多项裁决。包括Vueling、Planet49及ISGF在内的多家企业被提醒，必须向用户提供分层接受系统（含Cookie管理系统或配置面板），允许用户以细粒度方式管理或删除相关设备。
具体而言，去年10月1日，欧盟法院在德国消费者组织诉Planet 49案中判决：“当通过Cookie存储或访问终端设备信息时，若使用默认勾选的复选框且需用户手动取消才能拒绝同意，则该同意并非有效提供。”
此外，欧盟法院裁定：“服务提供商必须告知用户Cookie的活跃持续时间以及第三方访问的可能性。”
什么是Cookie及其用途
Cookie是由小型文件组成的加密文本，旨在收集网站发送的信息并存储在浏览器中。当用户加载特定页面时生成该文件；每次返回同一页面时，浏览器会提取此文件发送给服务器。页面上还可能包含来自其他网站的第三方Cookie，用于在用户访问的URL上投放广告。
Cookie的设计目的主要包括：
1. 控制访问页面的用户数量：存储用户名和密码等信息，避免重复输入。需注意，Cookie标识的是“电脑-浏览器-用户”组合，而非个人身份。
2. 获取用户的浏览习惯信息：帮助网站了解用户访问频次及互动情况。
Vueling因错误实施Cookie政策被处以3万欧元罚款
- 你认为西班牙的网站是否符合Cookie相关法规？
- 你对违反法规的处罚（如针对Vueling的处罚）有何看法？
- 你对Cookie持何种立场？
西班牙数据保护局（AEPD）在对Vueling和I.S.G.F.的处罚程序中认定，这些公司的Cookie通知和政策“从未提供在任何时候拒绝安装Cookie的选项”。AEPD指出，虽然浏览器自带的配置工具可作为补充信息，但仅提供配置面板“不足以实现允许以细粒度或选择性方式配置偏好的目的”。
对于此类违规行为，我们可能面临哪些处罚？
在Vueling案中，AEPD处以30,000欧元罚款；而在I.S.G.F.案中，仅予以警告。此类处罚适用于任何使用分析和广告Cookie但未遵守下载相关法规的网站。
如何避免与Cookie使用相关的处罚
1. 使用插件
Letslaw建议采用专业插件（如Quancast或Cookie Bot），提供Cookie通知横幅，使用户能够按类别接受或拒绝Cookie，促进差异化、细粒度的选择。
2. 明确同意
Cookie必须在用户通过积极行为同意后才可下载。暗示同意或沉默同意均无效，包括预勾选复选框、未提供拒绝选项或未允许细粒度配置时的继续浏览行为。此外，Cookie通知不得使用“改善浏览体验”等笼统表述。
3. 按类别对Cookie进行分组
第二层信息（即Cookie政策）必须包含各类Cookie详情，包括分析类、广告类等分类，以及在终端上的有效期、供应商/制造商信息和具体目的。
西班牙数据保护局（AEPD）发布的Cookie使用新指南
2019年11月，AEPD发布新指南，涵盖存储和检索数据的各类技术，包括本地共享对象（Flash Cookie）、网络信标、指纹识别等。
以下类别Cookie无需获得知情同意：
- “用户进入”Cookie
- 用户身份验证或识别Cookie（仅限会话期间）
- 用户安全Cookie
- 多媒体播放器会话Cookie
- 负载均衡会话Cookie
- 用户界面个性化Cookie
- 社交内容交换插件Cookie
出于透明度考虑，AEPD建议至少以一般性方式告知此类技术Cookie的使用（例如：“本网站使用Cookie以实现其功能并提供服务”）。同时，征求同意的信息必须足够完整且简洁透明，让用户了解安装目的。
不得使用可能引起混淆的表述
AEPD列举了违规示例：
- “我们使用Cookie来个性化您的内容并为您创造更好的体验”或“为了改善您的浏览体验”
- “我们可以利用您的个人数据来提供个性化的服务”
"继续浏览"选项在下载Cookie时是否仍然有效？
有效但有前提：通知必须位于清晰可见的位置，确保用户不会忽视。为使同意有效，用户必须执行明确的肯定行为。
AEPD认可的“肯定行为”包括：导航至网站不同部分（非隐私政策页）、滚动滚动条、关闭第一层通知或点击服务内容。仅停留屏幕、移动鼠标或按键不视为接受。
在用户采取明确肯定行为前，不得安装Cookie。“继续浏览”作为同意方式与横幅中包含“接受按钮”的做法不相容。
配置面板是获得同意的关键
《Cookie使用指南》规定，第一层信息必须通过文档或配置面板补充，以便用户以细粒度方式选择启用或不启用Cookie。该面板可整合到第二层信息中。
为便于选择，应设置“启用所有Cookie”和“拒绝所有Cookie”按钮。使用的Cookie种类越多，越推荐此选项。
细粒度程度由网站编辑者评估，建议遵循以下规则：
- 至少应按目的对Cookie进行分组（如单独启用分析类而禁用广告类）。
- 在每个目的内，可根据第三方所有者对Cookie进行分组。
- 第三方Cookie仅需通过名称（商标）标识，无需完整法定名称。
- 应避免逐个Cookie选择的最高粒度细分，以免信息过载妨碍决策。
关于第二层信息的实际示例：Cookie政策
AEPD新指南提供了展示以下信息的规范：
- Cookie的定义和通用功能
- 所使用的Cookie类型及其目的
- 使用Cookie的主体身份识别
- 接受、拒绝、撤回同意或删除Cookie的方式
- 向第三国进行数据传输的信息
Cookie类型及其目的的示例：
本网站使用了哪些类型的Cookie？
- 分析类Cookie：由我们或第三方处理，用于统计用户数量、测量和分析服务使用情况，通过分析浏览行为改进产品或服务。
- 行为广告类Cookie：由我们或第三方处理，用于分析互联网浏览习惯，以便展示与用户画像相关的广告。