无Cookie分析：你仍然需要同意吗？
“无需横幅”的承诺
注重隐私的分析工具常常宣传自己不使用Cookie，有些甚至进一步暗示你不再需要同意横幅。对于技术栈精简的发布商来说，这是个诱人的想法。但现实更为微妙。是否需要同意，取决于该工具实际在设备上做了什么、处理了哪些数据、你的用户在哪里，以及你的页面上还运行着什么。
本文说明在从同意设置中移除分析之前应当提出的问题。这是一般性指导，不构成法律建议。
Cookie并非唯一触发条件
在欧盟，设备方面的同意规则来自ePrivacy指令第5条第3款。它涵盖在用户设备上存储信息或从设备访问信息——不仅仅是Cookie。本地存储、会话存储、导致读取信息的像素，以及根据设备特征推导标识符的技术，都可能落入其范围。欧洲数据保护委员会在其关于第5条第3款技术范围的第2/2023号指南中阐述了这一宽泛的解读。
因此，“我们不设置Cookie”只是分析的开始，而不是结束。你需要知道该工具是否在设备上存储或读取了任何内容。
针对任何分析工具都应提出的四个问题
1. 它是否在设备上存储或读取任何内容？
页面加载后检查浏览器的存储面板：Cookie、本地存储、会话存储、IndexedDB。检查脚本中是否有收集设备特征以构建标识符的代码。如果为分析目的存储或读取了任何内容，则除非适用豁免，否则ePrivacy规则即告适用。
2. 它是否处理个人数据？
即使没有设备存储，分析通常也会处理IP地址、用户代理和页面URL。根据GDPR，这些都可能是个人数据。这需要法律依据——可以是合法利益而非同意——并需要在隐私声明中保持透明、数据最小化以及适当的保留期限。“没有横幅”绝不意味着“没有义务”。
3. 在你的用户所在国家是否适用豁免？
一些监管机构认可，在满足严格条件时，有限的受众衡量可以免于同意。法国的CNIL已发布豁免受众衡量跟踪器的条件，并维护一项计划，用于识别可配置为满足这些条件的工具。条件通常包括严格限于第一方使用、仅限汇总统计、不进行跨站追踪以及有限的保留期。英国的《2025年数据（使用和访问）法》引入了对PECR同意要求的新例外，包括针对某些统计目的的例外，但须符合清晰告知和提供反对途径等条件。并非每个国家都持相同观点，因此请核查你所服务的每个市场的立场，以及哪些条款已经生效。
4. 数据是否与其他任何方共享？
如果该工具将数据发送给为自身目的使用数据、或跨客户合并数据的供应商，豁免通常就不再适用。请阅读处理条款，而不仅仅是营销页面。
通常仍需要同意的内容
- 广告标签。依靠广告的发布商，无论其分析工具如何运作，个性化广告以及广告供应商进行的设备存储都需要同意。
- 跨会话使用标识符的工具。持久的访客ID，即使是第一方的，也往往会使工具落到大多数豁免之外。
- 会话回放和热力图。它们捕获详细行为，很少被视为可豁免的衡量。
- 嵌入式内容和社交小部件。它们会设置自己的Cookie和标识符。
- 转化和再营销像素。它们的存在是为了将行为与广告关联起来。
对大多数依靠广告的网站来说，无论如何，广告技术栈都需要横幅。真正的问题在于分析是否应属于受门控的类别之一，还是可以在狭窄的豁免下独立运行。
做出决定的实用方法
- 列出每个分析脚本，以及它存储、读取和发送的内容。
- 确定你的大多数用户所在的国家。
- 对每个工具，检查其配置是否满足这些国家认可的某项豁免。
- 将工具配置到你所需的最严格版本：IP截断、无持久ID、短保留期、无数据共享。
- 记录理由，并且无论如何都在你的Cookie政策和隐私声明中列出该分析工具。
- 当供应商更改其产品或你的市场发生变化时重新检查。
在CMP旁运行享有豁免的分析
如果你认定某个工具符合条件，请在CMP中将其列为严格必要或享有豁免，使其被披露但不被门控，并确保其配置保持在豁免范围之内。许多发布商还保留一套依赖同意的分析设置以获得更丰富的衡量，并使用Google Consent Mode v2或类似信号，根据用户的选择对其进行调整。FlexyConsent在支持IAB TCF 2.4和IAB GPP v1.1的同时，也支持Google Consent Mode v2。
核心要点
- “无Cookie”并不自动意味着“无需同意”；第5条第3款涵盖任何设备存储或访问。
- 没有设备存储的分析仍可能处理个人数据，并需要法律依据和透明度。
- 部分国家存在针对受众衡量的豁免，但附带严格条件。
- 广告、会话回放和再营销标签仍需要同意。
- 记录某个工具被视为享有豁免的原因，并定期复查。