欧盟《数字综合法案》：Cookie 规则的拟议变化及发布商应关注的事项
什么是《数字综合法案》
2025 年 11 月，欧盟委员会发布了一揽子方案，称为《数字综合法案》（Digital Omnibus），旨在简化并协调若干欧盟数字规则。其中一部分涉及发布商每天都要面对的规则：网站和应用如何存储或读取用户设备上的信息，以及这与 GDPR 如何相互作用。
准确把握其当前状态很重要。该综合法案只是一项立法提案。它必须经过欧洲议会和理事会，文本在此过程中可能发生变化。在最终法案获得通过且适用日期到来之前，现行的 ePrivacy 和 GDPR 规则仍按现状适用。
为什么 Cookie 规则在范围之内
目前，《ePrivacy 指令》第 5(3) 条要求在向设备存储信息或从设备读取信息之前取得同意，除非适用豁免。此后处理的任何个人数据则另行适用 GDPR。因此，发布商要应对两套相互重叠的制度，而在许多成员国，它们由不同的机构执行。综合法案旨在减少这种重叠以及用户看到的横幅数量。
提案的主要思路
就目前公布的内容而言，提案包含若干对发布商有影响的想法。在依赖其中任何一项之前，请核对最新文本：
- 个人数据处理移至 GDPR 之下。当从设备读取的信息属于个人数据时，其法律依据将依据 GDPR 评估，而不是通过单独的 ePrivacy 同意规则。
- 一份简短的低风险目的清单。某些范围狭窄的目的，例如安全或特定的聚合受众测量，将无需横幅即可进行。
- 更容易拒绝。提供一键拒绝的方式，并在用户拒绝后设定一段暂停期，之后才能再次询问。
- 机器可读的偏好信号。预计浏览器和操作系统将提供一种表达选择的方式，网站必须予以尊重，前提是相关标准已经出台。
可能不会改变的内容
即使提案基本按原文通过，在实践中仍有几点保持不变：
- 广告和跨站画像仍然需要有效的法律依据，而对大多数广告个性化而言，这就是同意。
- 你仍然需要知道每个页面上运行着哪些标签和供应商。
- 如果监管机构或用户询问当初同意了什么，同意记录依然重要。
- 欧盟以外的规则，例如英国和美国各州的法律，不受该提案影响。
如何准备而不过度反应
不要预先拆除现有配置。相反，把等待期用于无论结果如何都有回报的工作：
- 盘点你的标签。按目的分组：严格必要、测量、广告、个性化。
- 将测量与广告分开。如果低风险测量确实适用较宽松的制度，你会希望它已经被隔离出来。
- 确保拒绝与接受一样容易。监管机构已经有此期待，也符合提案的方向。
- 为浏览器信号做规划。在某些司法辖区，你可能已经需要遵循 Global Privacy Control 等信号，因此应制定明确的内部规则，规定自动信号会对你的标签产生什么影响。
- 跟踪立法日程。指定一人每季度检查一次进展。
对广告收入意味着什么
如果部分测量的同意要求收窄，而广告仍保留同意要求，那么对收入的主要影响将体现在：无需横幅交互即可运行多少第一方测量。程序化需求在个性化广告方面仍将依赖有效的同意信号，因此 TCF 和 Google Consent Mode 信号对变现依然重要。
FlexyConsent 如何提供帮助
FlexyConsent 是经 Google（CMP ID 317）、IAB Europe 和 IAB Canada 认证的 CMP，支持 IAB TCF 2.4 和 Google Consent Mode v2，横幅提供 57 种语言。无论规则最终呈现何种形态，在法律文本尘埃落定之前，你都可以把广告技术栈读取的同意信号集中在一处管理。
要点总结
- 《数字综合法案》只是提案，尚未成为规则；现行的 ePrivacy 和 GDPR 义务仍然适用。
- 它针对 ePrivacy 与 GDPR 之间的重叠，并提出更易拒绝以及浏览器层面的信号。
- 广告个性化仍预计需要取得同意。
- 利用等待期盘点标签、将测量与广告分开，并保持拒绝的便捷。
- 定期查看立法进展，最终决定请依靠你的法律顾问。