“严格必要”Cookie豁免：哪些符合，哪些不符合
为什么这项豁免很重要
根据ePrivacy指令（第5(3)条），在用户设备上存储或读取信息通常需要事先获得同意。存在两项例外，发布商最常依赖的是针对严格必要的存储的豁免，即为提供用户明确请求的服务而必需的存储。凡是不在该豁免范围内的内容，都应置于你的同意横幅之后。
许多网站把这项豁免扩大到分析、A/B测试、广告频次上限和个性化。监管机构多次反驳这种解读，因此有必要弄清楚界线究竟在哪里。
两步测试
这项豁免并不取决于对你是否方便。它提出两个问题：
- 用户是否明确请求了该服务？加载一篇文章是请求，把商品加入购物车是请求，而打开一个你在每个页面上强行推送的聊天小组件则不是。
- 该存储对于提供这项服务是否严格必要？如果没有这个Cookie或标识符，服务仍能运行，哪怕方式不那么方便，那么这种存储很可能并非严格必要。
请注意，“对我们的商业模式是必要的”并不等同于“对用户所请求的服务是必要的”。广告收入让免费网站得以维持，但展示一篇文章并不需要广告定向标识符。
通常被接受的例子
- 会话和身份验证Cookie，用于在会话期间保持已登录用户的登录状态。
- 购物车Cookie，用于在用户结账期间记住商品。
- 负载均衡标识符，用于将请求路由到正确的服务器。
- 安全Cookie，用于检测反复的登录失败或防御伪造请求。
- 同意记录本身，因为要遵循用户的选择就必须记住它。
- 用户有意设置的界面偏好，例如语言，前提是它们仅在会话期间存储，或因用户自行选择而存储。
常被误分类的例子
- 分析类Cookie。一些监管机构在严格条件下允许有限的、保护隐私的受众测量，但标准的分析标签通常需要同意。请查阅适用于你的受众的监管机构的指引。
- 广告和再营销标识符。提供内容本身从不需要它们。
- 在页面加载时设置第三方Cookie的社交分享按钮和嵌入式小组件。
- 并非用户请求的A/B测试和个性化。
- 广告的频次上限。它有助于改善用户体验，但对提供页面并非必不可少。
期限和范围依然重要
一个确实必不可少的Cookie，如果存续时间过长，或收集的内容超出功能所需，仍可能出现问题。持续一年的会话Cookie，或同时写入营销画像的安全Cookie，都会失去这项保护。请保持较短的期限和最少的内容。
记录你的判断依据
对于每个你归类为严格必要的Cookie或存储项，请写下三点：它所支持的用户请求的功能、没有它该功能为何无法运行，以及它的有效期。在Cookie清单旁维护一张简短的表格就足够了。审查清单时，请质疑每一项：如果唯一的理由是“我们一直这么做”，就把它移到同意之后。
这项豁免不仅适用于Cookie。本地存储、会话存储、设备指纹识别以及应用中的SDK标识符，都适用同样的第5(3)条逻辑，因此请把它们纳入审查。
FlexyConsent的定位
FlexyConsent是经Google认证的CMP（CMP ID 317），同时获得IAB Europe和IAB Canada的认证，横幅提供57种语言。借助CMP，你可以在用户做出选择之前暂缓加载非必要标签，而真正必要的项目则继续加载。判断每个Cookie属于哪个类别仍由你决定，因此请让你记录的依据保持最新。
要点回顾
- 这项豁免涵盖的是用户明确请求的服务所严格需要的存储，而不是你的收入所需要的存储。
- 会话、购物车、负载均衡、安全和同意记录Cookie是典型的符合条件的例子。
- 分析、广告、社交小组件和个性化通常需要同意。
- 期限和内容很重要：让必要Cookie保持短期且精简。
- 对本地存储、会话存储和应用标识符适用同样的测试。
- 为每一个你归类为严格必要的项目记录判断依据，并定期审查。