台湾《个人资料保护法》：发布商 Cookie 同意指南
隐私版图中的台湾
台湾是一个规模可观、以移动端为主的市场，对游戏和工具类应用需求旺盛，因此许多发布商都在对来自该地的流量进行变现。其主要的隐私法律是《个人资料保护法》（PDPA），现行版本自 2012 年起生效。与 GDPR 不同，它没有专门针对 Cookie 的规定，因此发布商会将其一般原则适用于属于个人数据的 Cookie 和广告标识符。
核心原则
PDPA 建立在几个你从其他制度中也会熟悉的理念之上：
- 特定目的。个人数据只能为特定、正当的目的，并在为此所必需的范围内收集和使用。
- 告知。收集个人数据时，通常必须告知人们你是谁、目的、数据类别、使用期间和地点，以及他们享有哪些权利。
- 同意或其他合法依据。对于非政府机构，收集和使用需要有合法依据。同意是其中之一，而超出原始目的使用数据通常需要新的依据或同意。
- 个人权利。人们可以请求查阅、更正、停止使用或删除其数据。
这对 Cookie 和广告 ID 意味着什么
某个 Cookie 或设备标识符是否属于个人数据，取决于它单独或与其他数据结合时能否识别一个人。与持久标识符绑定的行为广告画像，在实践中通常会被这样看待。一种审慎的做法是：将广告和跨站跟踪标识符视为需要事先告知和明确的选择加入，而严格必要的 Cookie 只需披露即可。
跨境传输
PDPA 允许主管机关在特定情形下限制国际传输，例如接收国缺乏充分保护，或传输被用来规避法律。如果你的广告供应商在台湾境外处理台湾用户的数据，请在隐私声明中列出它们，并确认你的合同有哪些要求。
执法与不断变化的格局
执法历来由各行业主管机关和地方政府分担，近年来的修正旨在设立专门的数据保护机构。由于制度细节一直在变动，请向当地律师核实当前的状况，而不要假定某一个机构会处理所有案件。
实用的设置方式
- 面向台湾访问者以繁体中文显示横幅，并用通俗的语言解释各项目的。
- 在用户选择加入之前，持续阻止非必要标签。
- 在告知中列出你的供应商，包括广告网络和测量工具。
- 提供撤回同意的方式，且与给予同意一样容易。
- 保留记录，说明每位访问者看到了什么、选择了什么。
- 避免为广告收集儿童数据；如果你的受众包含未成年人，请采用更严格的默认设置。
广告收入方面的考虑
台湾没有实行 TCF 式的制度，因此来自全球广告网络的大部分需求依赖于它们自身的政策。许多 Google 广告产品对于其视为受监管的流量，仍然期望获得清晰的同意信号，因此，记录选择并将其传递给广告技术栈的横幅，有助于你在尊重用户选择的同时继续变现。
FlexyConsent 如何提供帮助
FlexyConsent 的横幅提供 58 种语言，并支持 Google Consent Mode v2，因此你可以展示本地化的横幅，并将同意状态传递给 Google 标签。适合这一市场的横幅设置，请与你的法律顾问确认。
要点总结
- 台湾的 PDPA 没有专门针对 Cookie 的规则；适用其关于告知、目的和同意的一般原则。
- 将广告和跨站标识符视为需要告知和明确的选择加入。
- 供应商的跨境处理应予披露，并在合同中加以约定。
- 执法架构一直在演变，因此请在当地核实当前的情况。
- 在做出选择之前阻止标签的本地化横幅，是一个稳妥的基线。