網站 Cookie 同意機制怎麼做？個資法與 GDPR 要求
Cookie 同意機制，是網站在放置分析、廣告等「非必要」Cookie 之前，先讓訪客自行選擇接受或拒絕，並記錄這個選擇的做法。網站有歐盟訪客時，依歐盟電子隱私指令與 GDPR，非必要 Cookie 必須在取得同意後才能放置；台灣個資法沒有專門規範 Cookie，但能識別個人的 Cookie 仍要符合告知與蒐集的規定。
最常見的情況是：官網裝了 Google Analytics 和 Meta Pixel，卻沒有任何橫幅，或只有一個「我知道了」按鈕。這篇從法規差異講到 Cookie 分類、橫幅設計與 7 個實作步驟，照著做就能把網站整理到位。需要一起檢視隱私權政策與表單，可以參考我們的 個資法顧問 服務。
Cookie 是什麼？哪些 Cookie 算個資？
Cookie 是網站存放在訪客瀏覽器中的小檔案，用來記住登入狀態、購物車內容，或追蹤訪客在網站上的行為。單一 Cookie 不一定能認出是誰，但只要能與帳號、Email 或其他資料連結而識別特定人，就屬於個人資料。
台灣 個資法 第 2 條把個人資料定義為「得以直接或間接方式識別該個人之資料」，會員登入後的 Cookie、廣告追蹤識別碼，實務上多會被認為落在「間接識別」的範圍。GDPR 前言第 30 段也明確提到，Cookie 識別碼屬於線上識別碼。
歐盟的規定還多一層。歐盟法院在 2019 年 10 月 1 日的 Planet49 案（C-673/17）判決中指出，在使用者裝置存放或讀取 Cookie 需要同意，而且不論這些資訊是否屬於個人資料都一樣。
Cookie 同意：台灣個資法和 GDPR 的要求差在哪？
兩者最大的差別在「同意的方式」：GDPR 與歐盟電子隱私指令要求訪客主動表示同意，沉默或預先勾選都不算；台灣個資法第 7 條則允許在明確告知後，當事人沒有表示拒絕並提供資料時，推定為同意。
| 項目 | 台灣個資法 | GDPR + 歐盟電子隱私指令 |
|---|---|---|
| 是否專門規範 Cookie | 沒有，回到一般蒐集規定 | 有，電子隱私指令第 5 條第 3 項 |
| 何時需要同意 | 第 19 條：須有特定目的，並符合同意或其他法定情形之一 | 非必要 Cookie 一律須事前同意 |
| 同意方式 | 第 7 條第 3 項：已明確告知、未表示拒絕並提供資料，推定同意 | 須主動行為；前言第 32 段：沉默、預先勾選或不作為不構成同意 |
| 告知內容 | 第 8 條：名稱、目的、資料類別、利用期間地區對象方式、權利等 | 另依 Planet49 案，須說明 Cookie 存續期間與第三方能否存取 |
| 行銷用途 | 第 20 條：當事人拒絕行銷時應立即停止；首次行銷要提供拒絕方式 | 行銷用 Cookie 須事前同意 |
| 舉證 | 第 7 條第 4 項：蒐集者負舉證責任 | 第 7 條第 1 項：控制者須能證明已取得同意 |
所以只服務台灣客戶的網站，依個資法可以採較寬鬆的做法；但只要對歐盟境內的人提供商品服務，或追蹤其上網行為，就可能適用 GDPR，要用歐盟標準設計橫幅。實務上，多數有海外客戶的企業會直接採用歐盟標準，一套橫幅通用。
Cookie 分成哪幾類？哪些需要 Cookie 同意？
一般把 Cookie 分成 4 類：必要、偏好、分析與行銷。只有網站運作「絕對必要」的 Cookie 可以不經同意，其餘 3 類在歐盟標準下都要先取得同意。
| 類別 | 常見例子 | 歐盟標準下需要同意嗎 |
|---|---|---|
| 必要 | 登入狀態、購物車、資安防護、記住訪客的同意選擇 | 不需要 |
| 偏好 | 語言、地區、顯示設定 | 需要 |
| 分析 | Google Analytics、熱點圖工具 | 需要 |
| 行銷 | Meta Pixel、Google Ads 再行銷、第三方廣告 | 需要 |
分類最容易出問題的是「必要」。歐盟資料保護委員會（EDPB）Cookie 橫幅工作小組在 2023 年 1 月 18 日的報告中指出，有些網站把不屬於絕對必要的 Cookie 標成「必要」；網站經營者有責任維護 Cookie 清單，並在主管機關要求時證明其必要性。
Cookie 同意橫幅怎麼設計才合規？
合規的橫幅要讓訪客「看得懂、選得到、改得了」：第一層就能拒絕，不預先勾選，按鈕設計不誤導，並且隨時可以撤回。下面這份清單整理自 Planet49 判決與 EDPB 工作小組報告，可以直接用來檢查自家網站。
- ☐ 第一層同時有「接受」與「拒絕」，拒絕不藏在第二層或只用小字連結
- ☐ 各類 Cookie 的勾選框預設不勾選
- ☐ 「接受」與「拒絕」的顏色、大小不會明顯誤導訪客
- ☐ 說明各類 Cookie 的用途、存續期間，以及哪些第三方會存取
- ☐ 訪客同意前，分析與行銷工具都沒有載入
- ☐ 每一頁都有入口（例如角落小圖示）可以回到設定、撤回同意
- ☐ 保存同意紀錄：時間、版本與選擇內容
- ☐ 橫幅中有隱私權政策與 Cookie 政策的連結
撤回同意的入口常被忽略。GDPR 第 7 條第 3 項要求撤回同意要和給予同意一樣容易；EDPB 工作小組也建議在所有頁面放置可隨時回到隱私設定的小圖示。
Cookie 橫幅最常見的 5 個錯誤
多數網站的 Cookie 同意問題不在有沒有橫幅，而在橫幅「看起來有，實際上沒作用」。以下 5 個錯誤最常見，前 3 個在歐盟標準下會直接讓同意無效。
- 只有「我知道了」或「接受」一個按鈕，訪客沒有拒絕的選項。EDPB 工作小組中，多數主管機關認為同一層有接受卻沒有拒絕選項，屬於違規。
- 分析或廣告工具在訪客按下任何按鈕前就已載入，橫幅只是裝飾。
- 把「繼續瀏覽」視為同意。GDPR 前言第 32 段明定不作為不構成同意；這種做法只在台灣個資法的推定同意下，且已完整告知時才有討論空間。
- 把 Google Analytics 這類分析 Cookie 歸為「必要」，跳過同意。
- 換了行銷工具或新增追蹤碼，卻沒有更新 Cookie 清單與政策，橫幅說明和實際不符。
網站 Cookie 同意機制 7 個實作步驟
導入 Cookie 同意機制，建議依「先盤點、再定標準、後設定與測試」的順序進行，行銷與網站管理員要一起參與，因為追蹤碼多半由行銷人員裝在 Google Tag Manager 裡。
| 步驟 | 要做的事 | 主要負責 |
|---|---|---|
| 1. 盤點 | 用掃描工具與 Google Tag Manager 列出網站所有 Cookie 與追蹤碼、用途、提供者、存續期間 | 網站管理員 |
| 2. 決定標準 | 確認是否有歐盟訪客或客戶；有的話採 GDPR 標準 | 法務、行銷 |
| 3. 選工具 | 選擇同意管理平台（CMP）或 WordPress 外掛，確認能分類、阻擋與記錄同意 | 網站管理員 |
| 4. 設定阻擋 | 非必要標籤改為同意後才觸發；使用 Google 工具時一併設定 Consent Mode | 網站管理員、行銷 |
| 5. 更新政策 | 改寫隱私權政策與 Cookie 政策，列出 Cookie 清單 | 法務 |
| 6. 測試 | 用瀏覽器開發人員工具確認：拒絕後分析與廣告 Cookie 不會寫入 | 網站管理員 |
| 7. 定期複查 | 每次新增追蹤碼或改版時，重新掃描並更新清單 | 行銷、網站管理員 |
步驟 1 的 Cookie 清單，其實就是 個資盤點 中「網站」這一塊，可以直接併入公司的個資清冊。
步驟 4 提到的 Google Consent Mode 有兩種做法：基本模式在同意前完全不載入 Google 標籤；進階模式先載入標籤，訪客拒絕時改送不含 Cookie 的訊號，讓 Google Analytics 用模型推估流量。哪一種適合，要看網站是否有歐盟訪客與公司的風險承受度。
這週可以先檢查哪 3 個地方？
先用無痕視窗打開公司官網，不要按橫幅上的任何按鈕，打開瀏覽器開發人員工具看看是否已經出現 Google Analytics 或廣告的 Cookie；再看看橫幅第一層有沒有「拒絕」；最後確認頁面上有沒有地方可以重新修改選擇。這 3 點有任何一個沒做到，就值得排進下個月的網站修改。
如果網站同時面對台灣與海外客戶，不確定該用哪一套標準，可以 預約一次免費諮詢。
Cookie 同意常見問題
只用 Google Analytics 也要放 Cookie 橫幅嗎？
有歐盟訪客就需要，因為 Google Analytics 屬於分析 Cookie，不是網站運作所必需。只服務台灣的網站，依個資法至少要在隱私權政策中明確告知；實務上仍建議放一個有拒絕選項的橫幅，日後拓展海外時不必重做。
同意選項可以預設勾選嗎？
在歐盟標準下不行。歐盟法院在 Planet49 案中判定，須由使用者取消勾選才能拒絕的預設勾選框，不構成有效同意；EDPB 工作小組也確認，第二層設定中的預設勾選同樣無效。
訪客拒絕後還能追蹤嗎？
拒絕後不應再寫入分析與廣告 Cookie。Google Consent Mode 的進階模式會在拒絕時送出不含 Cookie 的訊號供模型推估，這類資料能否在歐盟使用仍有不同看法，有歐盟訪客的網站建議先評估再決定是否採用。
參考資料
- 個人資料保護法 – 第 2、7、8、19、20 條定義、同意、告知、蒐集與行銷規定。全國法規資料庫
- Storing cookies requires internet users’ active consent（Case C-673/17 Planet49） – 預先勾選不構成同意、須說明存續期間與第三方存取。歐盟法院 · 2019 年 10 月 1 日
- Report of the work undertaken by the Cookie Banner Taskforce – 拒絕選項、預設勾選、誤導設計、必要 Cookie 分類與撤回圖示。EDPB · 2023 年 1 月 18 日
- GDPR 全文 – 第 7 條同意條件、前言第 30、32 段。歐盟 · 2016 年
- About consent mode – 基本與進階模式的差異。Google Analytics 說明中心
