打开空间

指南 · 欧洲法规

有广告网站的 GDPR，不讲法律术语

如果您的网站有来自欧洲的访问并展示广告，那么 GDPR 和 Cookie 规则就适用于这些访问，即使公司在巴西。本指南介绍该法律适用于谁、什么是有效的同意、出错的代价，以及 Google 对使用 AdSense 和 Ad Manager 的人有什么要求。

立即审核我的网站阅读指南
  • ✓基于法规的官方文本和 EDPB 的指南
  • ✓关于允许与不允许的实用示例
  • ✓读取网站，不修改任何内容
6处理个人数据的法律依据数量
4%占全球年营业额的比例，即最高档罚款的上限
2018GDPR 开始适用的年份
3Google 同意政策中的地区：欧洲经济区、英国和瑞士

是什么

决定如何使用个人数据的欧洲法律

GDPR 在葡萄牙语中称为 RGPD（Regulamento Geral sobre a Proteção de Dados），即 Regulation (EU) 2016/679。它于 2016 年 4 月通过，2018 年 5 月 25 日起在欧盟所有国家适用，在欧洲经济区的其余国家（冰岛、列支敦士登和挪威）也同样适用。

该法律保护个人数据，也就是任何与可被识别的个人相关联的信息。对网站来说，这包括一些看上去很技术性的东西：IP 地址、Cookie 标识符、设备 ID，以及用于选择广告的浏览历史。

决定为什么以及如何使用数据的是控制者。几乎总是网站所有者。代表控制者处理数据的，例如邮件或托管工具，是处理者（欧洲文本中称为 subcontratante）。广告网络在部分用途上通常作为独立的控制者行事。

GDPR 与专门规范 Cookie 的 ePrivacy 指令（2002/58/EC）并行适用。在实践中，规则是：写入或读取非严格必要的 Cookie（如广告和分析类 Cookie）需要事先同意。而且这种同意必须符合 GDPR 的标准。

清单

你需要做到的事项

以下是法律、欧洲监管机构和 Google 对面向欧洲经济区（EEA）访客、投放广告的网站提出的要求。

  1. 使用 Google 认证的 CMP

    自 2024 年 1 月 16 日起，AdSense 和 Ad Manager 要求使用经 Google 认证且已接入 IAB TCF 的 CMP，才能在 EEA 展示个性化广告。没有 CMP 时，这部分流量只能展示非个性化广告或受限广告。

    示例

    在 AdSense 中，点击侧边栏的“隐私权和消息”，创建欧洲法规消息，或从 Google 的列表中选择其他 CMP。

  2. 投放广告 Cookie 前先征得同意

    非必要的 Cookie 只有在访客明确操作之后才能写入。根据 EDPB 的意见，预先勾选的选框、滚动页面或继续浏览都不算同意。

    示例

    在访客点击某个选项之前，请让所有用途都保持未勾选状态。

  3. 拒绝和撤回都要同样容易

    大多数欧洲监管机构认为，横幅的同一层级上没有和接受按钮并列的拒绝选项属于违规。之后撤回同意，也必须和给出同意一样容易。

    示例

    请使用 Google 的三按钮消息，在第一屏显示“同意”“不同意”和“管理选项”，并在页脚放一个固定链接，用来重新打开这些选择。

  4. 向 Google 标签发送 Consent Mode v2 信号

    如果网站使用 Google Analytics 或 Google Ads，Google 要求收集 EEA 访客的同意，并发送 ad_user_data 和 ad_personalization 信号。默认命令必须在任何发送数据的标签之前运行。

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

  5. 说明谁会收到数据

    Google 的同意政策要求网站列出每家可能因 Google 产品而收集或使用数据的公司，并提供容易找到的信息，说明各家如何使用这些数据。

    示例

    在隐私政策中设置“广告合作伙伴”一节，列出 Google 以及网站上运行的每个广告网络。

  6. 保存同意的证明

    根据 GDPR，网站有责任证明同意已经取得。Google 的政策也要求保存已收集同意的记录。

    示例

    请在 CMP 后台确认同意记录功能已开启，并查看记录会保存多久。

  7. 不要对拒绝的访客屏蔽内容

    EDPB 的指南指出，访问服务不应取决于是否接受 Cookie。在点击接受之前隐藏所有内容的网站，得不到自由的同意。

    示例

    拒绝的访客仍然可以继续阅读文章，并可能看到非个性化广告或受限广告。

  8. 在一个月内回复请求

    访客要求查阅、更正或删除数据时，原则上应在一个月内免费答复。遇到具体情况拿不准时，请咨询您的法务。

    示例

    请在隐私政策中提供一个专门用于隐私请求的电子邮箱。

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

要在 EEA 使用 Google 个性化广告，CMP 必须在 Google 的列表中。以下是用于选择和配置的官方页面。

适用对象

您在巴西的网站也可能属于 GDPR 的范围

这部法律不只看公司在哪里。它看的是数据被使用的人在哪里。

欧盟境内的公司

所有在欧盟设立的公司都必须遵守 GDPR，无论数据在哪里处理，也无论服务器在哪里。

欧洲以外的公司

第 3 条涵盖了位于欧盟以外、向欧盟境内的人提供产品或服务，或监测其在欧盟行为的人。个性化广告和追踪 Cookie 就是监测的明显例子。

有欧洲受众的巴西网站

一个有来自葡萄牙访问的葡萄牙语博客，或一个有来自德国流量的英文网站，即使公司注册号和服务器都在巴西，也需要按欧洲规则处理这些访问。

英国和瑞士

有自己的法律，与 GDPR 相似（UK GDPR 和瑞士数据保护法）。对 Google 来说，这三个地区适用同一项同意政策。

法律依据

第 6 条规定的 6 种法律依据

所有对个人数据的使用，都需要在开始之前选定一种法律依据。对于广告 Cookie，实际上依据就是同意。

同意

个人自由而明确地表示同意。这是非必要 Cookie 和个性化广告所要求的依据。

合同

为履行与个人签订的合同所必需的数据，例如发送订单或维持订阅。

法律义务

法律要求保存或使用数据，例如发票和会计记录。

重大利益

保护本人或他人的生命。很少适用于内容网站。

公共利益

为公共利益或行使官方权力而执行的任务。由公共机构使用，发布商几乎不会用到。

合法利益

企业的真实利益，且不凌驾于个人权利之上，例如网站安全。不能取代广告 Cookie 所要求的同意。

有效的同意

自由、具体、知情且明确

GDPR 将同意定义为个人通过声明或明确的肯定行为，自由、具体、知情且明确地表达的意愿。其中每个词都会在 Cookie 横幅上产生实际影响。

自由意味着有真正的选择。拒绝按钮必须与接受按钮一样显眼，拒绝也不能带来损害。欧洲数据保护委员会（EDPB）的指南指出，在个人接受 Cookie 之前屏蔽内容，即所谓的 Cookie 墙，不构成自由的同意。

具体和知情意味着个人知道每种用途的目的，以及接收数据的合作伙伴是谁。明确意味着有清晰的行为：预先勾选的复选框、沉默、继续浏览或滚动页面，都不算同意。

最后，第 7 条要求撤回同意必须与给予同意一样容易。在实践中，网站需要一个永久的链接或按钮，例如页脚中的“Cookie 偏好设置”，可随时重新打开选项。而且控制者必须能够证明个人已经同意，所以 CMP 会为每一次选择保存记录。

网站的义务

有广告的网站面向欧洲访客需要具备什么

  1. 梳理网站收集的内容列出每个页面上加载的 Cookie、标签和广告合作伙伴。没有这份清单，横幅和隐私政策就不会完整。
  2. 在 Cookie 之前显示同意横幅使用能够在个人做出选择之前屏蔽广告和分析 Cookie 的 CMP，接受和拒绝按钮处于同一层级。
  3. 发布清晰的隐私政策说明谁是控制者、使用哪些数据、用于什么、依据什么法律基础、保存多久、与哪些合作伙伴共享，以及个人如何行使权利。
  4. 满足个人的权利设立渠道，接收访问、更正、删除、可携带、反对和撤回同意的请求。应毫不延迟地答复，一般在一个月内。
  5. 记录并评估风险保留处理活动的记录。当数据使用带来高风险时，例如大规模监测，应进行影响评估（DPIA）。
  6. 准备好事件响应对个人构成风险的数据泄露，应在企业知悉后 72 小时内通报监管机构。
  7. 检查是否需要欧盟代表通过第 3 条落入 GDPR 范围的欧盟以外企业，可能需要在欧盟指定一名代表。请与法务确认您的情况是否符合例外。

执法和罚款

谁来执法，出错的代价有多大

每个国家都有自己的数据保护机构，例如法国的 CNIL 和葡萄牙的 CNPD。它们接收投诉、展开调查并实施处罚。

最高 2000 万欧元或 4% 的罚款

对于最严重的违规行为，例如在没有法律依据的情况下使用数据，或不尊重同意，上限为 2000 万欧元或全球年营业额的 4%，以较高者为准。

最高 1000 万欧元或 2% 的罚款

对于组织方面的失误，例如不保留记录，或在需要时不进行影响评估，上限为 1000 万欧元或全球营业额的 2%。

其他措施

监管机构可以发出警告、责令更正横幅、限制或禁止某项数据处理。对于仅仅可能发生的违规，也可以只发出警示。

金额的考量因素

罚款会考虑严重程度、持续时间、是故意还是过失、为减轻损害所做的努力，以及与监管机构的合作程度。

时间线

对有广告的网站影响最大的日期

从 Cookie 规则到 Google 认证 CMP 的要求。

  1. 2002

    ePrivacy 指令

    制定了欧洲有关 Cookie 和电子通信的规则，后来得到加强，要求在写入非必要 Cookie 之前取得同意。

  2. 2016 年 4 月 27 日

    GDPR 获得通过

    Regulation (EU) 2016/679 获得批准，并给企业两年的适应期。

  3. 2018 年 5 月 25 日

    GDPR 开始适用

    关于同意、权利和罚款的规则开始适用。同月，Google 为发布商和广告主推出了更新。

  4. 2020

    EDPB 第 05/2020 号指南

    欧洲委员会详细说明了有效的同意：Cookie 墙、滚动页面和预先勾选的复选框都不行。

  5. 2024 年 1 月 16 日

    Google 认证 CMP

    对于欧洲经济区和英国的个性化广告，AdSense、Ad Manager 和 AdMob 开始要求使用经 Google 认证并集成了 TCF 的 CMP。

  6. 2024 年 7 月 31 日

    瑞士纳入规则

    使用带 TCF 的认证 CMP 的要求，同样适用于瑞士访客。

AdSense 和 Ad Manager

Google 对有欧洲访客的人有什么要求

Google 的欧盟用户同意政策适用于欧洲经济区、英国和瑞士。它要求在法律要求的地方，为 Cookie 取得合法有效的同意；为在个性化广告中使用数据取得同意；识别所有接收数据的合作伙伴；记录选择；并提供清晰的撤回同意的说明。

自 2024 年 1 月 16 日起，要在这些地区获得个性化广告，网站需要一个经 Google 认证并集成了 IAB Europe TCF 的 CMP。AdSense 和 Ad Manager 自带的隐私权和消息功能中的消息是认证选项之一。

没有认证的 CMP，欧洲流量可能只剩下非个性化广告或受限广告，收益较低。在 AdSense 面板中，这表现为欧洲经济区、英国和瑞士的广告个性化受限。如果网站还使用 Google Analytics 或 Google Ads，Consent Mode 会把横幅上的选择传递给这些标签。

Google 可以限制或暂停不遵守政策者使用其产品。因此，正确的横幅既是法律问题，也是收入问题。

实际案例

横幅和 Cookie 的允许与不允许

有广告网站上真实出现的配置示例。

可以

  • “全部接受”和“全部拒绝”按钮并排放置，大小和突出程度相同
  • 加载购物车或登录等必要 Cookie，无需征求同意
  • 仅向欧洲经济区、英国和瑞士的访客显示 TCF 消息
  • 页脚中的“Cookie 偏好设置”链接，可随时重新打开选项
  • 在横幅的第二层列出广告合作伙伴及各自的目的
  • 为拒绝者提供非个性化广告

不可以

  • 在个人回应横幅之前就写入广告 Cookie
  • 把“拒绝”藏在另一个页面，却突出“接受”
  • 让目的复选框保持预先勾选
  • 把滚动页面或继续浏览视为同意
  • 在个人接受 Cookie 之前屏蔽所有内容
  • 对个性化广告使用没有 Google 认证的普通 Cookie 插件

常见错误

有欧洲流量的巴西网站最常见的失误

几乎都不易察觉，因为网站仍在运行，广告也仍在显示。

以为这部法律不适用于巴西

公司是巴西的，但访客在葡萄牙。对这位访客，适用欧洲规则和 Google 的政策。

只提供信息的横幅

一个带有“本网站使用 Cookie”文字和“确定”按钮的横条并不是在征求同意。Cookie 在点击之前就已经写入。

标签在选择之前加载

广告代码或 Analytics 位于页面顶部，在 CMP 之上。Cookie 在最初几秒内就在没有同意的情况下写入。

通用的隐私政策

从其他网站复制的文本，没有提到 Google、广告合作伙伴、法律依据以及如何撤回同意。

没有改变主意的途径

首次点击之后，访客再也找不到横幅。撤回同意比给予同意更困难。

面向全世界的欧洲消息

向巴西或美国的访客展示 TCF 并非必需，还会无必要地拉低这些访客的收入。

在 ConsentMode 中

审核会针对您网站的 GDPR 检查什么

  • 分别以欧洲访客和非欧洲访客的身份打开网站，并通过截图显示横幅在哪里出现、在哪里不出现。
  • 验证在点击横幅之前，是否已经写入广告或分析 Cookie。
  • 识别 CMP，读取 TCF 字符串，并检查它是否在 Google 的认证 CMP 名单中。
  • 检查拒绝按钮是否在第一层，以及是否有可重新打开偏好设置的链接。
  • 阅读隐私政策，指出缺少什么：Google、广告合作伙伴、Cookie 以及如何撤回同意。
开始审核查看所有检查项

关于 GDPR 的常见问题

我的网站是巴西的，用葡萄牙语写成。GDPR 对我适用吗？

当您对来自欧洲的访客使用广告或追踪 Cookie 时，它适用于这些访问。对巴西的受众，适用 LGPD。因此，正确的配置是使用地区：对欧洲人采用欧洲规则，对其他地区采用当地规则。

Google Analytics 需要同意吗？

在欧洲，分析 Cookie 不被视为严格必要，因此一般需要事先同意。Consent Mode 有助于尊重这一选择，同时不会失去全部衡量。

我可以对个性化广告使用合法利益吗？

对于写入和读取广告 Cookie，欧洲的 Cookie 规则要求同意。此外，Google 要求欧洲经济区、英国和瑞士的个性化广告取得同意。在实践中，稳妥的途径是同意。

Cookie 墙被禁止吗？

EDPB 的指南指出，将访问内容的前提设为接受 Cookie，不构成自由的同意。一些国家在讨论替代模式，例如付费浏览无广告内容，但这需要逐案进行法律分析。

同意的有效期有多长？

GDPR 没有规定统一的期限。许多监管机构建议在几个月后再次询问，IAB Europe 的 TCF 也有自己的规则。请查看您受众所在国家的指南以及您的 CMP 的指南。

ConsentMode 能代替律师或 CMP 吗？

不会。ConsentMode 是只读审核。它通过截图和修复计划，显示网站对每种访客做了什么。法律上的决定和横幅仍由您的团队和您的 CMP 负责。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

了解欧洲访客在您的网站上看到什么

审核会以欧洲访客的身份打开网站，检查横幅、Cookie 和 TCF，并确切显示需要修复什么。

开始审核