个人数据
任何与已识别或可识别的个人相关的信息。Cookie、广告 ID 和 IP 地址等在线标识符，通常算作个人数据。
指南 · 英国法规
UK GDPR 与英国的 Cookie 规则，不讲法律术语
英国脱欧后，英国有了自己的隐私和 Cookie 规则。2026 年这些规则又发生了变化：出现了同意的例外情形，Cookie 罚款提高，监管机构也换了名称。本指南介绍对于使用 AdSense 或 Ad Manager、有英国访客的网站，目前适用的规定。
- ✓基于英国法律和监管机构的官方指南
- ✓有广告网站的示例，包括巴西网站
- ✓只读取，不修改网站
1750 万英镑UK GDPR 最严重罚款的上限
4%占全球年营业额的比例，当该金额高于固定上限时适用
52026 年官方指南中规定的 Cookie 同意例外情形的数量
72 h当数据泄露会给个人带来风险时，向监管机构报告的期限
是什么
三条共同作用的规则
英国脱离欧盟时，把欧洲的 GDPR 复制进了自己的法律。这份自 2021 年 1 月 1 日起生效的副本称为 UK GDPR。它与 Data Protection Act 2018（对文本进行补充和调整的英国法律）以及 PECR（2003 年有关 Cookie、电子邮件营销和电子通信的条例）共同发挥作用。
在实践中，UK GDPR 规定什么是个人数据、何时可以使用，以及个人拥有哪些权利。PECR 回答一个更具体的问题：网站何时可以在访客的设备上存储或读取信息。Cookie、像素、浏览器本地存储、设备指纹和追踪脚本都属于这一规则的范围。
这部法律适用于在英国设立的企业，也适用于向英国境内的人提供产品或服务、或监测他们行为的境外企业。一个使用广告 Cookie 为英国访客建立画像的巴西网站，即使在伦敦没有办公室，也属于在监测行为。
2025 年，Data (Use and Access) Act 2025 修改了这三项规范。大部分变化自 2026 年 2 月 5 日起生效。2026 年 9 月 30 日，监管机构 ICO 由 Information Commission 取代，后者承接了相同的职能和权力。
清单
你需要做到的事项
以下是英国监管机构和 Google 对面向英国访客、投放广告的网站提出的要求。
使用 Google 认证的 CMP
自 2024 年 1 月 16 日起，Google 要求使用经认证且已接入 IAB TCF 的 CMP，才能在英国展示个性化广告。没有 CMP 时，这部分流量只能展示非个性化广告或受限广告。
示例在“隐私权和消息”中创建欧洲法规消息，该消息适用于 EEA、英国和瑞士。
所有广告 Cookie 都要先征得同意
官方指引指出，在线广告从来不在同意要求之外。广告 Cookie 和像素只有在取得有效同意之后才能写入。
示例再营销像素只有在点击“同意”之后才会加载。
让拒绝和接受一样容易
监管机构期望拒绝和接受所费的功夫一样多。沉默或没有回应都不算同意。
示例“同意”和“不同意”在第一屏一起显示，大小相同。
一开始全部关闭
依赖同意的技术选项，默认必须是关闭的。只有访客主动选择才能打开。
示例在偏好设置界面，广告和广告衡量的按钮一开始处于关闭位置。
说明第三方是谁
要让同意有效，网站必须告知接收数据的第三方的身份。
示例横幅里有一个合作伙伴列表的链接，其中包括 Google 和网站上的每个广告网络。
允许随时撤回同意
法律要求访客可以随时撤回同意。Google 的政策也要求提供清晰的撤回说明。
示例页脚中的固定链接“隐私偏好设置”可以重新打开横幅。
只有在提供告知和简单拒绝方式时才使用例外
统计类和外观类 Cookie 可能无需同意，但网站必须说明用途，并提供简单且免费的拒绝方式。这些例外不适用于广告。
示例在 Cookie 页面中：我们使用统计 Cookie 来改进网站，您可以用这个按钮将其关闭。
确认是否需要向监管机构缴费
使用个人数据的组织需要缴纳数据保护费，除非符合豁免条件。请到监管机构的网站确认您是否属于这种情况。
实际案例
正确与错误示例
✕错误只有接受按钮，要拒绝必须打开好几层菜单。 ✓正确接受和拒绝在同一屏，所费功夫相同。 ✕错误界面打开时，广告按钮已经是开启状态。 ✓正确在偏好设置界面，广告和广告衡量一开始是关闭的。 ✕错误页面一加载，再营销像素就触发了。 ✓正确广告像素和 Cookie 会等到点击接受之后再运行。
官方工具
经认证的 CMP 与官方链接
要在英国使用个性化广告，Google 要求使用经认证的 CMP。以下是用于选择和配置的官方页面。
- Google 认证的 CMP 列表帮助中心页面，介绍 EEA、英国和瑞士的规则，以及每周更新的认证 CMP 列表。support.google.com/admanager/answer/13554116
- 在 IAB Europe 的 TCF 中注册的 CMP 列表显示已在 TCF 中注册的 CMP，以及各自的识别编号。iabeurope.eu/cmp-list
- Google 的隐私权和消息介绍 AdSense 自带的工具，用来创建欧洲法规消息和美国各州法规消息。support.google.com/adsense/answer/10924669
- 英国监管机构：如何在实践中管理同意关于拒绝和接受一样容易、选项默认关闭以及撤回同意的官方指引。ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice
- 英国监管机构：同意的例外情况列出了 Cookie 的例外情况，并明确说明其中没有一项适用于广告。ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions
定义
到处都会出现的术语
这些概念与欧洲 GDPR 相同，另有一些 2025 年改革带来的新名称。
控制者和处理者
控制者决定为什么以及如何使用数据，例如网站所有者。处理者代表控制者处理数据，例如托管公司或邮件公司。
存储和访问技术
这是监管机构开始用来指代 Cookie 以及所有起相同作用之事物的名称：像素、网络存储、指纹识别，以及读取设备数据的脚本。
同意
一种自由、具体、知情、并通过明确行为做出的选择，例如点击接受。沉默、预先勾选的复选框或继续浏览，都不算同意。
法律依据与同意
何时需要征求许可
UK GDPR 要求每一项个人数据的使用都有法律依据。最常见的是同意、合同履行、法律义务和合法利益。2025 年的改革设立了一份获认可的合法利益清单，例如预防犯罪和紧急情况，这些情形无需进行平衡测试。广告不在这份清单中。
对于 Cookie，起决定作用的是 PECR。一般规则保持不变：在访客的设备上存储或读取内容需要同意，除非该用途属于某项例外。同意的标准采用 UK GDPR 的标准，监管机构期望拒绝与接受一样容易。
自 2026 年 2 月 5 日起有五项例外：通信传输、严格必要的服务、用于改进服务本身的统计、用户选择的外观或功能，以及紧急援助。在统计和外观这两项例外中，网站必须清楚告知，并提供一种简单且免费的拒绝方式。
官方指南的说法很明确：没有任何一项例外涵盖在线广告。个性化广告的 Cookie 和像素、广告衡量以及再营销仍然需要同意。2026 年 5 月，监管机构建议政府研究针对低风险广告的例外，但到目前为止，法律没有任何改变。
个人的权利
访客可以向您的网站提出什么要求
英国境内的任何人都可以行使这些权利。网站必须有接收请求的渠道，并在期限内答复。
了解和访问
获得有关数据使用的清晰信息，以及网站保存的关于本人的数据副本，一般应在一个月内提供。
更正与删除
要求更正错误的数据，并在不再有理由保留时要求删除，例如撤回同意之后。
反对营销
随时拒绝将其数据用于直接营销。这种情况下反对权是绝对的，网站必须停止。
撤回同意
像接受时一样轻松地改变对 Cookie 的想法。一个可随时重新打开偏好设置的固定链接就能解决问题。
自动化决策
当重要决定仅由系统做出时，有权获知、提出异议并要求人工审查。
向控制者投诉
自 2026 年 6 月 19 日起，处理数据的人必须有投诉处理流程，并在 30 天内确认收到投诉。
义务
有英国访客的网站需要做什么
- 发布完整的隐私声明说明谁对网站负责、收集哪些数据、用途是什么、法律依据是什么、与谁共享、保存多久，以及个人如何行使权利。请写明广告合作伙伴，以及数据向境外的传输。
- 显示提供真实选择的横幅在任何广告 Cookie 或广告衡量 Cookie 之前，先征求同意。接受和拒绝的视觉分量必须相同，并且位于同一屏幕。
- 屏蔽依赖同意的内容像素、再营销和个性化广告只能在接受之后触发。没有回应时，网站按拒绝处理。
- 透明地使用例外如果您在未经同意的情况下使用统计或偏好类 Cookie，请在 Cookie 页面中说明，并提供一种简单的关闭方式。
- 注意安全和数据泄露保护数据，当泄露可能给个人带来风险时，在 72 小时内通知监管机构。如果风险很高，还要通知受影响的人。
- 保持各项工作井然有序与处理数据的供应商签订合同，对高风险用途进行影响评估，并确认公司是否需要向监管机构缴纳年费。
执法和罚款
出错的代价
监管机构通常从警告和整改令开始，但最高罚款很高，2025 年的改革还加强了有关 Cookie 的权力。
UK GDPR 的最高上限
对于最严重的违规行为，例如在没有法律依据的情况下处理数据，最高罚款为 1750 万英镑或全球年营业额的 4%，以较高者为准。
标准上限
对于记录不完整或安全措施不足等失误，最高罚款为 870 万英镑或全球年营业额的 2%。
在 Cookie 方面更大的权力
2025 年的改革扩大了监管机构对 PECR 的执法和罚款权力。新规则适用于 2026 年 2 月 5 日及之后的行为。
积极执法
2025 年 1 月，监管机构宣布将审查该国访问量最高的一千个网站的横幅。2026 年 4 月，它通报称其中 99% 已经符合标准。
时间线
规则是如何发展到今天的
对有英国访客的网站影响最大的日期。
- 2003
PECR 诞生
英国的电子通信条例开始规范 Cookie 和电子营销。
- 2018 年 5 月 25 日
GDPR 与 Data Protection Act 2018
欧洲的 GDPR 与新的英国数据保护法一起在英国生效。
- 2021 年 1 月 1 日
UK GDPR 开始实施
随着脱欧过渡期结束，英国拥有了自己版本的 GDPR。
- 2024 年 1 月 16 日
用于 Google 广告的认证 CMP
对于英国的个性化广告，AdSense 和 Ad Manager 开始要求使用已认证并集成了 IAB TCF 的 CMP。
- 2025 年 6 月 19 日
Data (Use and Access) Act 2025
改革 UK GDPR、Data Protection Act 和 PECR 的法律获得御准。
- 2026 年 2 月 5 日
新的例外和更多权力
新的 Cookie 例外、获认可的合法利益，以及监管机构对 PECR 的新执法权力开始生效。
- 2026 年 4 月 29 日
Cookie 最终指南
监管机构发布了有关存储和访问技术指南的最终版本。
- 2026 年 9 月 30 日
Information Commission
ICO 由 Information Commission 取代，这是一个拥有相同职能和权力的合议机构。
面向使用 AdSense 或 Ad Manager 的网站
这对收入在实践中意味着什么
Google 对英国的处理方式与欧洲经济区相同。要向英国访客展示个性化广告，网站需要一个经 Google 认证并集成了 IAB TCF 的 CMP。否则，这部分流量只会收到非个性化或受限的广告，收益通常低得多。
CMP 将访客的选择记录在 TC string 中，并把 Consent Mode 的信号传递给 Google 的标签。如果网站还使用 Google Analytics 或 Google Ads，那么 Consent Mode 的四个信号必须反映个人在横幅中的选择。
设想一个巴西的食谱门户，接收少量来自英国的访客，其中很多是住在那里的巴西人。对巴西的受众适用 LGPD，对英国的受众适用 UK GDPR 和 PECR。正确的配置是只向位于英国、欧洲经济区和瑞士的人显示 TCF 消息，而不干扰巴西受众。
AdSense 和 Ad Manager 自带的隐私权和消息功能中的消息是经过认证的，已经涵盖英国。使用其他 CMP 的人需要确认它在 Google 的名单上，并且英国在已配置的地区之中。
实际案例
在英国的允许与不允许
适用于有英国访客的新闻、食谱、财经和招聘网站的常见示例。
可以
- 在未经同意的情况下使用统计类 Cookie 来改进网站本身，前提是告知并提供一种简单的拒绝方式
- 基于外观例外，保存访客的语言或深色模式偏好
- 只向英国、欧洲经济区和瑞士的访客显示 TCF 消息
- 对拒绝的访问者展示非个性化广告
- 使用 AdSense 或 Ad Manager 的“隐私权和消息”，它已经通过认证
不可以
- 在点击接受之前就加载再营销像素或广告 Cookie
- 把广告衡量归入统计例外
- 首屏只放接受按钮，把拒绝藏在菜单里
- 对英国流量使用不在 Google 名单上的普通 Cookie 插件
- 把继续浏览视为同意
常见错误
网站最容易出错的地方
这些是在审核有英国流量的网站时经常出现的问题。
以为英国脱欧后就不受这些规则约束
很多人只为欧盟配置 CMP。英国访客看不到消息，Google 随之开始投放受限广告。
把 2025 年的改革理解为全面放开
新的例外适用于统计、偏好设置和紧急情况。广告仍然需要同意。
只是装饰的横幅
横幅出现了，但广告 Cookie 在回应之前就已经写入。在监管机构看来，这等同于没有征求同意。
拒绝比接受更难
一次点击接受、五次点击才能拒绝，这正是监管机构一直在向大型网站追究的设计。
通用的隐私政策
从其他网站复制的文本，没有提到 Google、广告合作伙伴、国际传输，也没有请求渠道。
没有拒绝选项的例外
在未经同意的情况下使用统计或外观类 Cookie，却不提供简单的关闭方式，就违背了这项例外本身的条件。
常见问题
我的网站是巴西的，在英国没有公司。这部法律对我适用吗？
当网站监测位于英国的访客的行为时，例如使用个性化广告 Cookie，这部法律就适用于这些访客。而且即使不考虑法律，Google 也要求使用认证的 CMP 才能向该受众展示个性化广告。
Google Analytics 的 Cookie 还需要同意吗？
取决于用途。当数据仅用于衡量和改进网站本身，并且有清晰的告知和简单的拒绝选项时，适用统计例外。如果该工具把数据用于广告或供应商自己的目的，则不适用该例外。
ICO 没有了吗？现在由谁监管？
自 2026 年 9 月 30 日起，ICO 的职能转由 Information Commission 承担。监管机构的角色和权力没有变化，日常工作照常进行；变化的是领导模式，现在是合议制。
2025 年的改革让英国比欧盟更灵活了吗？
在某些方面是的，例如针对统计和偏好设置的新例外。对于个性化广告，实际结果相同：在设备上存储或读取任何内容之前，都要先取得同意。
我可以为英国使用一个 CMP，为欧洲使用另一个吗？
可以，但很少值得这么做。大多数认证的 CMP 可以用同一套按地区划分的配置，同时覆盖欧洲经济区、英国和瑞士。
如果访客拒绝，收入会怎样？
Google 仍可以向该访客展示非个性化或受限的广告。每次访问的收入通常较低，但网站仍可在不违反规则的情况下变现。
资料库
官方来源
本指南根据以下官方页面编写。请直接阅读原文：
- 英国监管机构：有关使用存储和访问技术的指南（例外情形）ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions
- legislation.gov.uk：Data (Use and Access) Act 2025 (Commencement No. 6) Regulations 2026www.legislation.gov.uk/uksi/2026/82/made
- GOV.UK：Data (Use and Access) Act 2025 的生效计划www.gov.uk/guidance/data-use-and-access-act-2025-plans-for-commencement
- GOV.UK：Information Commission 接替 ICOwww.gov.uk/government/news/information-commission-succeeds-the-ico-as-uks-data-protection-regulator
- Google Ad Manager：欧洲经济区、英国和瑞士的同意管理要求support.google.com/admanager/answer/13554116
- 英国监管机构：如何在实践中管理同意ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice
查看您的网站在英国访客眼中是什么样子
审核会从英国打开网站，记录横幅和 Cookie，并显示需要修复什么，不会更改任何内容。