🍪 Cookie & 跟踪 · 合规核心

GDPR · CCPA · PIPL
📌 数据合规专家视角 🎨 中小学生色系 · 双边框设计 🧩 改造方案背景

GDPR 欧盟

  • 明确同意 (Art. 4(11), 7) 非功能性Cookie需事先积极opt-in
  • 透明度 (Art. 13, 14) 详细说明跟踪目的、数据保留期
  • 数据最小化 (Art. 5(1)(c)) 仅收集必要跟踪数据
  • 拒绝权 (Art. 21) 用户可随时撤回同意/反对跟踪
  • ePrivacy指令 补充：Cookie墙受限，需自由选择
🔹 核心：opt-in + granular 控制

CCPA 加州

  • 知情权 企业必须披露收集的Cookie类别及目的
  • 选择退出权 (Do Not Sell) 明确“出售”包括分享用于跨场景广告
  • 敏感数据限制 精确地理位置、生物识别等需更严格通知
  • 未成年人保护 <16岁需opt-in，<13岁需家长同意
  • 非歧视 行使隐私权不得拒绝服务或差别定价
🔸 核心：opt-out + 数据出售透明度

PIPL 中国

  • 单独同意 (Art. 13, 23) 处理敏感个人信息、向第三方提供需单独授权
  • 透明度 & 目的限制 (Art. 6, 7) 不得超范围跟踪，清晰易懂
  • 自动化决策 (Art. 24) 利用Cookie进行用户画像需提供拒绝权
  • 跨境传输 (Art. 38-40) 跟踪数据出境需安全评估/标准合同
  • 未成年人 (Art. 15, 31) 14岁以下数据需监护人同意
🔹 核心：单独同意 + 本地化/出境合规

📊 三大法规 · Cookie跟踪核心要求对比

维度 GDPR (欧盟) CCPA (加州) PIPL (中国)
同意机制 事先主动 opt-in (明确同意) opt-out (出售/共享数据) 单独同意 (敏感信息/第三方提供)
Cookie 墙 ⛔ 通常禁止 (需自由选择) ⚠️ 未明确禁止，但需披露 ⚠️ 需符合“最小必要”原则
敏感数据 特殊类别 (Art.9) 需额外同意 敏感信息 (精确位置等) 限制使用 敏感个人信息 (生物识别、行踪) 单独同意
用户权利 访问、删除、可携带、反对 知情、删除、opt-out、非歧视 查阅、更正、删除、撤回同意
跨境跟踪数据 标准合同条款 / 充分性认定 有限制 (但CPRA修正) 安全评估 + 标准合同 + 认证

🧩 Cookie合规改造 · 核心架构流

用户同意管理 opt-in / opt-out / 单独同意 跟踪分类 & 标签 必要/功能/广告/分析 数据最小化 & 安全 加密 / 去标识 / 保留期 ✅ 合规Cookie 解决方案 透明披露 · 用户控制 · 记录同意 · 跨境合规

📋 合规改造 · 同意记录示例 (JSON)

{
  "consentTimestamp": "2025-03-21T10:30:00Z",
  "userId": "anon-8f3a2b",
  "purposes": {
    "necessary": true,
    "analytics": false,
    "advertising": false,
    "social_media": false
  },
  "gdpr": { "consentType": "explicit_optin", "withdrawable": true },
  "ccpa": { "doNotSell": true, "noticeProvided": true },
  "pipl": { "separateConsentSensitive": false, "crossBorderConsent": false }
}
📘 课程资料