数字综合法案的 Cookie 新规：免同意用途与拒绝后 4 个月内不得再次询问

如果你在欧盟运营网站或应用，目前什么都不用改：继续使用现有的同意横幅，继续征求用户同意。 2026 年 10 月 21 日，欧盟理事会就数字综合法案（Digital Omnibus）确定了谈判立场。这一法案将改写 GDPR 和 Cookie 规则的部分内容。欧洲议会还需要通过自己的立场，之后双方才会就最终文本展开谈判。不过，理事会的文本已经说明了规则的走向：少数用途将不再需要同意；用户拒绝后，四个月内不得再次询问；网站也不再有义务遵循浏览器发出的同意信号。

数字综合法案的 Cookie 新规：免同意用途与拒绝后 4 个月内不得再次询问

理事会立场一览

议题	欧盟委员会提案（2025 年 11 月）	理事会立场（2026 年 10 月）
Cookie 规则的归属	并入 GDPR（新增第 88a 条和第 88b 条）	保留在 ePrivacy 指令第 5(3) 条
默认规则	在设备上存储或读取数据须获得同意	不变：同意仍是默认要求
无需同意的用途	一份简短的豁免清单	六项封闭式用途清单，包括第一方受众测量和情境广告测量
拒绝方式	拒绝须简便	一键拒绝按钮或同等方式
拒绝后再次询问	六个月内不得询问	针对同一用途，四个月内不得询问
浏览器同意信号	网站须遵循自动化、机器可读的信号	删除
监管机构	GDPR 监管机构	GDPR 监管机构

这一授权由欧盟各国大使于 10 月 21 日通过，并于 10 月 22 日以理事会文件 14756/26 分发。理事会的新闻稿确认了几项要点：ePrivacy 指令仍是 Cookie 的监管框架；用于提供服务、测量受众或保护设备的 Cookie 将无需获得同意。

Cookie 规则仍留在 ePrivacy 指令中

欧盟委员会原本希望把 Cookie 规则并入 GDPR，理事会推翻了这一做法，将其保留在改写后的 ePrivacy 指令第 5(3) 条中。对网站所有者来说，实际影响不大：凡是在用户设备上存储或读取信息的行为，包括 Cookie、本地存储、像素和指纹识别，默认仍须获得同意。有一处变化值得留意：执法权将转交给目前负责监督 GDPR 的数据保护机构。在部分成员国，这与现在负责 Cookie 的监管机构并不是同一家。

六类无需同意的用途

理事会文本列出了六项可豁免同意的用途，每一项都附有条件：

1. 传输。 通过网络传送通信内容。
2. 用户明确请求的服务。 提供用户明确请求的服务，“包括其功能”。购物车、登录和语言设置都属于这一类。
3. 第一方受众测量。 生成关于自有服务使用情况的匿名汇总统计数据。这些数据不得用于其他目的，不得与第三方共享，也不得与第三方数据合并。可以由处理者代你完成。
4. 媒体受众测量。 依据《欧洲媒体自由法》第 24 条进行的测量，个人数据在收集后须作假名化处理，且不得在被测量的服务之外进行追踪。
5. 技术安全。 维护或恢复提供服务所严格必需部分的安全。
6. 情境广告测量。 测量广告的展示和效果，前提是广告仅根据单次访问或单次搜索中屏幕上的内容来选择。不得涉及用户画像，不得使用用户过去或未来活动的数据，数据在收集后须作假名化处理。

这份清单是封闭的。个性化广告、再营销、跨站合并数据的第三方分析以及建立用户画像，仍然需要同意。通过 IAB TCF 运行的大部分处理也是如此。

拒绝后需等待四个月才能再次询问

根据理事会文本，如果用户拒绝，服务提供者“在至少四个月内不得就同一目的再次请求同意”。欧盟委员会此前提出的是六个月。拒绝还必须能够通过一键按钮或同等方式完成，这与大多数监管机构目前对 Reject All 按钮 的要求一致。

在实际操作中，有两个细节很关键。第一，等待期按用途计算，用户拒绝了分析用途，并不妨碍网站之后就其他用途请求同意。第二，这条规定针对的是“新的请求”，所以网站如果修改横幅并重新向所有人弹出，也就等于重新询问了近期刚拒绝过的用户。

浏览器同意信号被删除

欧盟委员会提出的第 88b 条原本要求网站遵循浏览器发出的自动化、机器可读的同意和拒绝信号。理事会将其连同第 88a 条一并删除。按照理事会文本，同意决定仍然由用户与各个网站之间完成，并由网站的同意管理平台记录。这与加州的方向不同：在加州，AB 566 要求浏览器从 2027 年 1 月 1 日起提供退出偏好信号。

理事会文本尚未解决的问题

• TCF 与供应商。 文本没有提及同意管理平台或 IAB TCF，也没有说明嵌入在你页面上的供应商如何表明自己依据的是六项豁免之一，或者豁免如何在 TC string 中标示。在这一点明确之前，请继续像现在一样为 TCF 供应商收集同意。参见 IAB TCF 2.4 以及如何检查你的供应商。
• 情境广告测量中的“效果”指什么。 文本没有给出定义。
• 时间安排。 文本给予成员国在法案通过后 24 个月内完成转化立法，但另一项条款规定 ePrivacy 相关修改在《欧盟官方公报》公布六个月后即适用。具体以哪个为准，要由谈判来确定。欧洲议会的委员会投票预计在 2027 年初进行，因此在此之前不太可能出现最终文本。

现在应该做什么

理事会文本中的任何内容都还不是法律，现行规则依然适用：使用非必要 Cookie 前须获得同意，拒绝要和接受一样简单，每一次选择都要留有证明。如果最终文本与这份文本相近，下面几步能让过渡更顺利：

• 把 Cookie 与用途一一对应。 弄清哪些标签属于六项豁免，哪些仍需同意。Cookie 扫描 是获取清单最快的方法。
• 保存带时间戳和用途的拒绝记录。 只有知道每位用户在什么时候拒绝了什么，才能执行四个月规则。UniConsent Consent Logging 会记录每一次同意和拒绝事件，让你能够证明选择是何时做出的。
• 规划横幅变更。 在 UniConsent 中，修改 Config Version 会让所有回访用户重新看到横幅，而 Re-consent Interval（最长 150 天）决定供应商列表更新后横幅多久重新出现一次。如果四个月规则成为法律，需要调整的就是这两项设置。
• 暂时不要取消分析类 Cookie 的同意。 第一方汇总测量将来可能获得豁免，但条件很严格，而且在最终文本通过并生效之前，一切都不适用。

UniConsent 是 Google 认证的 CMP，也是 IAB TCF 注册 CMP（ID 68）。我们会替你跟进这些变化，并在规则最终确定后更新横幅、用途和日志。开始免费试用，今天就检查你的设置。

常见问题

什么是数字综合法案？ 欧盟委员会于 2025 年 11 月发布的一揽子欧盟提案，旨在简化数字领域的规则。它修改了 GDPR、ePrivacy 的 Cookie 规则以及事件报告的部分内容。

数字综合法案已经是法律了吗？ 还不是。理事会于 2026 年 10 月 21 日确定了谈判立场。欧洲议会尚未通过自己的立场，最终文本将由双方谈判产生。

Cookie 横幅会消失吗？ 不会。同意仍是默认要求。只在六项豁免用途范围内使用 Cookie 的网站可能不需要横幅，但只要网站有广告、再营销或第三方分析，就仍然需要横幅。

四个月的等待期现在就适用吗？ 不适用。目前欧盟没有固定的等待期，不过已有多个监管机构不鼓励在用户拒绝后反复询问。