# Cookies 與線上隱私權：歐盟與美國法規、Google 同意模式與同意管理

> 您的網站是否真的符合 Cookie 法規 2025？歐洲要求事先選擇接受，美國則要求透明選擇不接受 - 但目前美國已有 20 個州制定了隱私權法律。自 2024 年 3 月起，在歐洲使用 Google 服務的使用者必須使用 Google 同意模式 V2。IAB TCF v2.2 刪除廣告個人化的合法利益。GDPR 罰則：高達全球營業額的 4%。CMP 解決方案：從免費 (Finsweet for Webflow) 到企業級 (OneTrust)。檢查 IAB TCF 認證和同意模式 V2 支援。

Source: https://www.electe.net/tc/post/cookie-e-privacy-online-normative-ue-vs-usa-google-consent-mode-e-gestione-consensi

Site guide: https://www.electe.net/tc/llms.txt

瞭解 cookie 法規並執行有效的同意管理解決方案，對每個網站而言都至關重要。本指南探討歐洲和美國法規之間的差異，分析 Google 同意模式如何運作，並比較主要的同意管理解決方案。

# Cookie 法與同意書管理：2025 年的更新

瞭解 cookie 法規並實施有效的同意管理解決方案，對每個網站而言都已變得至關重要。本指南探討歐洲和美國法規之間的差異，分析 Google 同意模式如何運作，並比較主要的同意管理解決方案，以及 2025 年的最新更新。

## 歐洲立法：GDPR 和 ePrivacy 指令

在歐洲，個人資料和線上隱私權的保護主要由兩項法律所規範：

### GDPR (一般資料保護規範)

GDPR 於 2018 年生效，對個人資料的處理提出了嚴格的要求，並制定了基本原則：

- 合法性與透明度:每項處理都必須有有效的法律依據
- 資料最小化:僅收集必要的資料
- 安全性:確保有適當的保護措施

為了收集和處理個人資料（包括 Cookie 等線上識別碼），必須有有效的法律依據，例如您的明確同意、合法利益或合約義務。

違反 GDPR 可導致非常高的處罰，最高可達公司全球營業額的 4%。

### 電子隱私權指令

ePrivacy 指令 (2002/58/EC, 2009 年修正) 特別著重於電子通訊中的隱私權，包括 cookies 和追蹤技術的使用。

指令第 5(3) 條規定，在使用者的裝置上儲存或存取資訊前，必須事先取得使用者的同意，但也有例外 (例如絕對必要的技術性 cookies)。

實際上，這意味著歐洲網站必須：

- 清楚告知使用者 cookie 的使用目的
- 在設定非必要 cookie 之前,收集自由、具體且知情的同意
- 允許使用者隨時拒絕並修改偏好設定

歐洲隱私權主管機關積極制裁違規行為：例如，法國 CNIL 在 2020 年至 2022 年間對 Google 和 Amazon 未經有效同意而存放追蹤 cookies 的行為處以罰款。

### 2025 年更新

2024 年 3 月，歐盟的「數位市場法」(DMA) 正式生效，進一步收緊對大型技術平台的同意要求，對 Cookie 和追蹤管理造成重大影響。這促使 Google 等公司更新其同意管理解決方案。

2025 年 2 月，歐盟委員會正式撤回新的 ePrivacy 法規提案，保留現有指令的效力。這表示 Cookie 的同意要求仍維持現狀，仍具有約束力，並在歐洲各地嚴格執行。

歐洲法院於 2024 年 3 月就 IAB TCF 案作出重大判決,對 Transparency & Consent Framework 的實施產生重要影響,企業目前仍在消化這些變化。

## 美國法規：CCPA、CPRA 及各州發展情況

美國與歐盟不同，並沒有與 GDPR 相類似的一般聯邦隱私權法律。監管發生在州和部門層級，近年來有顯著的發展。

### CCPA (加州消費者隱私權法案) 和 CPRA (加州隱私權法案)

CCPA 於 2020 年生效，並由 CPRA (2023 年起生效) 加以強化，使其更接近歐洲模式。

CPRA 已：

- 在「銷售」之外引入了資料「共享」的概念
- 賦予消費者權利,可選擇退出因跨情境廣告目的而共享其個人資料
- 定義了敏感個人資訊的類別,並賦予限制其使用的專屬權利
- 擴大了現有權利,並成立了專責機構——加州隱私保護局(California Privacy Protection Agency,CPPA)

### 2025 年更新

2023 年至 2025 年間，美國的隱私權格局經歷了快速的演變：

截至 2025 年 1 月，多達 20 個美國州現已制定全面的資料隱私權法律，其中 8 項新法律將於 2025 年生效。這表示約 40% 的美國消費者現在擁有數位隱私權。然而，法規的分散對於企業而言是一大挑戰，因為企業必須在通常類似但不完全相同的要求之間遊刃有餘。

加州仍然位居前列，CPPA 在 2024-2025 年尤其活躍。該機構發布了多項重大處罰，包括在 2024 年對一家雲軟體公司處以 675 萬美元的罰款。該機構還發布了關於網路安全、風險評估和自動決策技術 (ADMT) 的新建議法規，公開公眾評論期至 2025 年 6 月。

在 Cookie 管理方面最相關的發展中，加州擴大了「敏感個人資訊」的定義，將「神經資料」（透過量測神經系統活動所產生的資訊）納入其中，並澄清個人資訊也包括數位和抽象格式，例如人工智慧所產生的資訊。

特拉華州通過了一項隱私權法律，與其他法律不同的是，該法律不將非營利組織和學術機構排除在其涵蓋範圍之外，顯著擴大了其涵蓋範圍。

與歐盟不同，美國的模式仍主要以選擇退出 (opt-out) 而非事先同意 (prior consent) 為基礎。因此，為歐盟使用者提供服務的美國網站必須為這些使用者採用符合 GDPR 的橫幅，而對於美國使用者，則只需顯示通知和選擇退出連結，而無需事先封鎖 Cookie。

## IAB TCF：透明度與共識架構

互動廣告局(Interactive Advertising Bureau,IAB)歐洲分部開發了 Transparency & Consent Framework(TCF),作為業界標準,協助企業依照 GDPR 與 ePrivacy 指令管理使用者同意,這在數位廣告的背景下尤為重要。

### TCF 開發與版本

TCF 已經歷過多次迭代：

- TCF v1.1:於 2018 年 4 月推出
- TCF v2.0:於 2019 年 8 月推出
- TCF v2.1:於 2020 年 8 月推出,與歐盟法院 Planet49 判決保持一致
- TCF v2.2:於 2023 年 5 月推出,並於 2023 年 11 月前完成實施,以回應與比利時資料保護局(APD)達成的行動計畫

### TCF v2.2：主要變更

TCF v2.2 引入了重要的變更：

1. **移除正當利益作為廣告與內容個人化的法律依據**。對於目的 3、4、5 和 6(建立個人化廣告檔案、選擇個人化廣告、建立個人化內容檔案及選擇個人化內容),現在僅允許使用明確同意。
2. **更友善使用者的說明**,取代原本針對目的與功能的法律用語說明,讓與使用者的溝通更清楚易懂。
3. **標準化並擴充供應商資訊**,包含收集的資料類別、資料保存期限,以及正當利益適用情況的說明。
4. **對出版商提出更嚴格的要求**,須在 CMP 的第一層即揭露所使用的供應商及 Google Ad Tech Provider 總數。
5. **強化執行機制**,採用新的稽核流程與差異化的執行程序。

### TCF v2.3：最新發展

2025 年 4 月，IAB Tech Lab 和 IAB Europe 開放 TCF v2.3 技術規格供公眾評論，評論期至 2025 年 5 月 19 日止。該更新旨在為廠商提供更清晰的特定情境，在這些情境中，不清楚資料是否已向使用者揭露，當廠商打算基於合法利益為特殊目的處理資料時，這一點尤其重要。

TCF v2.3 的時間表包括

- 2025 年 5 月底:技術規格定案
- 2026 年 2 月 1 日:所有 CMP 與供應商更新其實作以支援 v2.3 的最終期限

## Google 同意模式：它是什麼以及如何運作

為了幫助網站和廣告商尊重使用者的同意選擇，Google 推出了同意模式 (Consent Mode)，這是一項技術解決方案，可根據使用者的同意狀態調整 Google 標籤的行為。

### Google 同意模式 V2

2023 年 11 月，Google 推出同意模式 V2，強制使用 Google 服務並收集歐洲經濟區 (EEA) 使用者資料的網站於 2024 年 3 月前實施。這項更新是特別為了配合歐盟的「數位市場法」(DMA) 而設計。

同意模式 V2 除了原有的參數外，還引入了兩個新參數：

- **ad\_storage** 與 **analytics\_storage**(既有項目):控制廣告與分析 cookie 的儲存
- **ad\_user\_data**(新增):管理將個人資料用於廣告目的之同意
- **ad\_personalization**(新增):管理將資料用於個人化再行銷之同意

與 ad\_storage 和 analytics\_storage 不同，這些新參數不會影響網站本身的標籤行為，而是傳送至 Google 服務的附加參數，用以指示使用者資料的使用方式。

### 實施方法

Google 同意模式 V2 有兩種執行模式：

1. **Basic Consent Mode(基本模式)**:在使用者與同意橫幅互動之前,Google 標籤會完全被封鎖。若使用者未給予同意,則不會收集任何資訊。
2. **Advanced Consent Mode(進階模式)**:Google 標籤會在使用者與橫幅互動之前就先載入。若使用者未給予同意,標籤會以受限模式運作,傳送「匿名 ping」(不含使用者識別資訊),供 Google 用於統計建模結果。

值得注意的是，一些隱私權專家對進階模式是否符合資料保護法規提出疑問，因為「ping」可能代表未經同意而處理的個人資料。

### 對行銷與分析的影響

如果沒有 Google 同意模式，廣告平台就無法取得新 EEA 使用者的資料，大幅限制了收集受眾資料、衡量廣告活動成效以及實施目標性廣告策略的能力。

透過 Consent Mode V2，網站可以透過尊重同意偏好的先進建模技術，即使使用者未同意使用 Cookie，也能繼續收集基本分析資料。

## 同意管理解決方案 (CMP)

為了遵守所有這些法規，網站使用同意管理平台 (CMP)，提供橫幅和介面以取得使用者的同意，以及尊重這些選擇的機制。

### IAB 在 CMP 中的角色

IAB 在透過 TCF 架構認證 CMP 方面扮演關鍵角色。IAB TCF v2.2 認證的 CMP 必須：

1. 顯示有關資料處理目的的清楚資訊
2. 針對不同目的收集細分的同意
3. 讓使用者能輕鬆修改其偏好設定
4. 安全儲存同意記錄(TC String)
5. 以標準化的 TCF 格式將這些偏好傳達給所有供應商

2023-2024 年，Google 對希望在歐盟和英國支援 Google Ads 的 CMP 提出了特定的認證要求，主要要求是更新符合 IAB TCF。經 Google 認證的 CMP 可使用 Google Ads 產品，並列入官方清單。

### 2025 年前主要 CMP 解決方案的比較

#### Finweet (Finsweet Cookie Consent)

特別針對使用 Webflow 建立的網站的解決方案，完全支援 IAB TCF v2.2 和 Google Consent Mode v2。

**優點:**

- 免費(基本版本)
- 完全的圖形自訂功能(橫幅直接在 Webflow 的設計工具中建立)
- 適合 Webflow 使用者的「無程式碼」方式

**缺點:**

- 需要技術能力才能正確實施
- 免費版僅涵蓋GDPR的基本方面
- 如需Google同意模式v2等進階功能,則需要訂閱

**適合對象:**使用Webflow工作的開發人員或代理商,他們希望擁有完全的控制權和量身訂製的設計。

#### Cookie 是

隨插即用的解決方案，已更新以支援 IAB TCF v2.2 和 Google Consent Mode v2，現已獲得 Google CMP 合作夥伴的金牌認證。

**優點:**

- 易於使用(只需複製/貼上程式碼)
- 自動掃描網站的Cookie
- 定期更新以保持符合法規要求
- 支援解決Google同意模式v2實施問題

**缺點:**

- 自訂選項有限
- 週期性訂閱模式
- 對於要求較高的品牌來說可能過於簡單

**適合對象:**希望快速合規的小型網站或站主。

#### Iubenda Cookie 解決方案

Iubenda 是一家義大利公司，提供完整的合規工具套件，並已全面更新以支援 IAB TCF v2.2 和 Google Consent Mode v2。

**優點:**

- 完整的「一體化」解決方案(包含多語言隱私權政策和Cookie政策產生器)
- 通過IAB TCF v2.2認證
- Google同意模式v2合作夥伴
- 保留同意紀錄以供稽核
- 支援使用者地理定位以及歐盟/美國差異化管理

**缺點:**

- 付費服務(依所使用的服務提供年度方案)
- 對於非常小型的網站可能過於龐大
- 對Webflow使用者而言,不像Finsweet那樣「原生」

**適合對象:**尋求專業且全球化解決方案、並希望維護工作量降至最低的企業。

#### Cookiebot (Usercentrics CMP)

最早流行的 SaaS CMP 解決方案之一，現在是 Usercentrics 平台的一部分。

**優點:**

- Cookie合規自動化
- 定期掃描追蹤器和Cookie,並自動分類
- 產生動態更新的Cookie政策
- 通過TCF v2.2認證,並與Google同意模式v2相容
- 支援多司法管轄區合規(歐盟和美國)

**缺點:**

- 免費增值商業模式,費用隨流量增加而上升
- 橫幅自訂程度中等
- 無法像Finsweet那樣從零開始完全設計

**適合對象:**希望將Cookie管理工作交由自動化處理的中型網站和企業。

#### UniConsent

新興的 CMP 提供完整的解決方案，可與 Google Consent Mode V2 和 IAB TCF v2.2 整合。

**優點:**

- 輕鬆整合Google同意模式V2的兩種模式(基本版和進階版)
- 支援IAB TCF v2.2合規
- 與Google Analytics 4(GA4)簡化設定
- 直觀的同意管理儀表板

**缺點:**

- 品牌知名度不如其他解決方案
- 文件資料較不完整

**適合對象:**尋求專注於與Google同意模式V2整合的解決方案的企業。

#### 企業解決方案

對於大型跨國組織，則有 OneTrust、TrustArc、Didomi、Usercentrics、Osano 等企業 CMP。

**優點:**

- 與企業系統(CRM等)深度整合
- 進階自訂功能
- 跨多渠道同意管理(網頁、行動應用程式、連網電視)
- Cookie以外的合規模組(當事人請求管理、影響評估)
- 全球多司法管轄區合規支援

**缺點:**

- 高預算
- 實施複雜
- 需要專業諮詢

**適合對象：**擁有全球業務、需要進行複雜同意管理的大型企業。

## 結論

要適應 cookie/隱私權規範，既需要對不同規範有法律上的瞭解，也需要實施適當的技術解決方案。

在歐洲，普遍採用嚴格的事先同意制度，而在美國，則普遍採用附有透明度義務的選擇退出制度，不過各州的法律逐漸朝向更嚴格的標準發展，更接近歐洲的模式。

Google Consent Mode V2 和 IAB TCF v2.2/v2.3 等工具有助於縮小行銷和隱私之間的差距，讓網站在使用分析和廣告服務的同時遵守 cookie 法律。

同意書管理平台的選擇取決於網站規模、可用技術資源、預算和多國合規需求等因素。最重要的是讓使用者能真正控制自己的資料，並讓網站以透明且符合適用法律的方式運作。

在歐洲和美國營運的公司將需要繼續面對複雜且不斷演進的法規環境，並根據不同的司法管轄區調整其同意權管理解決方案。

## Cookie 法規和同意書管理常見問題

### 歐洲和美國 cookie 法律的主要差異為何？

在歐洲 (GDPR 和 ePrivacy 指令) 以選擇接受模式為主：在使用非必要 cookies 之前，必須先取得使用者的明確同意。相反，在美國 (CCPA/CPRA 及其他州法律) 則以選擇退出模式為主：在使用者明確表示反對之前，都可以使用 cookies，而且公司必須提供明確的方式，讓使用者選擇不出售/分享資料。

### 在歐洲，哪些 cookie 無需使用者同意即可使用？

在歐洲，只有「絕對必要」（或「技術性」）的 Cookie 才能在未經同意的情況下使用。這些 Cookie 包括網站運作所必需的 Cookie，例如用於驗證、在電子商務購物車中儲存項目或用於網站安全的 Cookie。

### 什麼是 Google 同意模式 V2，為什麼它很重要？

Google Consent Mode V2 是用來向 Google 傳達使用者同意選擇的介面。它引入了四個同意參數 (ad\_storage、analytics\_storage、ad\_user\_data、ad\_personalisation) 來管理 Google 標籤的行為。它的重要性在於可讓網站在行銷績效測量與隱私權規範之間取得平衡，並且自 2024 年 3 月起，在歐洲使用 Google 服務的網站必須遵守此規定。

### 如何選擇最適合我現場的 CMP 解決方案？

選擇取決於幾個因素：網站大小和流量、可用預算、內部技術專長、建立網站的平台（例如 Webflow、WordPress），以及特定的合規要求。檢查 CMP 是否通過 IAB TCF v2.2 認證以及是否支援 Google Consent Mode V2 也很重要，尤其是在使用 Google 廣告服務的情況下。

### 不使用行銷或分析 cookie 的網站是否也需要 cookie 標語？

在歐洲，技術上是的。即使網站只使用必要的 Cookie，仍有必要告知使用者使用了哪些 Cookie。但是，在這種情況下不需要徵求同意，因此可以將橫幅簡化為不需要互動的資訊性通知。

### 不遵守 cookie 法規會受到什麼處罰？

在歐洲，違反 GDPR 可導致最高達全球年營業額 4% 或 2,000 萬歐元 (以較高者為準) 的處罰。在加州，違反 CCPA/CPRA 可導致每次非故意違規最高 2,500 美元和每次故意違規最高 7,500 美元的民事處罰，以及潛在的消費者訴訟。監管機構在執法上變得更加積極，近年來已開出數張重大罰單。

### Google Consent Mode V2 是否取代 cookie banner 的需要？

不，Google Consent Mode V2 並不會取代廣告橫幅 cookie，而是與之配合使用。仍需要系統收集使用者同意 (CMP)，然後將偏好設定傳達給 Google 同意模式，以規範標籤行為。

### 如何為一個在歐洲和美國都有使用者的網站管理同意書？

最佳的解決方案是實施一套系統，可辨識使用者的地理位置，並顯示適當的介面：歐洲使用者會顯示選擇加入的橫幅，而美國使用者則會顯示選擇退出的通知。最先進的 CMP 都提供這種地理定位功能。

### 什麼是 IAB TCF 及其重要性？

IAB《透明度與同意框架》（TCF）是一項行業標準，協助企業依據 GDPR 及 ePrivacy 指令管理使用者同意，尤其適用於數位廣告領域。它提供了一套標準化機制，用於在發布商、廣告主與廣告技術供應商之間收集、儲存及共享使用者的同意偏好。最新版本 TCF v2.2 旨在提升透明度與問責性，是因應資料保護機關的意見而開發。

### TCF v2.3 有哪些主要的新功能？

TCF v2.3目前正進行公眾諮詢，諮詢期至2025年5月，其目的在於為廠商在特定情況下提供更清晰的說明，在這些情況下，不清楚資料是否已向使用者揭露。當廠商打算基於合法利益為特殊目的處理資料時，此區別尤其重要。技術規格預計於 2025 年 5 月底定案，實施期限為 2026 年 2 月 1 日。

## 來源

1. IAB Europe (2025). "TCF v2.3 is open for public comment". IAB Tech Lab. [https://iabtechlab.com/tcf-v2-3-is-open-for-public-comment/](https://iabtechlab.com/tcf-v2-3-is-open-for-public-comment/)
2. IAB Europe (2025). "TCF 2.2 Launches! All You Need To Know". [https://iabeurope.eu/tcf-2-2-launches-all-you-need-to-know/](https://iabeurope.eu/tcf-2-2-launches-all-you-need-to-know/)
3. IAB Europe (2025). "TCF Supporting Resources". [https://iabeurope.eu/tcf-supporting-resources/](https://iabeurope.eu/tcf-supporting-resources/)
4. Google (2025). "Updates to consent mode for traffic in European Economic Area (EEA)". Google Tag Manager Help. [https://support.google.com/tagmanager/answer/13695607](https://support.google.com/tagmanager/answer/13695607)
5. Termly (2025). "What Is Google Consent Mode v2?". [https://termly.io/resources/articles/what-is-google-consent-mode-v2/](https://termly.io/resources/articles/what-is-google-consent-mode-v2/)
6. Cookieyes (2024). "What is Google Consent Mode V2? How to Implement It?". [https://www.cookieyes.com/blog/google-consent-mode-v2/](https://www.cookieyes.com/blog/google-consent-mode-v2/)
7. CookieFirst (2024). "Google Consent Mode V2 explained". [https://cookiefirst.com/google-consent-mode-v2-released/](https://cookiefirst.com/google-consent-mode-v2-released/)
8. Bloomberg Law (2025). "Which States Have Consumer Data Privacy Laws?". [https://pro.bloomberglaw.com/insights/privacy/state-privacy-legislation-tracker/](https://pro.bloomberglaw.com/insights/privacy/state-privacy-legislation-tracker/)
9. IAPP (2025). "US State Privacy Legislation Tracker". [https://iapp.org/resources/article/us-state-privacy-legislation-tracker/](https://iapp.org/resources/article/us-state-privacy-legislation-tracker/)
10. California Privacy Protection Agency (2025). "Proposed Regulations on CCPA Updates, Cybersecurity Audits, Risk Assessments, Automated Decisionmaking Technology (ADMT), and Insurance Companies". [https://cppa.ca.gov/regulations/ccpa\_updates.html](https://cppa.ca.gov/regulations/ccpa_updates.html)
11. White & Case LLP (2025). "Data Privacy Update". [https://www.whitecase.com/insight-alert/data-privacy-update-2025](https://www.whitecase.com/insight-alert/data-privacy-update-2025)
12. California Lawyers Association (2025). "State Privacy Law in 2025—What to Expect". [https://calawyers.org/privacy-law/state-privacy-law-in-2025-what-to-expect/](https://calawyers.org/privacy-law/state-privacy-law-in-2025-what-to-expect/)