cnil-compliant-cookies

实施符合 CNIL 要求的 Cookie

概述

法国国家信息与自由委员会（CNIL）一直是欧洲对 Cookie 同意规则执法最严格的机构。2022 年 1 月，CNIL 因 Cookie 同意违规，向 Google LLC 处以 1.5 亿欧元罚款，向 Meta Platforms Ireland Ltd. 处以 6,000 万欧元罚款。这些执法行动与 CNIL 第 2020-091 号审议决定（2020 年 9 月 17 日）共同确立了欧洲最详尽的 Cookie 同意标准。

CNIL Cookie 同意要求

1. 接受和拒绝选项应同等醒目（CNIL 第 2020-091 号审议决定，第 2.1 节）

要求： 用户拒绝 Cookie 的操作必须与接受 Cookie 一样容易。“全部拒绝”选项必须与“全部接受”选项同样醒目。

CNIL 的具体要求：

• “全部接受”和“全部拒绝”按钮必须处于同一层级（位于界面的同一层）
• 两个按钮的视觉呈现必须相当（大小、颜色、字体、位置）
• 任何一个按钮都不得在视觉上比另一个更突出或更不显眼
• 可以提供“管理偏好设置”选项作为第三个选项，但不得以此取代“全部拒绝”

CloudVault SaaS Inc. 的实现：

┌─────────────────────────────────────────────────────────────┐
│  CloudVault uses cookies to improve your experience.        │
│  [Learn more about our cookie use]                          │
│                                                             │
│  ┌──────────────────┐  ┌──────────────────┐                │
│  │  Accept All       │  │  Refuse All       │               │
│  └──────────────────┘  └──────────────────┘                │
│                                                             │
│  [Manage Preferences]                                       │
└─────────────────────────────────────────────────────────────┘

Button specifications:
- Both: 200x44px, #2563EB blue background, white text, 16px bold
- Position: side by side, same vertical level
- "Manage Preferences": text link below, #6B7280 grey, 14px regular

2. 不得设置 Cookie 墙（CNIL 第 2020-091 号审议决定，第 2.2 节）

要求： 不得将接受 Cookie 作为访问网站或服务的前提。拒绝所有 Cookie 的用户必须能够访问相同的内容和功能。

例外：

• CNIL 承认某些功能（例如个性化推荐）可能需要 Cookie。在这种情况下，必须提供体验有所降级但仍可使用的版本。
• 付费墙与 Cookie 墙：CNIL 曾指出（第 2022-003 号审议决定），在特定条件下，同时提供付费且无 Cookie 的选项和免费但由 Cookie 支持的选项可能是允许的（即“付费或同意”模式），但这一做法仍存在争议。

3. 每六个月重新征求同意（CNIL 第 2020-091 号审议决定，第 2.3 节）

要求： 必须在适当的时间间隔后重新征求同意。CNIL 建议两次征求同意之间最长不超过 6 个月。

实现：

• 设置一个第一方 Cookie cv_consent_timestamp，记录同意日期
• 180 天后，重新显示同意横幅
• 如果用户之前拒绝过，则再次征求同意（用户可能已经改变主意）
• 如果用户之前接受过，则再次征求同意（用户应确认是否继续同意）

4. 必要 Cookie 豁免（CNIL 第 2020-091 号审议决定，第 3 节）

根据 CNIL 指南，以下类别无需征求同意：

类别	示例	理由
身份验证	会话 Cookie、CSRF 令牌	对安全至关重要
负载均衡	服务器路由 Cookie	对服务至关重要
用户偏好设置	语言、显示设置	对实现用户请求的功能至关重要
购物车	购物车会话 Cookie	对提供用户请求的服务至关重要
第一方分析（范围有限）	范围有限的受众测量	CNIL 对仅限第一方且仅生成汇总数据的分析提供豁免（适用严格条件）

第一方分析豁免的 CNIL 条件：

• 数据只能用于汇总统计分析
• 数据不得与其他处理活动交叉比对
• Cookie 仅限于单个网站
• IP 地址必须匿名化或截断
• Cookie 的有效期不得超过 13 个月，数据的保留期限不得超过 25 个月
• 必须告知用户相关用途以及其反对的权利
• 不得用于跨网站个人追踪

5. 全面告知（CNIL 第 2020-091 号审议决定，第 2.4 节）

在征求同意之前，必须告知用户：

• 所有使用 Cookie 的组织（控制者和第三方）的身份
• 每类 Cookie 的具体用途
• 接受或拒绝的后果
• 如何撤回同意
• Cookie 的保留期限

CNIL 执法参考

实体	罚款	日期	决议	主要违规行为
Google LLC	EUR 150,000,000	Jan 6, 2022	2022-013	第一层未提供“全部拒绝”；拒绝需要多次点击
Meta Platforms	EUR 60,000,000	Jan 6, 2022	2022-014	第一层显示“接受”，而“拒绝”隐藏在二级页面中
Microsoft Ireland	EUR 60,000,000	Dec 22, 2022	2022-023	bing.com：“接受”选项没有同等醒目的“拒绝”选项
TikTok	EUR 5,000,000	Dec 29, 2022	2022-025	拒绝比接受更复杂；信息不充分
Voodoo（手机游戏）	EUR 3,000,000	Jan 2023	2023-004	未经同意使用 Apple IDFA 进行广告投放
Apple Distribution	EUR 8,000,000	Jan 4, 2023	2023-001	未经有效同意在 App Store 上投放定向广告

实施检查清单

#	要求	CNIL 参考	CloudVault 状态
1	第一层提供“全部拒绝”按钮	决议 2020-091 第 2.1 节	已实施
2	接受和拒绝选项具有同等视觉醒目程度	决议 2020-091 第 2.1 节	两者均为 200x44px，颜色相同
3	不设置 Cookie 墙	决议 2020-091 第 2.2 节	不使用 Cookie 即可完整访问
4	最长每 6 个月重新征求一次同意	决议 2020-091 第 2.3 节	每 180 天重新征求一次同意
5	记录并豁免必要 Cookie	决议 2020-091 第 3 节	列出 4 个必要 Cookie
6	按名称标明第三方	决议 2020-091 第 2.4 节	已列出所有第三方名称
7	说明 Cookie 的用途	决议 2020-091 第 2.4 节	按类别说明
8	说明 Cookie 的保留期限	决议 2020-091 第 2.4 节	根据 CNIL 的要求，每项最长 13 个月
9	撤回同意应与给予同意同样容易	GDPR 第 7(3) 条	每个页面页脚均提供链接
10	保存同意记录	GDPR 第 7(1) 条	保留完整审计跟踪记录

主要监管参考

• CNIL 第 2020-091 号决议（2020 年 9 月 17 日）— Cookie 指南
• CNIL 第 2022-013 号决议 — Google 罚款（EUR 150M）
• CNIL 第 2022-014 号决议 — Meta 罚款（EUR 60M）
• CNIL 第 2022-023 号决议 — Microsoft 罚款（EUR 60M）
• ePrivacy 指令第 5(3) 条 — 设备存储的同意要求
• GDPR 第 7 条 — 同意的条件
• EDPB 指南 05/2020 — 根据《2016/679 号条例》取得同意