cross-jurisdiction-cookies

跨司法辖区 Cookie 合规

概述

在多个司法辖区均可访问其网站的组织，面临各不相同的 Cookie 同意要求。欧盟《电子隐私指令》要求用户事先选择同意非必要 Cookie。脱欧后的英国《隐私与电子通信条例》（PECR）沿用这一做法。加利福尼亚州的 CCPA/CPRA 采用退出模式：默认可以设置 Cookie，但用户必须能够选择退出个人信息的“出售”或“共享”。巴西的 LGPD 要求处理活动具有合法依据，但没有与 ePrivacy 等同的具体 Cookie 监管规定。本技能为 Pinnacle E-Commerce Ltd. 提供逐司法辖区的要求矩阵和统一实施策略。

司法辖区要求矩阵

各司法辖区的 Cookie 同意模式

司法辖区	法律框架	同意模式	默认状态	关键要求
欧盟（27 个成员国）	ePrivacy Directive 2002/58/EC + GDPR	选择加入	屏蔽所有非必要 Cookie	事先知情同意；不得预先勾选（Planet49）
法国	ePrivacy + Loi Informatique et Libertés + CNIL Guidelines	选择加入（严格）	屏蔽所有非必要 Cookie	接受和拒绝按钮同等显著；每 6 个月重新征求同意；Cookie 最长有效期为 13 个月
德国	TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) + GDPR	选择加入	屏蔽所有非必要 Cookie	根据 TTDSG 第 25 条，必须获得同意；落实 BGH Planet49 判决
英国	PECR (SI 2003/2426) + UK GDPR	选择加入	屏蔽所有非必要 Cookie	与欧盟 ePrivacy 要求相同；由 ICO 执法
美国加利福尼亚州	CCPA/CPRA (Cal. Civ. Code §1798.100 et seq.)	选择退出	默认可以设置 Cookie	提供“请勿出售或共享我的个人信息”链接；尊重 GPC 信号
美国科罗拉多州	CPA (C.R.S. § 6-1-1301 et seq.)	选择退出	默认可以设置 Cookie	认可通用选择退出机制
美国康涅狄格州	CTDPA (P.A. 22-15)	选择退出	默认可以设置 Cookie	尊重通用选择退出信号
美国弗吉尼亚州	VCDPA (Va. Code § 59.1-575 et seq.)	选择退出	默认可以设置 Cookie	可选择退出定向广告和信息出售
巴西	LGPD (Lei 13.709/2018)	需要合法依据	取决于所依据的法律基础	同意或合法利益；ANPD 指导意见仍在发展中
加拿大	PIPEDA + 拟议的 CPPA (Bill C-27)	默示同意（仍在发展）	告知后可以设置	有意义的同意；对于某些 Cookie，默示同意可能足够
韩国	PIPA（2023 年修订）+ Act on Promotion of IT Network	跟踪需选择加入	屏蔽非必要 Cookie	跟踪 Cookie 需获得同意；执法严格
日本	APPI（2022 年修订）+ Cookie regulation (2023)	第三方共享需选择加入	因情况而异	Cookie 数据与第三方共享时需获得同意

详细要求对比

要求	欧盟 ePrivacy	英国 PECR	加州 CCPA/CPRA	巴西 LGPD
分析类 Cookie 需事先征得同意	是	是	否（采用选择退出模式）	视法律依据而定
广告类 Cookie 需事先征得同意	是	是	否（采用选择退出模式）	是（建议征得同意）
严格必要的 Cookie 是否需要同意	否（豁免）	否（豁免）	不适用	不适用
是否允许使用 Cookie 墙	否	否	否（不得拒绝提供服务）	否
接受与拒绝按钮是否需同等醒目	是（CNIL、部分 DPA）	建议如此（ICO）	不适用（选择退出模式）	未作规定
是否必须尊重 GPC/DNT	无法律要求（但 EDPB 鼓励）	无法律要求	是——GPC = 有效的选择退出信号	未作规定
是否需要保存同意记录	是（GDPR 第 7(1) 条）	是（UK GDPR 第 7(1) 条）	否（但建议保存）	是（LGPD 第 8 条第 2 款）
Cookie 最长有效期	13 个月（CNIL）	未作规定	未作规定	未作规定
重新征得同意的频率	6 个月（CNIL）；因 DPA 而异	未作规定	不适用	未作规定
是否需要选择退出链接	否（但必须便于撤回同意）	否	是——“Do Not Sell or Share”	否
隐私政策中是否需要 Cookie 章节	是	是	是	是
针对儿童的要求	GDPR 第 8 条（年龄为 16 岁，或成员国规定的最低年龄为 13 岁）	UK GDPR 第 8 条（年龄为 13 岁）+《适龄设计准则》	CCPA 要求未满 16 岁用户选择加入	LGPD 第 14 条（以儿童的最佳利益为重）

基于地理位置的实施

Pinnacle E-Commerce Ltd 的架构

User Request
    │
    ├── Determine user jurisdiction
    │   ├── Primary: IP geolocation (MaxMind GeoIP2 or similar)
    │   ├── Secondary: Accept-Language header
    │   ├── Tertiary: User account country setting
    │   └── Fallback: Most restrictive (EU opt-in)
    │
    ├── Select consent configuration
    │   ├── EU/UK → Opt-in banner (full CNIL-style for FR)
    │   ├── US-CA → Opt-out with "Do Not Sell or Share" link
    │   ├── US-CO/CT/VA → Opt-out with universal opt-out support
    │   ├── US-other → Notice-only (monitor state law developments)
    │   ├── Brazil → Consent banner (LGPD legal basis)
    │   └── Other → Apply most restrictive applicable standard
    │
    └── Load appropriate consent experience

按司法辖区配置

欧盟/欧洲经济区配置：

设置	值
横幅类型	选择加入，接受与拒绝按钮同等醒目
Cookie 默认状态	禁用所有非必要 Cookie
征得同意前阻止的标签	GA4、Meta Pixel、Hotjar、Google Ads 及所有广告标签
同意存储	第一方 Cookie + 服务端记录
重新征得同意的间隔	6 个月（CNIL 标准；为简化起见，适用于整个欧盟）
Cookie 最长有效期	13 个月
GPC 信号处理	视为选择退出广告/定向投放

英国配置：

设置	值
横幅类型	选择加入，并清晰提供接受/拒绝选项
Cookie 默认状态	禁用所有非必要 Cookie
征得同意前阻止的标签	与欧盟相同
法律框架参考	PECR 第 6 条
ICO 特定要求	在政策中链接至 ICO 的 Cookie 指南
重新征得同意的间隔	12 个月（ICO 未作规定；每年一次较为审慎）

加州配置：

设置	值
横幅类型	提示横幅，附选择退出链接
Cookie 默认状态	默认启用所有 Cookie
必需链接	页脚中提供“Do Not Sell or Share My Personal Information”
GPC 信号	必须视为有效的选择退出信号（Cal. Civ. Code §1798.135(e)）
选择退出范围	广告 Cookie 以及任何“出售”或“共享”个人信息的行为
财务激励告知	若提供与数据收集挂钩的忠诚度计划，则必须告知
未满 16 岁的用户	必须选择加入（不得默认设置跟踪 Cookie）

巴西配置：

设置	值
横幅类型	同意横幅（建议采用选择加入）
Cookie 默认状态	禁用非必要 Cookie（在 ANPD 发布指导前采取保守做法）
法律依据选项	同意（第 7 条第 I 款）或合法利益（第 7 条第 IX 款）
Cookie 政策	必须提供葡萄牙语版本
ANPD 指导	关注具体 Cookie 规定（预计将发布）
数据主体权利	根据 LGPD 享有访问、更正、删除和可携带权

按司法辖区存储同意状态

司法辖区	同意 Cookie 名称	内容	时长
EU	pinnacle_consent_eu	{version:"v3",analytics:false,advertising:false,functionality:false,timestamp:"2026-03-14T10:00:00Z"}	6 个月
UK	pinnacle_consent_uk	{version:"v3",analytics:false,advertising:false,functionality:false,timestamp:"2026-03-14T10:00:00Z"}	12 个月
US-CA	pinnacle_consent_ccpa	{version:"v2",optout_sale:false,optout_sharing:false,gpc:false,timestamp:"2026-03-14T10:00:00Z"}	12 个月
巴西	pinnacle_consent_lgpd	{version:"v2",analytics:false,advertising:false,timestamp:"2026-03-14T10:00:00Z"}	12 个月

跨司法辖区 Cookie 政策

Pinnacle E-Commerce Ltd 的政策结构

Cookie 政策必须涵盖所有提供服务的司法辖区：

第 1 节 — 我们使用的 Cookie 通用章节，按类别列出所有 Cookie（对所有用户相同）。

第 2 节 — 您所在地区的权利

如果您位于	您的 Cookie 权利
欧洲经济区	您有权在设置非必要 Cookie 前接受或拒绝它们。未经您事先同意，我们不会设置分析、广告或功能性 Cookie。
英国	根据《隐私与电子通信条例》（PECR），您有权在设置非必要 Cookie 前接受或拒绝它们。
美国加利福尼亚州	您有权选择退出通过 Cookie 收集的个人信息的“出售”或“共享”。点击“请勿出售或共享我的个人信息”即可行使此权利。我们尊重全球隐私控制（GPC）信号。
巴西	根据《通用数据保护法》（LGPD），我们基于您的同意处理 Cookie 数据。您可以随时撤回同意。
美国其他州	根据您所在的州，您可能有权选择退出定向广告。我们尊重通用退出机制。

第 3 节 — 如何管理 Cookie 关于如何使用同意横幅、浏览器设置和 GPC 的说明。

第 4 节 — 本政策的更新 版本历史记录及重大变更的通知流程。

测试跨司法辖区合规性

验证矩阵

测试	EU	UK	加利福尼亚州	巴西
首次访问时显示横幅	主动同意横幅	主动同意横幅	含退出链接的通知	同意横幅
交互前不设置非必要 Cookie	验证	验证	不适用（允许 Cookie）	验证
“全部接受”会设置所有 Cookie	验证	验证	不适用	验证
“全部拒绝”会阻止非必要 Cookie	验证	验证	不适用	验证
存在“请勿出售”链接	不适用	不适用	在页脚验证	不适用
尊重 GPC 信号	建议	建议	必须 — 验证	建议
同意状态在各页面间保持有效	验证	验证	验证	验证
同意状态按计划到期	6 个月	12 个月	12 个月	12 个月
可访问 Cookie 政策	验证	验证	验证	验证（葡萄牙语）

主要法律参考

• 《电子隐私指令》2002/58/EC，第 5(3) 条 — EU Cookie 同意要求
• 英国 PECR (SI 2003/2426)，第 6 条 — 英国 Cookie 同意要求
• CCPA/CPRA (Cal. Civ. Code §1798.100 et seq.) — 加利福尼亚州关于出售/共享的退出模式
• 加利福尼亚州总检察长条例，11 CCR §7025 — GPC 作为有效退出机制
• LGPD (Lei 13.709/2018)，第 7-8 条 — 巴西同意要求
• CJEU 案件 C-673/17 (Planet49) — 主动同意；披露期限和第三方访问情况
• TTDSG 第 25 条 — 德国对电子隐私 Cookie 要求的实施
• CNIL 第 2020-091 号决议 — 法国 Cookie 指南
• 英国 ICO《Cookie 和类似技术指南》(2023) — PECR 合规指南
• 《科罗拉多州 CPA 规则》，4 CCR 904-3，第 5.11 条 — 通用退出机制要求