快速回答： ePrivacy 指令和 GDPR 是兩部不同但重疊的歐盟法律，共同管理 Cookie 同意和線上隱私。ePrivacy 指令為在用戶設備上放置 Cookie 設定了具體規則，而 GDPR 則定義了有效同意的標準。大多數在歐盟運營的網站必須同時遵守這兩部法律，並且從 2026 年起，正在進行一項重大立法改革，可能會將 Cookie 規則直接整合到 GDPR 中。
主要要點
- ePrivacy 指令（2002 年，2009 年更新）是要求在設置非必要 Cookie 前獲得同意的主要法律；GDPR（2018 年）定義了「有效同意」的實際含義。
- 這兩部法律同時適用於大多數面向歐盟的網站，彼此並不取代。
- 歐洲委員會在 2025 年 2 月正式撤回了提議的 ePrivacy 規則。
- 2025 年 11 月推出的數位綜合方案提議通過新的第 88a 和第 88b 條將 Cookie 同意規則整合到 GDPR 中。
- 根據 ePrivacy 指令，必要（嚴格必要）Cookie 免於同意要求。
- ePrivacy 指令在各個歐盟成員國的轉化方式不同，導致各國合規性差異。
- 2026 年的一項研究發現，只有 30.66% 的網站設有「拒絕所有」按鈕，顯示出普遍的不合規 [7]。
- Cookie 同意橫幅可以同時滿足這兩部法律，但前提是它們必須符合 GDPR 對自由給予、具體、知情和明確同意的條件。
- 根據提議的 GDPR 變更，同意管理平台（CMP）需要適應瀏覽器級別的同意信號 [3]。
ePrivacy 指令與 GDPR 之間的區別是什麼
ePrivacy 指令和 GDPR 扮演不同但互補的角色。ePrivacy 指令（指令 2002/58/EC，經 2009/136/EC 修訂）是一部針對電子通信隱私的行業特定法律，包括 Cookie 和類似追蹤技術的使用。GDPR 是一部通用數據保護法規，為所有行業處理個人數據設置法律框架，包括有效同意的定義和要求。
主要區別：
| 特徵 | ePrivacy 指令 | GDPR |
|---|---|---|
| 法律形式 | 歐盟指令（需要國家轉化） | 歐盟規則（直接適用） |
| 主要焦點 | Cookie、追蹤、電子通信 | 所有個人數據處理 |
| 同意標準 | 需要對非必要 Cookie 獲得同意 | 定義有效同意的含義 |
| 執法機構 | 國家電信/DPA 監管機構 | 國家數據保護機構 |
| 狀態（2026） | 仍然有效；改革待定 | 仍然有效；提議的修訂正在進行中 |
由於 ePrivacy 指令是一部指令而非規則，因此每個歐盟成員國以不同方式將其轉化為國內法，導致各國在執法和具體要求上存在差異 [6]。
您需要同時遵守 ePrivacy 指令和 GDPR，還是只需遵守其中一項
這兩部法律同時適用，遵守其中一部並不滿足另一部的要求。ePrivacy 指令告訴您 何時 需要同意（在設置非必要 Cookie 前）；GDPR 告訴您 該同意應該是什麼樣的（自由給予、具體、知情、明確且可隨時撤回） [5]。
可以這樣理解：ePrivacy 指令是觸發器，而 GDPR 是標準。技術上在 Cookie 加載之前出現的 Cookie 橫幅，但使用預先勾選的框將違反 GDPR 的同意要求，即使它名義上符合 ePrivacy 指令的通知義務。
常見錯誤： 假設 Cookie 通知（告知用戶 Cookie 的存在）足夠。在這兩個框架下，被動通知並不構成對非必要 Cookie 的同意。
ePrivacy 指令如何適用於您網站上的 Cookie
ePrivacy 指令要求網站運營商在存儲或訪問用戶設備上的信息之前獲得事先的知情同意，這涵蓋了 Cookie、像素、本地存儲和類似技術 [6]。這一義務無論收集的數據是否符合 GDPR 下的個人數據定義均適用。
實際上，這意味著：
- 在用戶採取明確行動同意之前，不得啟用任何非必要 Cookie。
- 同意機制必須清晰，且不得與服務條款的接受捆綁在一起。
- 用戶必須能夠輕鬆撤回同意。
該指令適用於任何針對歐盟用戶的服務，無論網站運營商位於何處。
根據 ePrivacy 指令與 GDPR，哪些 Cookie 需要同意
根據 ePrivacy 指令，所有 Cookie 除非是用戶明確要求的服務所「嚴格必要」的 Cookie，否則都需要獲得同意。根據 GDPR，任何個人數據的處理都需要合法的基礎，而對於追蹤 Cookie，這一基礎幾乎總是同意。
Cookie 類別和同意要求：
- 嚴格必要的 Cookie（會話管理、登錄狀態、購物車）：根據 ePrivacy 指令不需要同意。GDPR 的合法利益或合同履行基礎可能適用。
- 分析 Cookie（例如，識別用戶的頁面瀏覽追蹤）：根據這兩個框架都需要同意。
- 市場營銷和廣告 Cookie（行為定位、重定向）：根據這兩個框架都需要同意，這是執法風險最高的類別。
- 功能性 Cookie（語言偏好、用戶界面設置）：存在爭議；如果它們處理個人數據，則獲得同意是最安全的做法。
ePrivacy 指令是否被取代，ePrivacy 規則是什麼
ePrivacy 指令並未被 GDPR 取代。然而，提議的 ePrivacy 規則旨在用一部直接適用的歐盟法律取代該指令。該提案於 2025 年 2 月被歐洲委員會正式撤回，理由是成員國之間缺乏可預見的協議，以及考慮到近期技術變化，該提案的過時性 [2]。
ePrivacy 指令與提議的 ePrivacy 規則之間的區別： 該規則將在所有成員國直接具有約束力（消除國家轉化的差異），但最終未能達成採納。
取而代之的是，歐洲委員會於 2025 年 11 月 19 日推出了 數位綜合方案。該方案提議通過新的第 88a 和第 88b 條將 Cookie 同意規則直接整合到 GDPR 中 [2][3]。第 88a 條將定義不需要同意的情況（例如，傳輸電子通信或用戶明確要求的服務）。第 88b 條將引入自動化、機器可讀的同意機制的要求，包括瀏覽器級別的同意信號 [3]。
截至 2026 年 7 月，數位綜合方案仍在進行立法程序，最終文本預計在 2026 年底或 2027 年初發布 [4]。
必要的 Cookie 是否需要根據 ePrivacy 指令獲得同意
不需要。嚴格必要的 Cookie 明確免於 ePrivacy 指令的同意要求。這些是用戶主動要求的服務無法運行的 Cookie，例如會話標識符、身份驗證令牌和購物車 Cookie [6]。
邊緣案例： 「必要」的解釋相對狹窄。即使運營商認為其在操作上重要，改善性能或啟用分析的 Cookie 也不是嚴格必要的。在不確定的情況下，應偏向於要求同意。
如何獲得有效的 Cookie 同意以滿足兩部法規
根據 GDPR（因此根據 ePrivacy 指令，該指令依賴於 GDPR 的同意標準），有效的同意必須是：
- 自由給予，不得有同意牆或強迫與條款接受捆綁。
- 具體，每類 Cookie（分析、營銷等）需單獨獲得同意。
- 知情，用戶必須知道 Cookie 的功能及數據的處理者。
- 明確，需要明確的行動；預先勾選的框無效。
- 可撤回，撤回同意必須與給予同意一樣容易 [5]。
配置良好的同意管理平台（CMP）可以處理這一工作流程。Biscotti CMP 設計用於支持這些要求，包括細分同意類別和審計目的的同意記錄。隨著數位綜合方案提議根據第 88b 條引入瀏覽器級別的同意信號，CMP 也需要接收和尊重來自瀏覽器設置的信號，這對行業來說是一個重大的運營轉變 [3]。
Cookie 橫幅是否可以滿足 ePrivacy 和 GDPR 的要求
可以，但前提是橫幅設計正確。符合 GDPR 同意標準的 Cookie 橫幅也將滿足 ePrivacy 指令的同意要求，因為該指令依賴於 GDPR 對歐盟成員國的同意定義 [5][6]。
合規的橫幅必須：
- 提供清晰的「接受」和「拒絕」（或等效）選項，並具有相同的視覺突出性。
- 不得使用黑暗模式（例如，使「拒絕」比「接受」更難找到）。
- 在給予同意之前，阻止非必要的 Cookie。
- 記錄並存儲同意，包括時間戳和版本參考。
- 允許用戶隨時更改其偏好。
2026 年的一項研究發現，只有 30.66% 的網站設有「拒絕所有」按鈕，這意味著大多數受調查的網站可能未能達到合規預期 [7]。
是否有不適用 ePrivacy 指令的國家
ePrivacy 指令適用於所有歐盟成員國。然而，由於它是一部指令（而非規則），每個國家以不同的方式將其轉化為國內法，導致在範圍、執法優先級和處罰上存在一些變化 [6]。歐盟以外的國家，包括脫歐後的英國，擁有自己的等效法律（英國的隱私和電子通信條例，或 PECR）。
根據用戶所在位置選擇您的合規基準，而不僅僅是根據您的業務註冊地。對於擁有大量歐盟流量的美國公司，必須同時遵守 ePrivacy 指令（根據相關成員國的轉化）和 GDPR。
如果不遵守 ePrivacy 指令規則會發生什麼
不遵守 ePrivacy 指令（根據國內法轉化）可能會導致國家監管機構的罰款和執法行動。處罰因成員國而異，但可能相當可觀，且由於無效同意而引發的 GDPR 違規（例如，通過追蹤 Cookie 處理個人數據而沒有有效的法律依據）可處以全球年營業額的 4% 或 2000 萬歐元，以較高者為準 [5]。
國家數據保護機構（DPA）繼續積極調查並對組織因 Cookie 同意失敗而處以罰款 [1]。執法行動已針對大型平台和小型運營商。
常見的合規錯誤：
- 在未註冊同意之前，在頁面加載時啟用分析或廣告 Cookie。
- 使用未在互動之前阻止 Cookie 的同意橫幅。
- 未能及時尊重同意撤回。
- 在 Cookie 政策變更時未更新同意記錄。
- 將 Cookie 通知視為同意機制的等同。
根據 ePrivacy 指令規則，Cookie 可以存儲多久
ePrivacy 指令並未直接規定最大 Cookie 存儲期限。然而，GDPR 的數據最小化和存儲限制原則適用於處理個人數據的 Cookie。獲得的同意應該是有時間限制的，監管機構通常期望組織定期重新請求同意，常見的指導建議是 12 個月作為合理的間隔，儘管這並不是硬性法定限制 [6]。
實用指導： 設定 Cookie 到期時間應與其目的相稱。會話 Cookie 應在瀏覽器關閉時到期。如果六個月能達到同樣的目的，則分析 Cookie 不需要兩年的壽命。
公司在 ePrivacy 合規方面常見的錯誤
除了上述問題外，執法案例和審計中還出現了一些持續的模式：
- 隱含同意： 假設持續瀏覽即構成同意。這已被歐盟法院和 DPA 明確拒絕。
- 捆綁同意： 將 Cookie 同意與隱私政策接受捆綁在一起。
- 不一致的地理定位： 只對來自某些國家的用戶應用更嚴格的同意規則，而對其他用戶則提供追蹤 Cookie，這是一個風險，因為執法可能會根據用戶的位置進行。
- 忽視國家差異： 假設單一的橫幅配置能滿足所有歐盟成員國的要求，而事實上某些國家有更嚴格的國家要求 [6]。
- 沒有同意審計記錄： 未能記錄用戶同意的內容、時間及其隱私通知的版本 [1]。
結論
ePrivacy 指令與 GDPR 之間的關係並不是選擇一個框架而非另一個的問題，兩者同時適用，且都必須滿足。ePrivacy 指令定義了何時需要對 Cookie 獲得同意；GDPR 定義了有效同意的樣貌。它們共同構成了整個歐盟 Cookie 合規的法律基礎。
監管環境正在變化。ePrivacy 規則提案在 2025 年初被撤回，而數位綜合方案現在提議通過第 88a 和第 88b 條將 Cookie 規則直接納入 GDPR。最終文本預計在 2026 年底或 2027 年初發布，但目前的義務在此期間仍然完全有效。
2026 年的可行後續步驟：
- 審核您網站的 Cookie 行為，以確認在捕獲同意之前沒有非必要的 Cookie 啟用。
- 檢查您的同意橫幅是否存在黑暗模式，並確保「拒絕」選項與「接受」同樣突出。
- 實施一個如 Biscotti CMP 的 CMP，該平台能記錄同意記錄並支持細分類別管理。
- 監控數位綜合方案的進展，評估您的 CMP 供應商是否在準備支持瀏覽器級別的同意信號。
- 檢查每個擁有大量用戶流量的歐盟成員國對 ePrivacy 指令的國家轉化情況。
常見問題
問：GDPR 是否取代了 Cookie 的 ePrivacy 指令？ 不。GDPR 和 ePrivacy 指令共存。ePrivacy 指令仍然是要求對 Cookie 獲得同意的主要法律；GDPR 管理有效同意的含義以及通過 Cookie 處理的個人數據必須如何處理。
問：什麼是 ePrivacy 規則，它還會來嗎？ ePrivacy 規則是一項提議的歐盟法律，旨在用一部直接適用的規則取代 ePrivacy 指令。該提案於 2025 年 2 月被歐洲委員會正式撤回，將不會以當前形式推進。
問：什麼是數位綜合方案？ 數位綜合方案於 2025 年 11 月推出，是一項歐盟立法提案，旨在通過新的第 88a 和第 88b 條將 Cookie 同意規則整合到 GDPR 中，簡化數位監管。截至 2026 年 7 月，該方案仍在立法審查中。
問：分析 Cookie 是否免於同意要求？ 不。識別個別用戶或設備的分析 Cookie 是非必要的，根據 ePrivacy 指令需要事先同意，無論它們是否用於商業目的。
問：Cookie 牆（阻止訪問，除非用戶接受 Cookie）是否構成有效同意？ 通常不。歐盟監管機構和法院認為，通過 Cookie 牆獲得的同意並不是自由給予的，因為用戶沒有真正的選擇。一些國家 DPA 在有限情況下允許 Cookie 牆，但如果提供付費替代方案，這仍然存在爭議。
問：用戶多久必須重新同意 Cookie？ 沒有固定的法定期限，但監管機構通常期望在目的或 Cookie 列表發生重大變化時，或在合理的時間內（通常實踐中引用為 12 個月）重新請求同意。根據先前版本的隱私通知獲得的同意可能不涵蓋新的處理活動。
問：什麼是嚴格必要的 Cookie？ 嚴格必要的 Cookie 是指用戶明確要求的服務無法運行的 Cookie，例如登錄會話令牌或購物車標識符。這些 Cookie 免於 ePrivacy 指令的同意要求。
問：ePrivacy 指令是否適用於非歐盟企業？ 是的，如果這些企業針對或服務位於歐盟的用戶。其領土範圍遵循用戶的位置，而不是運營商的註冊地址。
問：我在同意管理平台中應該尋找什麼？ 合規的 CMP 應在獲得同意之前阻止非必要的 Cookie，支持細分同意類別，記錄同意並附上時間戳，允許輕鬆撤回，並準備支持根據提議的 GDPR 修訂所需的瀏覽器級別的同意信號。
問：我可以使用單一的 Cookie 橫幅來覆蓋整個歐盟嗎？ 單一的橫幅可以作為基準，但由於 ePrivacy 指令在成員國的轉化方式不同，某些國家可能有更嚴格的要求。對於高流量網站，建議根據每個目標市場的國內法進行法律審查。
參考資料
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai