出海网站 Cookie 合规指南：GDPR 与 Consent Mode v2

做出海网站，只要有欧洲、英国或美国加州的访客，Cookie 合规就躲不开：欧洲和英国要求「先同意、再放非必要 Cookie」，加州要求「让用户能一键拒绝出售或共享数据」。同时，Google 要求面向欧洲经济区的广告主通过 Google Consent Mode v2 把用户的同意状态传给 Google，没做好的话，Google Ads 再营销名单收不到欧洲用户的数据，GA4 的数据也会缺一块。这篇文章按我们做出海项目的实际流程，把 GDPR 和 ePrivacy 的要求、Consent Mode v2 的配置、同意弹窗的设计、隐私政策页和美国各州隐私法讲清楚。先说明一句：本文是技术和运营角度的经验分享，不构成法律意见。

出海网站为什么要做 Cookie 合规：罚款只是一部分

Cookie 合规是指网站在读写访客浏览器里的 Cookie 和类似技术（像素、本地存储、指纹等）之前，按访客所在地区的法律告知用途、取得同意或提供拒绝方式，并且真正按用户的选择执行。很多老板第一反应是「我们是小站，监管查不到」。说实话，罚款概率对小站确实不高，但不做合规的代价不只是罚款。

先看监管的力度。DLA Piper 在 2026 年 1 月发布的《GDPR 罚款与数据泄露年度调查》显示，2025 年欧洲各监管机构开出的 GDPR 罚款合计约 12 亿欧元，和 2024 年基本持平；从 2018 年 5 月 GDPR 生效到 2026 年 1 月，累计罚款达到 71 亿欧元。同一份调查还统计到，2025 年度平均每天有 443 起数据泄露通知，比上一年的 363 起增长 22%。

这些大额罚单主要落在大平台身上，但 Cookie 是监管最容易「看得见」的问题：打开网站、看看弹窗、查一下浏览器里有没有提前写入的广告 Cookie，几分钟就能取证。法国 CNIL（国家信息与自由委员会）从 2019 年开始专项治理 Cookie，2025 年 9 月一次性公布了两张罚单：Google 因在账号注册流程中引导用户接受广告 Cookie、拒绝比接受更难，被罚 3.25 亿欧元；Shein 的爱尔兰子公司因为访客一进站、还没碰弹窗就被写入广告 Cookie，用户拒绝或撤回后仍继续写入，被罚 1.5 亿欧元。

对中小出海品牌来说，更现实的影响在另外两头：

• 广告数据：Google 的欧盟用户同意政策覆盖欧洲经济区、英国和瑞士的用户，政策写明不合规时 Google 可以限制或暂停你使用相关产品。Consent Mode 没配好，欧洲访客的再营销和转化数据会直接缺失。
• 渠道与平台审核：支付、广告平台、大客户的供应商审核越来越常问隐私政策和 Cookie 管理。我们见过不少 B2B 外贸站，询盘谈到后期被对方法务要求补隐私条款，临时找人改，拖了好几周。

所以我们的建议是把 Cookie 合规当成建站的标准配置，和 SSL 证书、网站速度放在同一张上线检查表里，而不是等出了事再补。

GDPR 和 ePrivacy 对 Cookie 到底要求什么

欧洲的 Cookie 规则可以浓缩成一句话：除了网站运行严格必需的 Cookie，其他 Cookie 都要在用户主动同意之后才能写入，而且拒绝要和同意一样容易。

这里有两部法律在同时起作用。ePrivacy 指令（俗称 Cookie 法）管的是「能不能往用户设备里存东西、读东西」：除非是严格必需的，否则要先取得同意。GDPR（《通用数据保护条例》）管的是「同意」本身的标准，以及处理个人数据的整体规则。欧洲数据保护委员会（EDPB）在面向中小企业的指南里把有效同意的条件讲得很直白：

• 自由给出：用户能拒绝、能撤回，而且不会因此受到外部压力或负面后果。
• 具体：同意要对应具体的处理目的，「改善用户体验」这种笼统说法不够。
• 知情：用清晰平实的语言告诉用户目的、控制者身份、数据类别、接收方和撤回权利。
• 明确：需要用户做出清晰的主动动作，不能用预先勾选的复选框，也要和一般条款分开。
• 可证明：你要能证明某个用户确实同意过。

落到网站上，Cookie 大致分四类，处理方式不一样：

罚款上限方面，EDPB 的中小企业指南写明 GDPR 罚款最高可达 2000 万欧元或企业年营业额的 4%。英国脱欧后有自己的 UK GDPR 和 PECR（《隐私与电子通信条例》），由 ICO（英国信息专员办公室）执行，规则和欧盟大体一致，但具体细节在调整，上线前以 ICO 的最新指南为准。

这一步很多人会跳过的地方是「盘点」。不少网站装了五六个营销插件，每个插件都可能自带 Cookie 或像素，Shopify、WordPress 的应用商店插件尤其如此。做合规之前，先用浏览器开发者工具或扫描工具把网站上所有 Cookie 和第三方请求列出来，逐个归类，后面的弹窗配置才有依据。

Google Consent Mode v2 是什么，不做会怎样

Google Consent Mode（同意模式）是 Google 提供的一套机制，让网站把用户在 Cookie 弹窗里的选择传给 Google 的标签（Google Ads、GA4、Floodlight 等），标签再据此调整行为。它本身不是弹窗，Google 官方文档特别说明它「不提供同意横幅」，需要配合你自己的弹窗或第三方同意管理平台（CMP）使用。

Consent Mode v2 是指 2023 年 11 月 Google 在原有的 ad_storage、analytics_storage 之外新增了两个参数：

• ad_user_data：是否同意把用户数据发送给 Google 用于在线广告，增强型转化等测量功能依赖它。
• ad_personalization：是否同意个性化广告。被拒绝时，Google Ads、Display & Video 360、Search Ads 360 的再营销收不到这个用户的数据。

Google 跟踪代码管理器帮助中心的说明是：从 2024 年 3 月起，对欧洲经济区流量，旧版的 ad_storage 取值会一次性自动映射到 ad_user_data；但 ad_personalization 不会被自动处理，想保留受众和个性化广告功能，需要自己在 Google 代码里实现新参数。换句话说，只做了旧版 Consent Mode、没升级 v2 的网站，欧洲用户的再营销名单会受影响。

基本模式和高级模式怎么选

Consent Mode 有两种实现方式，区别在于用户拒绝之后 Google 还能拿到什么：

Google 广告帮助中心在介绍转化建模时提到，同意的用户转化可能性通常是未同意用户的 2 到 5 倍，所以「没同意的那部分人」的转化不能简单按比例估算。建模也有门槛：Google Ads 要求每个国家和域名组合在 7 天内每天达到 700 次广告点击；GA4 的行为建模要求至少 7 天每天有 1000 个拒绝分析存储的事件，且过去 28 天中至少 7 天每天有 1000 个同意的用户。很多中小站达不到这个量，建模根本不会启用。

所以我们的判断是：中小站别指望建模把数据「补回来」，更实际的做法是把弹窗设计好，在合规前提下让同意率自然一点，同时在投放复盘时接受欧洲数据会有缺口。关于 Google 和 Meta 的预算分配，可以参考我们之前写的《2026 独立站广告投放：Google 与 Meta 成本趋势与预算分配》。

不做 Consent Mode v2 的后果

把上面几点放在一起，不做或做错会出现这些情况：

1. 欧洲经济区、英国用户的再营销受众增长停滞，Google Ads 的再营销和类似受众效果变差。
2. 转化追踪少算，智能出价拿到的信号变少，出价会偏保守。
3. GA4 里欧洲流量的用户数、转化路径对不上，报表里出现大量无法归因的会话。
4. 违反 Google 欧盟用户同意政策，Google 有权限制或暂停相关产品的使用。

还有一种常见的错误配置：弹窗看起来很规范，但 Google 标签在用户点选之前就已经触发了广告 Cookie。这种情况比不做弹窗还麻烦，因为看上去合规、实际上没有。上线后一定要用 Google 跟踪代码管理器的预览模式或 Google 标签助手核对一遍同意状态的默认值和更新时机。

Cookie 同意弹窗怎么设计：合规又不太伤体验

好的 Cookie 同意弹窗要做到三件事：第一层就能「全部接受」和「全部拒绝」，两个按钮样式对等；用户选择前不写入任何非必要 Cookie；用户随时能找到入口改主意。

CNIL 的要求最具代表性。它在 2024 年 12 月针对 Cookie 弹窗的「暗黑模式」向多家网站发出整改通知，点名了几种不合规做法：拒绝选项做成链接，颜色、字号明显弱于接受按钮；拒绝选项埋在大段说明文字里不容易看到；拒绝和其他段落挨得太近，视觉上分不出来；接受按钮出现好几次，拒绝只出现一次，而且措辞含糊。在 2025 年 Google 一案里，CNIL 认定的问题之一也正是「拒绝比接受更难」。

我们给客户做弹窗时，一般按下面这个结构：

• 第一层：一句话说明用途（例如「我们使用 Cookie 来统计访问和投放广告」），三个按钮「全部接受」「全部拒绝」「自定义设置」，前两个大小、颜色一致。
• 第二层：按「必要 / 偏好 / 统计 / 广告」分组开关，默认关闭（必要类除外），每组列出具体服务商。Shein 一案中 CNIL 指出的问题之一，就是第二层没有写清楚是哪些第三方在放 Cookie。
• 撤回入口：页脚放一个「Cookie 设置」链接，或者屏幕角落的小图标，点开回到第二层。
• 记录：保存同意时间、版本、选择内容，Google 的欧盟用户同意政策也要求保留同意记录。

体验上有几个细节值得花时间：弹窗不要遮住整个首屏，移动端用底部条形弹窗，高度控制在屏幕的三分之一以内；弹窗脚本异步加载，避免拖慢首屏和造成布局偏移，这部分对 Core Web Vitals 的影响可以看《独立站速度与 Core Web Vitals》；多语言站的弹窗文案要跟着站点语言切换，德语站弹英文弹窗，用户会直接点拒绝。

上图是我们做过的 Neatsvor 欧洲多语言独立站。这类面向欧洲多个国家的站点，弹窗、隐私政策、Cookie 政策都要按语言各出一版，而且要和站点的语言切换联动，这部分在建站阶段一起规划，成本比上线后再补低得多。

最后提醒一句关于「同意率」：我们不建议为了提高同意率在设计上做手脚。按钮对等、文案清楚，同意率自然会低于「只有一个接受按钮」的弹窗，这是合规的正常代价，在广告和分析的预期里提前算进去就好。

隐私政策页要写什么

隐私政策页是网站对外说明「收集什么数据、为什么收、给谁、存多久、用户有哪些权利」的公开文件，GDPR 下它是履行告知义务的主要载体，也是 Google、Meta 等平台审核广告账户和应用时会检查的页面。

一份出海网站的隐私政策至少要覆盖这些内容：

1. 控制者信息：公司全称、注册地址、联系邮箱；面向欧盟但在欧盟没有实体的公司，按 GDPR 可能需要指定欧盟代表。
2. 收集的数据和目的：订单信息、账户信息、询盘表单、Cookie 与追踪数据，各自的用途和法律依据（合同履行、同意、合法利益等）。
3. 第三方和数据跨境：支付、物流、广告、分析、客服、邮件营销等服务商，以及数据传输到欧盟以外地区时的保障措施。
4. 保存期限：每类数据保存多久，到期如何删除。
5. 用户权利：访问、更正、删除、限制处理、可携带、撤回同意、向监管机构投诉；美国用户还要写清楚如何「拒绝出售或共享」。
6. Cookie 政策：可以单独成页，列出每个 Cookie 的名称、提供方、用途和有效期，和弹窗里的分类保持一致。
7. 更新日期：每次修改都写明生效日期。

我们见过最常见的问题是模板照抄：政策里写着「我们不使用任何第三方追踪」，网站上却装着三四个像素。这种前后不一致，比没有政策更容易出问题。政策的内容应该从前面那次 Cookie 盘点里来，网站装了什么就写什么。

美国访客：加州 CCPA 和各州隐私法怎么应对

美国目前没有联邦层面的统一隐私法，规则由各州立法，总体思路是「默认可以收集，但要让用户能选择退出」，和欧洲的「先同意」正好相反。加州是执法最积极的一个州。

加州的《消费者隐私法》（CCPA，后经 CPRA 修订）要求符合门槛的企业告知收集的个人信息类别，并给用户提供拒绝「出售或共享」个人信息的方式。对网站来说，「共享」包括把数据交给广告平台做跨情境行为广告，所以 Meta Pixel、Google Ads 再营销这类追踪都在范围内。常见做法是在页脚放「Do Not Sell or Share My Personal Information」链接，并识别浏览器发出的全球隐私控制（Global Privacy Control）信号。

加州隐私保护局（CPPA）2025 年的两起执法很有参考价值：

• American Honda Motor Co.：被罚 63.25 万美元，问题包括隐私管理工具没有以对等方式提供选择，以及要求用户提交过多信息才能行使权利。
• Todd Snyder：被罚 345,178 美元，因为隐私门户的技术配置有问题，用户的「拒绝出售或共享」请求有 40 天没被处理，而且退出前还要求用户验证身份。CPPA 执法部门负责人的原话是，使用同意管理平台并不能让你免于合规责任。

这两个案子说明一件事：买了 CMP、装了弹窗不等于合规，配置有没有生效、选择有没有被执行，才是监管看的地方。

其他州方面，据美国州政府事务机构 MultiState 2026 年 10 月的统计，2026 年又有阿拉巴马、路易斯安那、俄克拉荷马、佛蒙特四个州通过了综合性消费者隐私法，全美有此类法律的州达到 24 个（是否计入佛罗里达州的法律会影响口径）。各州门槛不同，多数按年营收或处理的消费者数量设定，很多中小出海企业未必达到适用门槛。我们的建议是：先按加州的标准把「拒绝出售或共享」和 GPC 识别做好，大部分州的核心要求就覆盖了，再根据业务规模请律师确认具体适用哪些州。

出海网站 Cookie 合规落地清单

一个出海网站从零做 Cookie 合规，按下面七步走，通常一到两周可以完成技术部分，法律文本需要另外留出律师审核的时间。

第 7 步是最容易被忽略的。网站上线时合规，三个月后运营同事装了一个新的弹窗营销插件，它自带的追踪脚本就可能绕过同意管理。我们一般会把「新增第三方脚本必须过 CMP」写进客户的上线规范里。

在创意时空的项目里，Cookie 合规通常放在独立站定制开发的上线检查环节一起做：Shopify、WordPress 和 Next.js 的接法不同，Shopify 有自带的客户隐私设置和 Customer Privacy API，WordPress 和 Next.js 则需要单独接入 CMP。做 SEO 与 GEO 优化时，我们也会检查弹窗是否挡住了搜索引擎和 AI 爬虫对正文的读取，这一点经常被忽略。法律文本部分我们会给出技术侧的清单，最终版本建议由熟悉当地法律的律师审定。

结尾：合规是建站的基本功

Cookie 合规的核心并不复杂：欧洲先同意、美国可退出、Google Consent Mode v2 把选择传过去、弹窗不耍花样、政策和实际一致。难的是细节和持续维护，尤其是插件一多就容易失控。

本文是技术与运营经验，不是法律意见。如果你的业务涉及大量欧洲用户数据、敏感数据（健康、儿童、金融等）或已经收到监管或平台的问询，请咨询熟悉当地法律的律师。

如果你想先看看自己网站现在的 Cookie 和 Consent Mode 配置有没有问题，可以添加客服微信 18565707869，或者在联系我们页面留言，我们可以帮你做一次技术层面的盘点。