摘要

  • 欧盟 2002 年的规则要求网站说明设备信息的存取，并给用户拒绝的机会；2009 年修法把门槛改为事先同意，只留下通信传输和用户明确请求服务等狭窄例外。
  • 英国监管机构在 2012 年指出，当时浏览器的普通设置过于粗糙，网站不能据此认定用户已同意。它把本站横幅列为一种做法。2019 年，欧盟法院在 Planet49 案中否定了预先勾选的同意框。

一个设置，替许多网站作答

2002 年《电子隐私指令》第 5 条第 3 款处理的不是饼干图标，而是网站在人的终端上存放或读取信息的权力。它要求清楚告知，并让用户能够拒绝；为通信传输和用户明确要求的服务保留必要例外。序言也承认 cookie 有实用功能。早期浏览器的一项总开关，看上去就能承接这项选择：关掉或接受某一类 cookie，随后继续上网。

问题是，这个开关离具体请求太远。用户面对的是一个宽泛设置；网站想做的事却可能涉及不同用途、时长与第三方。设置存在，不等于每一次访问都有可识别的个人决定。2009 年的改动，把这种距离从产品细节变成法律难题。

法律换了动词

2009 年第 136 号修订指令把原先的拒绝机会改成了：用户在获得清楚、完整的信息后，已经给出同意，网站才可存取设备信息。序言第 66 段允许在技术条件合适、确有成效时通过浏览器设置表达同意。出厂默认值并不会自动变成用户的选择。英国于 2011 年 5 月修改国内规则。抽象的“同意”于是有了一个很不抽象的问题：用户在哪个界面，做了什么动作？

横幅是操作答案

英国信息专员在2012 年 5 月的 cookie 指南里说得很直白：当时多数浏览器设置不够精细，网站不能假定用户已通过它们同意。指南列出页首提示条等若干办法，还举出专员办公室自己使用的横幅；网站可以选择适合自身情况的方式。今天铺满网页的横幅，来自站点对合规操作的设计选择，而不是指令画好的统一控件。

这种转移有代价。想读取信息的网站也决定提示何时出现、按钮多大、拒绝藏在哪一层。原本属于浏览器设置的权力，被带到网站自己搭建的舞台。用户终于看见问题，却也要在对方布置的界面里回答。

网站先勾的选项，法院不认

Planet49 的抽奖表单已经替访客勾好了 cookie 方框。想避开它的人必须主动取消。欧盟法院 2019 年 10 月 1 日的判决认定，这种预勾选不能构成有效同意；存取的信息是否属于个人数据，不改变结论。告知还必须包括 cookie 的存续时间，以及第三方能否访问。

法院审的是具体表单里的默认选择。它没有发明横幅，却划出了一条锋利的界线：网站可以发问，不能先替用户作答，再把撤销当成同意机制。二十年里，cookie 选择从浏览器总开关走到网站提示条，再走到对默认状态的司法审查。每一步争的都是谁握着用户点击之前的那只手。