Cookie 同意与 Cookie 政策：有什么区别

人们常常把这两个词混着用，但它们解决的是不同的问题。Cookie 政策是文档，Cookie 同意是执行。一个告诉访客你做了什么，另一个确保你只有在他们同意之后才去做，并保留你确实这样做了的记录。

把这个区别弄清楚之所以重要，是因为写得再漂亮的 Cookie 政策，如果追踪器在页面加载时就触发，仍然是合规失败；一个精致却不链接到任何政策的同意横幅同样如此。

Cookie 政策是一个静态页面或版块，用通俗的语言说明你的网站设置了哪些 Cookie 和类似技术、由谁投放、它们的作用是什么、存续多久，以及访客如何控制它们。它通常与你的隐私政策并列或置于其中，并从页脚以及同意横幅本身链接过去。

它的职责是透明。它通过提供人们做出真实选择所需的细节，满足知情同意中“知情”的那一部分。好的 Cookie 政策会按类别列出 Cookie 并点名涉及的第三方，而不是给出含糊的套话。

Cookie 同意是运行在访客浏览器中的交互系统。它在访客做出决定之前拦截非必要 Cookie，呈现各项选择，通过放行或继续拦截追踪器来落实这个决定，并存储所选内容及其时间的记录。

如果说政策是页面上的文字，那么同意就是实时的行为。它是真正阻止追踪器在访客同意之前设置 Cookie 的那一部分，也是产出你会拿给监管机构看的证据的那一部分。

这两者的设计就是为了相互支撑。同意横幅链接到 Cookie 政策，好让访客在选择之前读到细节。政策则描述同意横幅允许人们开关的那些类别。当你新增或移除一个追踪器时，两边都要更新：政策文本，以及横幅的类别映射。

让两者保持同步，正是许多网站开始走偏的地方。某个追踪器通过一款营销工具被加了进来，横幅没有更新去拦截它，政策也从未提到它。于是这三层彼此矛盾。一次能找出每一个 Cookie、并同时供给横幅和政策的发现扫描，可以让它们保持一致。

在大多数法域，是的。GDPR 和 ePrivacy 规则要求知情同意，这需要 Cookie 政策提供的披露；也要求事前同意，这需要同意机制。印度的 DPDPA 要求逐项告知和可验证的同意，同样是两个层面。即便是像加州那样的选择退出制度，也同时要求清晰的隐私披露和一套可用的选择退出机制。

实际的答案是：只有政策而没有同意，会让追踪器违法运行；只有同意而没有政策，会让访客无从知情。你需要这份文件，也需要这套机制，并让两者彼此保持一致。