何渊：欧盟法院裁定Cookie的存储和利用需要征得互联网用户的积极同意和实质同意，预先 ...

整理人：何渊，上海交通大学数据法律研究中心执行主任，DataLaws主理人。

数据君：本周二，欧盟法院就“cookie合规”作出了一个备受关注的裁决：欧盟数据控制者和数据处理者不能通过“预选框”的方式来有效地获得数据主体的同意，而更强调的是数据主体的积极同意和实质同意。毫无疑问的是，这个新规则会对很多网络运营者带来挑战和冲击，他们必须重新评估和更新其Cookie同意规则，否则将面临巨额的罚款和品牌的损失。

德国消费者组织联合会（The German Federation of Consumer Organisations）在德国法院起诉了一家名为“Planet49”的德国公司，这家公司试图通过预先选中的复选框来存储用户的cookie，并通过cookie收集信息并推广在线游戏。

因为对法律适用存在争议，所以德国联邦法院联邦议院（Bundesgerichtshof）请求欧盟法院就第2002/58 /号指令第5条第3款和第2条f款的含义以及相关的95/46 / EC指令第2（h）条和第2016/679号条例第6（1）（a）条的适用作出初步裁定，具体涉及欧盟《在线隐私指令》（the ePrivacy Directive）和欧盟《通用数据保护条例》（EU General Data Protection Regulation）。

对此，欧盟法院裁定，网站用户必须对其设备上cookie的存储和访问具有足够的控制力，网站通过预先选中的复选框并不能有效地构成“用户的同意”，网站用户必须有权取消选择复选框并拒绝作出“同意”的意思表示。该决定不受用户设备上存储或访问的信息是否为个人数据的影响。欧盟法律旨在保护用户免受其私人生活的任何干扰，尤其是避免隐藏标识符和其他类似设备在用户不知情的情况下进入用户终端设备的风险。

欧盟法院进一步指出，用户的同意必须是具体明确的，预先选中的复选框不足以构成“用户的同意”，即用户有效或实质地同意了他或她对cookie的存储。此外，欧盟法院还指出，服务提供商必须提供给用户的信息还包括：cookie的操作持续时间，以及第三方访问这些cookie的具体情形。

编辑：晓晴