2026-05-09
劉博文 律師
,
0

[個資與隱私法 11] 數位足跡、Cookie、追蹤的法律邊界

Cookie 與各種追蹤技術在不同法域有不同的同意要求。

Cookie 與追蹤|純平面繽紛 flat:巨大 Cookie 半咬狀散出資料碎片、追蹤器小怪獸、用戶剪影對同意視窗

個 資 與 隱 私 法 · 第 十 一 篇 · 數 位 足 跡

Cookie · 追蹤
數位足跡的法律邊界

打開網頁的那一刻起，許多 Cookie 與追蹤程式就開始記錄瀏覽軌跡。法律對這些看不見的追蹤，劃出了哪些邊界？

劉博文律師 · 和鼎律師事務所主持律師

本文導讀

本文涵蓋：Cookie 的四種分類、三套法律的同意要求、Cookie 之外的追蹤技術（設備指紋、廣告 ID、像素、跨網域追蹤），以及實務合規做法。

I

第　壹　章

Cookie 的四大分類

從必要到行銷，合規要求不同

4類

Cookie 分類

必要、功能、統計分析、行銷追蹤，各有不同的合規要求

3套

常見法律標準

我國個資法、歐盟 ePrivacy 指令與 GDPR、美國加州 CCPA

2024

第三方 Cookie 未退場

Google 原計畫淘汰 Chrome 第三方 Cookie，2024 年 7 月宣布放棄，2025 年 4 月確認維持由使用者自行控制

Cookie 是網站存放在使用者瀏覽器裡的小檔案，用來記住登入狀態、偏好或瀏覽行為。依用途可分四類，越接近行銷追蹤，法律要求越嚴：

TYPE I

必要 Cookie

網站運作所必需，例如購物車、登入狀態。歐盟對「嚴格必要」的 Cookie 免除同意，但仍應告知。

TYPE II

功能 Cookie

記住語言、字級等偏好。是否需要同意，要看是否屬使用者明確要求的服務所必需。

TYPE III

統計分析 Cookie

流量分析工具。歐盟原則上要求事前同意；部分會員國對符合條件的流量統計設有例外。

TYPE IV

行銷追蹤 Cookie

廣告平台、再行銷追蹤。各法域要求最嚴格，歐盟須事前明確同意。

II

第　貳　章

三套法律的同意要求對照

從寬鬆到嚴格

先講結論：歐盟最嚴，非必要 Cookie 原則上要「先同意、再放置」；美國加州採「可以拒絕」的退出模式；我國沒有 Cookie 專門規定，回到個資法的一般要件。

在我國，Cookie 蒐集的資料若能直接或間接識別特定個人，就屬於個資法第 2 條的個人資料。企業蒐集時要告知當事人（第 8 條），並符合第 19 條的合法要件之一，例如契約關係或當事人同意；拿去行銷時，當事人表示拒絕就要停止（第 20 條第 2 項、第 3 項）。

Cookie 同意要求 · 三套法律對照

法律一般 Cookie行銷 Cookie違反處罰
我國個資法可識別個人時，須告知並符合第 19 條合法要件行銷利用須在特定目的範圍內或經同意；當事人拒絕行銷時應停止違反第 19 條、第 20 條第 1 項：5 萬至 50 萬元，並令限期改正；違反告知義務或拒絕行銷規定：限期改正，屆期未改正按次處 2 萬至 20 萬元
歐盟 ePrivacy 指令＋GDPR非嚴格必要的 Cookie，須事前同意，不得預設勾選事前明確同意，並可隨時撤回依各國國內法；涉及個資的違反，GDPR 最高 2,000 萬歐元或全球年營業額 4%
美國加州 CCPA提供隱私告知；出售或分享個資時，須提供「Do Not Sell or Share」選項跨情境行為廣告屬「分享」，消費者可選擇退出每件違規最高 2,663 美元；故意違規或涉及已知未滿 16 歲者 7,988 美元（2025 年起依物價調整）

依據：個人資料保護法第 2 條、第 8 條、第 19 條、第 20 條、第 47 條、第 48 條；歐盟 ePrivacy 指令（2002/58/EC）第 5 條第 3 項、GDPR 第 83 條；加州民法第 1798.155 條及加州隱私保護局 2025 年物價調整公告。我國個資法 114 年 11 月修正條文施行日期由行政院定，施行後罰則與主管機關將隨之調整。

歐盟法院 2019 年 Planet49 案（C-673/17）認定，預先勾選的方框不構成有效的 Cookie 同意；不論存取的資訊是不是個人資料，都適用同一標準。

「數位追蹤的法律邊界，不在能不能追蹤，而在使用者有沒有實質的選擇權。同意必須真實、可撤回、可比較。」

本文觀點

III

第　參　章

Cookie 之外的追蹤技術

指紋、廣告 ID、像素、跨網域

追蹤不只靠 Cookie。歐盟 ePrivacy 指令第 5 條第 3 項規範的是「在使用者終端設備存取資訊」，不限於 Cookie。歐盟資料保護委員會 2024 年通過的指引（Guidelines 2/2023）認為，追蹤像素、追蹤連結等技術也可能落入這條規定；設備指紋則早在 2014 年即被當時的第 29 條工作小組認為同樣適用。

TECH I

設備指紋 Fingerprinting

組合瀏覽器設定、字型、解析度等特徵來辨識設備，比 Cookie 更難清除或拒絕。

TECH II

行動裝置廣告 ID

iOS 的 IDFA 與 Android 的廣告 ID。Apple 自 2021 年起以 App Tracking Transparency 要求 App 追蹤前先徵求使用者許可。

TECH III

追蹤像素

嵌在網頁或電子郵件中的極小圖片，用來記錄開信、瀏覽與轉換行為。

TECH IV

跨網域追蹤

把多個網站上的識別碼串接起來，拼出使用者完整的數位足跡，是隱私風險最高的做法之一。

在我國，這些技術若足以識別特定個人，同樣屬於個人資料的蒐集，回到告知與合法要件的一般規定。

IV

第　肆　章

結語 · 下一篇：個資保護委員會

Cookie 與追蹤合規的五個步驟

  • □盤點：列出網站與 App 使用的 Cookie、像素與 SDK，標明用途與資料流向。
  • □分類：依必要、功能、統計、行銷分類，判斷各自需要告知或同意。
  • □告知：隱私政策寫清楚蒐集目的、資料類別、利用期間與對象、當事人權利。
  • □同意：服務歐盟使用者時，非必要 Cookie 事前取得同意，不預設勾選，撤回與同意一樣容易。
  • □稽核：定期檢查實際放置的 Cookie 是否與清單、同意紀錄一致。

附 記

Cookie 與追蹤合規牽涉行銷與技術整合，是企業容易疏漏的領域。可以使用 OneTrust、Cookiebot 等同意管理工具，並定期稽核 Cookie 清單。本所協助企業建立 Cookie 合規架構，如有需要歡迎聯絡諮詢。

常見問題

Q.　我的網站要怎麼處理 Cookie 同意？

A.　掌握三個原則：首次造訪就清楚告知；必要、分析、行銷分項讓使用者選擇；撤回與同意一樣方便。OneTrust、Cookiebot、Termly 等同意管理工具可協助處理多語言與紀錄保存。服務歐盟使用者時，非必要 Cookie 要事前取得同意；只服務台灣使用者，仍要依個資法告知，並符合蒐集的合法要件。

Q.　用網站流量分析工具需要使用者同意嗎？

A.　看適用的法律。歐盟依 ePrivacy 指令，非嚴格必要的 Cookie 原則上須事前同意，部分會員國對符合條件的流量統計設有例外。我國沒有 Cookie 專門規定，若分析資料能識別個人，要依個資法告知並符合第 19 條的合法要件，建議同時提供拒絕選項。有歐盟流量時，應搭配同意管理機制。

Q.　第三方 Cookie 會被淘汰嗎？對行銷有什麼影響？

A.　Apple Safari 已預設封鎖第三方 Cookie。Google 原計畫淘汰 Chrome 的第三方 Cookie，但 2024 年 7 月宣布放棄，2025 年 4 月確認維持由使用者自行控制。即使如此，瀏覽器限制與各國法規使跨網域追蹤越來越難，業者仍宜逐步轉向第一方資料與情境廣告。

Q.　設備指紋追蹤合法嗎？

A.　我國個資法沒有專門規定，但指紋若足以識別特定使用者，就是個人資料的蒐集，須告知並符合合法要件。歐盟方面，前第 29 條工作小組 2014 年即認為設備指紋同樣適用 ePrivacy 第 5 條第 3 項的同意要求。建議優先採用使用者主動同意的識別方式，使用指紋技術前事先告知並取得同意。

Q.　我的 App 用了社群平台的 SDK，有合規風險嗎？

A.　有。廣告或分析類 SDK 常會把使用者資料傳給平台業者，用於行為廣告。合規重點：在隱私政策說明使用哪些 SDK、資料流向與用途；行銷追蹤前取得同意；iOS 依 App Tracking Transparency 請求追蹤許可；與平台確認資料處理或資料分享條款。建議由律師全面檢視 SDK 的使用情形。

個資與隱私法系列(規劃中,陸續上線)

❦

作者 劉博文 律師