西班牙AEPD对Vueling航空公司网站Cookie同意墙设计和追踪透明度不足处以罚款案

【案件背景】
2022年10月，西班牙数据保护局（AEPD）在对Vueling航空公司网站的检查中发现，其Cookie横幅（Cookie banner）的设计违反GDPR和西班牙《信息社会服务法》（LSSI）关于Cookie同意的要求。Vueling是一家拥有超过3000万乘客的大型欧洲廉价航空公司。

【违法事实】
AEPD认定Vueling网站的Cookie管理存在以下问题：一是Cookie横幅没有提供'拒绝所有非必要Cookie'的选项——用户只能选择'接受所有'或进入'设置'页面逐一配置，没有一键拒绝的选项；二是即使进入设置页面，非必要的分析类和广告类Cookie被预先勾选——用户需要逐个取消勾选以拒绝，这是增加拒绝成本的'暗黑模式'设计；三是Cookie使用声明中未清楚列出所有第三方Cookie的提供者名称和用途——仅仅笼统地提到'我们使用Cookie进行分析和广告'不满足透明度要求；四是部分营销Cookie的存续期长达2年，远超合理必要期限。

【处罚决定】
AEPD对Vueling处以合计6万欧元罚款（GDPR部分3万欧元+LSSI部分3万欧元），要求网站在30天内整改Cookie同意机制——提供与'接受所有'同等便利的'拒绝所有'按钮，取消预勾选，详细列明每个第三方Cookie的名称、提供者和用途。

【典型意义】
一是虽然罚款金额较小（6万欧元），但本案覆盖了Cookie合规的多个细节维度；二是预勾选是非必要的Cookie被视为无效同意，这是ePrivacy和GDPR长期确立的共识；三是提醒所有运营面向欧盟用户网站的企业——无论企业规模大小，Cookie合规不是可选项；四是Cookie存续期是常被忽视的合规维度——非必要Cookie不应设置过长的有效期。