SEAT汽车网站未获事先同意即放置Cookie案

【案件背景】
2024年11月5日，西班牙数据保护局（Agencia Espanola de Proteccion de Datos, AEPD）公布了对西班牙知名汽车制造商SEAT S.A.的处罚决定。AEPD通过对SEAT官方网站进行系列技术检查发现，该网站在用户开启会话的第一时间自动放置了需要事先同意的非必要Cookie，违反了西班牙《信息社会服务和电子商务法》（LSSI）及GDPR关于同意的规定。SEAT承认责任并自愿支付罚款后，罚款从2万欧元减至1.2万欧元。

【违法事实】
AEPD检查认定SEAT存在以下违规行为：
1. 未获事先同意自动放置Cookie：在用户访问网站的第一时间、进行任何交互之前，功能性和偏好性Cookie即被自动植入用户设备（包括用于自定义用户体验和记录偏好的Cookie），而这两类Cookie依法不属于严格必要的技术Cookie，须获用户事先同意。
2. 撤回同意后Cookie仍持续生效：在用户通过偏好设置面板撤回对Cookie的同意后，此前已放置的非必要Cookie仍然保持活跃并持续被读取，用户的撤回选择未被尊重。
3. Cookie横幅设计不完善：AEPD指出，SEAT的Cookie横幅未提供足够的选择机制让用户轻松拒绝非必要Cookie，不符合GDPR对同意须「自由给予」的要求。

【处罚决定】
1. 初始行政罚款2万欧元，因SEAT主动承认责任并自愿支付，减至1.2万欧元；
2. 该处罚是西班牙2024年1月11日新Cookie指南生效后的典型案例，体现了AEPD在Cookie合规领域持续收紧的执法态势。

【典型意义】
本案虽然金额较小，但具有重要的行业警示意义。首先，它证明即使是西班牙传统大型企业也在接受严格的Cookie合规检查——制造业、汽车业并非Cookie执法的「安全区」；其次，主动认罚和自愿支付可以获得40%的罚款减免，这为企业在被调查时采取合作态度提供了激励；最后，案件涉及的「撤回同意后仍持续读取Cookie」的问题与法国CNIL对Conde Nast、Google等案的认定一致——撤回同意机制的有效性是各成员国DPA共同关注的核心合规要求。