欧盟理事会就《数字综合法案》Cookie规则表态：取消浏览器级同意信号并将再次询问等待期缩短为四个月

欧盟成员国常驻代表委员会（Coreper）于2026年10月7日的会议未就《数字综合法案》理事会立场进行表决，各方期待在随后几天确定理事会能否支持其在Cookie规则上的立场。根据媒体披露的理事会163页文本（文件号13886/26，2026年10月2日），未决的关键问题涉及数据法案部分。该一揽子文件编号2025/0360（COD），同时修改GDPR、ePrivacy指令、数据法案与NIS2。

在Cookie规则上，理事会文本保留ePrivacy指令第5条第3款的同意要求，并放弃了欧委会提出的浏览器级同意信号方案（即第88b条）。对于用户在拒绝后再次被询问同一目的的情形，理事会文本规定至少需等待四个月，较欧委会2025年11月19日提案与9月3日主席国文本所设定的六个月更短。理事会草案还扩大了无需同意的情形清单，列明六项目的，其中包括第一方受众测量、欧洲媒体自由法下的媒体测量，以及涵盖频次上限的上下文广告测量。

该方案中争议更大的部分集中在GDPR修改上。第4条第1款采用了个人数据的相对化定义，并新增关于假名化的第25a条，允许欧委会通过实施法案具体规定假名化数据在何种情况下不再构成特定实体的个人数据。欧洲数据保护委员会（EDPB）与欧洲数据保护监督专员（EDPS）在联合意见中对此提出批评。此外文本还为AI开发提供了基于第6条第1款第(f)项的合法利益依据并附反对权，同时将泄露通报限制为高风险情形且时限由72小时改为96小时。

对企业而言，实际影响是双重的：更短的再次询问等待期意味着用户拒绝后受限追踪的周数减少，新增豁免将减少访问者看到的横幅数量；对个人而言，该方案以让渡部分控制权换取更少的弹窗。这一权衡将由欧洲议会与数据保护机构在后续审议中检验。需要注意的是，理事会文本目前仍为理事会立场，欧洲议会尚未通过自身立场，因此三方会谈在两大机构均获得授权前无法启动，相关修改在正式公布前不构成法律义务。