外贸网站GDPR合规清单：隐私政策、Cookie同意横幅与Google同意模式v2

外贸网站要不要遵守GDPR？如果网站向欧盟境内的人提供商品或服务，或者通过分析和广告工具追踪他们在网站上的行为，即使公司不在欧盟，也属于欧盟《通用数据保护条例》（GDPR）第3条第2款规定的适用范围。对一个面向欧洲买家的WordPress外贸网站来说，落地工作主要是四件事：一份如实的隐私政策、一个符合要求的Cookie同意横幅、Google的同意模式（Consent Mode v2），以及询盘表单的数据处理说明。

一览面向欧洲买家的网站，落地的四件事

隐私政策按网站实际使用的工具如实撰写

Cookie同意横幅使用统计、广告等非必要Cookie前取得同意

Google同意模式使用Google广告产品时，向Google传递同意信号

询盘表单说明在提交按钮附近说明数据用途，并链接到隐私政策

这篇文章给出一份实用清单，讲清Cookie横幅要满足哪些要求、同意模式的基本模式和高级模式有什么区别，以及为什么设置之后GA4和Google Ads里的转化会“变少”。说明：本文是技术和合规方向的介绍，不构成法律意见，具体请咨询熟悉欧盟数据保护法的专业人士。

为什么中国企业的网站也要考虑GDPR？

GDPR第3条第2款规定，即使控制者或处理者不在欧盟设立机构，只要处理的是欧盟境内数据主体的个人数据，并且处理活动与向他们提供商品或服务、或监控他们在欧盟境内的行为有关，就适用该条例。外贸网站的询盘表单会收集姓名、邮箱、公司等个人数据，GA4和Google Ads标签会追踪访客行为，这两点都可能落入适用范围。

此外还有两项要求需要了解：

• Cookie规则：欧盟《电子隐私指令》第5条第3款规定，在用户设备上存储或读取信息（例如Cookie），需要用户同意；只有为提供用户明确请求的服务所严格必需的，才可以例外；
• 欧盟代表：GDPR第27条要求适用第3条第2款的非欧盟控制者，以书面形式在欧盟指定一名代表；偶发性的、不涉及大规模处理特殊类别数据、且不太可能带来风险的处理可以例外。是否需要指定，请咨询专业人士。

罚款上限也要心中有数：违反透明度义务等规定，最高可处2,000万欧元或上一财年全球年营业额4%的罚款，以较高者为准。

实用清单：哪些必须做，哪些建议做

项目	要求	WordPress网站怎么做
隐私政策	必须。GDPR第13条规定，收集个人数据时要告知控制者身份和联系方式、处理目的和法律依据、数据接收方、向第三国的传输、保存期限、数据主体的权利以及向监管机构投诉的权利等	在“设置 → 隐私”中指定隐私政策页面（WordPress 4.9.6起提供），按网站实际使用的工具如实撰写
Cookie同意横幅	使用非必要Cookie（统计、广告）前必须取得同意	使用同意管理插件，未同意前不加载非必要的标签
Google同意模式	使用Google广告产品时，需要向Google传递同意信号	选择支持同意模式v2的同意管理工具，或通过Google跟踪代码管理器配置
询盘表单说明	收集数据时告知用途	在提交按钮附近说明数据用于回复询盘，并链接到隐私政策
数据导出和删除	数据主体有权访问和删除自己的数据	WordPress在“工具”中提供导出和删除个人数据的功能

Cookie横幅要满足哪些要求？

示意图一个Cookie横幅上的四项要求

面向欧洲买家的外贸网站：Cookie同意横幅

“全部接受”和“全部拒绝”按钮CNIL建议两个按钮处于同一层级、外观相同拒绝和接受一样容易

复选框预先勾选的复选框不足以构成有效同意主动同意

统计和广告标签用户点击同意之前，不应写入Cookie同意之前不加载

法律依据不能以“合法利益”为由放置和读取Cookie需要用户同意

• 主动同意，不能预先勾选：欧盟法院在2019年的Planet49案中认定，存储Cookie需要用户主动同意，预先勾选的复选框不足以构成有效同意；
• 拒绝和接受一样容易：欧洲数据保护委员会（EDPB）Cookie横幅工作组2023年的报告指出，大多数监管机构认为，在横幅的任何一层都没有拒绝选项属于违规；法国监管机构CNIL也要求接受和拒绝一样容易，建议“全部拒绝”按钮与“全部接受”按钮处于同一层级、外观相同；
• 不能以“合法利益”为由放置Cookie：EDPB的报告指出，第5条第3款规定的Cookie放置和读取，不能以控制者的合法利益作为法律依据；
• 同意之前不加载：用户点击同意之前，统计和广告标签不应写入Cookie。

关于统计分析：CNIL对受众测量工具有一项有限的豁免，条件包括仅为网站发布者自身服务、只产生匿名统计数据、不跨网站使用同一标识符等。CNIL说明，部分工具在某些情况下可以通过配置满足条件，但它没有点名某个具体工具，所以不要默认GA4可以免于同意。英国另有自己的规定，2025年的《数据（使用和访问）法》为统计目的引入了新的例外，同样需要提供免费、简单的拒绝方式。

Google同意模式v2：基本模式和高级模式

Google的欧盟用户同意政策要求，向欧洲经济区、英国和瑞士的最终用户使用Cookie或个人数据时，按法律要求取得同意。Google Ads帮助中心说明，广告主必须收集欧洲经济区用户对使用个人数据的同意，并将同意信号传递给Google。同意模式v2使用四个参数：

• ad_storage：是否允许存储与广告相关的Cookie；
• analytics_storage：是否允许存储与分析相关的Cookie；
• ad_user_data：是否同意为在线广告目的向Google发送用户数据；
• ad_personalization：是否同意个性化广告。

对比项	基本模式	高级模式
标签何时加载	用户与同意横幅互动之前，Google标签不加载	用户打开网站时就加载，默认状态为“拒绝”
拒绝同意时发送什么	不向Google发送任何数据，包括默认的同意状态	发送同意状态和不含Cookie的匿名信号（cookieless pings）
转化建模	基于通用模型	基于针对该广告主的模型，更细致

Google认证的同意管理平台（CMP）要求，适用于AdSense、Ad Manager和AdMob等发布商产品；只投放Google Ads的广告主没有必须使用认证CMP的规定，但仍要遵守同意政策、正确传递同意信号。选择WordPress同意插件时，优先选择明确支持Google同意模式v2的产品。WP Consent API插件可以在不同插件之间统一传递同意类别，但它本身不提供横幅，也不会拦截脚本，需要配合横幅插件使用。

为什么设置之后，转化“变少”了？

拒绝Cookie的访客，不会再被正常记录，所以GA4和Google Ads中能直接观测到的访问和转化会减少，这是正常现象。部分缺口可以通过建模补上：

• GA4行为建模：Google说明，需要使用高级模式的同意模式，并且媒体资源至少连续7天、每天收集1,000个analytics_storage为“拒绝”的事件，同时在过去28天中至少有7天、每天有1,000名以上用户同意分析存储。满足这些条件也不保证一定符合资格。B2B网站访问量通常较小，很多网站达不到这个门槛；
• Google Ads转化建模：高级模式使用针对广告主的模型，基本模式使用通用模型。

转化追踪的设置方法，见GA4事件配置与核心报表解读；广告数据怎么看，见谷歌广告数据怎么看。

询盘表单：收集多少、说明什么

• 只收集必要的字段：回复询盘需要的信息即可，不要顺手收集与询盘无关的个人信息；
• 说明用途：在提交按钮附近写明数据用于回复询盘和后续沟通，并链接到隐私政策；
• 营销邮件单独征求同意：如果想把询盘者加入营销邮件名单，要单独、不预先勾选地征求同意；
• 注意数据存放：询盘邮件、CRM和表单插件的数据库都存有个人数据，要设定保存期限，离职员工的邮箱也要及时处理。

表单的设计和转化，见B2B网站询盘表单优化。

正在讨论中的变化

欧盟正在讨论“数字综合法案”（Digital Omnibus）提案，其中包括把Cookie规则并入GDPR的内容。截至2026年6月欧盟理事会的进展报告，该提案仍在谈判中，尚未通过。在正式通过并生效之前，仍按现行规则执行。

常见问题

只做B2B，买家都是企业，也要遵守GDPR吗？

要。GDPR保护的是自然人的个人数据，企业采购人员的姓名、工作邮箱、电话同样属于个人数据。

只用了GA4，没投广告，也需要Cookie横幅吗？

一般需要。GA4会写入分析Cookie，欧盟的规则要求非必要Cookie先取得同意。CNIL的统计豁免条件很严格，不要默认GA4适用。

同意模式选基本模式还是高级模式？

基本模式在用户同意前不向Google发送任何数据，更保守；高级模式在拒绝时发送匿名信号，可以获得更细致的建模。选择哪种，需要结合法律意见和你对数据的需求决定。

隐私政策可以用生成器生成吗？

生成器可以作为起点，但必须逐项核对，确保与网站实际使用的工具和数据处理方式一致。

面向欧洲市场，先把基础合规做好

隐私政策、Cookie横幅、同意模式和表单说明，最好在建站时一起规划，而不是上线后再补。如果你计划建设或改版面向欧洲市场的外贸网站，希望在开发阶段就把同意管理和数据追踪一起配置好，可以了解Sytech的外贸网站建设服务，价格方案见价格页。