網路餅乾 (Cookies)

Cookies，中文稱「網路餅乾」，是網站伺服器傳送至使用者瀏覽器並儲存於其裝置中的小型文字檔案，用於識別使用者、記錄瀏覽歷史與偏好設定。根據歐盟《一般資料保護規則》（GDPR）第30條前言，Cookie識別碼可被視為線上識別符，當其能單獨或與其他資訊結合以識別特定個人時，即構成個人資料。台灣《個人資料保護法》雖未明文提及Cookie，但若其蒐集的資料足以直接或間接識別個人，亦受該法規範。在風險管理體系中，特別是ISO/IEC 27701（隱私資訊管理系統）的框架下，Cookie管理是個資蒐集、處理與利用的第一道關卡，企業必須建立清晰的告知與同意機制。其與「零方數據」（Zero-Party Data）的根本區別在於，Cookie是被動追蹤的行為數據，而零方數據是使用者主動、有意圖提供的資訊。

企業在風險管理中應用Cookie管理，旨在確保個人資料處理的合法性與透明度，降低隱私合規風險。具體導入步驟如下：第一步，「盤點與分類」，使用掃描工具全面檢視網站所有Cookie，並依其功能（如：必要、分析、行銷）與來源（第一方、第三方）建立清單。第二步，「建置同意管理平台（CMP）」，設計符合GDPR要求的Cookie橫幅，提供使用者精細化的同意選項，並確保在取得同意前不載入非必要Cookie。第三步，「整合與記錄」，將CMP與後端系統整合，自動化管理同意狀態，並詳實記錄同意軌跡以供佐證。例如，一家跨國零售商導入CMP後，不僅將GDPR合規率提升至98%，更因透明化管理，使行銷Cookie的同意率維持在40%以上，成功平衡了法遵與行銷需求，並順利通過年度隱私保護審計。

台灣企業導入Cookie管理主要面臨三大挑戰：一、「法規認知模糊」，誤認台灣《個資法》要求較鬆，忽略GDPR的域外效力；二、「行銷與法遵衝突」，擔心嚴格的同意機制會衝擊廣告成效；三、「技術資源有限」，中小企業難以負擔導入同意管理平台（CMP）的成本與人力。對策如下：針對挑戰一，應立即舉辦內部教育訓練並執行資料保護衝擊評估（DPIA），釐清風險（時程：1個月）。針對挑戰二，應逐步轉型，發展以第一方數據和零方數據為核心的行銷策略，降低對第三方Cookie的依賴（時程：3-6個月）。針對挑戰三，可採用訂閱制的SaaS模式CMP，並尋求外部專家顧問協助，以符合成本效益的方式在2個月內快速建立合規機制，確保技術與法規要求同步到位。