你打开一个新闻网站，正文还没加载出来，先弹出一个框：「我们尊重您的隐私，请选择是否同意 Cookie。」你扫了一眼，点了最大的那个按钮——全部同意。这不怪你。欧洲隐私组织 noyb 的统计说，弹窗时代 90% 的人都会点「同意」，而真正愿意被跟踪的，只有 3% 左右。剩下那 87 个百分点，是设计出来的。
2026 年 7 月，欧洲十多家民间组织（noyb、EDRi、EFF、消费者联盟 BEUC 等）上线了一个倡议：#KillTheCookieBanner，字面意思——干掉 Cookie 弹窗。上线不到一个月，讨论从 Hacker News 烧到 Lobsters，80 多分、16 条评论，吵得比弹窗本身还热闹。
图：官网主视觉「Stop the tracking circus」——把跟踪行业比作马戏团。来源：killthecookiebanner.eu
弹窗不是 GDPR 发明的
多数人以为 Cookie 弹窗是 GDPR 逼出来的。这笔账，要算到更早。
2002 年欧盟就有一部 ePrivacy 指令（电子通信隐私指令），管「在你设备上存东西」这件事。2009 年的修正案加了一条：网站要在你设备上存放 cookie（相当于在你口袋里塞一张记名小票），得先征得你的同意。法律 2009 年就立了，但没人理它——执法机构不查，网站装作没看见，一装就是八年。
2018 年 5 月 25 日，GDPR（通用数据保护条例，General Data Protection Regulation）生效，罚款上限能到企业全球营收的 4%。全欧洲的网站慌了，连夜给页面加弹窗。技术圈一直流传一个误会：弹窗潮是 GDPR 逼出来的。老程序员 chrismorgan 在 Lobsters 上纠正：2017 年前后第一批弹窗，其实源自 2009 年那条被无视了八年的旧法——GDPR 只是那个让所有人突然想起旧法的闹钟。
打个比方：限速标志立了八年，从没人查，直到某天交警带着高额罚单上岗。于是所有司机都开始急刹车——但路上装的是减速带还是收费站，就得看谁掏钱装了。
网站与用户的拉锯，从这一刻开始。
图：官网插画，配在「Cookie 弹窗是设计出来骗你放弃权利的」一节。来源：killthecookiebanner.eu
90% 的「同意」是怎么来的
法律的本意是「默认禁止追踪，想跟踪先问用户」。行业发现一个漏洞：问，是可以问得很有技巧的。
「全部同意」是大号彩色按钮，放在最显眼处；「拒绝」是小字灰按钮，藏在二级菜单里；有些弹窗干脆没有拒绝选项。用户每天被十几个弹窗轰炸，早就形成条件反射——闭着眼点最大的那个。
从工程角度看，弹窗是一台转化率优化机器，和电商页面把「加入购物车」按钮做得又大又亮，是同一套手艺。监管的反应也慢得离谱：chrismorgan 的批评是，执法部门花了大约五年时间「礼貌地请」违规网站整改，而不是重拳出击。
90% 的人点了同意、3% 的人想被跟踪——这个数字差，就是整个弹窗行业的商业模式。
欧盟的解法：把「同意」搬进浏览器
2025 年秋天，欧盟委员会把 cookie 规则的修订放进了一揽子修法（Digital Omnibus，数字综合改革方案），其中第 88b 条是个简单方案：把「同意」从网站挪到浏览器。
你在浏览器设置里写一次「我不想被跟踪」，以后每个网站自动读到这个信号，弹窗从此不用再弹。技术上这毫无新意——你的浏览器早就自动告诉网站你用什么语言、什么时区，你从没为这事弹过窗。加州 CCPA 法律下也有现成的先例：Global Privacy Control，火狐和 Brave 浏览器早就支持。欧盟方案还留了余地：你可以对某个网站单独开绿灯，新闻媒体整体豁免。
游说走廊里的攻防
然后，反对来了。
Google 发了一份报告，称浏览器级信号会对在线广告收入产生重大负面影响，等于让用户一揽子拒绝广告。行业游说材料里甚至提到 400–500 亿欧元广告收入利害相关——这个数字出自行业方之口，笔者无法核实。但数字多大不重要，方向很明确：行为广告（behavioral advertising，按你的浏览历史投放的广告）是整个产业的燃料。
游说很有效。德国、法国、波兰等成员国在理事会里推动删除该条款。2026 年 6 月 18 日，欧盟理事会立场文件出炉，第 88b 条被正式移除。noyb 创始人 Max Schrems 6 月 23 日在 LinkedIn 上写道：「你编都编不出来：Google、德国和法国正在游说保留 Cookie 弹窗，而欧盟委员会已经提出用简单信号替代它们的方案。游说反对绝大多数选民的意愿——而且居然成功了。」
民间反击在 7 月上线，就是开头说的 #KillTheCookieBanner。有个细节值得说清楚：它走的是民间倡议路线，官方「欧洲公民倡议」（European Citizens’ Initiative）那种要凑 100 万签名才能立案的程序——这个活动没走那条路，它呼吁每个公民直接给本国议员和欧洲议会议员写信。连 Lobsters 的帖子发布者自己都在嘀咕：「这不算请愿书，只是一封号召大家联系议员的邀请函，没有明确的行动目标。」
图：官网插画，配在「跟踪行业游说保住弹窗」一节。来源：killthecookiebanner.eu
反对的声音，不都来自广告商
这场争论没有一边倒，疑虑方也有站得住的理由。
| 立场 | 代表 | 核心说法 |
|---|---|---|
| 支持杀弹窗 | 隐私组织、多数用户 | 弹窗是设计出来的骚扰，90% 的「同意」是假的；监管早该重拳执法 |
| 广告行业 | Google 等 | 行为广告养着免费内容；浏览器信号等于变相封杀整个行业 |
| 从业者反水 | rkaw92（广告技术从业者） | 唯一出路是彻底禁止行为广告；「同意」从来不是自由给予的，去问本身就是侮辱 |
| 技术怀疑派 | Sharparam | 网站连你的语言偏好都不遵守，凭什么会遵守隐私信号 |
| 反方里的怪声 | casperin | 我喜欢弹窗——它时刻提醒我，太多公司是混蛋 |
最扎眼的是 rkaw92。他是广告技术（AdTech）从业者，按说该站在行业一边，说得却比隐私组织还狠：行为广告的「同意」从来不是自由给予的。他拿 Google 首页举例：在欧盟打开 Google 搜索，会看到一份同意清单，你得往下滚动半天才能找到「拒绝」——比复选框加按钮更隐蔽，但本质一样，就是让「拒绝」变得难以到达。他还做了个有点吓人的预测：弹窗被干掉之后，网站会改用登录墙——想看新闻？先登录你的 Google 账号。大平台的账号体系，本身就是最大的跟踪器。
技术怀疑派的担心也实在：网站连浏览器发来的语言偏好都经常无视，凭什么相信它们会老实遵守隐私信号？法律文本不会自己执行，还得靠监管。而这次监管能跑多快，没人知道。
弹窗没了，数据会消失吗
如果方案最终通过：你设置一次，弹窗消失，网站必须尊重你的选择，你的上网行为会少一条被收集的渠道。
如果方案黄了：弹窗继续，你的「同意」继续被收割。而且数据本身不会因为弹窗消失而消失——网站可以改用「必要 Cookie」扩大解释、登录墙、邮件订阅来达到同样的目的。弹窗只是手段，跟踪才是目的。
现在能做的有两件小事。一是装浏览器扩展：Consent-O-Matic 让你选一次偏好，之后自动帮你按你的意愿点掉弹窗；uBlock Origin 能直接过滤掉大部分弹窗。二是如果你在欧盟，给议员写封信——倡议方把模板都准备好了。
这场仗还没打完：欧洲议会还没表态，最终决定可能要拖到 2026 年底。理事会删掉条款不代表死亡，议会还有机会把它加回来。
笔者不在欧盟，也不靠行为广告吃饭。写这篇只是因为：弹窗大概是互联网上唯一能让所有网民达成共识的东西——没人喜欢它。但「讨厌它」和「知道怎么消灭它」之间，隔着一条长长的游说走廊。
弹窗是表象。真正被争夺的，是「同意」这两个字还值不值钱。 这个答案，年底之前应该会有个眉目。
参考链接：
- Kill the Cookie Banner 公民倡议（欧洲民间组织发起）
- Lobsters 讨论 (lobste.rs/s/aftrcr)
- GDPR Local: Cookie Banner Reform 分析
- EU Digital Omnibus 提案（Article 88b）
- Cybernews: 反 Cookie 弹窗运动报道
