同意管理平台和 Consent Mode v2 各管什麼
提供隱私合規與 Consent Mode V2 導入服務的 Global Reach，在 2026 年 1 月 12 日的說明中把兩件事分開。同意管理是用 Cookie 橫幅向使用者徵求同意，Consent Mode 則是把同意選擇送給 Google 的技術系統；它的結論是兩者都需要，缺一不可。
同意管理平台（Consent Management Platform，簡稱 CMP）在 Global Reach 的定義裡，是顯示 Cookie 同意橫幅、記錄訪客選擇，並把選擇傳給追蹤系統的工具。義大利行銷代理商 Deep Marketing 則寫，CMP 不只是一條橫幅，而是追蹤同意版本、目的、法律依據並提供撤回機制的基礎設施。
Global Reach 寫道，Consent Mode V1 在 2020 年推出，只處理 Cookie；V2 自 2024 年起成為必要設定，控制的範圍延伸到資料怎麼被使用。依它的說明，每位訪客會送給 Google 四個是非訊號：
| 訊號 | 允許的範圍 |
|---|---|
| analytics_storage | 網站分析用的 Cookie（例如 Google Analytics） |
| ad_storage | 廣告成效衡量用的 Cookie |
| ad_user_data（V2 新增） | 把個人資料送給 Google 用於廣告 |
| ad_personalization（V2 新增） | 把資料用於個人化廣告與再行銷 |
Global Reach 舉的例子是，使用者可能同意分析，卻拒絕個人化廣告，V2 會把這兩種選擇分開處理。
販售同意與 Cookie 檢查工具的 Trackingplan，在 2026 年 3 月 24 日發布一篇分析合規指南。文中提到，OneTrust、Cookiebot、Usercentrics 等 CMP 與 Google Tag Manager 等工具原生整合，使用者拒絕某類同意時會自動抑制對應標籤。同一篇也建議 CMP 以時間戳記與同意字串記錄使用者的選擇，作為監管機關調查時的稽核軌跡。
歐盟市場為什麼要 Consent Mode v2
Global Reach 把 Consent Mode V2 成為必要設定的原因，指向歐盟數位市場法（DMA）。它寫道，DMA 針對 Google、Meta、Amazon 這類大型平台，核心規則是平台除非取得明確同意，否則不能合併或使用個人資料投放廣告。
依 Global Reach 的說法，Google 因此要求網站收集有效同意、送出經驗證的同意訊號，並使用 Consent Mode V2。網站若鎖定歐洲經濟區（EEA）或英國的使用者，又使用 Google Ads 或 Analytics，Consent Mode V2 就是必要的。
GDPR 本身也有同意要求。Trackingplan 的指南寫道，GDPR 要求非必要的分析 Cookie 須事先取得同意（opt-in），加州 CCPA 則採 opt-out，並須尊重 Global Privacy Control 訊號。在 GDPR 下，使用者在橫幅按下接受之前，網站不能設定分析 Cookie。Trackingplan 也稱，多數監管機關不接受以正當利益（legitimate interest）作為分析 Cookie 的依據。
罰款上限的寫法，兩個來源不一致。Trackingplan 寫 GDPR 罰款最高為全球年營收 4% 或 2,000 萬歐元，取較高者；Global Reach 則寫罰款可達全球營收 10%，重複違規可達 20%，但沒有指明是哪一部法規。
Basic 與 Advanced 模式差在哪
Global Reach 的比較是：Basic 模式在取得同意前不載入標籤，使用者拒絕就沒有資料；Advanced 模式的標籤會立即載入，但拒絕同意時不設定 Cookie，只送出匿名訊號。
Global Reach 把 Advanced 模式標為建議選項，並稱使用者拒絕時，Google 仍可估算轉換、填補報表缺口，最多回收 65% 到 70% 的流失資料，且不識別個人。Basic 模式則被它描述為會留下大片報表缺口。
Trackingplan 對這套機制的描述相近：使用者拒絕 Cookie 時，仍向分析平台送出隱私安全的訊號，再以統計建模填補數據缺口。它也提醒，許多違規來自標籤在同意狀態確定之前就已觸發。
本節整理的是兩家業者對技術行為的說明，不是法律意見；要選哪一種模式，建議先與法務確認。
數據損失有多少，各來源數字不一
Trackingplan 的指南稱，多數數位行銷團隊因為不合規的實作，損失 40% 到 70% 的分析數據。Consent Mode v2 能補回多少，同一篇文章裡就有不同寫法。
- 內文：只做 Cookie 同意、沒有 Google Consent Mode，數據損失 40% 到 70%；Consent Mode v2 回收 15% 到 30%。
- 重點摘要：Consent Mode v2 加上伺服器端追蹤，可把數據損失從約 40% 到 70% 降到約 15% 到 30%。
- 對照表的資料留存率：基本同意橫幅 30% 到 60%，Consent Mode v2 45% 到 75%，伺服器端加 Consent Mode 70% 到 90%。
Global Reach 對 Advanced 模式的估計，則是最多回收 65% 到 70% 的流失資料。這幾組數字出自兩家銷售同意管理相關服務的業者，各自沒有說明計算基準；我們的判斷是只適合當量級參考，不宜直接套進預算模型。
Deep Marketing 在 2026 年 4 月 2 日的第一方數據指南提到另一組數字：從客戶端改為伺服器端追蹤，可找回 25% 到 40% 因廣告阻擋器與 ITP 流失的事件。該文同時寫明，伺服器端追蹤不是繞過同意的方法，仍需要相同的法律依據。
Deep Marketing 另稱，對稱而透明的接受／拒絕橫幅，同意率為 50% 到 70%，暗黑模式設計則是 15% 到 25%，文中沒有列出這組數字的出處。
美國執法：查的是選擇有沒有生效
AdExchanger 在 2026 年 1 月 22 日刊出 Ketch 共同創辦人 Max Anderson 的評論，認為 2025 年改變的不是突然出現的新法，而是執法的規模與嚴肅程度。他談的是美國，主要是州級監管機關與加州 CCPA。
What changed was not the sudden arrival of a sweeping new law, but the scale and seriousness of enforcement.
文中寫道，美國州級監管機關不再只問企業有沒有提供隱私權利，而是實際測試這些權利怎麼運作。使用者選擇退出之後，資料若仍流入受眾建立、投放模型或下游分析，就成為調查的重點。
他也直言，在美國，一條 Cookie 橫幅不等於隱私合規；並預期下一個焦點是同意被撤回之後，資料如何被使用與傳遞，可稽核與可追溯正在成為執法期待。
Trackingplan 的指南另寫，加州隱私保護局（California Privacy Protection Agency）在 2026 年增加了執法行動。
讀這篇評論時要知道，作者所屬的 Ketch 自稱是 AI 隱私公司，本身就提供隱私合規產品。
CMP 廠商在 2026 年的更新
TrustArc 一份季度產品更新列出幾項同意管理相關功能：Cookie Consent Manager Pro 的預設 Cookie 模板改為對齊 WCAG 2.2，並支援 20 種以上印度語言。
資料主體請求方面，TrustArc 的 Individual Rights Manager 透過 IDology 支援國際身分驗證，可選用證件掃描與挑戰題驗證。未通過驗證的請求可標為新的 Unverified 狀態，在完成身分檢查前與已驗證請求分開。
同一份更新也在 PrivacyCentral 加入新增或更新的法規標準，清單中包括台灣的個人資料保護法施行細則。
前面提到的 AdExchanger 評論，也以 TrustArc 轉為私募股權持有，作為隱私科技市場整併的例子之一。
Ketch 在 2026 年 5 月 27 日透過 Business Wire 發布新聞稿，宣布 Ketch Agent Network，自稱是企業隱私計畫的第一個多代理協作層。新聞稿列出的功能包括自動探索並分類資料資產、持續比對設定與法規的風險管理，以及從系統即時資料自動填寫 DPIA、PIA 等評估。
銷波快觀點：同意管理要拆成兩件事
談公司資產上雲的時候，我們曾經把問題拆成兩層：存取控制管的是誰拿得到，內容機密管的是拿到之後看不看得懂。以私有 repo 為例，很多人以為設成 private 就等於安全，實際上還要靠 git-crypt 這類 client-side 加密才擋得住平台本身。同意管理是同一個結構。收集同意管的是使用者按了什麼，執行同意管的是那個選擇有沒有真的改變系統行為。前者做完只解決一半，後者沒做，前面那一半也不算數。
我們的判斷是，Global Reach 說 CMP 與 Consent Mode 缺一不可，AdExchanger 那篇評論則寫美國監管機關開始檢查選擇之後的資料流向，兩者都指向同一個檢查點：橫幅之外，選擇有沒有真的改變標籤與資料的行為。
第三方 Cookie 退場那一輪我們談過，追蹤能力被拿走之後，中小企業要自己補後端記錄，門檻高到很多人直接放棄再行銷。當時的結論是把重心往自然流量與第一方數據移。現在看來那個判斷還可以再往前推一步：第一方數據的價值不只在於資料在你手上，更在於取得的過程留得下證據。有同意紀錄的第一方名單，才是資產；沒有的，只是一份風險。
結論：先確認同意訊號有沒有送出
依 Global Reach 的說明，鎖定歐洲經濟區或英國、使用 Google Ads 或 Analytics 的網站需要 Consent Mode v2，而 CMP 與 Consent Mode 缺一不可。Trackingplan 建議在不同裝置與瀏覽器測試同意流程，確認拒絕之後標籤確實被抑制。
至於數據損失與回收的幅度，Trackingplan 同一篇文章內就不只一種寫法，Global Reach 又給出最多回收 65% 到 70% 的估計，我們把它們當成量級參考。美國那邊，AdExchanger 刊出的評論則寫，監管機關已開始檢查使用者的選擇是否真的影響後續的資料使用。
喜歡這篇？讓行銷變好懂，訂閱銷波快。
資料來源
- Privacy Enforcement Crossed A Line In 2025, And There’s No Going Backadexchanger.com
- Privacy Compliance for Analytics: Complete Guide 2026trackingplan.com
- What Consent Mode V2 Means for Your Website in 2026globalreach.com
- TrustArc Q1 2026 Privacy Updates: Consent, DSR, Risktrustarc.com
- First-Party Data 2026: Privacy and Revenue Guidedeepmarketing.it
- Ketch Announces the Ketch Agent Networkbusinesswire.com
