马来西亚网站需要 Cookie 横幅吗？PDPA、分析工具与用户同意

打开近几年建的几乎任何一个网站，都会弹出一个横幅，请你接受 Cookie。马来西亚小企业网站的负责人看到这一幕，难免会想：自己的网站没有这个横幅是不是违法？还是说，这只是大公司才需要的东西？比较诚实的答案介于两者之间：马来西亚没有一条法律规定“每个网站都必须显示 Cookie 横幅”，但确实有一部数据保护法，要求只要收集个人数据，就应当提供清晰的隐私声明；而你可能已经在用的几种工具（联系表单、Google Analytics、Facebook 像素）收集的正是这类数据。本文说明马来西亚的规定究竟写了什么、一个典型小企业网站的哪些部分会触发这些规定，以及一套不必把网站变成弹窗墙、又恰如其分的做法。以下为面向网站负责人的一般性信息，不构成法律意见。

简短回答：没有 Cookie 专门法，但有实实在在的告知义务

马来西亚最主要的隐私法律是《2010年个人数据保护法令》（PDPA）。目前的法律实务指南普遍认为，该法令没有专门针对 Cookie 或其他在线追踪的条款，所以马来西亚没有欧洲那种要求每个网站都弹出同意横幅的“Cookie 法”。PDPA 的做法是通过一般性原则来规范，而这些原则适用于商业活动中处理的个人数据。一个接收咨询、预约或订单的企业网站，显然落在这个范围之内。

Cookie 同意管理软件的供应商对同一部法令的解读更为严格，会告诉马来西亚的网站负责人：追踪类 Cookie 必须在访客同意之后才能启用。这是供应商的解释，并非写进法律条文的规则，也与律师事务所的指南相冲突。理智的网站负责人可以同时接受两个事实：没有人能指出马来西亚有哪一条写着“Cookie 横幅”，而且在不告知对方的情况下收集可识别个人身份的数据，恰恰是 PDPA 要防止的事。

你的小企业网站可能有哪些 Cookie

Cookie 是网站请访客浏览器保存的一小段文字，使网站在下一个页面或下次访问时能认出同一个浏览器。Cookie 并不都一样，差别决定了你对访客负有什么义务。大多数小企业网站会同时有以下几类：

实际要点在最右一列：每一类都需要披露；而请访客同意，最重要的是分析和营销这两类，因为它们是为你的利益而存在，而不是为了让页面运作。如果你使用 Google Analytics，披露还是使用条件：Google 的 Analytics 条款要求你发布隐私政策，告知访客用于收集数据的 Cookie，并在法律要求时取得同意。

PDPA 对网站究竟有哪些要求

PDPA 列出七项原则，其中三项对小型网站最重要：

• 一般原则：用于商业目的的个人数据，应在当事人同意的情况下处理，除非适用豁免。同意应当是当事人明确的行为，并且你应当能够证明自己取得了同意。
• 告知与选择原则：你必须以书面形式告诉当事人：你正在处理其数据、用途是什么、可能与谁分享，以及他们如何联系你、如何要求查阅和更正。通知应在你首次索取或收集数据时给出，或在其后尽快给出，并应提供马来文和英文两个版本。
• 安全原则：你必须采取切实可行的措施，保护所持有的数据不被遗失、滥用或未经授权访问。对网站而言，这通常意味着使用 HTTPS、合理的权限管控，以及不要把咨询记录表格到处用电邮转发。

律师事务所的摘要称，2024年对 PDPA 的修订在2025年分阶段生效，把违反这些原则的最高处罚提高到 RM1,000,000 罚款和/或最长三年监禁，并新增了数据泄露通报等义务。对小型网站来说，重点不是为罚款惊慌，而是认真对待告知声明：它是成本最低的合规步骤，也是最常缺失的一项。个人数据保护局在 pdp.gov.my 发布法令及指引；涉及重大事项时，请先在那里核对，或咨询马来西亚律师，不要只依赖这份摘要。

个人数据究竟从哪里进入小企业网站

负责人常把“数据收集”想得很神秘。在典型的马来西亚小企业网站上，其实是一份简短而可预见的清单：

规律很一致：联系表单是马来西亚小企业收集一般意义上个人数据的主要地方，所以隐私声明应先放在表单旁，其次放在页脚。Cookie 的问题排在后面。

你需要同意横幅吗？按自身情况对照

由于马来西亚法律没有针对 Cookie 的具体指示，合理的做法是让设置与网站的功能和访客来源相匹配：

欧盟和英国这一行需要补充说明。Google 自己的政策要求使用其广告和统计产品的网站负责人，向欧洲经济区和英国的访客取得有效同意。因此，向欧洲发货或在当地投放广告的马来西亚网店，要承担一项与 PDPA 无关的义务；而只服务雪兰莪本地客户的诊所或修理店则没有这项义务。

一份好的隐私声明应包含什么

声明是一页通俗易懂的文字，不是法律论文。要写成让负责人真正能够保持准确的样子。小型网站可以参考以下提纲：

• 你是谁：公司名称、SSM 注册号码和联系方式，让人知道是谁持有他们的数据。
• 收集什么：列出表单和工具中的具体项目，如姓名、电话号码、电邮、留言、浏览器标识。
• 为什么：每个项目对应一个用途，用平实的话写（“用于回复您的咨询”“用于统计访问量，了解哪些页面有帮助”）。
• 还有谁会看到：你的主机服务商、电邮服务商、WhatsApp、分析和广告平台，以及配送或支付伙伴。
• 保留多久：写明真实的期限，而不是“视需要而定”，例如“咨询记录在十二个月后删除，除非您成为客户”——前提是你真的会这样做。
• 他们的权利：如何要求查阅、更正或停止使用其数据，以及联系谁。
• 语言：以马来文和英文发布；如果访客读中文，再加上中文版。

在每个页面的页脚和每个表单旁都放上链接。如果你同时设有 Cookie 横幅，要确保它链接到同一个页面，而不是另一份自相矛盾的文件。

公平的同意横幅是什么样子，要避免什么

如果你决定设置横幅，就让它成为真正的选择，而不是装饰：

• 按钮对等：“接受”和“拒绝”（或“管理选择”）大小和显眼程度相同，而不是一个醒目的接受按钮配一个灰色的淡字链接。
• 不提前加载：在访客同意之前，分析和广告标签不应启动。横幅出现时追踪工具早已在运行，那只是做做样子。
• 措辞平实：用该页面本身的语言，说明 Cookie 的作用以及谁会收到数据。
• 可以回头：页脚设一个能重新打开选项的链接，让访客可以改变主意。
• 不要拦截：不要把整个页面挡在横幅后面，也不要在有人点击接受之前让网站无法使用。

要提防自带追踪功能的免费横幅插件，以及遮住半个手机屏幕的横幅。杂乱的横幅会赶走访客，而手机访客占了大多数。

实例：用三十分钟检查自己的网站

不需要律师或扫描工具，也能知道你的网站处于什么状况。设想一家小型装修公司，网站有联系表单、WhatsApp 按钮、Google Analytics、Facebook 像素和嵌入的 Google 地图。可以这样一步步做：

1. 列出工具。在隐私窗口中打开网站。在浏览器的开发者工具中，打开 Application（或 Storage）标签，查看 Cookies。记下每个 Cookie 的名称和设置它的域名。
2. 区分第一方和第三方。来自你自己域名的 Cookie 通常是必要或分析类。来自其他域名（Google、Meta、YouTube）的 Cookie 说明涉及第三方，需要写进声明。
3. 列出每个表单。联系表单、报价申请、电子报。每一个都写一行：收集什么、为什么收集。
4. 列出每个嵌入内容和聊天按钮。地图、视频、WhatsApp 链接。记下谁会收到什么。
5. 检查时机。打开 Network 标签，加载页面，看分析和像素请求是否在你点击任何东西之前就已发出。如果是，说明它们在没有任何选择的情况下运行。
6. 根据清单起草声明。第 2 至 4 步的每一行变成一句话，再加上保留期限和联系方式。
7. 用上面的表格决定横幅。这家公司有 Facebook 像素，属于“分析工具加广告像素”一行：全部披露，并在取得同意后才加载标签。
8. 设定复查日期。每当新增插件、表单或追踪标签，声明就需要更新。网站每次改动之后，都在日程里安排一次检查。

这个练习的成果是一页声明、一份需要放在同意之后加载的标签清单，以及对网站究竟如何处理访客数据更清楚的认识。这已经是大部分工作了。

常见错误

• 照搬别家公司的隐私政策。它描述的是你没有的工具和做法，却漏掉你确实有的，所以从第一段起就是错的。
• 显示横幅，却照样加载追踪工具。如果标签已经运行，这个选择就毫无意义。
• 忘了联系表单。负责人盯着 Cookie，却让真实姓名和电话号码送达的表单没有任何声明。
• 只有英文的声明。告知与选择原则要求提供马来文和英文；只有一种语言的声明达不到要求。
• 预先勾选的电子报选项。同意应是访客明确的行为，而不是需要他们自己取消勾选的默认值。
• 留着旧标签不管。多年前结束的广告活动留下的像素仍在收集数据，仍然需要披露或删除。
• 以为声明写完就一劳永逸。一份在两次改版前就与网站不符的声明，比一份简短但最新的声明风险更大。

Gotka Technologies 在其中的角色

Gotka 的每个网站设计套餐都包含带防垃圾功能的联系咨询表单、WhatsApp 一键聊天按钮和 SSL，所以本文讨论的安全连接和表单都属于标准制作内容。套餐包含项目中没有列明撰写隐私声明或同意管理工具，因此如果你希望网站设置其中任何一项，请要求在书面报价中列明。由于声明需要跟上网站的变化，可选的 Care 维护方案是一种处理办法：其中包含每月内容修改（Care Basic 每月最多 1 小时）。Gotka 的主机方案同样包含 SSL。想了解网站上线后各项持续开支的全貌，可参阅马来西亚网站维护费用是多少。

本文常用术语

• PDPA：马来西亚《2010年个人数据保护法令》（2024年修订），规范商业活动中处理的个人数据。
• 个人数据：能识别某个人或可以与某个人关联的信息，如姓名、电话号码、电邮地址，在某些情况下还包括在线标识。
• 告知与选择原则：PDPA 要求以书面方式告诉当事人你收集什么、为什么收集、与谁分享的义务。
• Cookie：网站请浏览器保存的一小段文本文件，用于之后识别该浏览器。
• 第一方与第三方 Cookie：前者由你正在访问的网站设置，后者由页面所加载代码或嵌入内容的其他公司设置。
• 同意横幅：请访客接受、拒绝或管理非必要 Cookie 的弹窗或横条。
• 像素（追踪标签）：广告或分析平台提供的代码片段，记录访问并与该平台自己的账号匹配。
• 数据使用者与数据主体：在 PDPA 中，前者指处理数据的机构，后者指数据所涉及的个人。
• 保留期限：在删除之前，你保存个人数据的时间长短。