虽然“合法利益”是另一项合法依据，但在欧盟/欧洲经济区放置跟踪 cookie 和投放个性化广告通常被认为不合适，尤其是数据保护机构和主要广告平台（如谷歌和 Meta，它们通常会以自己的条款要求对个性化广告征得同意）。
您有责任证明您的合法利益高于用户的隐私权。这对于再营销 Cookie 来说是一个很高的标准。
III. GDPR合规再营销的核心要素
全面透明的隐私政策：
详细披露：清楚地解释您对再营销像素/cookies的使用。
收集的数据：列出为再营销收集的个人数据类型（例如，IP 地址、cookie ID、浏览行为）。
目的：明确说明这些数据用于个性化广告、再营销和衡量广告效果。
第三方处理器：命名特定的广告平台（Google Ads、Meta、LinkedIn）以及任何其他处理再营销数据的第三方。
用户权利：明确概述所有 GDPR 数据主体权利（访问、更正、删除、反对等）以及用户如何行使这些权利。
退出机制：为用户提供退出个性化广告的明确指示和链接（例如，NAI/DAA 退出页面的链接、广告平台设置）。
强大的 Cookie 同意管理平台 (CMP)：
事先同意：在用户明确同意之前，不应触发任 列表到数据 何再营销或分析 cookie/像素。
精细选择： CMP 必须允许用户选择接受所有 Cookie、拒绝所有 Cookie 或选择同意哪些类别的 Cookie（例如，“绝对必要”、“分析”、“营销/广告”）。再营销像素属于“营销/广告”类别。
同意记录： CMP 应记录并存储每位用户的同意证明，包括日期、时间和具体选择。这对于问责至关重要。
重新同意：应将 CMP 配置为在一定期限（例如 6 或 12 个月）后或您的数据处理实践发生重大变化时重新请求同意。
与像素集成：确保您的 CMP 与您的 Google 标签管理器 (GTM) 设置正确集成，或直接像素实现根据同意阻止/取消阻止标签。
Google 同意模式：如果您使用 Google Ads/GA4，请利用 Google 同意模式。这允许 Google 标签根据用户同意情况做出不同的行为（例如，如果营销同意被拒绝，则发送汇总的非识别性数据进行建模，而不是完全停止数据收集）。这有助于在尊重隐私的同时填补数据空白。
与所有第三方的数据处理协议 (DPA)：
根据 GDPR，如果您（数据控制者）与第三方（数据处理者，例如 Google、Meta、LinkedIn、您的 CRM 提供商、分析工具）共享个人数据进行处理，则必须签订具有法律约束力的数据处理协议 (DPA)。
DPA 的目的： DPA 概述了控制者和处理者的责任，确保处理者仅根据控制者的指示和 GDPR 要求处理数据（例如，安全措施、数据主体权利协助、数据泄露通知程序）。
如何获取：主流广告平台通常会在其服务条款中内置 DPA（或类似的 GDPR 合规条款），或以可下载的附录形式提供。您必须确保接受或签署这些条款。