关键在于用户是否真正拥有知情权、选择权和控制权；需检查四类高风险环节：一、所有终端侧数据写入行为是否纳入审查；二、“同意机制”是否真实有效；三、每类存储行为是否有清晰法律依据；四、数据流是否超出用户授权范围。
识别项目中Cookie与LocalStorage等技术是否符合GDPR及ePD要求，关键不是看“用了没”，而是看“怎么用”——重点在于用户是否真正拥有知情权、选择权和控制权。以下四类检查点可快速定位高风险环节。
一、确认所有终端侧数据写入行为是否已纳入审查范围
欧盟监管对象不限于传统Cookie。只要在用户设备上“存储”或“访问”信息，即触发ePD第5(3)条义务。需逐项核查：
- 浏览器端：document.cookie、localStorage、sessionStorage、IndexedDB、WebSQL、Cache API
- 网络层：URL参数（如utm_、ref=）、像素追踪（1x1 GIF）、重定向链中的state token
- 设备层：通过JS读取屏幕分辨率、时区、字体列表、Canvas指纹等生成唯一标识的行为
- 第三方SDK：埋点库（如Sentry、Firebase Analytics）、广告归因工具（AppsFlyer、Adjust）、客服插件（Intercom、Drift）是否自动写入或读取本地存储
二、验证“同意机制”是否真实有效，而非形式主义
GDPR第7条与EDPB《Cookie横幅指南》明确：同意必须自由、具体、知情、明确。常见失效情形包括：
- 弹窗中“接受全部”按钮醒目（绿色大按钮），而“仅必要”或“拒绝”藏在二级菜单、需滚动查找、或点击后跳转至冗长设置页
- 默认勾选任何非必要选项（如“允许分析”“开启个性化推荐”）
- 未提供按目的分类的开关（如“统计分析”“广告投放”“社交媒体嵌入”应独立勾选）
- 用户拒绝后，网站核心功能（如登录、下单、内容阅读）被刻意降级或阻断
- 未记录用户选择的时间戳、所选类别、设备标识（用于事后举证）
三、核对每类存储行为是否有清晰、可验证的法律依据
不能笼统写“我们使用Cookie改善服务”。须为每一类技术用途匹配合法基础：
- 技术必要型（无需同意）：维持会话（session_id）、购物车暂存、负载均衡token、CSRF防护令牌——需证明其不可替代性，且不用于追踪
- 用户同意型（必须前置获得）：行为分析（Google Analytics）、A/B测试、广告重定向、社交分享按钮、嵌入式视频播放器的用户偏好记忆
- 合法利益型（需完成LIA评估）：反欺诈风控日志、错误监控（Sentry）、CDN缓存策略优化——但不得将“提升广告收益”包装为合法利益
四、检查数据流是否超出用户授权范围
即使获得同意，后续操作仍可能违规：
- 将用户拒绝分析类Cookie后仍采集的页面停留时长、点击热区等行为数据，同步至第三方分析平台
- 在用户仅同意“功能性Cookie”时，却向广告联盟（如Google Ad Manager）发送设备ID或哈希邮箱
- LocalStorage中存储的用户偏好（如语言、主题）被未经脱敏直接上传至后台用于用户画像建模
- 第三方SDK在初始化阶段即读取已有localStorage内容（如用户历史搜索词），而该读取行为未在弹窗中单独披露并征得同意
