GDPR：youtube-nocookie 嵌入式 URL，需要访问者的许可吗？

Question

这是我第一次在 Stack Overflow 上发帖，我有一个关于 GDPR 的问题。

你好！ （这是贴在帖子顶部的，但由于某种原因，当我保存它时它被删除了）

情况：

在我的网站上，我不想通过 cookie 通知来打扰访问者，因此目标是只放置必要的 cookie。但是，网站上会嵌入 YouTube 视频，通常会放置跟踪 cookie。

经过一番研究，我偶然发现了我现在正在使用的 youtube-nocookie.com 域。在不使用该域的情况下，嵌入的视频 url 将是：

https://www.youtube.com/embed/7cjVj1ZyzyE

使用它是：

https://www.youtube-nocookie.com/embed/7cjVj1ZyzyE

通过使用后者，cookie 只会在播放视频后放置，不会放置跟踪 cookie（根据谷歌：https://support.google.com/youtube/answer/171780?hl=en 在“打开隐私增强模式”下）。但是，仍然会放置一些 cookie，我不清楚访问者是否需要授予这些 cookie 的权限，如果需要，在什么类别下（也许他们仍在跟踪？）。

cookies 的图片：

Image of cookies youtube-nocookies.com places

这是在 Chrome 中。出于某种原因，来自 gstatic 域的 cookie 被放置在页面加载中。这在 Opera 中不会发生。

另一个奇怪的事情是 FireFox（允许所有 cookie 和跟踪器）和 Edge 似乎根本没有放置图像中的 6 个 cookie。

许多网站和博客说这是嵌入 YouTube 视频的方式，但如果您仍然需要访问者对这些 cookie 的许可，我似乎无法找到明确的答案。此外，在我只接受必要 cookie 的许多网站上，我仍然可以观看 YouTube 视频，并且在未经我同意的情况下会很乐意放置相应的 cookie。

以前有人处理过这个问题吗？

提前致谢！

Answer 1

我可以确认 localStorage 条目有效地替换了 cookie 的功能。它是持久的，使您可以跨浏览器会话进行识别。每次重新启动后，我都会得到相同的“yt-remote-device-id”值。只有擦除本地存储会有所不同。

Answer 2

经过更多研究，我想我找到了明确的答案。来自 Cookiebot 的报告：

目前为“隐私增强模式” 存储一个名为“yt-remote-device-id”的标识符 在网络浏览器的“本地存储”中。这 允许跟踪继续进行，无论 用户是否点击、观看或以任何其他方式 与视频互动——与谷歌相反 索赔。 “隐私增强模式”似乎掩盖了它，而不是禁用跟踪。

来源：https://www.cookiebot.com/media/1136/cookiebot-report-2019-ad-tech-surveillance-2.pdf

“yt-remote-device-id”标识符以及其他一些标识符，即使使用 youtube-nocookie.com 域（或“隐私增强模式”），仍然被放置在页面加载中（假设此时带有设置源的 iframe 已经是 DOM 的一部分）。

因此，虽然没有放置跟踪“cookie”cookie，但跟踪已移至浏览器 localStorage（我之前忽略了这一点），这基本上意味着访问者确实需要在启用隐私增强模式的嵌入式 YouTube 视频之前给予许可加载到页面上。

更新

在回应 Marc Hjorth 的评论时给出了一些细微差别。