西班牙网站合规清单：法律声明、隐私政策与Cookie

在西班牙经营的公司，网站同样要遵守西班牙和欧盟的相关法律。不少华人商家的网站由国内团队或模板搭建，常常缺少法律声明和隐私政策，Cookie 横幅也形同虚设。下面按模块整理一份检查清单。

要点

西班牙网站合规的核心是透明和选择权：按 LSSI-CE 在法律声明里公开经营者身份，按 GDPR 和 LOPDGDD 在隐私政策里说明收集什么数据、做什么用；在访客同意之前，不加载任何非必要的 Cookie 和跟踪代码，拒绝要和接受一样容易。网店还要满足消费者保护法的告知义务和撤回权（一般为 14 个自然日），而且每种语言版本的法律文本都要齐全。

法律声明（Aviso legal）：LSSI-CE

西班牙网站的法律声明用来公开经营者身份。西班牙《信息社会服务与电子商务法》（Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico，简称 LSSI-CE 或 LSSI）第 10 条要求通过网站经营的主体以长期、便捷、直接且免费的方式公开以下信息，通常放在页脚链接的“法律声明”（Aviso legal）页面：

• 公司名称，或个体经营者的姓名；
• 税号 NIF（公司税号过去常称 CIF）；
• 注册地址；
• 电子邮箱等能直接联系到你的方式；
• 在商业登记处（Registro Mercantil）等公共登记处的登记信息（如适用）；
• 需要事先取得行政许可的活动，还需提供许可信息和主管机关；
• 受监管的职业，还需提供职业资格、所属专业协会等信息。

另外，网站上标示价格时要清楚准确，并说明是否含税、是否另收运费。

隐私政策：GDPR 与 LOPDGDD

只要网站收集个人数据（联系表单、订单、订阅，甚至统计工具），就需要一份符合欧盟《通用数据保护条例》（Reglamento (UE) 2016/679，简称 GDPR，西语 RGPD）和西班牙《个人数据保护与数字权利保障组织法》（Ley Orgánica 3/2018, de 5 de diciembre，简称 LOPDGDD）的隐私政策。

GDPR 第 13 条和第 14 条规定了必须告知的内容。隐私政策（Política de privacidad）要用清楚易懂的语言说明：

• 数据控制者：谁在处理数据、如何联系；设有数据保护官（DPO）的，一并提供。
• 目的：例如回复咨询、处理订单、发送资讯。
• 法律依据：每个目的对应的依据，例如同意、履行合同、法定义务或正当利益。
• 接收方：例如快递、支付和托管服务商。数据传输到欧洲经济区以外时（包括使用服务器在中国或美国的工具），要如实说明，并有合法的传输保障，例如欧盟标准合同条款。
• 保存期限：保存多久，或确定期限的标准。
• 用户权利：访问、更正、删除、限制处理、反对和数据可携等权利及行使方式；基于同意的处理可以随时撤回。
• 投诉渠道：用户有权向西班牙数据保护局（AEPD，Agencia Española de Protección de Datos）投诉。

LOPDGDD 第 11 条允许“分层告知”：在收集数据的地方（例如表单旁）先提供基本信息，至少包括控制者身份、处理目的和可以行使的权利，并附上能方便、立即查看完整隐私政策的链接。这也是西班牙网站的常见做法。

Cookie：LSSI 第 22.2 条与 AEPD 指南

在西班牙，网站使用非必要 Cookie 之前必须先取得访客同意。这条规则来自 LSSI 第 22 条第 2 款，具体做法可参照 AEPD 发布的《Cookie 使用指南》（Guía sobre el uso de las cookies，2024 年 5 月更新版）：

• 同意之前，不加载非必要 Cookie：统计工具（如 GA4）、广告像素（如 Meta Pixel）、部分在线客服插件，都要在用户同意后才加载；嵌入的第三方视频和地图如果会写入非必要 Cookie，也要先取得同意（例如点击后再加载）。购物车、登录状态、记住 Cookie 选择这类技术必需的 Cookie 可以直接使用。
• 横幅设计：第一层就让“拒绝”和“接受”一样容易，例如两个同样醒目、同一层级的按钮，并提供按类别选择的“设置”选项。
• 无效的同意：继续浏览、滚动页面、预先勾选的选项，都不算有效同意。
• Cookie 政策：用单独页面列出使用了哪些 Cookie、用途、保存时间、是否来自第三方，以及如何撤回同意。
• 随时可以改主意：比如在页脚放“Cookie 设置”链接，撤回同意要和给出同意一样简单。

自查方法：用无痕窗口打开网站，先不点横幅，在开发者工具里看是否已写入统计或广告类 Cookie。公司如果还有 App，App 里的统计和广告 SDK 一般也要先取得同意，见我们的App 开发流程指南里的隐私合规部分。

联系表单

联系表单是收集个人数据的地方，要做到就地告知、只收必要信息、同意不预先勾选：

• 表单旁放第一层隐私信息，并链接到完整的隐私政策；
• 只收集必要字段，不要因为“以后可能有用”就要求填写证件号码、生日等；
• 在适当的情况下设置确认勾选框（例如“我已阅读并接受隐私政策”），不要默认勾选；
• 想发送营销邮件或资讯，要用单独的勾选框取得同意，不能和提交咨询捆绑。LSSI 第 21 条原则上禁止发送收件人事先没有请求或明确同意的商业电子邮件（向已有客户推广同类产品或服务等情形除外）；
• 表单数据发到哪里、谁能看到、保存多久，要和隐私政策写的一致。

网店：消费者保护的基本要求

直接向消费者销售的网站，还要遵守西班牙消费者保护法规，主要是《保护消费者和用户一般法》合并修订文本（Real Decreto Legislativo 1/2007，简称 TRLGDCU）。概括来说：

• 销售条款（Condiciones generales de contratación）：下单、支付、配送、保修、退换货等内容，购买前就能查看；
• 撤回权信息：说明消费者的撤回权（derecho de desistimiento）、期限、行使方式和例外情况，并提供撤回表格范本。按 TRLGDCU 第 102 条，远程购买的撤回期一般为 14 个自然日，消费者无需说明理由；
• 价格含税：向消费者展示含增值税（IVA）的最终价格，运费等额外费用在下单前明确告知；
• 法定保证：说明所售商品的法定保证（garantía legal）信息；
• 付款按钮和订单确认：付款按钮要清楚表明下单即需付款，例如 “pedido con obligación de pago” 或类似的明确表述；下单后向客户发送确认。

面向企业的批发网站规则不同，但同样需要清楚的交易条款。还在考虑做独立站还是上亚马逊等平台的，可以先看独立站还是电商平台？西班牙卖家怎么选。

多语言网站：每种语言都要完整

网站有中文、西语、英语等多个版本时，法律声明、隐私政策、Cookie 政策和横幅也应有对应语言的版本，且内容一致。常见的问题是西语页面有隐私政策，中文页面却没有，或者横幅只有西语。用访客看得懂的语言说明，同意才谈得上“知情”。

一页检查清单

上线前逐项核对下面 8 点：

1. 法律声明：公司名称、NIF、地址、邮箱、登记信息齐全。
2. 隐私政策：控制者、目的、法律依据、接收方、保存期限、用户权利、AEPD 投诉渠道。
3. 同意之前不加载非必要 Cookie。
4. 横幅第一层“拒绝”和“接受”一样容易，并有设置选项。
5. 有 Cookie 政策，可以随时修改或撤回同意。
6. 表单有第一层隐私信息，营销同意单独勾选、不预先勾选。
7. 网店有销售条款和撤回权信息，价格含 IVA。
8. 每种语言的法律文本齐全且一致。

常见问题

只是展示型网站，没有网店，也需要这些页面吗？

一般需要。通过网站经营就应公开身份信息；只要有联系表单或统计工具，就涉及个人数据和 Cookie，也需要隐私政策和 Cookie 设置。

用了 GA4，一定要有 Cookie 横幅吗？

一般是的。GA4 会写入统计类 Cookie，按照 AEPD 指南需要先取得同意。可以把网站设置为用户点击“接受”后才加载 GA4。

法律文本可以直接从别的网站复制吗？

不建议。每家公司的数据处理方式、工具和服务商都不同，照抄的内容往往与实际不符。可以参考结构，但要按实际情况来写，并请律师审核。

Cookie 横幅、表单隐私提示、多语言法律页面这些技术部分，我们可以协助落实；法律文本的具体内容，建议由律师确认。需要的话可以看看我们的网站建设与独立站服务，或联系我们，我们用中文、西语或英语回复。

说明：本文仅为一般性信息，不构成法律意见。法规和监管机构的指南可能更新，具体到你的公司、行业和网站功能，请咨询西班牙执业律师或专业的数据保护顾问确认。