西班牙电商法规完全指南：GDPR、退货、发票、税务避坑手册（2026版）

为什么法规合规是生死线？

很多华人老板的想法是："先把网站做起来赚钱，法规的事以后再说。"

这是一个非常危险的想法。以下是真实的罚款案例：

违规类型	罚款金额	国家	企业类型
GDPR——未经同意收集Cookie	150,000欧	西班牙	电商网站
GDPR——数据泄露未及时通知	350,000欧	西班牙	在线平台
GDPR——缺少隐私政策	50,000欧	西班牙	中小企业
未显示公司法律信息	30,000欧	西班牙	网店
不合规的退货政策	20,000欧	西班牙	电商
发票不符合Verifactu要求	150欧/张	西班牙	所有企业

西班牙的数据保护局（AEPD）是欧盟最活跃的执法机构之一。2025年开出了超过5,000万欧的罚款总额。

合规不是可选的，是必须的。而且越早做越好——因为追溯罚款是不封顶的。

第一章：GDPR——欧盟最严格的隐私法

什么是GDPR？

GDPR（General Data Protection Regulation）= 通用数据保护条例，是欧盟于2018年实施的隐私法。它适用于所有处理欧盟居民个人数据的企业——无论企业在哪里注册。

核心原则：

个人数据属于个人，不属于企业
收集数据必须有合法理由
必须告知用户你收集了什么、怎么用
用户有权查看、修改、删除自己的数据
数据泄露必须在72小时内通知监管机构

罚款等级

违规级别	最高罚款	典型违规
一级	1,000万欧或全球营业额2%	缺少数据处理记录、未指定DPO
二级	2,000万欧或全球营业额4%	未经同意处理数据、数据泄露隐瞒

电商网站GDPR合规清单

1. 隐私政策（Política de Privacidad）

你的网站必须有一个完整的隐私政策页面，包含以下信息：

必须包含的内容	说明
数据控制者身份	公司名称、NIF/CIF、地址、联系方式
收集的数据类型	姓名、邮箱、电话、地址、支付信息等
数据处理目的	为什么收集？订单处理、营销、统计？
法律依据	同意、合同履行、合法利益、法律义务
数据共享对象	物流公司、支付网关、营销工具等
数据保留期限	每类数据保存多久
用户权利	访问、修改、删除、转移、反对
数据传输	是否将数据传输到欧盟以外
Cookie信息	或链接到Cookie政策
投诉渠道	西班牙AEPD的联系方式

2. Cookie管理

2026年的Cookie合规要求：

要求	说明	合规状态
Cookie横幅	首次访问时显示，请求同意	必须
默认不加载	非必要Cookie默认关闭	必须
分类管理	必要/分析/营销分开管理	必须
可以拒绝	"拒绝"按钮和"接受"一样显眼	必须
记录同意	保存用户的同意记录	必须
随时撤回	用户可以随时更改Cookie设置	必须

常见错误：

只有"接受"按钮没有"拒绝"——违规
"拒绝"按钮颜色浅、字小——违规
用户未同意前就加载Google Analytics——违规
Cookie横幅无法关闭——违规

推荐Cookie管理工具：

工具	价格	适合
CookieYes	免费-49欧/年	小型网站(100页以内)
Complianz	49欧（一次性）	WordPress网站
CookieBot	108欧/年起	自动扫描、多语言
Iubenda	27欧/年起	法律文件套装

3. 数据处理协议（DPA）

你需要与所有处理用户数据的第三方签署DPA：

第三方服务	需要DPA	如何获取
物流公司（GLS、SEUR等）	是	联系商务部门
支付网关（Redsys、PayPal）	是	通常在服务协议中
邮件服务（Mailchimp等）	是	平台自动提供
分析工具（Google Analytics）	是	Google提供标准DPA
云服务器（Hetzner、OVH）	是	通常在服务协议中
CRM/ERP（Odoo等）	是	取决于部署方式

4. 数据泄露应急预案

GDPR要求在发现数据泄露后72小时内通知AEPD。你需要提前准备：

步骤	时限	操作
发现泄露	立即	记录时间、范围、原因
评估风险	24小时内	评估对用户的影响程度
通知AEPD	72小时内	通过Sede Electrónica提交通知
通知用户	尽快	如果高风险，必须直接通知受影响用户
修复措施	立即	堵住漏洞、加强防护
记录存档	永久	保留完整事件记录

第二章：消费者权利——退货、保修、信息披露

14天无理由退货权

西班牙和欧盟消费者保护法规定：

规则	说明
退货期限	从收到商品之日起14个自然日
理由	不需要任何理由
退款时限	收到退货后14天内退款
退货运费	法律不强制谁出，但需要提前告知
退款方式	必须使用与付款相同的方式退款

例外情况（不适用14天退货权）：

产品类型	原因
定制/个性化产品	无法二次销售
食品/易腐品	保质期问题
密封卫生用品（拆封后）	卫生原因
报刊杂志	时效性
数字内容（已下载）	已消费
密封音频/视频（拆封后）	版权保护

法定保修

规则	说明
保修期	3年（2022年起从2年延长到3年）
举证责任	前2年由卖家证明产品没有缺陷
补救方式	优先修理或更换，不行则退款
适用对象	所有新产品（二手产品可以协商缩短到1年）

必须在网站上展示的信息

信息	位置	法律依据
公司名称和NIF/CIF	页脚或法律声明页	LSSI
注册地址	页脚或法律声明页	LSSI
联系邮箱	联系页面	LSSI
电话号码	联系页面	消费者法
价格（含IVA）	产品页面	消费者法
运费	结账前明确显示	消费者法
退货政策	专门页面	消费者法
条款和条件	专门页面	LSSI
隐私政策	专门页面	GDPR
Cookie政策	横幅+专门页面	LSSI/GDPR

LSSI = Ley de Servicios de la Sociedad de la Información（信息社会服务法）

第三章：税务合规——IVA和电子发票

IVA增值税详解

税率	比例	适用商品示例
一般税率	21%	电子产品、服装、家居、化妆品、汽车配件
优惠税率	10%	加工食品、酒店餐饮、运输、眼镜、住房翻新
超优惠税率	4%	面包、牛奶、鸡蛋、水果蔬菜、药品、书籍、轮椅
免税	0%	出口、教育、医疗、金融服务、保险

关键规则：

网站上显示的价格必须是含IVA的价格
发票上必须分别列出：净价 + IVA金额 + 总价
不同税率的产品需要分行显示

电子发票新规（2026年）

SII（实时信息申报）

项目	说明
全称	Suministro Inmediato de Información
强制对象	年收入超过600万欧的企业
要求	发票开具后4天内向AEAT发送数据
方式	通过Web Service API自动发送
Odoo支持	社区版有免费模块

Verifactu（电子发票验证系统）

项目	说明
全称	Sistema de Verificación de Facturas
生效时间	2026年强制执行
要求	所有发票必须通过认证软件生成
认证	软件需通过AEAT认证
罚款	不合规每张发票150欧起
解决方案	Odoo、Holded、FacturaDirecta等已认证

IVA申报周期

申报	周期	截止日	模型号
IVA季度申报	每季度	1/20, 4/20, 7/20, 10/20	Model 303
IVA年度汇总	每年	1/30	Model 390
欧盟内部交易	每月	次月20日	Model 349
信息申报	每年	1/31	Model 347

跨境销售的税务处理

如果你向其他欧盟国家的消费者销售：

场景	规则
小额跨境B2C	2021年起，年销售额超过10,000欧需在目标国注册税号或使用OSS
OSS（一站式服务）	在西班牙统一申报所有欧盟国家的IVA
B2B销售	反向征税（Reverse Charge），开0% IVA发票
出口（非欧盟）	免税，但需要出口证明

第四章：广告和营销合规

电子邮件营销规则

规则	说明	罚款
必须获得同意	不能购买邮件列表群发	最高60万欧
必须可以退订	每封邮件底部必须有取消订阅链接	5万欧
发件人身份	必须清楚标明发件人是谁	3万欧
不能预勾选	注册时不能默认勾选"同意接收营销"	3万欧

产品宣传规则

要求	说明
不得虚假宣传	产品描述必须真实准确
价格透明	显示历史最低价（打折时）
原产地	必要时需标明产品原产国
CE认证	某些产品必须有CE标志
环保声明	"绿色"/"环保"等声明需要有依据

合规成本和实施方案

自己做 vs 找专业服务

合规项目	自己做（成本）	找专业服务（成本）	建议
隐私政策	免费模板风险高	300-800欧	找专业
Cookie管理	50-100欧/年(工具)	含在服务中	工具+配置
退货政策	免费模板	200-500欧	可以自己做
条款和条件	免费模板风险高	300-800欧	找专业
Verifactu合规	取决于软件	500-1,500欧	找专业
全套法律文件	-	1,000-2,500欧	推荐套装

合规维护清单

频率	任务
每月	检查Cookie管理系统运行正常
每季度	IVA申报
每半年	审查隐私政策是否需要更新
每年	全面合规审查
法规变更时	及时更新相关文件