2026 年西班牙电子商务 RGPD 与 LOPDGDD 合规：AEPD 合规、Cookie 同意与数据保护指南

1. RGPD + LOPDGDD 法律体系 — 概览

很少有欧洲国家像西班牙这样严格地执行数据保护法规。下图总结了本指南涵盖的六个法律与监管层级——阅读后续各深入章节时可随时参考。

RGPD 的实际要求

RGPD 建立在第 5 条规定的 六项处理原则 之上——合法、公平与透明；目的限制；数据最小化；准确性；存储限制；完整性与保密性——另外还有一项总括原则，即 问责制 （控制者必须能够证明其合规）。对于西班牙网店而言，这意味着：只收集所需的数据，只将其用于已声明的目的，只在法律要求的期限内保存，并记录每一个步骤。

RGPD 第 6 条还规定了数据处理的 六种合法依据 ：同意、合同、法定义务、重大利益、公共利益和正当利益。绝大多数电子商务数据处理属于 合同 （您完成的购买）或 法定义务 （税务留存、反欺诈），而 同意 则仅用于明显可选的目的，例如营销通讯和非必要 Cookie。

LOPDGDD 如何在西班牙扩展 RGPD

LOPDGDD 3/2018 是西班牙的国内实施法。它做了三件单纯的 RGPD 没有做的事：

• 增加了西班牙特有的规则：同意的最低年龄设定为 14 岁 （RGPD 允许 13–16 岁），明确禁止仅以同意为依据在雇佣关系中处理数据，并对已故人士的数据作出特别规定（第 3 条）。
• 列出了 16 个必须任命 DPO 的行业 （第 34 条）——远比 RGPD 的三个通用触发条件宽泛——涵盖征信、博彩、医疗、学校、保险、电力、水和天然气的分销与供应，以及电子通信服务提供商。
• 引入了第十编“Garantía de los derechos digitales”（数字权利保障）：包括网络中立权、数字安全权、数字教育权、工作中的数字断联权、数字遗嘱权以及更新数字媒体中个人信息的权利。这些权利为西班牙所独有。

2. AEPD — 西班牙数据保护局

起源与架构

Agencia Española de Protección de Datos（西班牙数据保护局） 成立于 1993 年，依据西班牙第一部数据保护法 LORTAD（第 5/1992 号组织法）设立。它是一个独立的公法机构，如今受 LOPDGDD 管辖，总部位于 C/ Jorge Juan 6, Madrid 28001。局长由司法部提名、经 Cortes Generales 听证后，以皇家法令任命，任期五年且不得连任。除 AEPD 外，还有两个对本地区公共部门拥有管辖权的地区性机构： APDCAT （加泰罗尼亚）和 AVPD （巴斯克地区）。

RGPD 第 58 条赋予的权力

AEPD 拥有三类权力：

• 调查权 ——要求提供信息、进行现场检查、进入场所和查看设备、审计控制者的数据、传唤证人。
• 纠正权 ——发出警告、训诫，责令使数据处理合规，责令满足数据主体权利，临时或永久禁止数据处理，以及处以行政罚款。
• 授权与咨询权 ——批准有约束力的公司规则，认证行为准则，就国内立法草案发表意见，为政府和 Cortes Generales 提供咨询。

为什么 AEPD 对电子商务尤为重要

AEPD 历来是欧盟最活跃的监管机构之一。其执法范围涵盖大型电信运营商、银行、社交网络以及众多电子商务平台。2024–2026 年反复出现的调查领域包括：没有有效“拒绝”选项的 Cookie 横幅、未经请求的商业通讯、涉及客户账户的数据泄露、在缺乏充分保障的情况下向第三国传输个人数据，以及未在法定一个月期限内处理数据主体访问请求。

3. Cookie 同意横幅 — 强制性要求

法律依据 — LSSI-CE 第 22.2 条 + RGPD 第 7 条

西班牙网站上的 Cookie 受 双层规则约束。法律依据是 LSSI-CE（第 34/2002 号法律）第 22.2 条，该条要求提供“关于使用数据存储和检索设备的清晰、完整的信息”。有效同意的概念则来自 RGPD 第 7 条——自由给予、具体、知情且明确，并且可以随时以与给予同意同样便捷的方式撤回。

AEPD Cookie 指南 — 2024 年更新

AEPD 发布了现行版本的 Guía sobre el uso de las cookies（Cookie 使用指南） ，发布时间为 2024 年 1 月，并与 EDPB 2023 年的指南保持一致。合规门槛如今已十分明确：

• 第一层横幅：必须标明控制者身份，列出 Cookie 的用途（技术、偏好、分析、广告、社交），说明接受和拒绝的后果，并链接到完整的第二层 Cookie 政策。
• “拒绝”按钮与“接受”按钮处于同一层级：AEPD 认为，将“接受”设计为醒目的彩色按钮，而将“拒绝”设为灰色小链接或隐藏在“管理偏好”之后，即构成违规。自 2024 年起，“拒绝”按钮必须与“接受”按钮同等醒目。
• 细分选项：购物者必须能够按类别（分析、广告、社交、个性化）分别接受或拒绝。
• 不得预先勾选：除严格技术性 Cookie 外，在任何情况下都不得预先选中其他用途。
• 不得设置 Cookie 墙：除非提供真正等效的替代服务，否则以用户必须接受为条件阻止其访问网站即构成违规。
• “继续浏览”不等于同意：继续滚动、浏览或点击链接都不构成有效同意。
• 撤回机制：每个页面上都必须有一个可随时撤回同意的常驻控件（通常是一个悬浮图标）。

双层架构

什么才算“严格技术性” Cookie

根据 LSSI-CE 第 22.2 条，严格技术性 Cookie 无需取得同意 。它们包括会话 Cookie、会话期间的身份验证 Cookie、购物车 Cookie、安全 Cookie（防 CSRF）、负载均衡 Cookie 以及无障碍 / 语言偏好 Cookie。 分析类 Cookie 不属于技术性 Cookie ——按照 AEPD 的解读，即使是 Google Analytics 4 也需要取得同意，除非处理完全匿名且仅配置用于测量控制者自身服务的流量。

4. 隐私政策 — 必须包含哪些内容

RGPD 第 13 / 14 条的最低要求

每个西班牙电商网站都需要一份 隐私政策（Política de Privacidad） ，可从每个页面访问，并满足 RGPD 第 13 条 （从数据主体处收集的数据）和第 14 条（从第三方获取的数据）规定的告知义务。必备内容包括：

• 身份和联系方式 ：控制者的身份和联系方式，以及（如适用）欧盟代表和 DPO 的联系方式
• 处理目的 以及每个目的的合法依据（合同、正当利益、同意、法定义务）
• 所追求的正当利益 ：控制者援引第 6(1)(f) 条时须说明
• 接收方或接收方类别 ：个人数据的接收方（支付处理商、物流服务商、营销工具）
• 向第三国传输：须注明国家、法律机制（充分性认定、SCC、BCR）以及保障措施的说明
• 存储期限 或用于确定该期限的标准
• RGPD 规定的八项权利 及其行使方式，以及向 AEPD 投诉的权利
• 提供数据是强制性的还是自愿的 以及拒绝提供的后果
• 是否存在自动化决策（包括用户画像），并提供有关所涉逻辑的有意义信息
• 撤回同意的权利（当以同意为合法依据时）

LOPDGDD 第 11 条 — 分层告知

LOPDGDD 明确允许采用 分层方式：在收集数据时（结账表单）提供简短、通俗的告知，并通过超链接指向包含 RGPD 第 13/14 条全部信息的完整隐私政策。这种模式现已成为 AEPD 推荐的电子商务做法。

隐私政策必须出现在哪里

• 每个页面的页脚 ——固定且可访问的链接，标注为“Política de Privacidad”或店铺语言中的同等表述
• 账户注册 ——与条款接受分开的复选框，绝不预先勾选，并链接到隐私政策
• 结账 ——简要告知订单所处理的数据，并链接到隐私政策
• 订阅表单 ——单独的营销同意，与“创建账户”分开
• 联系表单 ——简短告知 + 链接；仅在计划进行营销跟进时才需单独同意

5. 数据保护官（DPO）— 何时必须任命？

RGPD 的三个通用触发条件（第 37 条）

根据 RGPD 第 37 条，只要符合以下任一情形，控制者或处理者就必须任命 DPO：

• 数据处理由 公共机关或机构 进行（以司法身份行事的法院除外）
• 其核心活动所包含的处理操作，因其性质、范围或目的而需要 对数据主体进行大规模、定期且系统性监控
• 其核心活动包含大规模处理 特殊类别数据 （第 9 条）或与刑事定罪相关的个人数据（第 10 条）

LOPDGDD 第 34 条规定必须任命 DPO 的 16 个行业

西班牙的规定比 RGPD 更进一步： LOPDGDD 第 34 条 明确列出了十六类无论规模大小都必须任命 DPO 的活动。与电子商务相关性最高的包括：

• 征信系统运营商
• 利用用户画像开展广告和商业推广的公司
• 依法须保存病历的医疗机构
• 电子货币发行机构和信贷机构
• 保险和再保险机构
• 投资服务公司
• 电力和天然气供应商
• 定期、系统地处理客户个人数据的电子通信服务提供商
• 大规模建立用户画像的信息社会服务提供商
• 通过电子方式提供服务的博彩运营商
• 私营安保公司
• 涵盖未成年人的体育协会

报备义务

每个须任命 DPO 的控制者都必须在任命后十日内 通过在线门户向 AEPD 报备 （sede.aepd.gob.es），且每次更换 DPO 时都须重新报备。DPO 的联系方式还必须公布在隐私政策中。

DPO 的独立性与利益冲突

DPO 必须直接向最高管理层汇报，不得因履行职责而受到处罚或解雇，也不得担任决定数据处理目的和方式的职位（例如 CEO、CIO、CFO 或营销总监）。EDPB 和 AEPD 均已确认，DPO 兼任此类职位构成结构性利益冲突。

6. 数据主体权利 — RGPD 八项权利 + LOPDGDD 数字权利

RGPD 第三章规定的八项核心权利

每位西班牙客户都可以随时免费行使以下权利， 最长答复期限为一个月 （对于复杂请求可延长两个月，但须向数据主体说明理由）：

权利	条款	客户可以要求什么
访问权	第 15 条	确认是否正在处理 + 数据副本 + 第 13/14 条规定的全部信息
更正权	第 16 条	及时更正不准确或不完整的数据
删除权	第 17 条	在数据已不再必要、同意已撤回或处理违法时行使的“被遗忘权”
限制处理权	第 18 条	在核实期间暂时冻结处理
可携带权	第 20 条	以结构化、常用、机器可读的格式（JSON、CSV）获取数据
反对权	第 21 条	反对基于正当利益或用于直接营销的处理（针对营销为绝对权利）
自动化决策	第 22 条	不受仅基于自动化处理（包括用户画像）且产生法律或重大影响的决策约束的权利
向 AEPD 投诉	第 77 条	如数据主体认为答复不令人满意，可随时向 AEPD 申诉

LOPDGDD 第十编 — 西班牙独有的数字权利

LOPDGDD 第十编是西班牙的原创。它列举了超越 RGPD 的数字权利，包括：

• 网络中立权 （第 80 条）
• 数字安全权 （第 82 条）
• 数字教育权 （第 83 条）
• 互联网上的未成年人保护 （第 84 条）
• 互联网上的更正权 （第 85 条）
• 更新数字媒体中信息的权利 （第 86 条）
• 工作中的隐私权及数字设备使用 （第 87 条）
• 工作中的数字断联权 （第 88 条）
• 工作中免受定位设备侵扰的隐私权 （第 90 条）
• 数字遗嘱权 （第 96 条）

DSR 实操手册

对于电子商务，实操流程如下：

1. 接收 通过电子邮件、网页表单或邮寄方式提出的请求——所有渠道都必须受理。
2. 核实身份 ——须相称。对于已登录账户的老客户，会话通常就已足够；对于匿名电子邮件，可要求提供合理的身份证明。
3. 在一个月内答复 ——有正当理由时可延长两个月。
4. 记录每一项请求 ——收到日期、类型、答复、决定、理由——既供内部审计使用，也为 AEPD 可能进行的检查做准备。
5. 告知数据主体其有权 在不同意时向 AEPD 投诉。

7. 个人数据泄露 — 72 小时通报

三条通报流程

RGPD 第 4(12) 条将“个人数据泄露”定义为“导致个人数据被意外或非法销毁、丢失、更改、未经授权披露或访问的安全事件”。一旦发生，可能触发三条通报流程：

• 向 AEPD 通报 ：须在知悉后 72 小时内 完成（RGPD 第 33 条）——除非该泄露不太可能对权利和自由造成风险。
• 告知受影响的数据主体 ：当泄露可能对其权利和自由造成 高风险 时，须“及时”告知（RGPD 第 34 条）。
• 内部记录 ：无论严重程度如何，均须记入泄露登记册——该内部记录本身就是强制性的，并会接受审计。

AEPD 通报表

AEPD 在 sede.aepd.gob.es 提供数据泄露在线通报表。该表采用 EDPB 模板，要求填写：

• 控制者身份及 DPO 联系方式
• 泄露的性质——保密性、完整性、可用性
• 泄露发生的日期和时间以及知悉的日期和时间
• 受影响数据主体的类别和大致人数
• 受影响记录的类别和大致数量
• 对数据主体可能造成的后果
• 为减轻泄露影响已采取或拟采取的措施
• 是否以及如何已经或将要通知受影响的数据主体

“72 小时”计时

计时的起点 不是泄露发生的那一刻，而是控制者知悉泄露的那一刻。“知悉”要求对已发生事件且个人数据受到影响有合理程度的确定。如果因调查仍在进行而导致首次通报不完整，AEPD 接受 分阶段通报：在 72 小时内提交包含现有信息的初步通报，随后随着新信息的出现提交补充材料。

何时需要告知数据主体

第 34 条仅在泄露构成 高风险 时才要求直接告知数据主体——例如泄露涉及密码、财务数据、政府身份证号、特殊类别数据，或受影响的数据可能导致身份盗用或欺诈时。告知必须使用清晰、通俗的语言，并包含与 AEPD 通报相同的基本信息。

8. 跨境数据传输 — SCC、充分性认定与 TIA

为什么要限制跨境传输

RGPD 第五章（第 44–50 条） 限制向欧洲经济区（EEA）以外传输个人数据，以确保 RGPD 所保障的保护水平不被削弱。对于电子商务网站而言，这是最容易被忽视的合规领域之一：任何非欧盟的 SaaS 服务商（美国的分析工具、邮件营销、CRM、在线聊天插件）都可能需要进行第五章分析。

六种法律机制

1. 充分性认定（第 45 条） ——欧盟委员会已认定该第三国提供了实质上等同的保护水平。目前包括英国、瑞士、日本、韩国、以色列、新西兰、阿根廷、加拿大（商业部门），以及美国——但 仅限 通过以下框架认证的机构： 欧美数据隐私框架（EU-US Data Privacy Framework，DPF）.
2. 标准合同条款 — SCC（第 46(2)(c) 条） ——即欧盟委员会第 2021/914 号决定（2021 年 6 月）通过的现代化 SCC。共有四个模块：C2C、C2P、P2P、P2C。向未获充分性认定的国家传输数据时必须使用。
3. 有约束力的公司规则 — BCR（第 47 条） ——跨国企业集团内部传输所用的内部准则，由牵头监管机构批准。
4. 经批准的行为准则或认证机制 （第 46(2)(e)–(f) 条）
5. 临时合同条款 （第 46(3) 条）——须经监管机构授权
6. 特定例外情形 （第 49 条）——明确同意、履行合同所必需、重大公共利益。适用范围严格，不适合日常传输。

Schrems II 与传输影响评估（TIA）

根据 欧盟法院（CJEU）Schrems II 判决 （2020 年 7 月 16 日），依赖 SCC 向未获充分性认定的国家（尤其是 DPF 框架之外的美国）传输数据的控制者，必须进行 传输影响评估（TIA）。TIA 评估以下内容：

• 目的地国的法律是否允许以与欧盟基本权利不相容的方式访问个人数据
• SCC 的合同保障是否足以弥补此类差距
• 是否需要采取 补充措施 （使用由欧盟方控制密钥的加密、假名化、拆分处理）

EDPB 关于补充措施的 第 01/2020 号建议 仍是实际操作的参考依据。书面记录的 TIA 并非“锦上添花”——AEPD 已明确在检查中要求控制者出示 TIA。

2026 年实用服务商清单

服务商类别	2026 年适用机制	是否需要 TIA？
Google Analytics 4（美国，已获 DPF 认证）	通过欧美 DPF 获得充分性认定	简要审查
AWS / Azure / Google Cloud（欧盟区域）	数据存储在欧盟，技术支持访问使用 SCC	是，针对支持数据流
Mailchimp / SendGrid（美国）	已认证则适用 DPF，否则 SCC + TIA	是，如未获 DPF 认证
英国 SaaS（Hotjar 等）	英国充分性认定	简要审查
未获 DPF 认证的美国服务商	SCC + 补充措施 + 完整 TIA	是，完整评估

9. 2026 年 AEPD 罚款 — 最高 2,000 万欧元或全球营业额的 4%

两级处罚制度

RGPD 第 83 条为行政罚款设定了两个上限，AEPD 严格执行：

LOPDGDD 的西班牙层面 — 第 70 条及以下的分类

LOPDGDD 将违规行为重新分为 特别严重, 严重 和 轻微 三类，时效期分别为三年、两年和一年（第 72–74 条及第 78 条）。这是西班牙的特殊之处：除 RGPD 的上限外，LOPDGDD 还设有自己的程序框架，这会影响 AEPD 计算罚款的方式以及被处罚方援引时效期的方式。

加重与减轻因素（RGPD 第 83(2) 条）

AEPD 在确定罚款时会考虑十一项因素：违规的性质、严重程度和持续时间；故意或过失；已采取的减轻措施；责任程度；以往违规记录；与监管机构的合作；受影响的个人数据类别；监管机构获知违规的方式；对此前责令的纠正措施的遵守情况；遵守行为准则或认证的情况；以及任何其他加重或减轻情节。

近期执法趋势

不点名具体决定的话，2024–2026 年 AEPD 的执法重点包括：

• Cookie 横幅 缺少同等醒目的“拒绝”按钮——反复出现 3 万至 10 万欧元区间的罚款，大型平台金额更高
• 未经请求的商业通讯 在未获有效同意的情况下发送——通常同时构成 LSSI-CE 和 RGPD 违规
• 数据泄露 涉及登录凭据和支付数据——通报迟延或未通报时，罚款会大幅上升
• 跨境传输 未进行 TIA——在涉及美国广告技术服务商的决定中被越来越多地援引
• 未予答复 ：未在一个月内答复数据主体访问请求——案件数量多、单笔金额较低的一类

LOPDGDD 第 76(2) 条对中小企业的减轻规定

LOPDGDD 包含一项对中小企业友好的条款：AEPD 可以发出 apercibimiento（警告） 以代替罚款，前提是违规程度较轻、控制者为中小企业，并且在 AEPD 规定的期限内实施了整改计划。这一做法广泛适用于小型电商经营者的首次违规——但必须在被处罚方的陈述中提出申请，且由 AEPD 酌情决定。

10. 2026 年电子商务合规核对清单 — 分步指南

十二项 AEPD 就绪核对清单

无论您是要开设新的西班牙网店，还是审计现有网店，以下十二项都是 2026 年 AEPD 就绪的最低核对清单：

1. 隐私政策（Política de Privacidad） 置于每个页面的页脚，以分层告知方式满足 RGPD 第 13/14 条的要求。
2. 法律声明（Aviso Legal） 依据 LSSI-CE 第 10 条——服务提供者身份、NIF（税号）、联系方式、注册信息、职业资质。
3. Cookie 横幅 “接受 / 拒绝 / 配置”处于同一视觉层级，按类别细分，不预先勾选，每个页面都有撤回控件。
4. Cookie 政策 页面，详细说明每个 Cookie 的用途、期限和第三方接收方——并随技术变化及时更新。
5. 处理活动记录（RAT — Registro de Actividades de Tratamiento） 依据 RGPD 第 30 条——每项处理活动一条记录（客户、订单、营销、供应商、员工）。
6. 数据保护官（DPO） 如适用 LOPDGDD 第 34 条所列行业或 RGPD 第 37 条的触发条件，须任命并向 AEPD 报备。
7. 欧盟代表 在西班牙提供商品或服务的非欧盟控制者须书面指定（RGPD 第 27 条）。
8. 数据主体请求（DSR）渠道 ——至少提供一个电子邮件地址和一个网页表单，配合内部日志和一个月的服务时限。
9. 泄露响应计划 包含指定负责人、与 AEPD 表格字段一致的模板、客户通知模板以及 72 小时计时。
10. 服务商 / 处理者合同 与所有第三方签订（RGPD 第 28 条）——每家均需一份 DPA（数据处理协议）。
11. 国际传输文档 ——签署相应的 SCC 模块，对未获充分性认定的国家进行 TIA，并在需要时采取补充措施。
12. 员工培训 ——至少每年一次并留有记录，内容涵盖 RGPD 基础知识、Cookie 合规、网络钓鱼防范意识以及内部泄露报告程序。

实施顺序

1. 第 1 周 — 盘点：列出所有表单、所有 Cookie、所有服务商以及所处理的每一类个人数据。据此填写 RAT 并识别所有跨境传输。
2. 第 2 周 — 文件：起草或更新隐私政策、法律声明、Cookie 政策、DPA 模板和泄露响应计划。
3. 第 3 周 — 技术：部署合规的 Cookie 横幅，上线 DSR 网页表单，配置泄露响应通知链。
4. 第 4 周 — 培训与签批：培训所有面向客户的员工，将整套材料提交管理层正式签批，并安排下一次年度审查。

为什么集中管理很重要

西班牙电商通常运行在由以下工具组成的技术栈上： Shopify / WooCommerce / PrestaShop + 电商平台（Amazon ES、AliExpress、El Corte Inglés） + 营销工具 + 物流 + 支付。每种工具都可能收集、存储和共享个人数据，因此每种工具都需要纳入 RAT、隐私政策和国际传输分析。试图用电子表格手动管理这一切，是最常见的失败原因。

Zunapro 将所有已连接渠道的合规层整合在一起：一个主 RAT、一个主隐私政策模板、一份 Cookie 同意日志、一个 DSR 收件箱、一个泄露登记册。最终要求查看文档的 AEPD 检查员将收到一份统一连贯的档案——而不是来自十二个不同工具的十二份导出文件。

2026 年西班牙数据保护常见问题