Jason ZhuJasonZhu.AI
EN

出海专题

上线前必备的合规页面和登记：隐私政策、cookie、卖家信息页、当地代表，境外小卖家按市场要做什么

人在国外、没有当地公司，不等于当地法律管不到你：日本的特商法、欧盟和英国的 GDPR、中国的个人信息保护法都写明管境外卖家，印尼的 PSE 登记境外也要做，2022 年还因此封过 PayPal 和 Steam。下面按市场列出面向当地用户上线前要挂的页面、要办的登记、要指定的代表，以及达到什么门槛才适用。税务登记见「数字产品的税」那篇，ICP 备案见「域名怎么选」那篇。

按官方页面整理，核实于 2026-11-07。规则会变，办事前以链接里的官方最新页面为准。

⚠️ 这一页按各国法律原文和监管机构的说明整理，是一般信息，不是法律建议。具体到你的产品和用户，请找当地律师。

美国：隐私政策没有门槛，自动续费按州管

  • 加州 CalOPPA：收集加州居民个人信息的商业网站，都要显著挂出隐私政策，写明收集什么、分享给哪类第三方、用户怎么查改、政策怎么变更通知，以及怎么回应「请勿追踪」。这条没有营收或用户数门槛。加州商业与职业法典
  • CCPA 只管满足其一的企业：上一年营收超过 2,662.5 万美元（2025 年起的数）、买卖或共享 10 万以上加州居民的个人信息、一半以上收入来自卖或共享个人信息。多数小站够不上。加州隐私保护局
  • 面向 13 岁以下儿童的网站适用 COPPA；修订版 2025 年 6 月 23 日生效，多数条款 2026 年 4 月 22 日起必须合规，比如把儿童的数据交给第三方做广告，要另外取得家长同意。联邦公报（2025-04-22）
  • 加州自动续订法的修订 2025 年 7 月 1 日起适用：自动续费要单独取得用户明确同意，免费试用转付费也算；取消要和注册一样容易。DWT 律所简报（2024-10-01）
  • FTC 的「一键取消」规则 2025 年 7 月 8 日被第八巡回上诉法院整体撤销，但联邦 ROSCA 法和各州的自动续订法照样适用；FTC 2026 年 3 月又开始重新征求意见。Latham & Watkins（2025-07-11）、FTC（2026-03-11）
  • 无障碍：司法部的指引说 ADA 适用于企业在网上提供的商品和服务，但没给私营网站定技术标准；2025 年联邦法院受理的网站无障碍诉讼有 3,117 起。美国司法部、Seyfarth 统计（2026-03）

印尼：境外运营者也要做 PSE 登记，不登记会被封

越南：新的个人数据保护法 2026 年 1 月起施行

  • 《个人数据保护法》（第 91/2025/QH15 号）2026 年 1 月 1 日施行，配套的第 356/2025 号议定同日生效，取代 2023 年的第 13 号议定。DLA Piper 越南（2026-02-15）
  • 处理越南公民个人数据的，开始处理后 60 天内要向公安部提交影响评估；把数据传到境外（包括存在境外服务器或境外云上）的，60 天内另交传输影响评估，之后每半年复核。同意要逐个目的取得，沉默不算同意。DLA Piper 越南（2026-02-15）
  • 小企业和初创企业符合条件的，5 年内可以免做这两份评估、免设数据保护负责人。违规跨境传输最高罚上一年收入的 5%。DLA Piper 越南（2026-02-15）

日本：海外卖家也要挂特商法表记

  • 消费者厅写明：从海外通过网站卖给日本消费者，同样适用《特定商取引法》，国籍和服务器在哪都不影响；但不需要许可或登记。消费者厅：海外网售问答
  • 「特定商取引法に基づく表記」里的地址要写实际经营的地方，海外地址也可以，不能借用日本亲友的地址。消费者厅：海外网售问答
  • 可以写「请求时立即以书面或邮件提供」来省略姓名、地址和电话，前提是真的做得到；退货和解约条件不能省。消费者厅：网售规则
  • 2022 年 6 月起，网购的最终确认页必须写数量、价格、付款时间和方式、交付时间、撤回和解约条件；2023 年 9 月到 2024 年 4 月消费者厅处罚了 3 家定期购买业务，都涉及最终确认页。消费者厅（2024-04-25）
  • 个人信息保护法也管境外企业：为了向日本的人提供服务而处理他们的个人信息就适用。要让用户能知道企业名称、地址、代表人、利用目的、请求手续、安全措施和投诉窗口，通常写在网站的隐私政策里。个人信息保护委员会问答、个人信息保护委员会指南
  • cookie 在日本不靠同意靠公示：新闻、社交、搜索、策展类网站要用日语公布发送了什么信息、发给谁、做什么用；只卖自家商品的网店不在范围内。总务省：外部送信规律

韩国：首页要挂经营者信息，国内代理人有门槛

  • 电子商务法第 10 条：网店要在首页显示商号和代表人姓名、营业地址、电话和邮箱、营业登记号、使用条款等。公平交易委员会决议
  • 电子商务法修订后，在韩国没有住所和营业所的海外经营者，上一年营业额 1 万亿韩元以上、或韩国消费者月均访问 100 万以上、或被公平委要求的，要指定国内代理人并在首页公示，2027 年 1 月 21 日起施行。小卖家一般够不上。公平交易委员会（2026-07-14）
  • 个人信息保护法的国内代理人也有门槛（比如上一年营业额 1 万亿韩元以上）；2025 年 10 月起，在韩国有法人的海外企业必须指定该法人当代理人。2026 年的修订把重复违法的罚款上限提到营业额的 10%。Prighter 法条译本、亚洲经济（2025-05-30）、DLA Piper 韩国（2026-03-20）

俄罗斯：先通知监管部门，数据要存在俄罗斯

中国大陆：个人信息保护法管境外，收费的信息服务要经营许可证

  • ICP 备案见「域名怎么选」那篇；备案号要标在首页底部中央，没备案罚 1 万元。工信部备案办法
  • 在境内向用户有偿提供信息服务属于经营性互联网信息服务，要先取得经营许可证，并在首页显著位置标出许可证编号；无证经营最高罚 100 万元，情节严重的关站。互联网信息服务管理办法
  • 个人信息保护法管到境外：以向境内的人提供产品或服务为目的处理他们个人信息的，同样适用，而且要在境内设专门机构或指定代表，报给监管部门（第 53 条）。个人信息保护法
  • 隐私告知至少写处理者名称和联系方式、目的、方式、信息种类、保存期限和用户怎么行使权利；情节严重的最高罚 5,000 万元或上一年营业额的 5%。个人信息保护法
  • 数据出境：为订立和履行与个人的合同（比如跨境购物）确需出境的，以及一年累计不满 10 万人非敏感个人信息的，免做安全评估、标准合同和认证。网信办（2024-03-22）
  • 自动续费：服务开始前和每次自动续费前都要显著提醒（2024 年 7 月起）。面向境内公众的生成式 AI 服务另有管理办法，2025 年 9 月起 AI 生成的内容要加标识。消费者权益保护法实施条例、生成式 AI 服务管理办法、AI 生成内容标识办法

欧盟：GDPR 代表、cookie、14 天撤回、无障碍和 DSA

  • 隐私声明（GDPR 第 13 条）要写控制者和欧盟代表的联系方式、目的和法律依据、接收方、跨境传输、保存期限、各项权利和投诉权；违反最高罚 2,000 万欧元或全球营业额 4%。GDPR 第 13 条、GDPR 第 83 条
  • 欧盟以外的公司向欧盟的人提供商品服务，要书面指定欧盟代表（第 27 条）。豁免只给偶发、不大规模处理敏感数据的情况，持续运营的网站很难算偶发。荷兰监管机构 2021 年就因为没指定代表罚了 Locatefamily.com 52.5 万欧元。EDPB 地域适用指南、Hunton（2021-05-19）
  • cookie 要在写入前取得同意，只告知或教用户怎么关都不算；只有传输必需或用户明确请求的服务严格必需的（比如购物车）可以免同意。欧盟在讨论放宽，预计 2027 年前不会生效。欧盟 Your Europe、Heuking 律所（2026-10-23）
  • 14 天撤回：在线数字内容要让撤回权消失，三样缺一不可：用户事先明确同意立即开始、确认知道因此失去撤回权、你用邮件等耐久介质确认。缺一样，用户撤回可以一分不付。SaaS 这类服务应用户要求提前开始的，撤回时按比例付费。消费者权利指令、欧盟 Your Europe
  • 2026 年 6 月 19 日起，网上订立的合同要提供撤回功能：标着「withdraw from contract here」或同样清楚的字样，撤回期内一直可用，再加一步确认，你要及时发回执。指令 2023/2673
  • 《无障碍法》（EAA）2025 年 6 月 28 日起适用于面向消费者的电商服务；少于 10 人、年营业额或资产负债表不超过 200 万欧元的微型企业，提供服务时豁免。指令 2019/882
  • 《数字服务法》（DSA）：在欧盟没有机构、但向欧盟提供托管等中介服务的（比如存用户上传的内容），要指定一个成员国的法律代表，小微企业也不豁免；使用条款要写内容审核政策。网站能被访问本身不算向欧盟提供服务，要看用户量或是否针对欧盟。DSA 条例、比利时监管机构（2026-09-22）
  • 德国 Impressum：现在依据《数字服务法》（DDG）第 5 条，营业性的数字服务要列出名称和营业地址、法定代表人、能快速联系的方式（含邮箱）、商业登记号和增值税号等；缺漏最高罚 5 万欧元。DDG 第 5 条、DDG 第 33 条

英国：要指定英国代表，cookie 规则 2026 年放宽了一部分

  • 英国 GDPR 第 27 条还在：受英国 GDPR 管辖的境外公司要书面指定英国代表，豁免条件和欧盟一样。英国 GDPR 第 27 条
  • 《数据使用和访问法》的 cookie 改动 2026 年 2 月 5 日生效：只为统计改进自家服务、或只为调整网站外观和功能的 cookie 可以不经同意，但要清楚告知并提供免费、简单的拒绝方式；广告追踪照样要同意。生效条例 SI 2026/82、法案附表 12
  • 同一天起 cookie 违规的罚款上限从 50 万英镑提到 1,750 万英镑或全球营业额的 4%。Mishcon de Reya（2026-02-12）
  • 网购的消费者 14 天内可以取消，退款要在 14 天内完成。GOV.UK

新手最容易踩的坑

  • 以为人在国外、没有当地公司就不适用：日本特商法、GDPR 和英国 GDPR 的代表条款、中国个人信息保护法第 53 条都专门管境外卖家，印尼不登记 PSE 会被封站。消费者厅：海外网售问答、Jakarta Post（2022-07-30）
  • 在欧盟卖在线数字内容，结账时漏了「同意立即开始并放弃撤回权」的勾选和确认邮件：用户 14 天内撤回可以一分不付；2026 年 6 月 19 日起还必须有撤回按钮。消费者权利指令、指令 2023/2673
  • 以为英国新规让 cookie 横幅可以撤了：放宽的只是统计和外观功能两类，仍要告知并给拒绝入口，罚款上限反而涨到 1,750 万英镑。法案附表 12
  • 日本特商法表记借日本朋友的地址，或者干脆不挂：地址必须是实际经营地，可以写「请求时提供」，但退货规则不能省。消费者厅：海外网售问答
  • 美国以为够不上 CCPA 就什么都不用挂：CalOPPA 没有门槛，收集加州用户信息就要隐私政策。加州商业与职业法典
  • 默认把俄罗斯用户的数据放在境外云上：用境外数据库收集和存储俄罗斯公民数据本身就违法，公司首次就罚 100 万到 600 万卢布。152-FZ 第 18 条

官方没说清、我们也没查到的

  • 越南第 85/2021 号议定对境外商家的电商登记条件，以及新的《电子商务法》是否已经生效。
  • 印尼 PP 80/2019 要求境外电商指定当地代表的门槛；Komdigi 对小型境外 SaaS 是否实际执法。
  • 俄罗斯 152-FZ 怎么认定「面向俄罗斯的境外网站」（俄语、.ru、卢布结算等），监管部门没有公开口径。
  • 韩国没有营业执照的海外小卖家，首页的经营者信息怎么填、要不要做通信销售业申报。
  • 日本「外部送信规律」是否管境外运营者；数字内容和在线服务是否适用「8 天内可退」。
  • 德国 DDG 第 5 条对欧盟以外卖家的具体口径。
  • 英国 ICO 数据保护年费是否适用境外控制者。
  • 中国：境外服务器上的网站向境内用户收费，算不算「在境内」提供、要不要经营许可证；境外网站直接收集境内个人信息算不算数据出境。

专题里的相关页面

← 回到出海专题

📬

订阅 Newsletter，免费获取完整手册

订阅即送《AIP出海自媒体实战手册》完整版（下载链接发到邮箱），还有每周AI精选内容推送

我们尊重你的隐私，不会发送垃圾邮件。可随时退订。