出海合规专题 · 第 3 篇
欧盟市场合规：GDPR 与 CE 认证入门（出海欧盟必看）
发布：2026-10-12 · 适用对象：计划或正在进入欧盟市场的出海企业、跨境电商卖家、外贸业务与合规负责人
"欧盟不是监管最松的市场，但一定是合规门槛最刚性的市场。" 进入欧盟，企业面前摆着两道硬门槛：一道管「数据」——GDPR 通用数据保护条例，长臂管辖到全球任何处理欧盟个人数据的企业；一道管「产品」——CE 认证 + GPSR 通用产品安全法规，决定你的货能不能上架、能不能清关。这两道关任意一道没过，轻则被平台下架、货物扣关，重则按全球营业额 4% 开出天价罚单。本文用 2026 年真实监管数据，拆解每道门槛的核心义务与中小企业低成本落地法。
数据来源：DLA Piper《GDPR Fines and Data Breach Survey》(2026-01)、Finbold GDPR 执法统计(2026 Q2)、荷兰/法国/意大利/英国数据保护机构 2026 年处罚公告、欧盟委员会 CE 标识官方指引、欧盟 (EU) 2023/988 通用产品安全法规(GPSR)、德国新版 ProdSG(2026-02-19 实施)、安博检测 2026 欧盟产品合规强执法分析
一、为什么欧盟市场有两道"硬性门槛"
很多出海企业把欧盟当成"另一个大市场"，沿用美国的打法，结果一进场就踩坑。根本区别在于：欧盟用两套独立法规分别管「数据流动」和「产品安全」，且都不是"建议"，而是有执法机关和罚则的强制法。
| 门槛 | 管什么 | 适用对象 | 没过的后果 |
|---|
| GDPR（数据） | 个人数据的收集、使用、跨境传输、安全与权利响应 | 任何处理欧盟居民个人数据的企业（无论公司在哪） | 最高全球营业额 4% 或 2000 万欧元罚款、业务被监管叫停 |
| CE（产品） | 产品是否满足欧盟健康/安全/环保协调法规 | 落入 30+ 项欧盟协调法规范围的硬件产品 | 海关扣关、平台下架、召回、成员国罚款 |
| GPSR（产品·补充） | 非食品消费品"通用安全"、尽责人、追溯 | 所有面向欧盟消费者的非食品消费品（含已贴 CE 的） | 平台屏蔽/下架、最高全球营业额 4% 罚款 |
€71 亿+自 2018 年 GDPR 生效以来欧盟累计罚款（DLA Piper 2026-01）
+230%2026 年 Q2 罚款环比增幅，单季 2.26 亿欧元（Finbold）
4%GDPR 最高罚款 = 全球年营业额 4% 或 2000 万欧元（孰高）
10 年CE 技术文件 / 符合性声明最低留存年限
⚠️ 一个常见误区：不少团队以为"先把货卖进去再说合规"。在欧盟，数据违规和缺陷产品都会触发可追溯的罚则，且电商平台的拦截是前置于上架的——亚马逊、eBay、Bol 等自 2025 年中起已把合规校验设为上架闸门。把合规后置，等于把整批库存和账号押在"不会被查到"的赌注上。
二、第一道门槛：GDPR 数据保护核心义务
GDPR（Regulation (EU) 2016/679）自 2018-05-25 生效，是全球最严的数据保护法之一。它的"长臂"体现在第 3 条：只要处理欧盟居民个人数据，无论公司在哪都成立。对中小出海企业，最该搞懂的是下面 7 项核心义务，每一项都对应具体法条，不是"感觉上合规"就能过关。
| 核心义务 | 法条 | 中小企业落地要点 |
|---|
| 处理须有合法依据 | 第 6 条 / 第 9 条 | 为每个处理活动（营销、订单、客服）写明依据：同意/合同/合法利益等；特殊类别数据（健康、生物识别等）门槛更高 |
| 透明告知 | 第 13 / 14 条 | 隐私政策说清"收集什么、为何、留存多久、传给谁"；模板照搬且与实际不符会被罚 |
| 数据主体权利 | 第 15–22 条 | 访问/更正/删除/可携/反对，须在 1 个月内响应；要有可操作的受理流程而非只有一个邮箱 |
| 安全保障 | 第 32 条 | 与风险相称的技术与组织措施（加密、访问控制、日志、补丁、备份） |
| 泄露 72 小时报告 | 第 33 / 34 条 | 意识到 qualifying 泄露后 72 小时内报监管机构；高风险还需通知本人 |
| 高风险前做 DPIA | 第 35 条 / 第 37 条 | 大规模画像、处理敏感数据、监控系统前做影响评估；满足触发条件须设 DPO |
| 跨境传输机制 | 第 44–49 条 | 把欧盟数据传出 EEA，需充分性认定 / 标准合同条款（SCC）/ BCR；非欧盟控制者还须设欧盟代表（第 27 条） |
2.1 2026 年真实罚单：长臂已经打到"数据出境"
案例 AYango 出租车 App 被荷兰 DPA 罚 1 亿欧元（2026-05-08）
荷兰、挪威、芬兰三国监管机构联合调查认定，运营商 MLU B.V. 将大量高度敏感的个人数据（驾照扫描件、精确位置、聊天记录、社保号）存储在俄罗斯服务器，构成 GDPR 第 44 条项下的违规跨境传输。这是 2026 上半年金额最高的单笔罚单。核心教训：把欧盟用户数据传回未获"充分性认定"的国家，必须有 SCC 等合法机制并配套补充措施，否则按高额罚款论处。
案例 B法国 Free/Free Mobile 因安全不足与超期留存被 CNIL 罚 4200 万欧元（2026-01-13）
源于 2024 年一起暴露 2400 万订阅用户记录（含 IBAN）的泄露。CNIL 认定三项违规：VPN 远程认证不达标（第 32 条）、泄露通知邮件信息不全（第 34 条）、数百万前用户记录无理由超期留存（第 5(1)(e) 条）。说明"安全短板 + 留存超限"是中小企业同样会踩的红线，不只是大厂专利。
案例 CReddit 被英国 ICO 罚 1447 万英镑（2026-02-23）
因未实施年龄验证机制，导致对 13 岁以下儿童数据处理缺乏合法依据、且未做数据保护影响评估（第 6、8、35 条）。这是儿童数据执法成为监管优先级的标志性案例——面向泛用户的产品，年龄与儿童数据合规已是不可忽视的义务。
现实暴露区间：别被"上亿欧元"吓退就以为和自己无关。统计库显示约 78% 的 GDPR 罚单落在 1000 欧元至 50 万欧元之间，平均单笔约 290 万欧元——中小卖家最高频的触发点是 Cookie 先同意前触发、隐私政策与实际不符、删除请求不响应、向境外传数据无 SCC。把这几件做好，就能避开大部分现实风险。
三、第二道门槛：CE 认证流程（及 GPSR 新坑）
CE 标识是制造商对"产品符合所有适用欧盟协调法规"的自我声明，由 Regulation (EC) No 765/2008 第 30 条确立。它不是质量认证、不是原产地标志、没有统一的欧盟发证机关、贴标本身也不收费。欧盟委员会给出的 6 步流程如下：
| 步骤 | 做什么 | 中小企业注意 |
|---|
| 1. 识别适用法规 | 锁定产品落入哪些欧盟指令/法规与协调标准（可能多项同时适用） | 一个带蓝牙的玩具同时适用玩具安全、无线设备 RED、RoHS、GPSR |
| 2. 核对产品要求 | 逐条对照"基本要求"，可能有多个法规 | 别只挑熟悉的一项，漏项会被海关/平台打回 |
| 3. 判断是否需公告机构 | 高风险产品须由 Notified Body 介入 | 普通电器/灯具/玩具可自我声明；危险机械/二类以上医疗/压力设备/燃气具须 NB 发证 |
| 4. 测试与符合性验证 | 送样测试、验证设计合规 | 不合格可整改复测 |
| 5. 技术文件 + DoC | 编制并签署 EU 符合性声明，留存技术文档 | 文件至少保存 10 年；NB 发证时其 4 位编号须显示在 CE 旁 |
| 6. 加贴 CE 标识 | 清晰、易读、持久，最小 5mm，比例不可变形 | 产品上贴不了才放包装/随附文件 |
3.1 哪些产品要做 CE，哪些不用
CE 只适用于落入欧盟协调法规范围的产品，常见包括：玩具、机械、电气电子设备、无线设备、医疗器械、个人防护装备（PPE）、建筑产品、燃气器具、压力设备、休闲船艇、烟火、电池、计量器具等。化妆品、食品、纺织品、大多数家具不在 CE 范围，但会落入 GPSR 等其他框架——以"品类"而非"公司规模"判定，小批量、低货值不等于免 CE。
⚠️ GPSR 新坑：CE 不豁免通用产品安全。GDPR 之外，欧盟 (EU) 2023/988《通用产品安全法规》（GPSR）自 2024-12-13 全面适用，取代施行 20 余年的旧指令，覆盖所有面向欧盟消费者的非食品消费品（线上线下皆然，无论产地）。它带来三个对中国卖家冲击最大的变化：
- 欧盟尽责人（Responsible Person，第 16 条）强制化：非欧盟制造商必须在欧盟有真实的经济运营者担责，名称、地址、联系方式要印在产品/包装/随附文件上，还要填进商品详情页。任命不能倒签，风险自首次投放起算；交不出文件即下架。
- 技术文件 + 风险分析：须做内部风险分析、留存技术文档 10 年；批次/型号/制造商信息可追溯；目的国语言的安全警示与说明齐全。
- 平台闸门已收紧：2026 上半年德国与法国市场监管机构联合标记了 2000+ 个缺失尽责人信息的 ASIN，亚马逊向卖家发出 14 天宽限的最终合规通牒，逾期永久移除；德国新版 ProdSG（2026-02-19 实施）单项违规最高 10 万欧元，GPSR 第 45 条最高可处全球年营业额 4%。
简单说：产品贴了 CE 只是过了"安全法规"那一层，GPSR 的尽责人、追溯、事故上报仍要单独做——两条合规线相互独立，满足其一不豁免另一。
四、中小企业低成本应对法
欧盟合规听着吓人，但中小团队完全可以用"先低成本、再逐步加码"的方式起步，不必一上来就请欧洲律所。三步走：
4.1 数据侧（GDPR）：用"声明 + SCC + 流程"三件套兜底
- 先出一份真实隐私政策：对照实际数据流向写，别照搬模板；把 Cookie 同意做成"拒绝同样容易"，避免先触发后同意。
- 跨境传输补 SCC：凡把欧盟数据传回国内或给美国 SaaS，把标准合同条款写进合同并做一份传输影响评估；这是 2026 年被罚最高频的缺口。
- 建一个 DSAR 受理流程：设一个 privacy@ 邮箱 + 一张跟踪表，确保删除/访问请求能在 1 个月内响应。
4.2 产品侧（CE + GPSR）：分清"自我声明 vs 公告机构"
- 普通消费品先走 Module A 自我声明：送样测试 → 整理技术文件 → 自签 DoC → 贴 CE，成本主要在测试费，不交"认证费"。
- 高风险产品才找公告机构：先确认是否真的落入强制 NB 范围，避免花冤枉钱；NB 编号要印在 CE 旁。
- GPSR 尽责人尽早落实：用欧盟本地实体或第三方尽责人服务，把信息填进 listing 和产品包装——这是 2026 年平台清退的最高频原因。
4.3 把法规日期做成日历
欧盟产品法规正处于密集换版期：机械法规 (EU) 2023/1230 自 2027-01-20 适用（取代旧机械指令）；建筑产品法规 (EU) 2024/3110 已于 2025-01-07 生效、2026-01-08 起对多数建筑产品适用；玩具安全法规 (EU) 2025/2509 于 2026 年生效、过渡期后适用并引入玩具数字产品护照。临近投放的产品要按"法规适用日"倒排测试、证书与库存，别拿旧模板套新产品。
五、出海欧盟合规自查清单（12 项）
欧盟市场合规 · 进入前必查清单
- □ 确认是否处理欧盟个人数据（订单/客服/网站访客/员工）——若处理则 GDPR 第 3 条适用
- □ 为每个处理活动写明合法依据（同意/合同/合法利益），并更新隐私政策（第 6、13 条）
- □ 部署"拒绝同样容易"的 Cookie 同意，杜绝同意前触发第三方脚本
- □ 建立 DSAR 受理流程，确保访问/删除请求 1 个月内响应（第 15–22 条）
- □ 把欧盟个人数据传出 EEA 的，签标准合同条款（SCC）并做传输影响评估（第 44–46 条）
- □ 非欧盟控制者指定欧盟代表（第 27 条）；准备 72 小时泄露报告模板（第 33/34 条）
- □ 列出产品适用的全部欧盟协调法规（CE），不止一项时逐项覆盖
- □ 判断是否需要公告机构（NB）发证，普通消费品走 Module A 自我声明即可
- □ 编制技术文件与 EU 符合性声明（DoC），留存至少 10 年（NB 编号印于 CE 旁）
- □ 落实 GPSR 欧盟尽责人（Responsible Person），信息印上产品/包装并填进 listing（第 16 条）
- □ 完成产品风险分析、批次追溯、目的国语言警示（GPSR 通用安全要求）
- □ 把机械/建筑/玩具等法规的生效与适用日期做成合规日历，倒排测试与库存
六、Lexwise 如何帮你做出海欧盟合规
欧盟合规的难点在于"数据 + 产品"两套规则交叉、且法规频繁换版。Lexwise 把这两类门槛沉淀为可复用的审查与知识能力，让中小团队不必依赖个别资深出海法务。
① 跨境合同的数据出境条款扫描
上传分销协议、SaaS 服务协议、数据处理协议，Lexwise 会针对欧盟场景提示 GDPR 第 44–46 条的跨境传输缺口，识别是否缺标准合同条款（SCC）、是否漏了与第三国接收方配套的传输影响评估，并对照欧盟模板给出补充条款建议。
② 隐私政策与网站合规体检
面向触达欧盟用户的业务，Lexwise 可辅助梳理隐私政策是否覆盖第 13/14 条必备要素、Cookie 同意是否符合"拒绝同样容易"要求、数据主体权利响应条款是否齐全，降低按"人×次"累加的罚款暴露。
③ 产品合规与 CE / GPSR 知识助手
Lexwise 知识助手内置欧盟产品法规库，可答疑"我的产品是否落入 CE 范围""GPSR 尽责人怎么设""机械/建筑/玩具法规换版时间线"等问题，并把"技术文件留存 10 年""NB 编号印于 CE 旁""GPSR 尽责人信息上架"等义务固化为可追踪的合规日历。
④ 出海合规义务日历与多法域联动
Lexwise 把欧盟与美、英、东南亚等市场的合规义务按"生效日/申报窗口/留存年限"做成可追踪日历，避免靠记忆漏项；在多法域同时经营时，自动提示同一份合同或同一批货物在不同市场的差异要求。
七、常见问题
- 我们公司在国内，只在亚马逊欧洲站卖货，GDPR 管得到我吗？
- 管得到。GDPR 第 3 条是「长臂管辖」，只要你的业务处理欧盟居民的个人数据，无论公司在哪都成立——哪怕你只是有欧盟网站访客、欧盟客户，或在欧盟有员工。亚马逊欧洲站卖货意味着你收集欧盟消费者的姓名、地址、邮箱、支付信息，全部落在 GDPR 范围内。唯一能松口气的是：纯 B2B、不收集任何欧盟个人数据、也不监控欧盟用户行为的业务，才真正在范围外。
- CE 认证是不是一定要找欧盟机构花大钱办？
- 不一定。CE 是制造商自我声明，欧盟没有统一的发证机关，贴标本身也不收费。是否花钱取决于产品风险等级：普通带电产品、灯具、玩具、线材等多数消费品可走「Module A 自我声明」——送样测试、整理技术文件、自己签 EU 符合性声明（DoC）即可；只有危险机械、二类以上医疗器械、压力设备、燃气具等高风险产品才强制要求公告机构（Notified Body）发证并附 4 位机构编号。所以「CE 一定要花钱买证」是个常见误解。
- 产品已经做了 CE，为什么亚马逊还说 GPSR 不合规要下架？
- 因为 CE 和 GPSR 是两套并行的规则，CE 不豁免 GPSR。GPSR（欧盟 2023/988 号法规）自 2024-12-13 全面适用，覆盖所有非食品消费品，核心新增了「欧盟尽责人（Responsible Person）」强制要求：非欧盟制造商必须在欧盟有真实的经济运营者担责，其名称、地址、联系方式要印在产品/包装/随附文件上，还要填进商品详情页。2026 上半年德法联合执法标记了 2000+ 个缺失尽责人信息的 ASIN，亚马逊直接发 14 天下架通牒。技术文件、批次追溯、目的国语言警示也是必查项。
- GDPR 罚款真的会罚到中小企业吗，还是只罚大厂？
- 会罚到中小卖家，但金额区间差异很大。2026 年统计库里 78% 的罚单落在 1000 欧元到 50 万欧元之间，平均单笔约 290 万欧元——这才是更现实的暴露区间。真正动辄上亿欧元的是大厂（如 2026-08 荷兰 DPA 对 Uber 开出 8.25 亿欧元、2026-05 对 Yango 出租车 App 因违规把数据传回俄罗斯开出 1 亿欧元）。中小卖家最常见的触发点是：Cookie 在同意前就触发、隐私政策照搬模板与实际不符、未回应删除请求、把欧盟用户数据传回国内却没有标准合同条款（SCC）。
- 把欧盟用户的订单、客服数据存到国内服务器，需要做什么？
- 这属于 GDPR 第 44–49 条的国际数据传输，必须有合法传输机制。可选：① 欧盟委员会「充分性认定」——中国大陆目前不在名单内，所以一般不适用；② 标准合同条款（SCC）——最常用，把条款写进与接收方的合同并配套「传输影响评估」；③ 约束性企业规则（BCR）或第 49 条例外（如履行合同必需）。仅把数据存国内而不签 SCC、不做评估，一旦被查就是违规。Yango 的 1 亿欧元罚单就是因为把大量敏感数据存在俄罗斯服务器且缺乏充分保障。
- GDPR 要求 72 小时报告数据泄露，小型团队怎么落地？
- 关键是把「响应流程」提前建好，而不是出事后现找人。实务要点：① 明确谁是负责人（即使不强制设 DPO，也要有人 owning 这件事）；② 列一份数据资产与处理活动清单（RoPA，第 30 条）；③ 选定能触发 72 小时起算的事件口径（按「意识到」而非「确认」）；④ 准备一份给监管机构的通知模板和给受影响个人的告知模板；⑤ 每年至少做一次桌面推演。第 33 条是向监管机构报告，第 34 条是高风险时还要通知个人，两条阈值不同，别混淆。
- CE 技术文件和符合性声明要保存多久？
- 至少在产品投放欧盟市场后保存 10 年，海关和市场监督机构可随时抽查调阅。文件包括：产品描述与型号、适用的欧盟法规与协调标准、设计计算与测试报告、风险分析、制造与质量控制说明、EU 符合性声明（DoC）副本。若产品涉及多个指令（如带蓝牙的玩具同时适用玩具安全、无线设备 RED、RoHS、GPSR），每个适用的法规都要覆盖到，不能只做一项。
- 2026–2027 年欧盟产品合规有哪些临近的变化？
- 两个重点时间点：① 机械法规 (EU) 2023/1230 取代旧机械指令，自 2027-01-20 起适用（临近投放的产品要提前做法律日期策略）；② 建筑产品法规 (EU) 2024/3110 已于 2025-01-07 生效，2026-01-08 起对大多数建筑产品适用。此外玩具安全法规 (EU) 2025/2509 于 2026 年生效、过渡期后适用并引入玩具数字产品护照。建议把法规生效/适用日期做成日历，避免拿旧模板套新产品踩到过渡期。
📚 相关文章
下一篇预告：《东南亚出海合规：印尼/越南/泰国落地要点》——欧盟之后，东南亚是出海热土但各国规则迥异。下一篇以印尼、越南、泰国三国的外资准入、公司注册、劳动本地化、税务做一张快速对照表，给一张落地清单。系列衔接：本篇拆"欧盟门槛"，下一篇带你扫"东南亚碎片化规则"。
准备出海欧盟？让 Lexwise 先帮你扫一遍 GDPR 与 CE/GPSR
上传你的欧盟站点隐私政策、分销/服务合同或产品认证清单，Lexwise 会针对 GDPR 数据出境条款、Cookie 同意、CE 适用法规、GPSR 尽责人要求生成自查报告与条款修改建议，帮你在货物上架前把坑填平。
预约免费 PoC