多数在欧洲之外搭建的店铺只有一个页面，名字类似「法律信息」，里面有一个地址、一段关于 Cookie 的文字和一句关于隐私的话。它不合格，原因与是否用心无关：它用一整块文字回应了彼此独立的义务。每一项都有各自的触发条件、各自的详细程度、各自的执行者和各自的国别差异——而让您被盯上的那一项，几乎从来不是您担心的那一项。
叠在同一个页面上的不同义务
- 标明卖方身份。谁在销售，采用什么法律形式，从什么地址，在哪里登记、登记号是多少，适用时还有税务识别号，并且可以通过能够快速、直接联系的方式找到——包括一个电子邮件地址。如果业务属于受监管的活动，还要写明监管机构。这是信息社会服务的义务，适用于网站本身，无论网站上是否销售任何东西。
- 在下单前告知消费者。产品的主要特征，含税和运费的总价，付款和配送安排，撤回权的存在和条件以及示范表格，法定符合性保证和任何商业保修，退货费用，投诉如何处理，以及适用哪种争议解决机制。这是消费者法，每一单都要履行，而在点击之前已经提供过的证明，由您负责。
- 取得追踪技术的同意。并非提供服务所严格必需的 Cookie 和同等技术，必须在放置之前取得同意——自愿作出、具体、知情、可证明，而且拒绝和撤回要像同意一样容易。这来自电子通信规则，而不是通用数据保护条例，所以由另一个团队执行，处罚的依据也不同。
为什么形式和详细程度因成员国而异
其中很多来自欧洲法规，这些法规是转化为国内法而不是直接适用的，而转化留有空间。成员国会增加各自要求的内容、各自的语言规则、对信息放在哪里、要多显眼的各自期待，以及各自的执行途径。有些还会在上面叠加行业规则——某些产品类别的远程销售、受监管的职业、任何涉及信贷或健康的内容。所以，从只在一个国家经营的店铺抄来的页面，到了下一个国家只是一份草稿，绝不是模板，而对「到底必须写什么」的诚实回答是：取决于您在哪里销售。
随之而来的是一些实际后果。这些信息必须容易、直接且长期可获取——实际上意味着每个页面的页脚都有一个链接，在下单之前就能到达，而不是在聊天窗口里临时拼出来。而身份标识不完整，是世界上最便宜的攻击点：在好几个成员国，它可以通过不需要法院的程序来处罚，而在多数成员国，竞争对手或消费者协会可以在没有任何监管机构操心的地方采取行动。要发现经营者没有写明身份，没有人需要查看您的账目。
不再过关的 Cookie 横幅
用一个醒目按钮接受一切、把拒绝藏在一个叫「了解更多」的链接后面的横幅，正是现在被攻击的做法，被攻击是因为用浏览器就能看到，无需任何调查。拒绝必须和接受一样容易：同一层级，同样的操作次数，显眼程度相当。在做出选择之前，任何非必要的内容都不得加载——不能是统计脚本，不能是广告像素，不能是从第三方加载的字体，不能是嵌入的视频播放器。选项框不得预先勾选，目的必须可以分开，撤回必须和同意一样简单且随时可达，而且您必须能够证明同意了什么、什么时候同意的。
在多个国家都站得住的页面结构
- 一个法律声明页面：经营实体、其法律形式、注册地址、登记号和税务识别号，网站负责人的姓名，托管服务商，以及能联系到真人的联系方式。每个页面的页脚都链接到它，每个语言版本都有。
- 载有消费者信息的销售条款：产品特征、总价和费用、付款和配送、撤回（并附上示范表格）、法定符合性保证、退货及由谁承担费用、投诉处理和争议解决机制。
- 一份隐私声明，写明数据控制者，对设立在欧盟之外的卖家还要写明其在欧盟境内的代表，并写明目的、合法性依据、接收方、数据传输、保存期限，以及权利和行使方式。
- 一份追踪技术政策，列出放置了什么、由谁放置、出于什么目的，另有一个随时可用的链接，可以重新打开选择。要与隐私声明分开：这是另一项义务，执行者也不同。
- 按国家叠加一层，而不是按国家重写：身份标识部分处处相同，消费者信息和争议解决机制按各国调整，整套内容使用该国的语言。
- 在网站之外保存一份带日期的版本历史。有人就旧订单投诉时，重要的是当时页面上写的是什么，而不是现在写的是什么。
究竟谁在读这个页面
很少是客户，这也是它被忽视的原因。支付服务商在开通您的账户时读它，在拒付模式让它注意到您时再读一次。电商平台在卖家核验时读它。企业买家在第一次下单前读它，因为这是搞清楚自己要和谁签约的最快方式。竞争对手在您开始抢它的销量时读它，消费者协会在收到投诉时读它。这让这个页面既是法律文件，也是销售文件：对一个没人听说过的卖家来说，完整的身份标识是最便宜的信任信号。
把身份标识部分只建一次，放在单一的源文件里，写明确切的法定名称、形式、地址、登记信息、税务识别号、数据代表和一个角色邮箱——然后原样发布到每一个语言版本和每一个渠道，包括您在电商平台上的店铺和您的发票。多数失误不是规则错了，而是一个地址在一处改了，别处没改。只按国家调整消费者信息这一层，并在您在该国销售之前，请该国执业的人读一遍，而不是等到第一次投诉之后。