स्विट्ज़रलैंड में असर
कानून उन स्थितियों पर लागू होता है जिनका देश में असर होता है, चाहे साइट कहीं और होस्ट और संचालित हो।
गाइड · स्विस नियम
स्विट्ज़रलैंड यूरोपीय संघ का हिस्सा नहीं है और उसका अपना डेटा कानून है, जिसे 2023 में संशोधित किया गया। यह कुछ बातों में GDPR से ज़्यादा लचीला है और एक बात में ज़्यादा सख़्त: जुर्माना ज़िम्मेदार व्यक्ति पर लगता है। जानें कि स्विस विज़िटर्स के साथ कुकी, बैनर और Google विज्ञापनों पर क्या लागू होता है।
यह क्या है
स्विट्ज़रलैंड का संघीय डेटा सुरक्षा कानून, जिसे अंग्रेज़ी में FADP, फ़्रेंच में nLPD और जर्मन में nDSG कहते हैं, 2020 में संसद ने संशोधित किया और 1 सितंबर 2023 को लागू हुआ। नए वर्शन ने स्विस कानून को यूरोपीय GDPR के करीब किया, लेकिन उसका अपना तर्क बनाए रखा।
GDPR में व्यक्तिगत डेटा की हर प्रोसेसिंग के लिए कानूनी आधार चाहिए। स्विट्ज़रलैंड में प्रोसेसिंग तब तक मान्य है जब तक वह कानून के सिद्धांतों, जैसे पारदर्शिता, उद्देश्य और अनुपात का पालन करती है। औचित्य, जैसे सहमति या प्रमुख हित, तभी चाहिए जब प्रोसेसिंग इन सिद्धांतों या व्यक्ति की निजता का उल्लंघन करे।
निगरानी का काम संघीय डेटा सुरक्षा और सूचना आयुक्त, यानी FDPIC के पास है, जिसे फ़्रेंच में PFPDT और जर्मन में EDÖB कहते हैं। वह जांच करता है, आदेश देता है और मार्गदर्शन प्रकाशित करता है, लेकिन जुर्माना नहीं लगाता। जुर्माने आपराधिक होते हैं और कैंटन की अथॉरिटी के हाथ में हैं।
कुकी पर दूरसंचार कानून का एक नियम भी लागू होता है। वह मांगता है कि साइट कुकी के इस्तेमाल और उद्देश्य की जानकारी दे और विज़िटर को उन्हें अस्वीकार करने का मौका दे। FDPIC का मार्गदर्शन समझाता है कि ये दोनों कानून कैसे साथ काम करते हैं।
चेकलिस्ट
ये वे बातें हैं जो FDPIC का मार्गदर्शन और Google ऐसी विज्ञापन वाली साइट से मांगते हैं जिस पर स्विट्ज़रलैंड के विज़िटर आते हैं।
31 जुलाई 2024 से Google, स्विट्ज़रलैंड में पर्सनलाइज़्ड विज्ञापन दिखाने के लिए प्रमाणित और IAB TCF से जुड़ा CMP मांगता है। इसके बिना स्विस ट्रैफ़िक को सिर्फ़ नॉन-पर्सनलाइज़्ड या सीमित विज्ञापन ही दिखाए जा सकते हैं।
CMP के क्षेत्रों में स्विट्ज़रलैंड को शामिल करें, क्योंकि वह यूरोपीय संघ या EEA का हिस्सा नहीं है।
FDPIC कहता है कि साइट को विज़िटर को हमेशा ज़रूरी न होने वाली कुकीज़ मना करने का विकल्प देना चाहिए। मना करने का विकल्प साफ़ दिखना चाहिए।
बैनर में एक दिखाई देने वाला मना करें बटन है, सिर्फ़ टेक्स्ट में एक छोटा लिंक नहीं।
FDPIC के अनुसार, जो विंडो सिर्फ़ सब स्वीकार करने देती है वह सहमति की साफ़ घोषणा नहीं है। जब ज़रूरी कुकीज़ और सहमति मांगने वाली कुकीज़ मिला दी जाती हैं तो यह और भी गंभीर हो जाता है।
संवेदनशील डेटा और उच्च जोखिम वाली प्रोफ़ाइलिंग के लिए स्पष्ट सहमति चाहिए। FDPIC बताता है कि कई साइटों में विज्ञापन ट्रैकिंग इस स्तर तक पहुंच सकती है। संदेह हो तो अपनी लीगल टीम से पूछें।
तीसरे पक्ष की विज्ञापन कुकीज़ तभी सेव होती हैं जब विज़िटर स्वीकार पर खुद क्लिक करे।
डेटा इकट्ठा होते समय विज़िटर को बताया जाना चाहिए, परतों में, सबसे ज़रूरी बात सबसे पहले। गोपनीयता नीति को साइट के किसी छिपे कोने में रख देना काफ़ी नहीं है।
बैनर कुकीज़ के उपयोग का सार देता है और एक क्लिक में पूरी नीति तक ले जाता है।
नीति में यह बताना होगा कि डेटा कब तीसरे पक्षों या सेवा प्रदाताओं को जाता है, और किस उद्देश्य से। अगर डेटा स्विट्ज़रलैंड से बाहर जाता है, तो गंतव्य देश भी बताना होगा।
नीति में: हम Google और दूसरे विज्ञापन नेटवर्क इस्तेमाल करते हैं, और डेटा अमेरिका भेजा जा सकता है।
FDPIC के अनुसार, सहमति वापस लेने में देने से काफ़ी ज़्यादा मेहनत लगवाना स्वैच्छिकता का उल्लंघन है। पहले से टिक किए बॉक्स सिर्फ़ वहीं मान्य हैं जहां स्पष्ट सहमति ज़रूरी नहीं है।
फ़ूटर में एक स्थायी लिंक एक क्लिक में प्राथमिकताएं दोबारा खोलता है।
असल में
आधिकारिक टूल
स्विट्ज़रलैंड में पर्सनलाइज़्ड विज्ञापनों के लिए Google प्रमाणित CMP मांगता है, और ये चुनने और सेट करने के आधिकारिक पेज हैं।
किस पर लागू होता है और परिभाषाएं
कानून स्विट्ज़रलैंड में पड़ने वाले असर को देखता है, कंपनी के पते को नहीं। विज्ञापन वाली साइट के लिए ये धारणाएं सबसे ज़्यादा मायने रखती हैं।
कानून उन स्थितियों पर लागू होता है जिनका देश में असर होता है, चाहे साइट कहीं और होस्ट और संचालित हो।
नया वर्शन सिर्फ़ प्राकृतिक व्यक्तियों के डेटा की सुरक्षा करता है। कंपनियों का डेटा अब कवर नहीं है।
इनमें स्वास्थ्य, जातीय मूल, धर्म, राजनीतिक राय, जेनेटिक और बायोमेट्रिक डेटा और आपराधिक कार्यवाहियां शामिल हैं। इन्हें सावधानी चाहिए और अक्सर स्पष्ट सहमति भी।
यह डेटा का वह मिलान है जिससे किसी की शख्सियत के अहम पहलुओं का आकलन हो सके। कई साइटों में विज्ञापन ट्रैकिंग इस स्तर तक पहुंच सकती है।
कंट्रोलर उद्देश्य और साधन तय करता है, जैसे साइट का मालिक। प्रोसेसर उसकी ओर से डेटा प्रोसेस करता है, जैसे होस्टिंग।
बाहर की कंपनियां जो देश में उत्पाद देती हैं या लोगों की निगरानी करती हैं, उन्हें स्थानीय प्रतिनिधि चाहिए जब प्रोसेसिंग नियमित, बड़े पैमाने की और उच्च जोखिम वाली हो।
सहमति और कुकी
स्विट्ज़रलैंड में कुकी का बुनियादी नियम है: बताएं और मना करने दें। साइट को जमा करते समय बताना होगा कि वह कुकी इस्तेमाल करती है और किसलिए, और विज़िटर को याद दिलाना होगा कि वह ना कह सकता है। FDPIC का मार्गदर्शन साफ़ करता है कि मना करने का अधिकार हर स्थिति में अनिवार्य है।
बटन या बॉक्स पर सक्रिय क्लिक के साथ स्पष्ट सहमति ज़्यादा जोखिम वाले मामलों में ज़रूरी होती है: संवेदनशील डेटा की प्रोसेसिंग और उच्च जोखिम वाली प्रोफ़ाइलिंग। यह उन साइटों पर भी लागू होता है जिनका कंटेंट राजनीतिक, यूनियन या धार्मिक है, जब कुकी उम्मीद से आगे जाती हैं।
अक्टूबर 2025 में प्रकाशित मार्गदर्शन का अपडेट वाला वर्शन विज्ञापन के बारे में है। वह समझाता है कि कई साइटों में फैली तीसरे पक्ष की कुकी, जो भुगतान के बदले विज़िटर का डेटा देती हैं, उच्च जोखिम वाली प्रोफ़ाइलिंग बन सकती हैं। अगर साइट इस जोखिम को खारिज नहीं कर सकती, तो उसे उच्च मानना चाहिए और स्पष्ट सहमति मांगनी चाहिए।
बैनर के बारे में FDPIC कहता है कि सिर्फ़ सब स्वीकार करें वाली विंडो साफ़ सहमति नहीं बनाती, मना करने का विकल्प दिखना चाहिए और सहमति वापस लेना देने से मुश्किल नहीं होना चाहिए। पहले से टिक किए बॉक्स सिर्फ़ उन इस्तेमालों के लिए मान्य हैं जिन्हें स्पष्ट सहमति नहीं चाहिए।
लोगों के अधिकार
साइट के पास अनुरोध लेने और समय पर जवाब देने के लिए संपर्क होना चाहिए।
जानना कि साइट व्यक्ति के बारे में डेटा प्रोसेस करती है या नहीं और कानून में तय जानकारी पाना, आमतौर पर 30 दिनों के भीतर और मुफ़्त।
गलत डेटा सुधारने और गलत तरीके से प्रोसेस किए गए डेटा को मिटाने की मांग करना।
किसी प्रोसेसिंग पर आपत्ति करना, कुकी अस्वीकार करना भी। दूरसंचार कानून के लिए यह अस्वीकार करना हमेशा संभव होना चाहिए।
जो डेटा दिया है उसे आम इलेक्ट्रॉनिक फ़ॉर्मेट में पाना या उसे किसी दूसरी कंपनी को भेजने को कहना।
सिर्फ़ सिस्टम से लिए गए ऐसे फ़ैसलों की जानकारी पाना जिनका बड़ा असर हो, और किसी व्यक्ति से उनकी समीक्षा करवाना।
यह जानना कि कौन डेटा जमा करता है, किसलिए, किसके साथ साझा करता है और डेटा किन देशों में जाता है।
ज़िम्मेदारियां
निगरानी और जुर्माने
GDPR से अलग, स्विस जुर्माना कंपनी के टर्नओवर पर नहीं निकाला जाता। यह आपराधिक है और उस व्यक्ति को निशाना बनाता है जिसने उल्लंघन का फ़ैसला किया या उसे किया।
उस ज़िम्मेदार व्यक्ति पर जुर्माना जो जानबूझकर जानकारी देने, एक्सेस के अनुरोधों का जवाब देने या डेटा ट्रांसफ़र करते समय उसे सुरक्षित रखने जैसी ज़िम्मेदारियां तोड़ता है।
जब ज़िम्मेदार व्यक्ति को ढूंढने के लिए अनुपातहीन जांच करनी पड़े, तो उसकी जगह कंपनी पर जुर्माना लग सकता है, बशर्ते जुर्माना CHF 50,000 से ज़्यादा न हो।
आयुक्त जांच करता है और आदेश दे सकता है कि प्रोसेसिंग सुधारी जाए, रोकी जाए या डेटा मिटाया जाए। आदेश न मानना भी अपराध है।
दूरसंचार कानून में CHF 5,000 तक का जुर्माना है, उनके लिए जो जानबूझकर या लापरवाही से जानकारी देने और मना करने देने की ज़िम्मेदारी नहीं निभाते।
टाइमलाइन
संशोधित कानून के पारित होने से कुकी मार्गदर्शन के सबसे नए अपडेट तक।
स्विस संसद डेटा सुरक्षा कानून का पूरा संशोधन पारित करती है।
नया कानून और उसे लागू करने वाला अध्यादेश प्रभावी होते हैं, ज़्यादातर नियमों के लिए बिना बदलाव की अवधि के।
स्विट्ज़रलैंड के विज़िटर्स को पर्सनलाइज़्ड विज्ञापनों के लिए AdSense और Ad Manager IAB TCF से जुड़ी प्रमाणित CMP मांगने लगते हैं।
Swiss-U.S. Data Privacy Framework में प्रमाणित अमेरिकी कंपनियों को डेटा के लिए उपयुक्त गंतव्य माना जाने लगता है।
FDPIC कुकी और ऐसी ही तकनीकों से डेटा की प्रोसेसिंग पर मार्गदर्शन प्रकाशित करता है।
वर्शन 1.1 पर्सनलाइज़्ड विज्ञापन, लोकेशन डेटा और "भुगतान करें या स्वीकार करें" मॉडल को विस्तार से बताता है।
AdSense या Ad Manager वालों के लिए
31 जुलाई 2024 से Google स्विट्ज़रलैंड के विज़िटर्स के लिए वही मांगता है जो European Economic Area और यूनाइटेड किंगडम के लिए: IAB TCF से जुड़ी प्रमाणित CMP। उसके बिना स्विस ट्रैफ़िक को सिर्फ़ गैर-पर्सनलाइज़्ड या सीमित विज्ञापन मिलते हैं।
इसका मतलब है कि भले स्विस कानून कुछ मामलों में बताने और मना करने देने से संतुष्ट हो, जो Google के पर्सनलाइज़्ड विज्ञापन चाहता है उसे TC string में दर्ज सहमति चाहिए। व्यवहार में Google का मानक ही सबसे सख़्त निकलता है।
एक आम उदाहरण: फ़्रेंच भाषा की ब्राज़ीलियाई जॉब साइट, जिसके विज़िटर्स जिनेवा और लोज़ान से आते हैं। अगर CMP सिर्फ़ यूरोपीय संघ के लिए सेट की गई है, तो स्विट्ज़रलैंड छूट जाता है, क्योंकि वह न संघ का सदस्य है, न EEA का। नतीजा: बिना TC string वाला स्विस ट्रैफ़िक और सीमित विज्ञापन।
AdSense और Ad Manager का Privacy message पहले से प्रमाणित है और स्विट्ज़रलैंड को शामिल करने देता है। किसी दूसरी CMP के साथ जांचें कि क्षेत्रों की सूची में स्विट्ज़रलैंड है और वेंडर्स में Google है।
असल में
स्विट्ज़रलैंड में दर्शकों वाली कंटेंट, जॉब और फ़ाइनेंस साइटों के रोज़मर्रा के उदाहरण।
आम गलतियां
स्विस ट्रैफ़िक वाली साइटों पर अक्सर दिखने वाली खामियां।
CMP यूरोपीय संघ के लिए संदेश दिखाती है, स्विट्ज़रलैंड के लिए नहीं। Google को बिना मान्य सहमति के अनुरोध मिलते हैं और वह विज्ञापन सीमित कर देता है।
कानून कुछ मामलों में बताने और मना करने देने को मान लेता है, लेकिन साइटों के बीच विज्ञापन ट्रैकिंग के लिए स्पष्ट सहमति लगती है, और Google पर्सनलाइज़ करने के लिए सहमति मांगता है।
स्विट्ज़रलैंड में आपराधिक जुर्माना उस व्यक्ति पर पड़ता है जिसने फ़ैसला किया। साइट का मालिक, मैनेजर या तकनीकी ज़िम्मेदार व्यक्ति खुद जवाबदेह हो सकते हैं।
कानून बताने को कहता है कि डेटा किन देशों में जाता है। कई टेक्स्ट Google का नाम लेते हैं पर यह बताना भूल जाते हैं कि डेटा स्विट्ज़रलैंड से बाहर जाता है।
विज़िटर इनकार पर क्लिक करता है और विज्ञापन की कुकी फिर भी बनी रहती हैं। मार्गदर्शन कहता है कि साइट द्वारा रोके गए इनकार को विज़िटर के खिलाफ़ इस्तेमाल नहीं किया जा सकता।
ट्रैकिंग स्वीकार करने या सदस्यता के भुगतान पर एक्सेस निर्भर करना मार्गदर्शन में अपनी शर्तों के साथ आता है। बिना जांचे किसी दूसरे देश का मॉडल कॉपी करना जोखिम भरा है।
ConsentMode में
कानून उन स्थितियों तक पहुंचता है जिनका असर स्विट्ज़रलैंड में हो, भले वे विदेश से शुरू हुई हों। अगर साइट विज्ञापनों के लिए स्विस विज़िटर्स को ट्रैक करती है, तो देश में असर है। और Google इस दर्शक वर्ग के लिए विज्ञापन पर्सनलाइज़ करने को प्रमाणित CMP मांगता है, साइट कहीं भी हो।
कम जोखिम वाली कुकी के लिए कानून बताने और इनकार का विकल्प देने को मान लेता है। साइटों के बीच विज्ञापन ट्रैकिंग, संवेदनशील डेटा या उच्च जोखिम वाली प्रोफ़ाइलिंग के लिए स्पष्ट सहमति ज़रूरी है। Google के पर्सनलाइज़्ड विज्ञापनों के लिए सहमति वाली प्रमाणित CMP अनिवार्य है।
FDPIC जांच करता है, मार्गदर्शन देता है और आदेश दे सकता है। जुर्माने कैंटन की आपराधिक अथॉरिटी लगाती हैं।
हां। CHF 250,000 तक का जुर्माना जानबूझकर किए गए उल्लंघन के लिए ज़िम्मेदार व्यक्ति पर लगता है। कंपनी पर जुर्माना सिर्फ़ असाधारण मामलों में लगता है।
सिर्फ़ तब, जब कंपनी देश के बाहर हो और स्विट्ज़रलैंड के लोगों का डेटा नियमित, बड़े पैमाने पर और उच्च जोखिम के साथ प्रोसेस करे। ज़्यादातर छोटी और मझोली कंटेंट साइटें इस स्तर तक नहीं पहुंचतीं, फिर भी आकलन करना ठीक है।
आमतौर पर नहीं। बस पक्का करें कि स्विट्ज़रलैंड सेट किए गए क्षेत्रों में है और बैनर और नीति के टेक्स्ट स्विस कानून को भी पूरा करते हैं, जैसे गंतव्य देशों का ज़िक्र।
लाइब्रेरी
यह गाइड इन आधिकारिक पेजों से लिखी गई है। सीधे स्रोत पर पढ़ें:
ऑडिट साइट को स्विट्ज़रलैंड से खोलता है, बैनर, TC string और कुकी दर्ज करता है और बिना कुछ बदले बताता है कि क्या सुधारना है।