ワークスペースへ

ガイド · スイスの規制

FADP:広告で収益を得る人のためのスイスのデータ法の解説

スイスは欧州連合に加盟しておらず、2023年に改正された独自のデータ法があります。GDPRより柔軟な点もあれば、厳しい点もあります。罰金が責任者個人に科されるのです。スイスの訪問者がいる場合の、Cookie、バナー、Googleの広告に関するルールを説明します。

スイスからのトラフィックを監査するガイドを読む
  • ✓連邦法とスイスの規制当局の公式ガイダンスに基づいています
  • ✓ブラジルのサイトも含めた、広告サイトの例
  • ✓サイトを変更せずに読み取ります
CHF 250,000最高額の罰金。会社ではなく責任者個人に科される
2023改正法が9月1日に施行された年。移行期間はなし
250従業員数:これを下回り、低リスクの処理のみを行う企業は、処理活動の記録を省略できる
CHF 5,000Cookieのルールに違反した者に対する、電気通信法上の最高額の罰金

概要

GDPRに似ているが、同じではない独自の法律

スイス連邦データ保護法は、英語ではFADP、フランス語ではnLPD、ドイツ語ではnDSGと略され、2020年に議会で改正され、2023年9月1日に施行されました。新しい版でスイスの法律は欧州のGDPRに近づきましたが、独自の考え方は残っています。

GDPRでは、個人データのすべての処理に法的根拠が必要です。スイスでは、透明性、目的、比例性といった法律の原則を守っていれば、処理は認められます。同意や優越的な利益などの正当化事由が必要になるのは、処理がこれらの原則や個人の人格を侵害する場合だけです。

執行は、連邦データ保護・情報コミッショナー(FDPIC、フランス語ではPFPDT、ドイツ語ではEDÖB)が担います。調査を行い、命令を出し、ガイダンスを公表しますが、罰金は科しません。罰金は刑事罰であり、州(カントン)の当局が担当します。

Cookieには、電気通信法のルールも適用されます。サイトは、Cookieの使用とその目的を伝え、訪問者が拒否できるようにする必要があります。FDPICのガイダンスでは、この2つの法律がどう組み合わさるかが説明されています。

チェックリスト

満たすべきこと

これらは、広告付きサイトでスイスからの訪問者を受け入れる場合に、FDPICのガイダンスとGoogleが求めるポイントです。

  1. EEA、英国、スイスからのトラフィックがあるパブリッシャーにとって、パーソナライズ広告の要件です。AdSenseとAd Managerのプライバシーとメッセージは、その選択肢の一つです。

    2024年7月31日から、Googleは、スイスでパーソナライズ広告を表示するために、認定済みでIAB TCFに対応したCMPを必須としています。CMPがない場合、スイスのトラフィックには非パーソナライズ広告または制限付き広告しか配信できません。

    例

    スイスは欧州連合にもEEAにも含まれないため、CMPの対象地域にスイスを追加してください。

  2. Cookieをいつでも拒否できるようにする

    FDPICは、必須ではないCookieを拒否する選択肢を、サイトが常に訪問者に提示するべきだとしています。拒否の選択肢は、はっきり見えるようにする必要があります。

    例

    バナーに、文中の小さなリンクだけでなく、見える「拒否」ボタンがある。

  3. 「すべて同意」だけのバナーを使わない

    FDPICによると、すべてを承諾することしかできないウィンドウは、同意の明確な意思表示になりません。必須Cookieと同意が必要なCookieが混ざっている場合は、なおさらです。

  4. 高リスクの場合は明示的な同意を求める

    機微なデータや高リスクのプロファイリングには、明示的な同意が必要です。FDPICは、複数のサイトをまたぐ広告トラッキングがこのレベルになりうると説明しています。迷う場合は、法務担当に確認してください。

    例

    第三者の広告Cookieは、訪問者が承諾を能動的にクリックした後にだけ保存される。

  5. 収集の時点で知らせる

    データを収集するときに、訪問者に知らせる必要があります。重要な内容を先に、階層に分けて伝えてください。プライバシーポリシーをサイトの隠れた場所に置くだけでは不十分です。

    例

    バナーでCookieの使い方を要約し、1クリックで完全なポリシーに移動できる。

  6. データの受け取り先と国を明示する

    データが第三者や委託先に渡る場合は、その目的とともにポリシーで知らせる必要があります。データがスイスの外に出る場合は、送り先の国も知らせる必要があります。

    例

    ポリシーの記載例: 当サイトではGoogleなどの広告ネットワークを利用しており、データが米国に送信される場合があります。

  7. 同意の撤回を難しくしない

    FDPICによると、同意を撤回するのに、与えるときよりはるかに多くの手間がかかるのは、自発性を損ないます。事前にチェックされたボックスは、明示的な同意が求められない場合にのみ認められます。

    例

    フッターの固定リンクから、1クリックで設定を開き直せる。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

スイスでパーソナライズ広告を使うには、Googleは認定CMPを求めています。以下は、選択と設定のための公式ページです。

対象となる人と用語の定義

法律が対象とするもの

この法律が見るのは、会社の所在地ではなく、スイスへの影響です。広告サイトにとって特に重要な概念は次のとおりです。

スイスへの影響

サイトが他の国でホストされ運営されていても、この法律は、スイス国内に影響を及ぼす状況に適用されます。

個人のみ

新しい版は、個人のデータのみを保護します。法人のデータは対象外になりました。

機密データ

健康、民族的出身、宗教、政治的意見、遺伝データ、生体データ、刑事手続きなどです。慎重な扱いが必要で、多くの場合、明示的な同意が求められます。

高リスクのプロファイリング

データを組み合わせて、個人の人格の重要な側面を評価できるようにすることです。複数のサイトにまたがる広告のトラッキングは、このレベルに達することがあります。

管理者と処理者

管理者は、サイトの運営者のように、目的と手段を決めます。処理者は、ホスティング会社のように、管理者に代わってデータを処理します。

スイスの代理人

スイス国内で商品を提供したり、人々を監視したりする国外の企業は、処理が定期的で、大規模で、高リスクである場合、現地の代理人が必要です。

同意とCookie

通知で足りる場合と、同意が必要な場合

スイスのCookieの基本ルールは、通知して、拒否できるようにすることです。サイトは、収集の時点でCookieを使っていることとその目的を伝え、訪問者が「いいえ」と言えることを知らせる必要があります。FDPICのガイダンスは、拒否する権利はどのような場合でも必須であると明確にしています。

ボタンやチェックボックスを能動的にクリックする明示的な同意は、リスクの高い場合に求められます。機密データの処理と、高リスクのプロファイリングです。また、政治、労働組合、宗教に関するコンテンツのサイトで、Cookieが想定を超える場合にも当てはまります。

2025年10月に公開された更新版のガイダンスは、広告を扱っています。複数のサイトにまたがり、報酬と引き換えに訪問者のデータを渡すサードパーティCookieは、高リスクのプロファイリングにあたる可能性があると説明しています。サイトがこのリスクを否定できない場合は、高リスクとして扱い、明示的な同意を求める必要があります。

バナーについて、FDPICは次のように述べています。「すべて同意」だけを示すウィンドウでは、明確な同意にならないこと。拒否が見える状態であること。同意の撤回は、同意するよりも難しくしてはならないこと。事前にチェックが入ったボックスが認められるのは、明示的な同意を必要としない利用に限られます。

個人の権利

スイスの訪問者が請求できること

サイトには、請求を受け付ける連絡先を用意し、期限内に回答する必要があります。

アクセス

サイトが自分についてのデータを処理しているかどうかを知り、法律で定められた情報を受け取ること。原則として30日以内、無料です。

訂正と削除

誤ったデータの訂正と、不適切に処理されたデータの削除を求めること。

異議

処理に異議を唱えること。Cookieの拒否も含まれます。電気通信法上は、この拒否は常に可能でなければなりません。

ポータビリティ

自分が提供したデータを、一般的な電子形式で受け取ること、または他の企業に送るよう求めること。

人によるレビュー

システムだけで行われた、重要な影響のある決定について知らされ、人による見直しを求めること。

収集時の情報提供

誰が収集するのか、何のためか、誰と共有するのか、データがどの国へ行くのかを知らされること。

義務

スイスの訪問者がいるサイトがすべきこと

  1. 収集の時点で通知する責任者の名称と連絡先、目的、受領者、データの送付先の国を記載したプライバシーポリシーを用意してください。ガイダンスでは、重要なことを先に示す階層的な情報提供が求められており、ページの隅に隠してはいけません。
  2. Cookieを拒否できるようにする拒否の選択肢が分かりやすいCookieの通知を表示してください。サイト間のトラッキングを行う広告では、明示的な同意を選んでください。これは、Googleがパーソナライズ広告に求めるものでもあります。
  3. 最小限から始める法律は、設計の段階から、また初期設定で保護することを求めています。実際には、必須でないものは、ページが読み込まれただけで動作してはいけません。
  4. リスクを評価する高リスクの処理の前に影響評価を行い、処理活動の記録を保管してください。ただし、従業員が250人未満で、低リスクの処理しか行わない企業は除きます。
  5. 漏えいを通知する漏えいが個人に高いリスクをもたらす可能性がある場合は、できるだけ早くFDPICに報告し、保護のために必要なときは影響を受けた人にも知らせてください。
  6. 移転に注意するスイスの外へデータを送るには、十分な保護がある国か、契約条項などの保証が必要です。米国については、Swiss-U.S. Data Privacy Frameworkの認定を受けた企業が、2024年9月15日から認められています。

執行と罰金

スイスでは、支払うのは個人

GDPRと違い、スイスの罰金は会社の売上をもとに計算されません。刑事罰であり、違反を決定または実行した個人が対象です。

最大CHF 250,000

通知、アクセス請求への対応、データ移転時の保護といった義務に故意に違反した、責任のある個人に科される罰金です。

会社は例外的な場合のみ

責任者を特定するのに不釣り合いな調査が必要になる場合は、その代わりに会社が罰金を科されることがありますが、罰金はCHF 50,000までです。

FDPICの命令

コミッショナーは調査を行い、処理の是正、停止、またはデータの削除を命じることができます。命令に従わないことも犯罪です。

Cookieのルール

電気通信法では、通知する義務と拒否できるようにする義務に、故意または過失で違反した者に、最大CHF 5,000の罰金が定められています。

年表

重要な日付

改正法の可決から、Cookieガイダンスの最新の更新まで。

  1. 2020年9月25日

    改正法の可決

    スイス議会が、データ保護法の全面改正を可決しました。

  2. 2023年9月1日

    施行

    新しい法律とその施行令が有効になります。ほとんどのルールに移行期間はありません。

  3. 2024年7月31日

    Googleが認定CMPを要求

    スイスの訪問者へのパーソナライズ広告について、AdSenseとAd Managerは、IAB TCFと連携した認定CMPを求めるようになります。

  4. 2024年9月15日

    米国との合意

    Swiss-U.S. Data Privacy Frameworkの認定を受けた米国企業が、データの適切な移転先と見なされるようになります。

  5. 2025年1月

    Cookieガイダンス

    FDPICが、Cookieなど類似技術によるデータ処理に関するガイダンスを公表します。

  6. 2025年10月

    更新されたガイダンス

    バージョン1.1で、パーソナライズ広告、位置情報、「支払うか同意するか」モデルが詳しく説明されます。

AdSenseやAd Managerを使っている場合

収益に実際にどう影響するか

2024年7月31日から、Googleはスイスの訪問者に対し、欧州経済領域と英国と同じ要件を課しています。IAB TCFと連携した認定CMPです。これがないと、スイスのトラフィックには、パーソナライズされない広告または制限付き広告しか配信されません。

つまり、スイスの法律が、場合によっては通知と拒否の機会だけでよいとしていても、Googleのパーソナライズ広告を使いたいなら、TC stringに記録された同意が必要です。実際には、Googleの基準が最も厳しいものになります。

よくある例は、ジュネーブやローザンヌからの訪問者がいる、ブラジル発のフランス語の求人サイトです。CMPが欧州連合向けにしか設定されていないと、スイスは対象外になります。スイスは欧州連合にもEEAにも加盟していないからです。その結果、スイスのトラフィックはTC stringがなく、広告が制限されます。

AdSenseとAd Managerのプライバシーとメッセージはすでに認定されており、スイスを含められます。別のCMPを使う場合は、地域のリストにスイスがあるか、ベンダーにGoogleが含まれているかを確認してください。

実例

スイスの訪問者について「できること」と「できないこと」

スイスにも読者がいる、コンテンツ、求人、金融のサイトの日常的な例です。

してよいこと

  • バナーでの選択を保存するCookieのような必須Cookieは、同意なしで使う
  • Cookieの使用を階層的に知らせる。バナーには要約を、詳細はプライバシーのページに載せる
  • EEAや英国と同じCMPの設定に、スイスも含める
  • 拒否した人には、パーソナライズされない広告を表示する
  • 訪問者が選択を変えられるよう、フッターに常設リンクを置く

してはいけないこと

  • 「すべて同意」のボタンだけのバナーを表示する
  • 何らかの回答がある前に、サードパーティのリマーケティングピクセルを発火させる
  • スイスは欧州連合に加盟していないからと、スイスを忘れる
  • 同意の撤回を、同意よりも難しくする
  • プライバシーポリシーを、見つけにくい隅に隠す

よくあるエラー

サイトが特につまずきやすい点

スイスからのトラフィックがあるサイトで、頻繁に見られる不備です。

地域のリストにスイスがない

CMPは欧州連合にはメッセージを表示しますが、スイスには表示しません。Googleは有効な同意のないリクエストを受け取り、広告を制限します。

オプトアウトだけに頼る

法律は、場合によっては通知と拒否の機会で足りるとしていますが、サイト間の広告トラッキングには明示的な同意が必要になることがあり、Googleはパーソナライズに同意を求めます。

罰金は会社の問題だと思う

スイスでは、刑事罰の罰金は決定した個人に科されます。サイトの所有者、管理者、技術責任者が個人として責任を問われることがあります。

送付先の国が書かれていないポリシー

法律は、データがどの国へ行くかを伝えることを求めています。多くの文章はGoogleの名前を挙げていますが、データがスイスの外へ出ることを書き忘れています。

拒否を認識しないバナー

訪問者が拒否をクリックしたのに、広告Cookieが残っています。ガイダンスでは、サイトによって妨げられた拒否を、訪問者に不利に使ってはならないとされています。

「支払うか同意するか」の安易な導入

トラッキングへの同意か、サブスクリプションの支払いかを、アクセスの条件にする方法は、ガイダンスで独自の条件が設けられています。他の国のモデルを見直さずにそのまま使うのは危険です。

ConsentModeでは

スイスについて監査で確認すること

  • スイスの訪問者としてサイトを開き、バナーが表示されるか、どのボタンがあるか、拒否が見える状態かを記録します。
  • ページのコードからCMPを特定し、GoogleのCMP認定リストに載っているかを確認します。
  • 広告リクエストで送られるTC stringとConsent Modeのシグナルを読み取ります。
  • 選択の前後でCookieとネットワークリクエストを比較し、早すぎるタイミングで発火しているものを指摘します。
  • プライバシーポリシーに、責任者、目的、受領者、送付先の国が書かれているかを確認します。
監査を実行する確認する項目をすべて見る

よくある質問

自分のサイトはブラジルのサイトです。スイスの法律は自分にも適用されますか?

この法律は、国外で始まった場合でも、スイスに影響を及ぼす状況に及びます。サイトが広告のためにスイスの訪問者をトラッキングしているなら、国内に影響があります。また、サイトの所在地に関係なく、Googleはこの層へのパーソナライズ広告に認定CMPを求めています。

スイスでは、バナーは情報提供だけでもいいのですか?

低リスクのCookieについては、法律は通知と拒否の機会の提供で足りるとしています。サイト間の広告トラッキング、機密データ、高リスクのプロファイリングには、明示的な同意が必要です。Googleのパーソナライズ広告には、同意を取得する認定CMPが必須です。

誰が執行し、誰が罰金を科しますか?

FDPICは、調査、ガイダンスの提供、命令を行います。罰金は、州の刑事当局が科します。

罰金はサイトの所有者に科されることがありますか?

はい。最大CHF 250,000の罰金は、故意の違反に責任のある個人に科されます。会社が罰金を科されるのは、例外的な場合だけです。

スイスに代理人は必要ですか?

会社が国外にあり、スイスにいる人のデータを、定期的に、大規模に、高いリスクを伴って処理する場合に限られます。中小規模のコンテンツサイトの大半はこの水準に達しませんが、評価しておくとよいでしょう。

GDPRと同じCMPを使っています。何か別のものが必要ですか?

通常は必要ありません。設定された地域にスイスが含まれていること、バナーとポリシーの文面がスイスの法律にも合っていること(データの送付先の国への言及など)を確認してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

スイスの訪問者に自分のサイトがどう見えるか確認しましょう

監査は、スイスからサイトを開き、バナー、TC string、Cookieを記録し、何も変更せずに、直すべき点を示します。

監査を始める