워크스페이스 열기

가이드 · 스위스 규정

FADP: 광고로 수익을 내는 사람을 위한 스위스 데이터법 설명

스위스는 유럽 연합 회원국이 아니며 2023년에 개정된 자체 데이터법이 있습니다. 어떤 면에서는 GDPR보다 유연하고 한 가지 면에서는 더 엄격합니다. 과태료가 책임자 개인에게 부과된다는 점입니다. 스위스 방문자가 있는 경우 쿠키, 배너, Google 광고에 적용되는 내용을 알아보세요.

내 스위스 트래픽 감사하기가이드 읽기
  • ✓연방법과 스위스 규제 기관의 공식 지침을 기반으로 합니다
  • ✓브라질 사이트를 포함한 광고 사이트의 사례
  • ✓사이트를 변경하지 않는 읽기
CHF 250,000책임자 개인에게 부과되며 회사에는 부과되지 않는 최대 과태료
2023개정된 법이 시행된 연도로, 9월 1일에 시행되었고 유예 기간이 없었습니다
250직원 수: 이보다 적으면 저위험 처리를 하는 회사는 처리 활동 기록을 면제받을 수 있습니다
CHF 5,000쿠키 규칙을 지키지 않은 경우 통신법상 최대 과태료

정의

GDPR과 비슷하지만 똑같지는 않은 자체 법

스위스 연방 데이터 보호법은 영어 약어로 FADP, 프랑스어로 nLPD, 독일어로 nDSG라고 하며, 2020년에 의회에서 개정되어 2023년 9월 1일에 시행되었습니다. 새 버전은 스위스 법을 유럽 GDPR에 가깝게 만들었지만 자체적인 논리는 유지했습니다.

GDPR에서는 개인정보를 처리할 때마다 법적 근거가 있어야 합니다. 스위스에서는 투명성, 목적, 비례성 같은 법의 원칙을 지키는 한 처리가 허용됩니다. 동의나 우월한 이익 같은 정당화 사유는 처리가 이러한 원칙이나 개인의 인격을 침해할 때만 요구됩니다.

집행은 연방 데이터 보호 및 정보 담당관인 FDPIC가 맡으며, 프랑스어로는 PFPDT, 독일어로는 EDÖB라고 합니다. 조사하고, 명령을 내리고, 지침을 발표하지만 과태료는 부과하지 않습니다. 과태료는 형사상 제재이며 주(칸톤) 당국이 담당합니다.

쿠키는 통신법의 규칙도 따릅니다. 사이트가 쿠키 사용과 그 목적을 알리고, 방문자가 쿠키를 거부할 수 있게 해야 합니다. FDPIC의 지침은 이 두 법이 어떻게 결합되는지 설명합니다.

체크리스트

꼭 지켜야 할 것

FDPIC 지침과 Google이 스위스 방문자가 있는 광고 사이트에 요구하는 항목입니다.

  1. Google 인증 CMP를 사용하세요

    2024년 7월 31일부터 Google은 스위스에서 맞춤 광고를 게재하려면 Google 인증을 받고 IAB TCF와 연동된 CMP를 요구합니다. CMP가 없으면 스위스 트래픽에는 비맞춤 광고나 제한된 광고만 게재할 수 있습니다.

    예시

    스위스는 유럽연합이나 EEA에 속하지 않으므로 CMP 지역에 스위스를 포함하세요.

  2. 항상 쿠키를 거부할 수 있게 하세요

    FDPIC는 사이트가 필수가 아닌 쿠키를 거부할 선택권을 항상 방문자에게 주어야 한다고 말합니다. 거부 옵션은 분명하게 보여야 합니다.

    예시

    배너에 본문의 작은 링크가 아니라 눈에 띄는 거부 버튼이 있습니다.

  3. 모두 수락만 있는 배너를 쓰지 마세요

    FDPIC는 모두 수락만 허용하는 창은 명확한 동의 표시가 아니라고 봅니다. 필수 쿠키와 동의가 필요한 쿠키가 섞여 있으면 더욱 문제가 됩니다.

  4. 위험이 높은 경우에는 명시적 동의를 받으세요

    민감한 데이터와 위험이 높은 프로파일링에는 명시적 동의가 필요합니다. FDPIC는 여러 사이트에 걸친 광고 추적이 이 수준에 이를 수 있다고 설명합니다. 애매하면 법무 담당자에게 확인하세요.

    예시

    제3자 광고 쿠키는 방문자가 수락을 직접 클릭한 뒤에만 저장됩니다.

  5. 수집 시점에 알려 주세요

    데이터가 수집될 때 방문자에게 알려야 하며, 가장 중요한 내용을 먼저 단계별로 보여 주어야 합니다. 개인정보처리방침을 사이트 구석에 숨겨 두는 것으로는 충분하지 않습니다.

    예시

    배너가 쿠키 사용을 요약하고 한 번의 클릭으로 전체 방침으로 연결합니다.

  6. 데이터를 누가, 어느 나라에서 받는지 알려 주세요

    방침에는 데이터가 제3자나 서비스 제공업체에 전달될 때 그 목적과 함께 밝혀야 합니다. 데이터가 스위스 밖으로 나가면 도착하는 나라도 알려야 합니다.

    예시

    방침에: Google과 다른 광고 네트워크를 사용하며, 데이터가 미국으로 전송될 수 있습니다.

  7. 동의 철회를 어렵게 만들지 마세요

    FDPIC에 따르면 동의를 철회하는 데 동의하는 것보다 훨씬 더 많은 노력이 들면 자발성을 해칩니다. 미리 체크된 상자는 명시적 동의가 필요하지 않은 경우에만 허용됩니다.

    예시

    푸터의 고정 링크가 한 번의 클릭으로 환경설정을 다시 엽니다.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

스위스에서 맞춤 광고를 쓰려면 Google은 인증받은 CMP를 요구합니다. 아래는 CMP를 고르고 설정하는 공식 페이지입니다.

적용 대상과 정의

법이 다루는 범위

이 법은 회사의 주소가 아니라 스위스에 미치는 영향을 봅니다. 다음은 광고가 있는 사이트에 가장 중요한 개념입니다.

스위스에 미치는 영향

사이트가 다른 곳에서 호스팅되고 운영되더라도, 스위스 내에 영향을 미치는 상황에는 이 법이 적용됩니다.

자연인만 해당

새 버전은 자연인의 데이터만 보호합니다. 법인의 데이터는 더 이상 포함되지 않습니다.

민감한 데이터

건강, 인종적 출신, 종교, 정치적 견해, 유전 및 생체 데이터, 형사 절차가 포함됩니다. 주의가 필요하며 명시적 동의가 필요한 경우가 많습니다.

고위험 프로파일링

누군가의 성격에 대한 핵심적인 측면을 평가할 수 있게 해 주는 데이터 교차 결합입니다. 여러 사이트에 걸친 광고 추적이 이 수준에 이를 수 있습니다.

컨트롤러와 처리자

컨트롤러는 사이트 소유자처럼 목적과 수단을 결정합니다. 처리자는 호스팅 업체처럼 컨트롤러를 대신해 데이터를 처리합니다.

스위스 내 대리인

스위스에서 제품을 제공하거나 사람들을 모니터링하는 외국 회사는 처리가 정기적이고, 대규모이며, 고위험일 때 현지 대리인을 두어야 합니다.

동의와 쿠키

알리기만 하면 되는 경우와 요청해야 하는 경우

스위스의 기본 쿠키 규칙은 알리고 거부할 수 있게 하는 것입니다. 사이트는 수집 시점에 쿠키를 사용한다는 사실과 목적을 알리고, 방문자가 아니요라고 할 수 있음을 상기시켜야 합니다. FDPIC의 지침은 거부할 권리가 어떤 경우에도 필수라고 분명히 밝힙니다.

버튼이나 체크박스를 직접 클릭하는 명시적 동의는 위험이 더 큰 경우에 요구됩니다. 민감한 데이터의 처리와 고위험 프로파일링이 그렇습니다. 쿠키가 예상 범위를 넘는 정치, 노동조합 또는 종교 콘텐츠 사이트에도 적용됩니다.

2025년 10월에 발표된 지침 업데이트 버전은 광고를 다룹니다. 여러 사이트에 퍼져 있으며 대가를 받고 방문자 데이터를 넘기는 제3자 쿠키는 고위험 프로파일링에 해당할 수 있다고 설명합니다. 사이트가 이 위험을 배제할 수 없다면 고위험으로 보고 명시적 동의를 요청해야 합니다.

배너에 대해 FDPIC는 모두 수락하기만 제공하는 창은 명확한 동의를 만들지 못하며, 거부 옵션이 눈에 보여야 하고, 동의를 철회하는 일이 동의하는 일보다 어려워서는 안 된다고 말합니다. 미리 체크된 상자는 명시적 동의가 필요하지 않은 용도에만 허용됩니다.

개인의 권리

스위스 방문자가 요청할 수 있는 것

사이트는 요청을 받을 연락처를 두고 기한 안에 답해야 합니다.

접근

사이트가 자신에 대한 데이터를 처리하는지 알고 법에서 정한 정보를 받는 것입니다. 원칙적으로 30일 이내에 무료로 받습니다.

정정 및 삭제

잘못된 데이터를 정정하고, 부적절하게 처리된 데이터를 삭제해 달라고 요청하는 것입니다.

이의 제기

쿠키 거부를 포함해 처리에 반대하는 것입니다. 통신법상 이 거부는 항상 가능해야 합니다.

이동성

제공한 데이터를 일반적인 전자 형식으로 받거나 다른 회사에 보내 달라고 요청하는 것입니다.

사람의 검토

시스템만으로 내려져 중대한 영향을 주는 결정에 대해 안내받고 사람이 검토해 달라고 요청하는 것입니다.

수집 시 정보 제공

누가 수집하는지, 무엇을 위해서인지, 누구와 공유하는지, 어느 나라로 데이터가 가는지 안내받는 것입니다.

의무

스위스 방문자가 있는 사이트가 해야 할 일

  1. 수집 시점에 알리기책임자의 신원과 연락처, 목적, 수신자, 데이터가 가는 국가가 담긴 개인정보 처리방침을 두세요. 지침은 중요한 내용을 먼저 보여 주는 단계별 안내를 요구하며, 페이지 구석에 숨겨 두어서는 안 됩니다.
  2. 쿠키 거부 제공하기거부 옵션이 분명한 쿠키 안내를 표시하세요. 여러 사이트에 걸친 추적이 있는 광고에는 명시적 동의가 좋으며, Google도 맞춤 광고에 이를 요구합니다.
  3. 최소한으로 시작하기이 법은 설계 단계부터 기본적으로 보호할 것을 요구합니다. 실제로는 필수가 아닌 것은 페이지가 로드되었다는 이유만으로 실행되어서는 안 됩니다.
  4. 위험 평가하기고위험 처리 전에 영향 평가를 하고 처리 활동 기록을 유지하세요. 단, 직원이 250명 미만이고 저위험 처리만 하는 회사는 예외입니다.
  5. 유출 알리기유출이 사람들에게 높은 위험을 초래할 수 있으면 가능한 한 빨리 FDPIC에 알리고, 보호에 필요한 경우 영향을 받은 사람에게도 알리세요.
  6. 전송 관리하기스위스 밖으로 데이터를 보내려면 적절한 보호 수준을 갖춘 국가이거나 계약 조항 같은 보장이 있어야 합니다. 미국의 경우 Swiss-U.S. Data Privacy Framework 인증 기업이 2024년 9월 15일부터 인정됩니다.

집행과 과태료

스위스에서는 책임자 개인이 냅니다

GDPR과 달리 스위스의 과태료는 회사 매출을 기준으로 계산되지 않습니다. 형사상 제재이며 위반을 결정했거나 실행한 개인을 겨냥합니다.

최대 CHF 250,000

고의로 안내 의무, 접근 요청에 대한 응답 의무, 데이터 전송 시 보호 의무 같은 의무를 위반한 책임자 개인에 대한 과태료입니다.

회사는 예외적으로만

책임자를 찾는 데 불균형적인 조사가 필요한 경우, 과태료가 CHF 50,000을 넘지 않는 한 회사가 대신 과태료를 낼 수 있습니다.

FDPIC의 명령

담당관은 조사하고 처리를 정정하거나 중단하거나 데이터를 삭제하도록 명령할 수 있습니다. 명령에 따르지 않는 것도 범죄입니다.

쿠키 규칙

통신법은 고의 또는 과실로 알리고 거부할 수 있게 할 의무를 지키지 않은 경우 최대 CHF 5,000의 과태료를 규정합니다.

타임라인

중요한 날짜

개정된 법의 승인부터 쿠키 지침의 가장 최근 업데이트까지.

  1. 2020년 9월 25일

    개정법 통과

    스위스 의회가 데이터 보호법의 전면 개정을 승인합니다.

  2. 2023년 9월 1일

    시행

    새 법과 시행령이 발효되며, 대부분의 규칙에는 전환 기간이 없습니다.

  3. 2024년 7월 31일

    Google이 인증 CMP를 요구

    스위스 방문자에게 맞춤 광고를 게재하려면 AdSense와 Ad Manager가 IAB TCF와 연동된 인증 CMP를 요구하기 시작합니다.

  4. 2024년 9월 15일

    미국과의 협정

    Swiss-U.S. Data Privacy Framework 인증을 받은 미국 기업이 데이터의 적절한 전송 대상으로 인정됩니다.

  5. 2025년 1월

    쿠키 지침

    FDPIC가 쿠키 및 유사 기술을 이용한 데이터 처리에 관한 지침을 발표합니다.

  6. 2025년 10월

    지침 업데이트

    버전 1.1이 맞춤 광고, 위치 데이터, 결제 또는 수락(pay or okay) 모델을 자세히 다룹니다.

AdSense나 Ad Manager를 쓰는 사람에게

수익에 실제로 달라지는 점

Google은 2024년 7월 31일부터 스위스 방문자에게 유럽 경제 지역 및 영국과 같은 것을 요구합니다. TCF와 연동된 IAB 인증 CMP입니다. 이것이 없으면 스위스 트래픽에는 비맞춤 광고나 제한된 광고만 게재됩니다.

즉, 스위스 법이 일부 경우에 알리고 거부할 수 있게 하는 것으로 충분하다고 해도, Google 맞춤 광고를 원한다면 TC string에 기록된 동의가 필요합니다. 실제로는 Google의 기준이 가장 엄격한 기준이 됩니다.

흔한 예: 제네바와 로잔에서 방문자가 오는 브라질의 프랑스어 구인 사이트. CMP를 유럽 연합에만 설정했다면 스위스는 빠집니다. 스위스는 유럽 연합이나 EEA 회원국이 아니기 때문입니다. 그 결과 스위스 트래픽에는 TC string이 없고 제한된 광고만 나옵니다.

AdSense와 Ad Manager의 개인정보 보호 및 메시지는 이미 인증을 받았으며 스위스를 포함할 수 있습니다. 다른 CMP를 사용한다면 지역 목록에 스위스가 있는지, 공급업체 중에 Google이 있는지 확인하세요.

실제 사례

스위스 방문자에게 해도 되는 일과 안 되는 일

스위스에 방문자가 있는 콘텐츠, 구인, 금융 사이트의 일상적인 사례입니다.

허용

  • 배너에서 선택한 내용을 저장하는 쿠키 같은 필수 쿠키는 동의를 요청하지 않고 사용하기
  • 쿠키 사용을 단계별로 안내하기: 배너에는 요약, 개인정보 페이지에는 자세한 내용
  • EEA와 영국에 쓰는 것과 같은 CMP 설정에 스위스 포함하기
  • 거부한 방문자에게 비맞춤 광고 표시하기
  • 방문자가 선택을 바꿀 수 있도록 푸터에 고정 링크 제공하기

허용 안 됨

  • 모두 수락 버튼만 있는 배너 표시하기
  • 응답이 오기 전에 제3자 리마케팅 픽셀 실행하기
  • 스위스는 유럽 연합 회원국이 아니라는 이유로 잊어버리기
  • 동의 철회를 수락보다 어렵게 만들기
  • 개인정보 처리방침을 찾기 어려운 구석에 숨기기

흔한 오류

사이트들이 가장 많이 실수하는 부분

스위스 트래픽이 있는 사이트에서 자주 나타나는 문제입니다.

지역 목록에서 빠진 스위스

CMP가 유럽 연합에는 메시지를 표시하지만 스위스에는 표시하지 않습니다. Google은 유효한 동의가 없는 요청을 받아 광고를 제한합니다.

옵트아웃에만 의존

법은 일부 경우 알리고 거부할 수 있게 하는 것을 인정하지만, 여러 사이트에 걸친 광고 추적은 명시적 동의가 필요할 수 있고, Google은 맞춤 설정에 동의를 요구합니다.

과태료는 회사의 문제라고 생각

스위스에서는 형사상 과태료가 결정을 내린 사람에게 부과됩니다. 사이트 소유자, 관리자, 기술 담당자가 직접 책임질 수 있습니다.

전송 대상 국가가 없는 방침

법은 데이터가 어느 나라로 가는지 알릴 것을 요구합니다. 많은 문서가 Google을 언급하면서 데이터가 스위스를 벗어난다는 사실은 말하지 않습니다.

거부를 인식하지 못하는 배너

방문자가 거부를 클릭했는데도 광고 쿠키가 그대로 있습니다. 지침은 사이트가 막은 거부를 방문자에게 불리하게 사용할 수 없다고 말합니다.

주의 없는 결제 또는 수락 모델

추적에 동의하거나 구독료를 내야만 접근하게 하는 방식은 지침에서 별도의 조건으로 다룹니다. 검토 없이 다른 나라의 모델을 그대로 따라 하는 것은 위험합니다.

ConsentMode에서

감사가 스위스에 대해 확인하는 항목

  • 스위스 방문자로 사이트를 열어 배너가 나타나는지, 어떤 버튼을 제공하는지, 거부가 눈에 보이는지 기록합니다.
  • 페이지 코드로 CMP를 식별하고 Google의 인증 목록에 있는지 확인합니다.
  • 광고 요청에 실린 TC string과 동의 모드 신호를 읽습니다.
  • 선택 전과 후의 쿠키와 네트워크 요청을 비교해 너무 일찍 실행되는 것을 알려 줍니다.
  • 개인정보 처리방침에 책임자, 목적, 수신자, 전송 대상 국가가 있는지 확인합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

제 사이트는 브라질 사이트입니다. 스위스 법이 저에게 적용되나요?

이 법은 외국에서 시작되었더라도 스위스에 영향을 주는 상황에 미칩니다. 사이트가 광고를 위해 스위스 방문자를 추적한다면 스위스에 영향이 있습니다. 또한 Google은 사이트의 위치와 상관없이 이 방문자에게 광고를 맞춤 설정하려면 인증 CMP를 요구합니다.

스위스에서는 배너가 안내용이기만 해도 되나요?

저위험 쿠키는 법이 안내와 거부 제공을 인정합니다. 여러 사이트에 걸친 광고 추적, 민감한 데이터, 고위험 프로파일링에는 명시적 동의가 필요합니다. Google 맞춤 광고에는 동의를 받는 인증 CMP가 필수입니다.

누가 감독하고 누가 과태료를 부과하나요?

FDPIC는 조사하고, 안내하고, 명령을 내릴 수 있습니다. 과태료는 주(칸톤)의 형사 당국이 부과합니다.

과태료가 사이트 소유자에게 부과될 수 있나요?

네. 최대 CHF 250,000의 과태료는 고의 위반에 책임이 있는 개인에게 부과됩니다. 회사는 예외적인 경우에만 과태료를 냅니다.

스위스에 대리인이 필요한가요?

회사가 스위스 밖에 있고 스위스에 있는 사람들의 데이터를 정기적으로, 대규모로, 높은 위험으로 처리하는 경우에만 필요합니다. 대부분의 중소 콘텐츠 사이트는 그 수준에 이르지 않지만 평가해 볼 가치는 있습니다.

GDPR에 쓰는 CMP와 같은 것을 사용합니다. 다른 것이 필요한가요?

보통은 필요 없습니다. 스위스가 설정된 지역에 있는지, 그리고 배너와 방침의 문구에 전송 대상 국가 언급처럼 스위스 법도 충족하는 내용이 있는지만 확인하세요.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

스위스 방문자에게 내 사이트가 어떻게 보이는지 확인하세요

감사는 스위스에서 사이트를 열어 배너, TC string, 쿠키를 기록하고, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기