Мой кабинет

Руководство · Швейцарское регулирование

FADP: швейцарский закон о данных простыми словами для тех, кто живет за счет рекламы

Швейцария не входит в Европейский союз и имеет собственный закон о данных, пересмотренный в 2023 году. Он гибче GDPR в одних пунктах и жестче в другом: штраф ложится на ответственное лицо. Узнайте, что действует для cookie, баннеров и рекламы Google при швейцарских посетителях.

Проверить мой трафик из ШвейцарииЧитать руководство
  • ✓По федеральному закону и официальным рекомендациям швейцарского регулятора
  • ✓Примеры сайтов с рекламой, в том числе бразильских
  • ✓Проверка без изменения сайта
250 тыс. CHFмаксимальный штраф, налагаемый на ответственное лицо, а не на компанию
2023год, в котором вступил в силу пересмотренный закон, 1 сентября, без переходного периода
250сотрудников: при меньшем числе компании с низким риском обработки могут не вести реестр действий
5 тыс. CHFмаксимальный штраф по закону о телекоммуникациях за нарушение правила о cookie

Что это

Собственный закон, похожий на GDPR, но не такой же

Федеральный закон Швейцарии о защите данных, известный по аббревиатуре FADP на английском, nLPD на французском и nDSG на немецком, был пересмотрен парламентом в 2020 году и вступил в силу 1 сентября 2023 года. Новая версия сблизила швейцарский закон с европейским GDPR, но сохранила собственную логику.

В GDPR любая обработка персональных данных требует правового основания. В Швейцарии обработка разрешена, если соблюдаются принципы закона, такие как прозрачность, целевое назначение и соразмерность. Обоснование, например согласие или преобладающий интерес, требуется только тогда, когда обработка нарушает эти принципы или личность человека.

Контроль осуществляет Федеральный уполномоченный по защите данных и информации, FDPIC, который по-французски называется PFPDT, а по-немецки EDÖB. Он расследует, дает предписания и публикует рекомендации, но не налагает штрафы. Штрафы уголовные и назначаются органами кантонов.

Cookie также подчиняются правилу закона о телекоммуникациях. Оно требует, чтобы сайт сообщал об использовании и целях cookie и давал посетителю возможность отказаться от них. Рекомендации FDPIC объясняют, как эти два закона сочетаются.

Чек-лист

Что нужно выполнить

Вот требования, которые руководство FDPIC и Google предъявляют к сайту с рекламой, на который заходят посетители из Швейцарии.

  1. Используйте CMP, сертифицированную Google

    С 31 июля 2024 года Google требует сертифицированную CMP, интегрированную с IAB TCF, чтобы показывать персонализированную рекламу в Швейцарии. Без неё швейцарский трафик может получать только неперсонализированную или ограниченную рекламу.

    Пример

    Добавьте Швейцарию в регионы CMP, потому что она не входит ни в Европейский союз, ни в ЕЭЗ.

  2. Всегда позволяйте отказаться от cookie

    FDPIC указывает, что сайт должен всегда давать посетителю возможность отказаться от необязательных cookie. Вариант отказа должен быть хорошо виден.

    Пример

    В баннере есть заметная кнопка «Отказаться», а не только маленькая ссылка в тексте.

  3. Не используйте баннер только с кнопкой «Принять всё»

    По мнению FDPIC, окно, где можно только принять всё, не является ясным заявлением о согласии. Это ещё серьёзнее, когда обязательные cookie смешаны с теми, которым нужно согласие.

  4. Запрашивайте явное согласие в случаях высокого риска

    Чувствительные данные и профилирование с высоким риском требуют явного согласия. FDPIC поясняет, что отслеживание рекламы на нескольких сайтах может достигать такого уровня. Если сомневаетесь, проконсультируйтесь с юристом.

    Пример

    Рекламные cookie третьих сторон сохраняются только после активного нажатия «Принять».

  5. Сообщайте в момент сбора

    Посетителя нужно информировать в момент сбора данных, по уровням, с самым важным в начале. Недостаточно положить политику конфиденциальности в скрытый уголок сайта.

    Пример

    Баннер кратко описывает использование cookie и одним нажатием ведёт к полной политике.

  6. Укажите, кто получает данные и в какой стране

    В политике нужно сообщать, когда данные передаются третьим лицам или подрядчикам, и с какой целью. Если данные покидают Швейцарию, нужно указать и страну назначения.

    Пример

    В политике: мы используем Google и другие рекламные сети, и данные могут отправляться в Соединённые Штаты.

  7. Не усложняйте отзыв согласия

    Если отозвать согласие требует заметно больше усилий, чем дать его, это нарушает добровольность, считает FDPIC. Заранее отмеченные флажки допускаются только там, где не требуется явное согласие.

    Пример

    Постоянная ссылка в подвале одним нажатием снова открывает настройки.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Для персонализированной рекламы в Швейцарии Google требует сертифицированную CMP, а вот официальные страницы для выбора и настройки.

К кому применяется и определения

Что охватывает закон

Закон смотрит на последствия в Швейцарии, а не на адрес компании. Вот понятия, которые важнее всего для сайта с рекламой.

Последствия в Швейцарии

Закон действует для ситуаций, которые имеют последствия в стране, даже если сайт размещен и управляется в другом месте.

Только физические лица

Новая версия защищает только данные физических лиц. Данные компаний больше не охвачены.

Чувствительные данные

Включают здоровье, этническое происхождение, религию, политические взгляды, генетические и биометрические данные и уголовные дела. Требуют осторожности и часто явного согласия.

Профилирование с высоким риском

Это сопоставление данных, позволяющее оценить существенные аспекты личности человека. Отслеживание рекламы на многих сайтах может достигать такого уровня.

Контролер и обработчик

Контролер определяет цель и средства, например владелец сайта. Обработчик обрабатывает данные от его имени, например хостинг.

Представитель в Швейцарии

Иностранные компании, которые предлагают товары или отслеживают людей в стране, должны иметь местного представителя, если обработка регулярная, масштабная и с высоким риском.

Согласие и cookie

Когда достаточно уведомить, а когда нужно спрашивать

Основное правило для cookie в Швейцарии: уведомить и позволить отказаться. Сайт должен сообщить в момент сбора, что использует cookie и для чего, и напомнить посетителю, что он может сказать нет. Рекомендации FDPIC ясно указывают, что право отказаться обязательно в любом сценарии.

Явное согласие, с активным кликом по кнопке или в поле, требуется в случаях более высокого риска: обработка чувствительных данных и профилирование с высоким риском. Оно также нужно сайтам с политическим, профсоюзным или религиозным содержанием, когда cookie выходят за рамки ожидаемого.

Обновленная версия рекомендаций, опубликованная в октябре 2025 года, касается рекламы. В ней объясняется, что сторонние cookie, разбросанные по многим сайтам, которые передают данные посетителей за плату, могут образовывать профилирование с высоким риском. Если сайт не может исключить этот риск, он должен считать его высоким и запрашивать явное согласие.

Что касается баннера, FDPIC говорит, что окно, предлагающее только принять всё, не создает ясного согласия, что отказ должен быть виден и что отозвать согласие нельзя делать сложнее, чем дать. Предустановленные флажки допустимы только для использований, не требующих явного согласия.

Права людей

Что может запросить швейцарский посетитель

На сайте должен быть контакт для получения запросов и ответ в установленный срок.

Доступ

Узнать, обрабатывает ли сайт данные о человеке, и получить предусмотренную законом информацию, как правило, в течение 30 дней и бесплатно.

Исправление и удаление

Потребовать исправить неверные данные и удалить данные, обработанные с нарушениями.

Возражение

Возразить против обработки, в том числе отказаться от cookie. Для закона о телекоммуникациях такой отказ всегда должен быть возможен.

Переносимость

Получить предоставленные данные в распространенном электронном формате или попросить передать их другой компании.

Проверка человеком

Быть проинформированным о решениях, принятых только системой и имеющих важные последствия, и попросить, чтобы их пересмотрел человек.

Информация при сборе

Быть уведомленным о том, кто собирает данные, для чего, с кем делится и в какие страны они передаются.

Обязанности

Что должен делать сайт со швейцарскими посетителями

  1. Информировать в момент сбораПодготовьте политику конфиденциальности с данными и контактом ответственного, целями, получателями и странами, куда передаются данные. Рекомендации требуют многоуровневой информации, где главное идет первым и ничего не прячется в углу страницы.
  2. Предложить отказ от cookieПокажите уведомление о cookie с понятной возможностью отказаться. Для рекламы с отслеживанием на разных сайтах лучше выбирать явное согласие, которое также требует Google для персонализированной рекламы.
  3. Начинать с минимумаЗакон требует защиты по умолчанию и на этапе проектирования. На практике ничего несущественного не должно запускаться только потому, что страница загрузилась.
  4. Оценивать рискПроводите оценку воздействия перед обработкой с высоким риском и ведите реестр действий, если только у компании нет менее 250 сотрудников и только обработка с низким риском.
  5. Сообщать об утечкахУведомляйте FDPIC как можно скорее, если утечка может создать высокий риск для людей, и сообщайте пострадавшим, когда это необходимо для их защиты.
  6. Следить за передачей данныхОтправка данных за пределы Швейцарии требует страны с достаточным уровнем защиты или гарантий, например договорных положений. Для США принимаются компании, сертифицированные по Swiss-U.S. Data Privacy Framework, с 15 сентября 2024 года.

Контроль и штрафы

В Швейцарии платит человек

В отличие от GDPR, швейцарский штраф не рассчитывается от оборота компании. Он уголовный и направлен на лицо, которое приняло решение о нарушении или совершило его.

До 250 тыс. CHF

Штраф для ответственного физического лица, которое умышленно нарушает обязанности, например информировать, отвечать на запросы доступа или защищать данные при передаче.

Компания только в исключениях

Если поиск ответственного лица потребовал бы несоразмерного расследования, штраф может быть наложен на компанию вместо него, но не более 50 тыс. CHF.

Предписания FDPIC

Уполномоченный расследует и может предписать исправить обработку, приостановить ее или удалить данные. Неисполнение предписания также является преступлением.

Правило о cookie

Закон о телекоммуникациях предусматривает штраф до 5 тыс. CHF за умышленное или небрежное нарушение обязанности информировать и позволять отказаться.

Хронология

Важные даты

От принятия пересмотренного закона до последнего обновления рекомендаций по cookie.

  1. 25 сентября 2020 года

    Пересмотренный закон принят

    Парламент Швейцарии принимает полный пересмотр закона о защите данных.

  2. 1 сентября 2023 года

    Вступление в силу

    Новый закон и регулирующее его постановление начинают действовать, без переходного периода для большинства правил.

  3. 31 июля 2024 года

    Google требует сертифицированную CMP

    Для персонализированной рекламы посетителям из Швейцарии AdSense и Ad Manager начинают требовать сертифицированную CMP, интегрированную с IAB TCF.

  4. 15 сентября 2024 года

    Соглашение с США

    Американские компании, сертифицированные по Swiss-U.S. Data Privacy Framework, начинают считаться подходящим получателем данных.

  5. Январь 2025 года

    Рекомендации по cookie

    FDPIC публикует рекомендации по обработке данных с помощью cookie и похожих технологий.

  6. Октябрь 2025 года

    Обновленные рекомендации

    Версия 1.1 подробно описывает персонализированную рекламу, данные о местоположении и модель «заплати или согласись».

Для тех, у кого есть AdSense или Ad Manager

Что меняется на практике для дохода

С 31 июля 2024 года Google требует для посетителей из Швейцарии то же, что и для Европейской экономической зоны и Великобритании: сертифицированную CMP, интегрированную с IAB TCF. Без нее швейцарский трафик получает только неперсонализированную или ограниченную рекламу.

Это значит, что даже если швейцарский закон в некоторых случаях довольствуется уведомлением и возможностью отказаться, тот, кто хочет персонализированную рекламу Google, должен иметь согласие, записанное в TC string. На практике стандарт Google оказывается самым строгим.

Распространенный пример: бразильский сайт с вакансиями на французском, который получает посетителей из Женевы и Лозанны. Если CMP настроена только для Европейского союза, Швейцария остается за рамками, потому что она не член Союза и не ЕЭЗ. Результат: швейцарский трафик без TC string и с ограниченной рекламой.

Сообщение о конфиденциальности AdSense и Ad Manager уже сертифицировано и позволяет включить Швейцарию. С другой CMP проверьте, есть ли Швейцария в списке регионов и входит ли Google в число поставщиков.

На практике

Что можно и что нельзя со швейцарскими посетителями

Повседневные примеры для сайтов с контентом, вакансиями и финансами с аудиторией в Швейцарии.

Можно

  • Использовать обязательные cookie, например тот, что хранит выбор баннера, без запроса согласия
  • Сообщать об использовании cookie по уровням: краткое описание в баннере и подробности на странице конфиденциальности
  • Включить Швейцарию в ту же конфигурацию CMP, что используется для ЕЭЗ и Великобритании
  • Показывать неперсонализированную рекламу тем, кто отказался
  • Оставить постоянную ссылку в подвале, чтобы посетитель мог изменить выбор

Нельзя

  • Показывать баннер только с кнопкой «принять всё»
  • Запускать сторонние пиксели ремаркетинга до какого-либо ответа
  • Забыть про Швейцарию, потому что она не входит в Европейский союз
  • Делать отзыв согласия сложнее, чем принятие
  • Прятать политику конфиденциальности в трудно находимом углу

Частые ошибки

Где сайты ошибаются чаще всего

Сбои, которые часто встречаются на сайтах со швейцарским трафиком.

Швейцария вне списка регионов

CMP показывает сообщение для Европейского союза, но не для Швейцарии. Google получает запросы без действительного согласия и ограничивает рекламу.

Полагаться только на opt-out

Закон в некоторых случаях допускает уведомление с возможностью отказаться, но отслеживание рекламы на разных сайтах может требовать явного согласия, а Google требует согласие для персонализации.

Думать, что штраф это проблема компании

В Швейцарии уголовный штраф ложится на человека, принявшего решение. Владелец сайта, менеджер или технический ответственный могут отвечать лично.

Политика без стран назначения

Закон требует сообщать, в какие страны уходят данные. Во многих текстах упоминается Google, но не сказано, что данные покидают Швейцарию.

Баннер, который не распознает отказ

Посетитель нажимает «отказаться», а рекламные cookie остаются. Рекомендации говорят, что отказ, заблокированный сайтом, нельзя использовать против посетителя.

Pay or accept без осторожности

Условие доступа в виде согласия на отслеживание или платной подписки рассматривается в рекомендациях на особых условиях. Копировать модель из другой страны без проверки рискованно.

В ConsentMode

Что проверяет аудит для Швейцарии

  • Открывает сайт как посетитель из Швейцарии и фиксирует, появляется ли баннер, какие кнопки он предлагает и виден ли отказ.
  • Определяет CMP по коду страницы и проверяет, есть ли она в списке сертифицированных CMP Google.
  • Читает TC string и сигналы Consent Mode, отправляемые в рекламных запросах.
  • Сравнивает cookie и сетевые запросы до и после выбора и показывает, что срабатывает раньше времени.
  • Проверяет, указаны ли в политике конфиденциальности ответственное лицо, цели, получатели и страны назначения.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

Мой сайт бразильский. Действует ли на меня швейцарский закон?

Закон охватывает ситуации с последствиями в Швейцарии, даже если они начались за границей. Если сайт отслеживает швейцарских посетителей для рекламы, последствия в стране есть. А Google требует сертифицированную CMP для персонализации рекламы для этой аудитории, независимо от того, где находится сайт.

Может ли баннер в Швейцарии быть только информационным?

Для cookie с низким риском закон допускает информирование с возможностью отказа. Для отслеживания рекламы на разных сайтах, чувствительных данных или профилирования с высоким риском нужно явное согласие. Для персонализированной рекламы Google сертифицированная CMP с согласием обязательна.

Кто контролирует и кто штрафует?

FDPIC расследует, дает рекомендации и может выдавать предписания. Штрафы налагают уголовные органы кантонов.

Может ли штраф коснуться владельца сайта?

Да. Штраф до 250 тыс. CHF налагается на физическое лицо, ответственное за умышленное нарушение. Компанию штрафуют только в исключительных случаях.

Нужен ли мне представитель в Швейцарии?

Только если компания находится за пределами страны и обрабатывает данные людей в Швейцарии регулярно, в крупном масштабе и с высоким риском. Большинство небольших и средних сайтов с контентом не достигают такого уровня, но стоит это оценить.

Я использую ту же CMP, что и для GDPR. Нужно ли что-то другое?

Обычно нет. Достаточно убедиться, что Швейцария входит в настроенные регионы и что тексты баннера и политики соответствуют также швейцарскому закону, например упоминанием стран назначения.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Посмотрите, как ваш сайт выглядит для швейцарского посетителя

Аудит открывает сайт из Швейцарии, фиксирует баннер, TC string и cookie и показывает, что исправить, ничего не меняя.

Начать аудит