打开空间

指南 · 瑞士法规

FADP：写给靠广告赚钱的人的瑞士数据法详解

瑞士不属于欧盟，有自己的数据法，并在 2023 年修订。它在某些方面比 GDPR 更灵活，在另一个方面更严格：罚款落在责任人个人身上。请了解有瑞士访问者时，Cookie、横幅和 Google 广告适用什么规则。

审核我的瑞士流量阅读指南
  • ✓基于联邦法律和瑞士监管机构的官方指引
  • ✓有广告网站的示例，包括巴西网站
  • ✓只读取，不修改网站
CHF 25 万最高罚款，针对责任人个人而不是公司
2023修订后的法律于 9 月 1 日生效的年份，没有过渡期
250名员工：低于此人数，处理风险较低的企业可以免于登记处理活动
CHF 5 千违反 Cookie 规则者在电信法下的最高罚款

是什么

一部自己的法律，与 GDPR 相似，但并不相同

瑞士联邦数据保护法，英文缩写为 FADP，法文为 nLPD，德文为 nDSG，于 2020 年由议会修订，并于 2023 年 9 月 1 日生效。新版本使瑞士的法律更接近欧洲的 GDPR，但仍保留了自己的逻辑。

在 GDPR 中，每一次处理个人数据都需要法律依据。在瑞士，只要处理符合法律原则，如透明、目的限定和相称，就是允许的。只有当处理违背这些原则或侵害个人人格时，才需要说明理由，比如用户同意或更重大的利益。

执法由联邦数据保护和信息专员负责，即 FDPIC，法文称 PFPDT，德文称 EDÖB。它负责调查、发出命令并发布指引，但不处以罚款。罚款属于刑事罚款，由各州（州级）的当局负责。

Cookie 还适用电信法的一项规则。该规则要求网站告知使用 Cookie 及其目的，并让访问者可以拒绝。FDPIC 的指引说明了这两部法律如何配合适用。

清单

你需要做到的事项

以下是 FDPIC 的指引和 Google 对面向瑞士访客、投放广告的网站提出的要求。

  1. 使用 Google 认证的 CMP

    自 2024 年 7 月 31 日起，Google 要求使用经认证且已接入 IAB TCF 的 CMP，才能在瑞士展示个性化广告。没有 CMP 时，瑞士流量只能展示非个性化广告或受限广告。

    示例

    请把瑞士加入 CMP 的地区设置，因为瑞士既不属于欧盟，也不属于 EEA。

  2. 始终允许拒绝 Cookie

    FDPIC 表示，网站应始终让访客可以选择拒绝非必要的 Cookie。拒绝选项必须清楚地显示出来。

    示例

    横幅上有一个可见的“拒绝”按钮，而不只是文字里的一个小链接。

  3. 不要使用只有“全部接受”的横幅

    FDPIC 认为，只能全部接受的窗口不是明确的同意表示。如果把必要 Cookie 和需要同意的 Cookie 混在一起，情况就更严重。

  4. 在高风险情形下要取得明确同意

    敏感数据和高风险的画像分析需要明确同意。FDPIC 解释说，跨多个网站的广告追踪可能达到这个级别。拿不准时，请咨询您的法务。

    示例

    第三方广告 Cookie 只有在访客主动点击接受之后才会写入。

  5. 在收集时就告知

    收集数据时必须告知访客，要分层说明，重要的内容放在前面。只把隐私政策放在网站不起眼的角落是不够的。

    示例

    横幅概述了 Cookie 的使用方式，并且点一下就能进入完整的政策。

  6. 说明谁接收数据以及在哪个国家

    当数据传给第三方或服务提供商时，政策必须说明，并写明用途。如果数据离开瑞士，还必须说明目的地国家。

    示例

    在政策中写明：我们使用 Google 和其他广告网络，数据可能会发送到美国。

  7. 不要让撤回同意变得困难

    FDPIC 认为，撤回同意比给出同意要费力得多，会损害自愿性。预先勾选的选框只有在不要求明确同意的情况下才可接受。

    示例

    页脚中的固定链接一点就能重新打开偏好设置。

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

要在瑞士使用个性化广告，Google 要求使用经认证的 CMP。以下是用于选择和配置的官方页面。

适用对象和定义

该法律涵盖什么

该法律看的是对瑞士的影响，而不是公司的地址。以下是对有广告的网站影响最大的几个概念。

对瑞士的影响

该法律适用于在瑞士境内产生影响的情形，即使网站托管和运营在其他地方。

仅限自然人

新版本只保护自然人的数据。企业数据不再受到涵盖。

敏感数据

包括健康、种族或民族出身、宗教、政治观点、基因和生物识别数据，以及刑事诉讼。需要格外谨慎，通常还需要明确同意。

高风险画像

指通过交叉数据来评估一个人人格的重要方面。跨多个网站的广告追踪可能达到这个程度。

控制者和处理者

控制者决定目的和方式，比如网站所有者。处理者代表控制者处理数据，比如托管服务。

瑞士代表

在瑞士境内提供产品或监测个人的境外企业，当处理是经常性的、大规模的且高风险时，需要一名本地代表。

用户同意和 Cookie

什么时候告知就够，什么时候必须征求同意

瑞士关于 Cookie 的基本规则是告知并允许拒绝。网站必须在收集时说明使用了 Cookie 及其用途，并提醒访问者可以说不。FDPIC 的指引明确指出，在任何情况下，拒绝权都是强制性的。

在风险较高的情况下，需要明确同意，也就是对按钮或复选框的主动点击：处理敏感数据和高风险画像时。对于政治、工会或宗教内容的网站，如果 Cookie 超出了预期的范围，也同样适用。

2025 年 10 月发布的更新版指引涉及广告。它解释说，跨多个网站、为获取报酬而传递访问者数据的第三方 Cookie，可能构成高风险画像。如果网站无法排除这种风险，就应当按高风险处理，并征求明确同意。

关于横幅，FDPIC 表示，只提供“全部接受”的窗口不能产生明确的同意，拒绝选项必须可见，撤回同意不能比给出同意更难。预先勾选的复选框只适用于不需要明确同意的用途。

个人的权利

瑞士访问者可以提出什么请求

网站必须有一个接收请求的联系方式，并在期限内答复。

访问

了解网站是否处理关于自己的数据，并获得法律规定的信息，通常在 30 天内且免费。

更正和删除

要求更正错误的数据，并删除被不当处理的数据。

反对

反对某项处理，包括拒绝 Cookie。根据电信法，这种拒绝必须始终可行。

可携带性

以常见的电子格式获取自己提供的数据，或要求将其发送给另一家公司。

人工复核

被告知仅由系统作出、且有重要影响的决定，并要求由人工复核。

收集时获得信息

被告知谁在收集、为什么收集、与谁共享，以及数据会传到哪些国家。

义务

有瑞士访问者的网站必须做什么

  1. 在收集时告知提供一份隐私政策，写明负责人的身份和联系方式、目的、接收方，以及数据传往的国家。指引要求分层告知，重要内容放在最前面，而不是藏在页面的角落里。
  2. 提供拒绝 Cookie 的选项显示 Cookie 提示，并提供清楚的拒绝选项。对于跨网站追踪的广告，最好征求明确同意，这也是 Google 对个性化广告的要求。
  3. 从最少开始该法律要求设计时和默认情况下就保护数据。在实践中，任何非必要的内容都不应该仅仅因为页面加载就运行。
  4. 评估风险在进行高风险处理之前做影响评估，并保留处理活动记录，除非企业员工少于 250 人且只进行低风险处理。
  5. 通报泄露当泄露可能给个人带来高风险时，请尽快通知 FDPIC，并在为保护受影响者所必需时通知他们。
  6. 管理好跨境传输向瑞士境外传输数据，需要目的国提供充分保护，或有合同条款等保障措施。对于美国，通过 Swiss-U.S. Data Privacy Framework 认证的公司自 2024 年 9 月 15 日起被接受。

执法和罚款

在瑞士，由个人承担

与 GDPR 不同，瑞士的罚款不是按公司营业额计算的。它属于刑事罚款，针对的是作出决定或实施违法行为的个人。

最高 CHF 25 万

对故意违反告知、答复访问请求或在传输时保护数据等义务的责任自然人的罚款。

仅在例外情况下处罚公司

如果找出责任人需要不成比例的调查，可以对公司处以罚款来代替，但罚款不得超过 CHF 5 万。

FDPIC 的命令

专员会进行调查，并可以命令更正处理、暂停处理或删除数据。不服从命令也是犯罪。

Cookie 规则

电信法规定，故意或疏忽地违反告知义务和允许拒绝义务的，最高罚款 CHF 5 千。

时间线

重要日期

从修订后的法律通过，到 Cookie 指引的最新更新。

  1. 2020 年 9 月 25 日

    修订后的法律通过

    瑞士议会通过对数据保护法的全面修订。

  2. 2023 年 9 月 1 日

    生效

    新法律及其实施条例开始生效，大多数规则没有过渡期。

  3. 2024 年 7 月 31 日

    Google 要求使用认证的 CMP

    对于瑞士访问者的个性化广告，AdSense 和 Ad Manager 开始要求使用经过认证并集成 IAB TCF 的 CMP。

  4. 2024 年 9 月 15 日

    与美国的协议

    通过 Swiss-U.S. Data Privacy Framework 认证的美国公司，开始被视为数据的适当接收方。

  5. 2025 年 1 月

    Cookie 指引

    FDPIC 发布关于使用 Cookie 及类似技术处理数据的指引。

  6. 2025 年 10 月

    指引更新

    1.1 版详细说明了个性化广告、位置数据和“付费或接受”模式。

面向使用 AdSense 或 Ad Manager 的网站

这对收入在实践中意味着什么

自 2024 年 7 月 31 日起，Google 对瑞士访问者的要求与对欧洲经济区和英国的要求相同：使用经过认证并集成 IAB TCF 的 CMP。没有它，瑞士流量只能获得非个性化广告或受限广告。

这意味着，即使瑞士法律在某些情况下只要求告知并允许拒绝，想要 Google 个性化广告的网站，仍然需要在 TC string 中记录用户同意。在实践中，Google 的标准最后成了最严格的。

一个常见的例子：一个法语的巴西招聘网站，有来自日内瓦和洛桑的访问者。如果 CMP 只为欧盟配置，瑞士就被漏掉了，因为瑞士既不是欧盟成员，也不属于欧洲经济区。结果就是瑞士流量没有 TC string，只能获得受限广告。

AdSense 和 Ad Manager 自带的“隐私权和消息”已经通过认证，并且可以包含瑞士。如果使用其他 CMP，请检查瑞士是否在地区列表中，以及 Google 是否在供应商之中。

实际案例

面对瑞士访问者可以做什么，不可以做什么

适用于在瑞士有受众的内容、招聘和金融网站的日常示例。

可以

  • 使用必要的 Cookie（比如保存横幅选择的 Cookie），无需征求同意
  • 分层告知 Cookie 的使用，在横幅中放摘要，详细内容放在隐私页面
  • 把瑞士纳入与欧洲经济区和英国相同的 CMP 配置
  • 对拒绝的访问者展示非个性化广告
  • 在页脚提供固定链接，让访问者可以更改选择

不可以

  • 展示只有“全部接受”按钮的横幅
  • 在任何回应之前就触发第三方再营销像素
  • 因为瑞士不属于欧盟，就把瑞士忘了
  • 让撤回同意比接受更困难
  • 把隐私政策藏在很难找到的角落

常见错误

网站最容易出错的地方

在有瑞士流量的网站上经常出现的问题。

瑞士不在地区列表中

CMP 向欧盟显示提示，但不向瑞士显示。Google 收到的请求没有有效的同意，因此限制广告。

只依赖退出机制

该法律在某些情况下接受告知并允许拒绝，但跨网站的广告追踪可能需要明确同意，而且 Google 要求有同意才能个性化。

以为罚款是公司的问题

在瑞士，刑事罚款落在作出决定的人身上。网站所有者、经理或技术负责人都可能亲自承担责任。

政策中没有目的国

法律要求告知数据传往哪些国家。许多文本提到了 Google，却忘了说明数据会离开瑞士。

横幅不识别拒绝

访问者点了拒绝，但广告 Cookie 仍然存在。指引指出，被网站阻止的拒绝，不能用来对付访问者。

草率地使用“付费或接受”

将访问权限与接受追踪或付费订阅挂钩，指引对此规定了专门的条件。不加审查地照搬其他国家的模式是有风险的。

在 ConsentMode 中

审核对瑞士检查什么

  • 以瑞士访问者的身份打开网站，记录横幅是否出现、提供哪些按钮，以及拒绝选项是否可见。
  • 通过页面代码识别 CMP，并检查它是否在 Google 的认证列表中。
  • 读取广告请求中发送的 TC string 和 Consent Mode 信号。
  • 比较选择前后的 Cookie 和网络请求，指出哪些过早触发。
  • 检查隐私政策是否包含负责人、目的、接收方和目的国。
开始审核查看所有检查项

常见问题

我的网站在巴西。瑞士的法律适用于我吗？

该法律涵盖在瑞士产生影响的情形，即使起始于国外。如果网站为广告追踪瑞士访问者，就对瑞士产生了影响。而且无论网站位于哪里，Google 都要求使用认证的 CMP 才能为这些受众个性化广告。

在瑞士，横幅可以只是告知性的吗？

对于低风险的 Cookie，法律接受告知并提供拒绝选项。对于跨网站的广告追踪、敏感数据或高风险画像，必须获得明确同意。对于 Google 个性化广告，必须使用带有用户同意的认证 CMP。

谁来执法，谁来罚款？

FDPIC 负责调查、指导并可以发出命令。罚款由各州的刑事当局处以。

罚款会落到网站所有者身上吗？

会。最高 CHF 25 万的罚款，针对的是故意违法的责任自然人。只有在例外情况下才会处罚公司。

我需要在瑞士设立代表吗？

只有当公司位于瑞士境外，并且经常性、大规模、高风险地处理瑞士境内个人的数据时才需要。大多数中小型内容网站达不到这个程度，但值得评估。

我用的是和 GDPR 相同的 CMP。需要做不同的处理吗？

通常不需要。只需确认瑞士在已配置的地区中，并且横幅和政策的文本也符合瑞士法律，比如提到数据传往的国家。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

看看你的网站在瑞士访问者眼中是什么样子

审核会从瑞士打开网站，记录横幅、TC string 和 Cookie，并告诉你要修正什么，不会改动任何内容。

开始审核