Тот, кто обрабатывает персональные данные в Швейцарии, обязан информировать затронутых лиц; на сайте это делается через политику конфиденциальности (по-английски Privacy Notice). Основополагающим актом является пересмотренный Закон о защите данных Швейцарии (DSG — Datenschutzgesetz), действующий с 1 сентября 2023 года. Он применяется и к компаниям из Германии или других стран, если их обработка данных имеет последствия в Швейцарии. Ниже вы узнаете, какие сведения обязательны, где типовые шаблоны регулярно дают сбой, как в одном документе корректно разграничить DSG и GDPR и чего Федеральный уполномоченный по защите данных и информации (EDÖB) ожидает в отношении cookie-файлов.
Коротко
- Статья 19 DSG обязывает каждого ответственного при сборе персональных данных сообщать как минимум о личности, контактных данных, цели и получателях.
- Если данные передаются за границу, необходимо указать государства назначения и, при необходимости, гарантии по ст. 16 DSG (например, стандартные договорные положения).
- Иностранные компании со швейцарскими клиентами подпадают под DSG, если их обработка данных имеет последствия в Швейцарии.
- Умышленно недостоверная или неполная информация может повлечь штраф до 250 000 франков, причём против ответственного физического лица, а не компании.
- EDÖB обновил своё руководство по cookie-файлам в 2025 году: при использовании сторонних средств отслеживания с интенсивным профилированием может потребоваться согласие.
Кому нужна политика конфиденциальности по швейцарскому праву
Обязанность информировать касается не только корпораций. Она распространяется на всех частных лиц и компании, собирающих персональные данные: врачебный кабинет в Цюрихе с контактной формой, базельский стартап с рассылкой или интернет-магазин из Мюнхена, доставляющий в Швейцарию. EDÖB в своём разъяснении о политиках конфиденциальности в интернете чётко указывает, что швейцарские компании должны составить понятную политику и сделать её доступной на сайте.
Для компаний за пределами Швейцарии решающей является ст. 3. Согласно тексту DSG, закон применяется к обстоятельствам, которые имеют последствия в Швейцарии, даже если возникают за рубежом. Германская компания, целенаправленно обращающаяся к швейцарским клиентам, указывающая цены в CHF (швейцарский франк) или использующая домен .ch, должна исходить из того, что швейцарское право действует наряду с GDPR.
К этому добавляется ст. 14 DSG: частные ответственные с местонахождением за рубежом при определённых условиях обязаны назначить представителя в Швейцарии — например, если они регулярно и в значительном объёме предлагают швейцарским лицам товары или услуги либо наблюдают за их поведением. Если такой представитель назначен, его имя и адрес должны быть указаны в политике конфиденциальности.
Что должно содержаться по ст. 19 DSG
DSG не содержит фиксированного образца, а задаёт минимальный перечень. Статья 19 требует всю информацию, необходимую для того, чтобы субъекты могли осуществить свои права, и для обеспечения прозрачной обработки. Приведённый ниже обзор обобщает обязательные сведения и их типичную реализацию.
Если данные собираются не напрямую у субъекта, информация должна быть предоставлена не позднее одного месяца с момента получения данных (ст. 19 абз. 5). Исключения регулирует ст. 20 — например, если лицо уже проинформировано или обработка предусмотрена законом. Исключения толкуются узко и никогда не заменяют политику конфиденциальности на сайте.
EDÖB в своём разъяснении подчёркивает также форму: политика должна быть понятной целевой аудитории, точной и полной. Абстрактные фразы вроде «Мы обрабатываем ваши данные для улучшения наших услуг» недостаточны, если за ними стоят профилирование, ретаргетинг и передача рекламным сетям. Опишите то, что реально происходит, на языке вашей клиентуры.
Что не требует DSG, но требует GDPR
В отличие от GDPR, DSG для частной обработки не обязывает указывать правовое основание для каждой операции. Обработка в принципе допустима, пока соблюдаются её принципы, и требует обоснования лишь тогда, когда затрагивает личные права. Тот, кто подпадает исключительно под швейцарское право, может составить политику компактнее. Тот же, кто обслуживает клиентов в ЕС, не обойдётся без сведений, требуемых GDPR: правового основания и срока хранения.
Передача за границу: где чаще всего не срабатывают шаблоны
Практически каждый сайт передаёт данные за рубеж: облачный хостинг, email-маркетинг, аналитика, видеоконференции, CRM. Статья 16 DSG допускает это без дополнительных условий лишь в государства, уровень защиты в которых Федеральный совет признал адекватным. Для остальных стран нужны соответствующие гарантии — на практике чаще всего признанные EDÖB стандартные договорные положения — либо одно из исключений ст. 17, например прямое согласие.
В политике конфиденциальности следует назвать государство или международную организацию и, при необходимости, указать на применённые гарантии или исключение. Общая формула «данные могут обрабатываться по всему миру» не отвечает требованиям ст. 19 абз. 4. Именно здесь в скопированных шаблонах недостаёт нужных положений, поскольку у каждого набора инструментов свои страны назначения.
Для американских поставщиков ситуация изменилась с принятием Swiss-US Data Privacy Framework: сертифицированные компании считаются обеспечивающими адекватный уровень защиты, несертифицированные — нет. Что это означает для ваших инструментов, мы объясняем в нашей публикации о Swiss-US Data Privacy Framework. Обзор всех вариантов передачи даёт наша статья «Передача данных в третьи страны: что разрешено Швейцарией».
Cookie-файлы и отслеживание: чего ожидает EDÖB
7 октября 2025 года EDÖB опубликовал обновлённую редакцию своего руководства по cookie-файлам от 22 января 2025 года. Для владельцев сайтов особенно важны два момента:
- Технологии сторонних поставщиков с профилированием: при использовании инструментов, позволяющих интенсивное профилирование, может потребоваться согласие пользователей. Это касается прежде всего рекламных пикселей и кросс-платформенного отслеживания.
- Cookie-paywall: модели, в которых пользователь выбирает между согласием и оплатой, EDÖB при определённых условиях признаёт допустимыми.
Для политики конфиденциальности это означает: каждый инструмент должен быть указан с названием, целью, поставщиком и страной назначения; cookie-баннер должен соответствовать политике. Баннер, предлагающий только «Принять всё» без простой возможности отказа, вряд ли отвечает требованиям прозрачности.
Насколько серьёзно EDÖB относится к свободе выбора, показывает случай Digitec Galaxus. После формальной рекомендации 27 ноября 2025 года интернет-ритейлер сообщил, что клиенты теперь могут отказаться от персонализации в маркетинговых целях одним кликом. Посыл всем остальным: право на возражение, упомянутое в политике, должно столь же легко реализовываться на сайте.
DSG и GDPR в одном документе
Многим компаниям из Германии, Австрии или Швейцарии нужны оба акта. Вместо двух отдельных текстов хорошо работает модульная структура: общая основа и чётко обозначенные дополнительные разделы для каждой правовой системы.
На практике это выглядит так: ответственный, цели, получатели и инструменты описываются один раз. Далее следует раздел «Указания для лиц в ЕС» с правовыми основаниями и правом на жалобу в надзорный орган ЕС, а также раздел по Швейцарии со ссылкой на EDÖB и странами передачи. Что ещё пересмотренный закон требует от компаний, мы обобщаем в материале «Пересмотренный Закон о защите данных Швейцарии: обязанности с 2023 года».
Семь шагов к собственной политике конфиденциальности
- Проведите инвентаризацию. Перечислите все места возникновения данных: контактная форма, магазин, рассылка, заявки, клиентский портал, профили в соцсетях.
- Используйте реестр операций обработки. Реестр по ст. 12 DSG — естественная основа политики. При изменении одного из документов второй должен быть приведён в соответствие, иначе возникают противоречия, которые обнаружатся не позднее при запросе о доступе.
- Зафиксируйте поставщиков услуг и страны назначения. По каждому инструменту: поставщик, место нахождения, расположение серверов, договорная основа (договор об обработке по поручению, стандартные договорные положения, сертификация).
- Сформулируйте цели конкретно. Одна цель на категорию данных, без обобщающих формулировок. Как в практике могут выглядеть понятные указания о защите данных, показывает, например, руководство по безопасности и защите данных диспетчерского ПО для охранных служб, где потоки данных описаны понятно для пользователей.
- Разъясните права и способ связи. Как запросить доступ, по какому адресу, в какой форме? Укажите канал, который действительно обрабатывается.
- Согласуйте cookie-баннер и политику. Каждый инструмент на баннере должен быть в политике, и наоборот.
- Поддерживайте дату и версионирование. Укажите редакцию («Редакция: октябрь 2026») и проверяйте политику при каждом новом инструменте, новой услуге и не реже раза в год.
Если планируются новые операции с высоким риском — обширное профилирование или данные о здоровье, — заранее проверьте необходимость оценки воздействия на защиту данных. Наш материал об оценке воздействия в Швейцарии разъясняет порог применимости.
Что грозит за нарушения
DSG санкционирует иначе, чем GDPR. По ст. 60 DSG штрафом до 250 000 CHF (швейцарский франк) наказывается тот, кто как частное лицо умышленно нарушает обязанности по информированию, предусмотренные ст. 19 и 21, предоставляя ложную или неполную информацию. Наказание несёт ответственное физическое лицо — например, руководитель, — а не компания. Такое нарушение преследуется по заявлению. Лишь если установление виновного лица было бы несоразмерно, по ст. 64 на предприятие может быть наложен штраф до 50 000 CHF. Полный текст закона доступен в официальной публикации Закона о защите данных.
Неосторожность при нарушении обязанности информировать не наказуема. Это, однако, не индульгенция: тот, кто после замечания оставляет явно неполную политику, приближается к умыслу. При инциденте с данными дополнительно проверьте обязанность уведомления EDÖB по ст. 24 DSG.
Наш взгляд: политика, соответствующая вашему бизнесу
В нашей консультационной практике мы редко видим компании вообще без политики конфиденциальности. Гораздо чаще мы видим политики, созданные генератором и имеющие мало общего с реальной деятельностью. Торговая компания с партнёрами в Восточной Европе, основатель с командой разработчиков за рубежом, адвокатское бюро с клиентами в нескольких странах — все они передают данные в государства, которых не знает ни один шаблон.
Поэтому наш подход начинается не с текста, а с потоков данных. Мы спрашиваем, какие инструменты используются, куда идут данные и на каком основании. Только после этого формулируем. Поскольку мы работаем с договорами и правовыми текстами непосредственно на немецком, английском, французском, украинском и русском языках без привлечения внешних переводчиков, мы можем составить политику на тех языках, на которых её действительно читают ваши клиенты. Это больше чем косметика: прозрачность, по мнению EDÖB, предполагает понятность для целевой аудитории, а политика, которую ваши клиенты не могут прочитать, для них непрозрачна.
Наш совет: относитесь к политике конфиденциальности как к договору с клиентами. Она говорит, что вы делаете с их данными, и по ней вас должны иметь возможность оценивать.
— Bitblade
Проверка защиты данных для вашего сайта
Хотите узнать, выдерживают ли ваша политика, cookie-баннер и договоры с поставщиками требования пересмотренного DSG? Мы предлагаем проверку защиты данных по пересмотренному DSG, а также проверку и подготовку соответствующих договоров. Первичная консультация с оценкой — от 150 CHF в час. Все услуги и гонорары указаны в разделе «Пакеты и гонорары».
Частые вопросы
Нужна ли мне, как немецкой компании, политика конфиденциальности по швейцарскому праву?
Если ваша обработка данных имеет последствия в Швейцарии — например, вы целенаправленно обращаетесь к швейцарским клиентам или доставляете туда, — DSG применяется наряду с GDPR. Как правило, достаточно общей политики с отдельным швейцарским разделом. Дополнительно проверьте, обязаны ли вы по ст. 14 DSG назначить представителя в Швейцарии.
Достаточно ли политики, соответствующей GDPR, и для Швейцарии?
Чаще всего она покрывает большую часть, но не всё. DSG прямо требует указания стран назначения при передаче за границу и используемых для этого гарантий. Кроме того, следует упомянуть EDÖB как швейцарский надзорный орган.
Можно ли использовать бесплатный шаблон?
Шаблон — отправная точка, а не готовый продукт. Статья 19 DSG требует, чтобы политика описывала фактические операции обработки, включая конкретные инструменты и страны назначения. Без такой адаптации шаблон остаётся неполным.
Где политика должна находиться на сайте?
Она должна быть легко доступна; обычно это ссылка в подвале каждой страницы и у форм, где собираются данные. EDÖB требует, чтобы политика была размещена на сайте и понятна пользователям.