Политика конфиденциальности по швейцарскому праву должна раскрывать как минимум три вещи: кто отвечает за данные и как с ним связаться, с какой целью обрабатываются данные и кому они передаются. При передаче за границу добавляются страна назначения и гарантии защиты. Этого требует ст. 19 пересмотренного Закона о защите данных Швейцарии (DSG — Datenschutzgesetz), действующего с 1 сентября 2023 года. К этому прибавляется всё, что необходимо субъектам данных для реализации своих прав. Ниже вы узнаете, какое содержание обязательно, что относится к практическому минимуму, как построить документ и на что дополнительно должны обращать внимание компании с местонахождением в Германии или ЕС.
Коротко
- Обязательно по ст. 19 DSG: личность и контактные данные ответственного, цель обработки, получатели или их категории, при передаче за границу — страна назначения и гарантии.
- DSG применяется и к иностранным компаниям, если их обработка данных имеет последствия в Швейцарии — например, через интернет-магазин для швейцарских клиентов.
- Шаблон достаточен лишь тогда, когда отражает ваши реальные потоки данных: аналитика, облачный хостинг, CRM, функции на базе ИИ.
- Умышленно неполное информирование влечёт штраф до 250 000 CHF (швейцарский франк), причём лично, а не только на компанию.
- Аккуратно построенная политика может охватить DSG и GDPR одновременно, если различия учтены осознанно.
Кому нужна политика конфиденциальности по DSG
DSG применяется к обработке персональных данных частными лицами и федеральными органами. Персональные данные — это любые сведения, относящиеся к определённому или определимому физическому лицу, включая деловой адрес электронной почты вида imya.familiya@firma.ch. Данные юридических лиц пересмотренный закон более не защищает.
Для читателей за пределами Швейцарии важно: согласно ст. 3 DSG, закон применяется к обстоятельствам, которые имеют последствия в Швейцарии, даже если возникают за рубежом. Мюнхенский интернет-магазин, доставляющий в Швейцарию, венское агентство со швейцарскими клиентами или SaaS-поставщик со швейцарскими пользователями — все они обычно подпадают под DSG наряду с GDPR.
Федеральный уполномоченный по защите данных и информации (EDÖB) указывает, что компании обязаны составить понятную пользователям политику конфиденциальности и разместить её на сайте. Обязанность информировать действует, однако, не только онлайн: она применяется при любом сборе персональных данных — в том числе при приёме заявок, подписке на рассылку, создании клиентских учётных записей или работе с сотрудниками.
Обязательное содержание по ст. 19 DSG
Статья 19 DSG требует, чтобы субъект данных получил всю информацию, необходимую для осуществления своих прав и обеспечения прозрачности обработки. Закон задаёт минимальный перечень:
Если данные получены не от самого субъекта, вы должны проинформировать его согласно ст. 19 абз. 5 DSG не позднее одного месяца с момента получения данных. Если вы передаёте данные раньше, действует момент их раскрытия. Исключения ст. 20 — например, когда информирование невозможно или сопряжено с несоразмерными усилиями — толкуются узко. Для обычной компании, располагающей контактными данными клиентов, они едва ли применимы.
В отличие от GDPR, DSG не требует указывать правовое основание для каждой операции. Тем не менее тот, кто подпадает и под GDPR, его называет, поскольку там это обязательно.
Что на практике следует включать дополнительно
Законодательный минимум невелик. Поскольку, однако, ст. 19 требует всей информации, необходимой субъектам для реализации прав, устойчивая политика содержит больше:
Категории персональных данных. Даже при прямом сборе полезен обзор: учётные данные, коммуникационные данные, договорные, платёжные, технические (например, IP-адреса). Особо охраняемые данные по ст. 5 п. c DSG — например, данные о здоровье или религиозных убеждениях — должны быть названы прямо.
Права субъектов. Доступ (ст. 25), выдача и переносимость данных (ст. 28), исправление, удаление и возражение. Укажите путь: по какому адресу и в какой форме.
Срок хранения. DSG не требует его буквально в политике, но данные можно хранить лишь столько, сколько требует цель. Указание вида «бухгалтерские документы — десять лет, материалы о найме — до завершения процедуры» укрепляет доверие и одновременно отвечает требованиям GDPR.
Cookie-файлы и отслеживание. Какие инструменты вы используете, с какой целью, кто за ними стоит и как пользователь может возразить. EDÖB выпустил по этому поводу памятку о cookie-файлах и аналогичных технологиях, которая показывает, на что следует обращать внимание пользователям и, тем самым, что должны разъяснять владельцы сайтов.
Профилирование и ИИ. Если вы анализируете поведение пользователей, персонализируете рекомендации или обрабатываете запросы с помощью сервисов ИИ, это должно быть прямо указано в политике, включая поставщика и место хранения.
Представитель в Швейцарии. Частные ответственные с местонахождением за рубежом при условиях ст. 14 DSG обязаны назначить представителя в Швейцарии — например, если регулярно и в большом объёме предлагают швейцарским клиентам товары или услуги. Имя и адрес такого представителя подлежат публикации, и политика конфиденциальности — очевидное для этого место.
Как правильно указать передачу данных за границу
Для большинства компаний это самое уязвимое место. Уже американский сервис рассылок, облачное хранилище или команда поддержки в Восточной Европе являются передачей за границу. Статья 19 абз. 4 DSG требует тогда указания государства или международной организации, а при отсутствии адекватной защиты — гарантий по ст. 16 абз. 2 или исключения по ст. 17.
На практике это означает: страны с решением Федерального совета об адекватности, включая государства ЕС, можно просто назвать. Для прочих стран следует указать, применяются ли стандартные договорные положения, обязательные корпоративные правила или сертификация получателя. Как это работает в деталях, мы объясняем в нашей публикации о передаче данных в третьи страны по швейцарскому праву. Для американских сервисов стоит обратить внимание на Swiss-US Data Privacy Framework: если поставщик сертифицирован, это существенно упрощает указания.
Расплывчатые формулировки вроде «данные могут обрабатываться по всему миру» недостаточны. Они не отвечают цели закона, поскольку субъект данных ничего из них не выводит.
Структура: понятно, а не спрятано вглубь
Политика конфиденциальности — не договор, который читают только юристы. Хорошо зарекомендовала себя многоуровневая структура:
- Краткая часть наверху: в пяти-восьми строках — кто ответственен, какие данные и для чего обрабатываются и как связаться.
- Разбивка по ситуациям: посещение сайта, контактная форма, учётная запись клиента, рассылка, заявка о приёме. Так каждый читатель находит свой случай.
- Детальный уровень ниже: отдельные сервисы, получатели, страны, гарантии, сроки хранения.
- Права и контакты в конце: ясный путь для запроса сведений и возражений.
Как такая структура выглядит для конкретной отрасли, показывает пример понятно структурированной политики конфиденциальности для агентств недвижимости: разбивка по клиентским ситуациям хорошо переносится на других поставщиков услуг.
Язык также имеет значение. Если ваше предложение адресовано франкоязычным или италоязычным швейцарцам, англоязычной аудитории или клиентам из Восточной Европы, политика должна быть доступна на их языке. Информация, которую получатель не понимает, не является надлежащей.
DSG и GDPR в одной политике
Многие компании в регионе DACH подпадают под оба свода. Общая политика возможна и обычна, если отражает различия:
На практике это означает: структура по GDPR многое покрывает, однако список стран передачи, упоминание EDÖB и, при необходимости, швейцарского представителя должны быть добавлены. Особенно для CRM-систем с функциями продаж и маркетинга полезна детальная инвентаризация. Хороший обзор того, что GDPR значит для клиентских данных в CRM, даёт эта публикация; те же вопросы о цели, доступе и месте хранения ставятся и по DSG. Остальные обязанности, связанные с реформой, мы обобщаем в материале о пересмотренном Законе о защите данных Швейцарии.
Как составить политику пошагово
- Зафиксируйте потоки данных. Перечислите каждое место возникновения персональных данных: формы, магазин, cookie-файлы, электронную почту, телефон, бухгалтерию, HR.
- Соотнесите сервисы и получателей. По каждому инструменту: поставщик, цель, категории данных, расположение серверов, договорная основа.
- Проверьте зарубежный аспект. По каждой стране за пределами Швейцарии: документируйте адекватность или гарантию.
- Оцените риски. При высоком риске — например, обширное профилирование или данные о здоровье — необходима оценка воздействия на защиту данных, результаты которой часто уточняют и саму политику.
- Напишите текст. Краткая часть, ситуации, детали, права. Ясный язык, без клише.
- Сверка с техникой. Сканирование сайта покажет, действительно ли загружаются только названные сервисы.
- Запланируйте сопровождение. Каждый новый инструмент, смена поставщика и новая функция ИИ требуют обновления. Укажите дату последнего изменения.
Генераторы дают исходный текст. Они, однако, не знают, какой плагин задним числом подключил ваш веб-дизайнер и что ваша служба поддержки обрабатывает заявки через тикет-систему в США. Именно эти пробелы и имеют значение в сложной ситуации.
Что грозит за нарушения
По ст. 60 DSG частные лица по заявлению наказываются штрафом до 250 000 CHF, если умышленно нарушают обязанность информирования по ст. 19 или 21 либо предоставляют ложную или неполную информацию. Наказуем только умысел, преследование ведут кантональные уголовные органы. Штраф, как правило, несёт ответственное физическое лицо — например, руководитель или ответственный сотрудник, — а не компания.
Сам EDÖB штрафов не налагает, но может проводить расследования и обязывающим образом предписывать изменение или прекращение обработки. Что такие решения устойчивы, показывает решение Федерального административного суда от 22 июня 2026 года, которым подтверждено распоряжение EDÖB в отношении коллекторской компании.
Наш взгляд: политика — отражение ваших процессов
В наших проектах мы редко сталкиваемся с компаниями, у которых совсем нет политики. Мы встречаем многие политики, не имеющие отношения к реальности: тексты GDPR из Германии без швейцарских страновых указаний, шаблоны, упоминающие давно отключённый инструмент, но умалчивающие о новом CRM, или политики только на немецком языке для аудитории, говорящей преимущественно по-английски, по-украински или по-русски.
Именно в трансграничных сделках риски кроются в деталях: данные, идущие между швейцарским обществом и партнёрами в ЕС или Восточной Европе, договоры об обработке по поручению на разных языках, получатели, о которых уже никто не помнит. Поскольку мы проверяем договоры и тексты по защите данных непосредственно на немецком, английском, французском, украинском и русском языках, никакой этап перевода не теряет смысла. Наш совет: начинайте не с текста, а со списка ваших потоков данных. Если он полон, политика пишется почти сама собой.
— Bitblade
Проверка защиты данных с Sobiera Legal
Хотите узнать, выдерживает ли ваша политика требования пересмотренного DSG, или нужна новая для швейцарского рынка? В рамках проверки защиты данных по пересмотренному DSG мы изучим политику, потоки данных и договоры об обработке по поручению и укажем, чего недостаёт. Первичная консультация с оценкой — от 150 CHF в час. Все услуги и условия — в разделе «Пакеты и гонорары».
Подписание договоров о защите данных электронно: QES или FES?
К политике конфиденциальности часто относятся договоры с поставщиками услуг — например, об обработке по поручению или со стандартными договорными положениями. Многие подписывают их сегодня электронно. В Швейцарии различают три уровня: простая (EES), усиленная (FES) и квалифицированная электронная подпись (QES).
Только QES в Швейцарии приравнивается к собственноручной подписи и может использоваться для всех правоотношений и обращений в органы и суды. Её, в отличие от EES и FES, можно проверить валидатором. Технически для этого нужны квалифицированный сертификат, программное обеспечение для подписи и подключение к сертифицированному поставщику.
Для большинства договоров о защите данных закон не требует письменной формы — тогда FES достаточно как хорошо доказуемое решение. При международных договорах действует: швейцарское право и право ЕС регулируют подписи отдельно. Выясните до подписания, какое право применимо к договору и какой уровень подписи признаёт ваш контрагент.
Частые вопросы
Является ли адрес электронной почты персональными данными?
Да, как только он может быть соотнесён с определённым или определимым лицом. Это касается как частных адресов, так и деловых вроде anna.meier@firma.ch. Общие адреса вида info@firma.ch чаще всего не являются персональными данными, если за ними не узнаётся конкретное лицо.
Достаточно ли моей политики по GDPR для Швейцарии?
Часто почти, но не полностью. Добавьте конкретные страны назначения при передаче за границу, указание на EDÖB и, при необходимости, вашего представителя в Швейцарии. Проверьте также, отражает ли политика ваши актуальные инструменты.
Как часто нужно обновлять политику конфиденциальности?
Всегда, когда меняется обработка: новый инструмент, новый поставщик, новая цель, новая страна назначения. Фиксированного срока DSG не знает. На практике полезны проверка не реже раза в год и после каждого релонча сайта.
Нужна ли политика конфиденциальности малому бизнесу без сайта?
Обязанность информировать по ст. 19 DSG действует независимо от сайта — как только вы собираете персональные данные. Информировать можно, например, в договоре, в бланке или по электронной почте. Краткая письменная политика, на которую вы ссылаетесь, — простейшее решение.