Хто у Швейцарії обробляє персональні дані, має інформувати відповідних осіб, а на вебсайті це робиться через політику конфіденційності (англ. Privacy Notice). Визначальним є переглянутий Закон про захист даних (FADP/DSG), що діє з 1 вересня 2023 року. Він поширюється й на компанії з Німеччини чи інших країн, щойно їх обробка даних має наслідки у Швейцарії. Тут ви прочитаєте, які відомості обов’язково мають бути включені, де шаблони регулярно зазнають невдачі, як чітко розділити DSG і GDPR в одному документі та чого Федеральний уповноважений із захисту даних та доступу до інформації (EDÖB) очікує щодо файлів cookie.
Коротко
- Ст. 19 DSG зобов’язує кожного відповідального при зборі персональних даних повідомляти щонайменше про особу, контактні дані, мету та отримувачів.
- Якщо дані передаються за кордон, слід вказати країни призначення та, за потреби, гарантії за ст. 16 DSG (наприклад, стандартні договірні положення).
- Іноземні компанії зі швейцарськими клієнтами підпадають під DSG, якщо їх обробка має наслідки у Швейцарії.
- Умисне подання неправдивих чи неповних відомостей може каратися штрафом до 250 000 швейцарських франків (CHF), причому проти відповідальної особи, а не проти компанії.
- EDÖB оновив своє керівництво щодо файлів cookie у 2025 році: у разі стеження сторонніх провайдерів з інтенсивним профілюванням може знадобитися згода.
Кому потрібна політика конфіденційності за швейцарським правом
Обов’язок інформувати стосується не лише великих корпорацій. Він поширюється на всіх приватних осіб і компанії, які збирають персональні дані, тобто також на цюрихську лікарську практику з контактною формою, базельський стартап з розсилкою або онлайн-магазин із Мюнхена, що постачає до Швейцарії. У своєму інформаційному листку щодо політик конфіденційності в інтернеті EDÖB чітко зазначає, що швейцарські компанії мають скласти зрозумілу декларацію та зробити її доступною на своєму вебсайті.
Для компаній поза Швейцарією визначальною є ст. 3. За текстом DSG, закон застосовується до обставин, що мають наслідки у Швейцарії, навіть якщо вони ініційовані за кордоном. Німецька компанія, що цілеспрямовано звертається до швейцарських клієнток, вказує ціни у франках або використовує домен .ch, має виходити з того, що швейцарське право застосовується поряд із GDPR.
До цього додається ст. 14 DSG: приватні відповідальні особи зі штаб-квартирою за кордоном за певних умов зобов’язані призначити представника у Швейцарії, зокрема якщо вони регулярно й у значних обсягах пропонують особам у Швейцарії товари чи послуги або спостерігають за їхньою поведінкою. Якщо такого представника призначено, його ім’я та адресу слід внести до політики конфіденційності.
Що має бути включено згідно зі ст. 19 DSG
DSG не містить фіксованого зразка тексту, а лише мінімальний перелік. Ст. 19 вимагає всю інформацію, необхідну для того, щоб відповідні особи могли реалізувати свої права, та забезпечення прозорої обробки. Нижче наведено огляд обов’язкових відомостей та їх типової реалізації.
Якщо дані отримано не безпосередньо від відповідної особи, інформацію необхідно надати не пізніше ніж через місяць після отримання даних (ст. 19 ч. 5). Винятки регулює ст. 20, зокрема коли особа вже поінформована або обробка передбачена законом. Винятки вузькі й ніколи не замінюють декларацію на вебсайті.
У своєму інформаційному листку щодо політик конфіденційності EDÖB також наголошує на формі: декларація має бути зрозумілою, точною та повною для цільової аудиторії. Абстрактні речення на кшталт «ми обробляємо ваші дані для покращення наших сервісів» не є достатніми, якщо за ними стоять профілювання, ретаргетинг і передача рекламним мережам. Пишіть, що насправді відбувається, мовою вашої клієнтури.
Що не вимагає DSG, але вимагає GDPR
На відміну від GDPR, DSG для приватних видів обробки не передбачає обов’язку вказувати правову підставу для кожної дії. Обробка загалом допустима, доки дотримуються принципи обробки, і правова підстава стає потрібною лише тоді, коли вона порушує особисті права. Хто підпорядковується виключно швейцарському праву, може зробити свою декларацію лаконічнішою. Хто обслуговує й клієнтів у ЄС, не обійдеться без відомостей за GDPR, таких як правова підстава та строки зберігання.
Передача за кордон: де найчастіше ламаються шаблони
Майже кожен вебсайт передає дані за кордон: хмарний хостинг, email-маркетинг, аналітичні інструменти, відеоконференції, CRM. Ст. 16 DSG дозволяє це без додаткових умов лише у державах, рівень захисту даних яких Федеральна рада визнала належним. Для всіх інших країн потрібні відповідні гарантії, на практиці зазвичай визнані EDÖB стандартні договірні положення, або застосовується один із винятків за ст. 17, наприклад явна згода.
У політиці конфіденційності ви повинні назвати державу або міжнародний орган і, якщо застосовно, вказати на гарантії або застосований виняток. Загальне формулювання на кшталт «дані можуть оброблятися у всьому світі» не задовольняє ст. 19 ч. 4. Саме тут у скопійованих шаблонах не вистачає відповідних положень, оскільки у кожного набору інструментів свої країни призначення.
Для американських провайдерів ситуація змінилася з появою Swiss-US Data Privacy Framework: сертифіковані компанії вважаються такими, що мають належний захист, несертифіковані — ні. Що це означає для ваших інструментів, пояснюємо у нашій статті про Swiss-US Data Privacy Framework. Огляд усіх варіантів передачі дає наша стаття «Передача даних до третіх країн: що дозволяє Швейцарія».
Файли cookie та трекінг: чого очікує EDÖB
7 жовтня 2025 року EDÖB опублікував оновлену версію свого керівництва щодо файлів cookie від 22 січня 2025 року. Для операторів сайтів особливо актуальні два пункти:
- Технології сторонніх провайдерів з профілюванням: якщо впроваджуються інструменти, що уможливлюють інтенсивне профілювання, може знадобитися згода користувачів. Це зазвичай стосується рекламних пікселів і міжплатформенного трекінгу.
- Cookie-paywalls: моделі, у яких користувачі обирають між згодою та оплатою, EDÖB вважає за певних умов можливими.
Для політики конфіденційності це означає: кожен інструмент перелічити з назвою, метою, провайдером і країною призначення, а cookie-банер має відповідати декларації. Банер, що пропонує лише «Прийняти все», але не має простого варіанту відмови, навряд чи відповідатиме вимогам прозорості.
Наскільки серйозно EDÖB ставиться до свободи вибору, показує справа Digitec Galaxus. Після формальної рекомендації онлайн-ритейлер 27 листопада 2025 року повідомив, що клієнти тепер можуть відмовитися від персоналізації в маркетингових цілях одним кліком. Повідомлення іншим: право на заперечення, зазначене в декларації, має бути так само легко реалізувати і на вебсайті.
DSG і GDPR в одному документі
Багатьом компаніям із Німеччини, Австрії чи Швейцарії потрібні обидва регулювання. Замість двох окремих текстів добре зарекомендувала себе модульна структура: спільне ядро і чітко позначені додаткові розділи для відповідного правопорядку.
На практиці це означає: відповідального, цілі, отримувачів та інструменти ви описуєте один раз. Далі йдуть розділ «Вказівки для осіб у ЄС» із правовими підставами та правом на скаргу до наглядового органу ЄС, а також розділ для Швейцарії з посиланням на EDÖB і країни передачі. Що саме переглянутий закон додатково вимагає від компаній, ми підсумовуємо в статті «Переглянутий Закон про захист даних Швейцарії: обов’язки з 2023 року».
Сім кроків до власної політики конфіденційності
- Проведіть інвентаризацію. Перелічіть усі місця, де з’являються дані: контактна форма, магазин, розсилка, заявки, клієнтський портал, профілі в соціальних мережах.
- Використовуйте реєстр операцій з обробки. Реєстр за ст. 12 DSG — природна основа декларації. Якщо змінюється один із цих двох документів, інший має бути оновлений, інакше виникають суперечності, які помічають щонайпізніше при запиті на доступ.
- Зафіксуйте підрядників і країни призначення. Для кожного інструменту: провайдер, місце реєстрації, розташування сервера, договірна основа (договір про обробку за дорученням, стандартні договірні положення, сертифікація).
- Формулюйте цілі конкретно. Одна мета на кожну категорію даних, без узагальнень. Як можуть виглядати зрозумілі повідомлення про захист даних на практиці, показує, наприклад, посібник з безпеки та захисту даних одного програмного рішення для диспетчеризації охоронних служб, який описує потоки даних так, щоб користувачі могли їх зрозуміти.
- Поясніть права та спосіб контакту. Як особа запитує доступ, за якою адресою, у якій формі? Назвіть канал, який справді обробляється.
- Узгодьте cookie-банер і декларацію. Кожен інструмент у банері має бути вказаний у декларації, і навпаки.
- Підтримуйте дату й версіонування. Встановіть дату («станом на жовтень 2026 року») і перевіряйте декларацію при кожному новому інструменті, кожній новій послузі та щонайменше раз на рік.
Якщо ви плануєте нові види обробки з високим ризиком, наприклад масштабне профілювання або дані про стан здоров’я, попередньо перевірте, чи потрібна оцінка впливу на захист даних. Наша стаття про оцінку впливу на захист даних у Швейцарії пояснює цей поріг.
Що загрожує за порушення
DSG застосовує санкції інакше, ніж GDPR. За ст. 60 DSG штраф до 250 000 швейцарських франків (CHF) накладається на приватну особу, яка умисно порушує обов’язки з інформування за ст. 19 і 21, надаючи неправдиву чи неповну інформацію. Покарання застосовується до відповідальної фізичної особи, тобто, наприклад, керівниці, а не до компанії. Переслідування за це порушення відбувається за заявою. Лише якщо встановлення особи порушника було б непропорційним, за ст. 64 компанію можна оштрафувати на суму до 50 000 швейцарських франків (CHF). Усі положення ви знайдете в офіційному тексті Закону про захист даних.
Необережність щодо обов’язку з інформування не є кримінально караною. Але це не є індульгенцією: хто після вказівки залишає явно неповну декларацію, наближається до умислу. У разі інциденту з даними додатково перевірте обов’язок повідомлення EDÖB за ст. 24 DSG.
Наш погляд: декларація, що відповідає бізнесу
У нашій практиці ми рідко бачимо компанії зовсім без політики конфіденційності. Набагато частіше ми бачимо декларації, створені генератором, які мало пов’язані з фактичним бізнесом. Торгова компанія з партнерами у Східній Європі, засновник із командою розробників за кордоном, адвокатське бюро з клієнтами в кількох країнах — усі вони передають дані у держави, яких жоден шаблон не знає.
Тому наш підхід починається не з тексту, а з потоків даних. Ми запитуємо, які інструменти працюють, куди йдуть дані і на якій підставі. І лише тоді формулюємо. Оскільки ми опрацьовуємо договори та правові тексти безпосередньо німецькою, англійською, французькою, українською та російською мовами, без зовнішніх перекладачів, ми можемо скласти декларацію тими мовами, якими ваша клієнтура її справді читає. Це більше, ніж косметика: прозорість, за EDÖB, передбачає зрозумілість для цільової аудиторії, а декларація, яку ваші клієнти не можуть прочитати, не є для них прозорою.
Наша порада: ставтеся до політики конфіденційності як до договору з вашими клієнтами. Вона говорить, що ви робите з їхніми даними, і ви маєте бути готові відповідати за це.
— Bitblade
Перевірка захисту даних для вашого вебсайту
Ви хочете знати, чи витримають ваша декларація, cookie-банер і договори з підрядниками переглянутий DSG? Ми пропонуємо перевірку захисту даних за переглянутим DSG, а також аналіз і складання відповідних договорів. Первинна консультація з оцінкою — від 150 швейцарських франків (CHF) за годину. Усі послуги та тарифи — у розділі «Пакети та гонорари».
Поширені запитання
Чи потрібна мені як німецькій компанії політика конфіденційності за швейцарським правом?
Якщо ваша обробка даних має наслідки у Швейцарії, наприклад тому, що ви цілеспрямовано звертаєтесь до швейцарських клієнтів або доставляєте туди, DSG застосовується поряд із GDPR. Як правило, достатньо спільної декларації зі швейцарським розділом. Додатково перевірте, чи маєте ви за ст. 14 DSG призначити представника у Швейцарії.
Чи достатньо декларації, що відповідає GDPR, для Швейцарії?
Переважно вона покриває більшу частину, але не все. DSG прямо вимагає зазначення країн призначення при передачах за кордон і використаних для цього гарантій. Крім того, слід згадати EDÖB як швейцарський наглядовий орган.
Чи можна використовувати безкоштовний шаблон?
Шаблон — це відправна точка, а не кінцевий продукт. Ст. 19 DSG вимагає, щоб декларація описувала фактичні операції з обробки, включно з вашими конкретними інструментами та країнами призначення. Без цієї адаптації шаблон залишається неповним.
Де на вебсайті має розміщуватися політика конфіденційності?
Її має бути легко знайти; зазвичай це посилання у футері кожної сторінки та біля форм, у яких збираються дані. EDÖB вимагає, щоб декларація була розміщена на вебсайті та була зрозумілою для користувачів.