Політика конфіденційності за швейцарським правом має розкривати щонайменше три речі: хто є відповідальним за дані та як з ним зв’язатися, для чого обробляються дані і кому вони передаються. Якщо дані передаються за кордон, додаються країна призначення та гарантії захисту. Цього вимагає ст. 19 переглянутого Закону про захист даних (FADP/DSG), що діє з 1 вересня 2023 року. До цього додається все, що потрібно відповідним особам для реалізації своїх прав. Тут ви дізнаєтесь, який зміст є обов’язковим, що на практиці ще має бути включено, як побудувати декларацію і де компаніям зі штаб-квартирою в Німеччині або ЄС слід бути особливо уважними.
Коротко
- Обов’язок за ст. 19 DSG: особа і контактні дані відповідального, мета обробки, отримувачі або категорії отримувачів, при передачі за кордон — країна призначення та гарантії.
- DSG застосовується і до компаній за кордоном, якщо їх обробка даних має наслідки у Швейцарії, наприклад через онлайн-магазин для швейцарських клієнтів.
- Шаблон достатній лише тоді, коли він відображає ваші фактичні потоки даних: аналітичні інструменти, хмарний хостинг, CRM, функції ШІ.
- Хто умисно інформує неповно, ризикує штрафом до 250 000 швейцарських франків (CHF), причому особисто, а не лише як компанія.
- Правильно побудована декларація може спільно охоплювати DSG і GDPR, якщо різниці свідомо враховані.
Кому потрібна політика конфіденційності за DSG
DSG застосовується до обробки персональних даних приватними особами і федеральними органами. Персональні дані — це всі відомості, що стосуються визначеної або такої, що може бути визначена, фізичної особи, тож і ділова електронна адреса на кшталт imya.prizvysche@firma.ch. Дані юридичних осіб переглянутий закон більше не захищає.
Важливо для читачів поза Швейцарією: за ст. 3 DSG закон застосовується до обставин, що мають наслідки у Швейцарії, навіть якщо вони ініційовані за кордоном. Онлайн-ритейлер з Мюнхена, що постачає до Швейцарії, віденська агенція з цюрихськими клієнтами або SaaS-провайдер зі швейцарськими користувачами регулярно підпадають під DSG поряд із GDPR.
Федеральний уповноважений із захисту даних та доступу до інформації (EDÖB) наголошує, що компанії мають скласти зрозумілу для користувачів політику конфіденційності та розмістити її на своєму вебсайті. Але обов’язок інформувати діє не лише онлайн: він поширюється на кожен збір персональних даних, зокрема при подачі заявок, підписці на розсилку, створенні клієнтських облікових записів або при роботі з працівниками.
Обов’язковий зміст за ст. 19 DSG
Ст. 19 DSG вимагає, щоб відповідна особа отримувала всю інформацію, необхідну для реалізації своїх прав та забезпечення прозорої обробки даних. Для цього закон встановлює мінімальний перелік:
Якщо дані походять не від самої відповідної особи, ви маєте за ст. 19 ч. 5 DSG поінформувати не пізніше ніж через місяць після отримання. Якщо ви передаєте дані раніше, діє момент передачі. Винятки за ст. 20, наприклад коли інформування неможливе або потребує непропорційних зусиль, тлумачаться вузько. Для звичайної компанії з контактними даними клієнтів вони практично не діють.
На відміну від GDPR, DSG не вимагає зазначення правової підстави для кожної операції обробки. Хто підпадає й під GDPR, все одно її вказує, оскільки там це обов’язково.
Що додатково має бути включено на практиці
Законний мінімальний перелік лаконічний. Але оскільки ст. 19 вимагає всю інформацію, необхідну відповідним особам для реалізації своїх прав, надійна декларація містить більше:
Категорії персональних даних. Навіть при безпосередньому зборі допомагає огляд: основні дані, комунікаційні дані, договірні дані, платіжні дані, технічні дані, такі як IP-адреси. Особливо вразливі дані за ст. 5 літ. c DSG, наприклад дані про стан здоров’я чи відомості про релігійні переконання, слід чітко назвати.
Права відповідних осіб. Доступ (ст. 25), видача даних і їх передача (ст. 28), виправлення, видалення та заперечення. Назвіть шлях: за якою адресою, у якій формі.
Строк зберігання. DSG не вимагає його дослівно у декларації, але дані можна зберігати лише стільки, скільки потребує мета. Зазначення на кшталт «бухгалтерські документи — десять років, матеріали заявок — до завершення процедури» формує довіру і одночасно задовольняє GDPR.
Файли cookie і трекінг. Які інструменти ви застосовуєте, для чого, хто за ними стоїть і як користувач може заперечити. EDÖB опублікував щодо цього інформаційний листок про файли cookie та подібні технології, що показує, на що мають звертати увагу користувачі, і тим самим — що мають пояснити оператори сайтів.
Профілювання і ШІ. Якщо ви аналізуєте поведінку користувачів, персоналізуєте рекомендації або обробляєте запити за допомогою сервісів ШІ, це має бути прямо зазначено в декларації, включно з провайдером і місцем зберігання.
Представник у Швейцарії. Приватні відповідальні особи зі штаб-квартирою за кордоном за умов ст. 14 DSG мають призначити представника у Швейцарії, наприклад якщо вони регулярно й у великих обсягах пропонують швейцарським клієнтам товари чи послуги. Ім’я та адресу цього представника слід оприлюднити, і політика конфіденційності — природне для цього місце.
Як правильно зазначати передачу даних за кордон
Для більшості компаній це найделікатніший пункт. Уже американський інструмент розсилки, хмарне сховище або команда підтримки у Східній Європі є передачею за кордон. Ст. 19 ч. 4 DSG тоді вимагає назвати державу або міжнародний орган і, де немає належного захисту, гарантії за ст. 16 ч. 2 або виняток за ст. 17.
На практиці це означає: країни з рішенням Федеральної ради про належний рівень захисту, зокрема країни ЄС, ви можете просто назвати. Для інших держав напишіть, чи діють стандартні договірні положення, обов’язкові корпоративні правила або сертифікація отримувача. Як це працює у деталях, пояснюємо у нашій статті про передачу даних до третіх країн за швейцарським правом. Для американських сервісів варто поглянути на Swiss-US Data Privacy Framework: якщо провайдер сертифікований, це значно спрощує відомості.
Невизначені формулювання на кшталт «дані можуть оброблятися у всьому світі» недостатні. Вони не виконують мету закону, оскільки відповідна особа не може з них нічого вивести.
Структура: зрозуміло, а не повністю приховано
Політика конфіденційності — це не договір, який читають лише юристи. Добре зарекомендувала себе багаторівнева структура:
- Коротка версія вгорі: у п’яти-восьми рядках — хто відповідальний, які дані і для чого обробляються, як зв’язатися.
- Поділ за ситуаціями: візит на вебсайт, контактна форма, клієнтський обліковий запис, розсилка, подача заявки. Так кожен читач знайде свій випадок.
- Детальний рівень нижче: окремі сервіси, отримувачі, країни, гарантії, строки зберігання.
- Права і контакт у кінці: чіткий шлях для доступу і заперечення.
Як така структура виглядає для конкретної галузі, показує цей приклад зрозуміло структурованої політики конфіденційності для агентств нерухомості: поділ за клієнтськими ситуаціями добре переноситься і на інших провайдерів послуг.
Мова також має значення. Якщо ваша пропозиція спрямована на франко- чи італомовних швейцарців, англомовну аудиторію або клієнтів зі Східної Європи, декларація має бути їхньою мовою. Інформація, яку отримувач не розуміє, не є належною інформацією.
DSG і GDPR в одній декларації
Багато компаній в регіоні DACH підпадають під обидва режими. Спільна декларація можлива і звичайна, якщо вона відображає відмінності:
На практиці це означає: структура GDPR покриває багато, але перелік країн для передач, посилання на EDÖB і за потреби швейцарський представник мають бути додані. Особливо для систем CRM із функціями збуту і маркетингу варто провести ретельну інвентаризацію. Хороший огляд того, що означає GDPR для клієнтських даних у CRM, дає ця стаття; ті самі питання щодо мети, доступу і місця зберігання постають і в межах DSG. Інші обов’язки після перегляду ми підсумовуємо у статті про переглянутий швейцарський Закон про захист даних.
Як скласти декларацію крок за кроком
- Фіксуйте потоки даних. Перелічіть кожне місце, де виникають персональні дані: форми, магазин, cookie, email, телефон, бухгалтерія, HR.
- Призначте сервіси та отримувачів. Для кожного інструменту: провайдер, мета, категорії даних, місце серверу, договірна основа.
- Перевірте закордонну складову. Для кожної країни поза Швейцарією: задокументуйте належність або гарантію.
- Оцініть ризики. При високому ризику, наприклад масштабному профілюванні чи даних про здоров’я, потрібна оцінка впливу на захист даних, результати якої часто уточнюють і декларацію.
- Напишіть текст. Коротка версія, ситуації, деталі, права. Чітка мова, без штампів.
- Звірка з технікою. Сканування вебсайту покаже, чи справді завантажуються лише названі сервіси.
- Передбачте підтримку. Кожен новий інструмент, зміна провайдера і кожна нова функція ШІ запускають оновлення. Вкажіть дату останньої зміни.
Генератори надають вихідний текст. Але вони не знають, яке розширення встановив ваш веброзробник пізніше або що ваша команда підтримки обробляє запити через тикет-систему у США. Саме ці прогалини мають значення у разі інциденту.
Що загрожує за порушення
За ст. 60 DSG приватні особи за заявою караються штрафом до 250 000 швейцарських франків (CHF), якщо вони умисно порушують обов’язок з інформування за ст. 19 чи 21 або інформують неправдиво й неповно. Караним є лише умисел, переслідування здійснюють кантональні правоохоронні органи. Штраф, як правило, застосовується до відповідальної фізичної особи, наприклад керівниці або відповідального співробітника, а не до компанії.
Сам EDÖB штрафів не накладає, але може проводити розслідування та обов’язково приписувати, щоб обробка була адаптована або припинена. Що такі рішення мають силу, показує рішення Федерального адміністративного суду від 22 червня 2026 року, яким було підтверджено розпорядження EDÖB щодо колекторської компанії.
Наш погляд: декларація — це дзеркало ваших процесів
У наших справах ми рідко бачимо компанії, які зовсім не мають політики конфіденційності. Ми бачимо багатьох, чия декларація не має нічого спільного з реальністю: тексти за GDPR з Німеччини без зазначення швейцарських країн, шаблони, які називають давно відключений інструмент, але замовчують про нову CRM, або декларації лише німецькою мовою для клієнтури, що переважно говорить англійською, українською чи російською.
Саме у транскордонних справах ризики криються в деталях: дані, що циркулюють між швейцарським товариством і партнерами в ЄС або у Східній Європі, договори про обробку за дорученням різними мовами, отримувачі, про яких уже ніхто не пам’ятає. Оскільки ми перевіряємо договори та тексти про захист даних безпосередньо німецькою, англійською, французькою, українською та російською мовами, немає етапу перекладу, на якому втрачається сенс. Наша порада: починайте не з тексту, а з переліку ваших потоків даних. Якщо він повний, декларація пишеться майже сама.
— Bitblade
Перевірка захисту даних із Sobiera Legal
Ви хочете знати, чи витримає ваша політика конфіденційності переглянутий DSG, або вам потрібна нова для швейцарського ринку? Нашою перевіркою захисту даних за revDSG ми перевіряємо декларацію, потоки даних і договори про обробку за дорученням та кажемо вам, чого бракує. Первинна консультація з оцінкою коштує від 150 швейцарських франків (CHF) за годину. Усі послуги й умови — у розділі «Пакети та гонорари».
Електронне підписання договорів про захист даних: QES чи FES?
До політики конфіденційності часто належать договори з підрядниками, зокрема договори про обробку за дорученням або стандартні договірні положення. Багато хто підписує їх сьогодні електронно. У Швейцарії відомо три рівні: простий (EES), удосконалений (FES) і кваліфікований електронний підпис (QES).
Лише QES у Швейцарії прирівняний до власноручного підпису і може використовуватися для всіх правочинів і подань до органів влади та судів. Його, на відміну від EES і FES, можна перевірити валідатором. Технічно для цього потрібні кваліфікований сертифікат, програмне забезпечення для підпису і з’єднання з сертифікованим провайдером.
Для більшості договорів про захист даних закон не передбачає письмової форми; тоді FES достатньо як добре доказового рішення. Для міжнародних договорів діє: швейцарське право і право ЄС регулюють підписи окремо. З’ясуйте перед підписанням, яке право застосовується до договору і який рівень підпису визнає ваш контрагент.
Поширені запитання
Чи є електронна адреса персональними даними?
Так, щойно її можна прив’язати до визначеної або такої, що може бути визначена, особи. Це стосується як приватних адрес, так і ділових на кшталт anna.meier@firma.ch. Загальні адреси на кшталт info@firma.ch зазвичай не є персональними даними, доки за ними не впізнається конкретна особа.
Чи достатньо моєї декларації за GDPR для Швейцарії?
Часто майже так, але не повністю. Додайте конкретні країни призначення при передачах за кордон, посилання на EDÖB і, за потреби, вашого представника у Швейцарії. Також перевірте, чи декларація справді відображає ваші поточні інструменти.
Як часто треба оновлювати політику конфіденційності?
Завжди, коли змінюється обробка даних: новий інструмент, новий провайдер, нова мета, нова країна призначення. Фіксованого строку DSG не знає. На практиці доцільна перевірка щонайменше раз на рік і після кожного релонча вебсайту.
Чи потрібна невеликій компанії без вебсайту політика конфіденційності?
Обов’язок з інформування за ст. 19 DSG діє незалежно від вебсайту, щойно ви збираєте персональні дані. Ви можете тоді, наприклад, інформувати у договорі, на формулярі чи електронною поштою. Коротка письмова декларація, на яку ви посилаєтесь, — найпростіше рішення.