スイス nFADP 概要 2026 — クイックリード
この 改正連邦データ保護法（nFADP / revDSG） は 2023年9月1日から施行されており、スイスの1992年の旧法に代わって、スイス法をEU GDPRに大きく近づけました。規制当局は EDÖB （Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter / 連邦データ保護・情報コミッショナー）です。Eコマースにおいては、スイス特有の5つの点が重要です。(1) 最大CHF 250,000の罰金は個人に科され、会社には科されません。(2) Cookieの同意は法律で義務付けられておらず — スイス法のみであれば、透明性の確保とオプトアウトで十分です。(3) DPO / Datenschutzberater は任意 ですが（民間企業の場合）、高リスクのDPIAについてEDÖBへの事前協議を自社で完結できるようになります。(4) 侵害通知は「可及的速やかに」であり、72時間という厳格な期限ではありません。(5) 処理活動の記録 は、従業員250人以上の企業または高リスクの処理を行う企業にのみ適用されます。越境移転は連邦参事会の十分性リストに従います — EU/EEA、英国、カナダ、日本、およびSwiss-US Data Privacy Frameworkが対象です。
2026年のスイスのデータ保護の全体像
以下の10本の柱は、オンライン小売業者にとってのnFADPコンプライアンスを支える骨組みです。各詳細セクションを読む際には、このカード一覧を手元に置いてください — スイスのEコマースにおけるデータ保護義務はすべて、この10枚のカードのいずれかに対応しています。
nFADP — 改正連邦データ保護法
2023年9月1日施行 · 1992年のFADPに代わる · SR 235.1 · EU GDPRに準拠しつつスイス特有の規定あり
EDÖB — 連邦データ保護機関
Bernを拠点とする独立規制機関 · コミッショナーはAdrian Lobsiger · 監督権限と刑事告発権限を持つ
Cookieの透明性（厳格な同意ではない）
nFADPは十分な情報提供による透明性を要求 · スイス法のみではGDPR型のオプトインは義務ではない · EUも同時にターゲットとする場合はCMPを推奨
プライバシーポリシーの義務（nFADP第19条）
情報提供義務 · 身元、目的、受領者、国外移転、保存期間、データ主体の権利 · 容易にアクセスできること
DPO / Datenschutzberater（任意）
民間企業は任意 · nFADP第10条 · EDÖBへの登録によりDPIAの自己完結が可能に
最大CHF 250,000の罰金 — 個人に対して
責任者（管理職、取締役）への刑事罰金 · 会社には科されない · ガバナンスに大きな影響
nFADPに準拠してスイスへ出荷する準備はできていますか？
Zunaproは、スイスのデータ保護パック — プライバシーポリシー生成ツール、EDÖBに準拠したDSARワークフロー、Cookie CMP、侵害インシデントワークフロー、越境移転登録簿 — を、Galaxus、Digitec、Brack、Ricardoとのマーケットプレイス連携と合わせて提供しています。
1. nFADP — 2023年9月1日施行の改正FADP
30年にわたる改革を、ひとつの日付に
スイスの当初の FADP（DSG） は1992年に制定されたもので、EUのデータ保護指令より3年、GDPRより四半世紀も前のものでした。2010年代半ばには、そのギャップは看過できないものになっていました。スイスの管理者と欧州企業との間でデータを自由に流通させ続けるには、EUの「十分性認定」を維持する必要があったのです。連邦参事会は2017年に全面改正案を提出し、 改正FADP — nFADP / revDSG — は2020年9月25日に採択され、 2023年9月1日 が施行日となりました。
その結果、この法律は 明らかにGDPRの影響を受けたもの となっています — 同じ管理者／処理者の論理、同じデータ主体の権利の一覧、同じリスクベースのDPIA要件を備えつつ、個人の刑事責任や中小企業向けの軽い行政上の義務といった、意図的なスイス独自の特徴を持っています。
Eコマースにとっての8つの大きな変更点
旧1992年FADPの下でスイスのオンラインショップを運営し、これまでどおりのやり方を続けているなら、少なくとも8つの点で現在は法令違反の状態にあります。
- 保護対象は自然人のみ — 法人の保護は廃止され、GDPRと整合
- 情報提供義務の強化（第19条） — すべての受領者、移転、法的根拠を開示
- プライバシー・バイ・デザイン／バイ・デフォルト（第7条） — GDPR第25条と同一の文言
- 処理活動の記録（第12条） — 従業員250人以上または高リスク処理の場合に義務
- データ保護影響評価（第22条） — 高リスク処理の場合に必要
- データポータビリティの権利（第28条） — 新設、GDPR第20条とほぼ同一
- 侵害通知（第24条） — 高リスクの侵害については「可及的速やかに」
- CHF 250,000の個人罰金 — 1992年法の象徴的なCHF 10,000に代わる
適用対象は？ 域外適用の範囲
nFADP第3条は広い域外適用範囲を定めています。この法律は 「国外で開始されたものであっても、スイスにおいて影響を及ぼす事態」に適用されます。Eコマースに置き換えると、EUまたはEU域外の小売業者で、次のいずれかに該当するものは：
- スイスの住所へ物品を発送している、または
- スイス向けのウェブサイトを運営している（ドイツ語／フランス語／イタリア語、.chドメイン、CHF表示価格、ヘッダーにスイス国旗）、または
- スイスの郵便番号／スイス居住者をターゲットにした有料集客を行っている、または
- TWINT、PostFinance、またはスイスのクレジットカードで決済を処理している
…nFADPの適用範囲に入り、これを遵守しなければなりません。さらに第14条は、スイスに拠点を持たない管理者に対し、一定の場合に スイス代理人 を選任する義務を課しています（スイス居住者のデータを定期的に大規模処理する場合、高リスク処理の場合、または機微な個人データを処理する場合）。
コンプライアンス・カレンダー — 2026年
2026年6月までに、スイス向けのすべてのオンラインショップはすでに新制度に移行していなければなりません。これ以上の経過期間はありません — 2023年9月1日の施行日は既得権の保護なしに即時適用されました。プライバシーポリシーがまだ1992年法を参照している、処理活動の記録がない、あるいは侵害対応手順書にEDÖBの名前がない場合、あなたは今日の時点で法令違反の状態にあります。
2. EDÖB — スイス連邦データ保護機関
EDÖBとは？
この Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter（EDÖB） — 連邦データ保護・情報コミッショナー — は、ドイツのBfDI、フランスのCNIL、英国のICOに相当するスイスの機関です。Bernに拠点を置く独立した連邦機関で、現在のトップは Adrian Lobsiger です（2016年就任、2022–2027年の任期で再任）。
新法における権限
2023年の改正により、EDÖBの権限は大幅に強化されました。新しいnFADPの下で、コミッショナーは次のことができます。
- 正式な調査を開始する — 職権により、または申立てに基づいて
- 拘束力のある行政命令を発する — 管理者に処理業務の変更、停止、中止を命じることを含む
- 侵害通知の公表を命じる — 管理者が影響を受けるデータ主体に通知しなかった場合
- 刑事訴追のために事案を付託する — 個人に対するスイスの刑事罰金は州の刑事裁判所を通じて科される
- 州のデータ保護機関と連携する （各州は州の公的機関向けに独自のDPAを持つ）
- 公式声明やガイダンスを発行する — EDÖBの Leitfäden（ガイドライン） は実務上、準拘束的なものとして扱われる
EDÖBの公開ガイダンス・ライブラリ
多くの欧州のDPAとは異なり、EDÖBはガイダンスの大半を3言語（DE / FR / IT）で公開しており、英語版も増えています。スイスのEコマース事業者がブラウザのタブで常に開いておくべき主要文書は次のとおりです。
- Leitfaden zur Datensicherheit — 技術的・組織的セキュリティ対策に関するガイダンス
- Leitfaden zur Meldung von Verletzungen der Datensicherheit — 公式の侵害通知プレイブック
- Erläuterungen zur Datenschutz-Folgenabschätzung — DPIAの方法論
- Liste der Staaten mit angemessenem Datenschutzniveau — 第三国の十分性リスト
- Standardvertragsklauseln — 越境移転のためのスイスSCC
実際の執行はどの程度活発か？
EDÖBは歴史的に 対話を優先する実務的な規制機関です。年次報告書によれば、正式な調査は年に一桁から十数件程度ですが、非公式なやり取りは多数あります。2023年の変化は、個人に対する刑事付託という現実的な脅威です。執行リスクは「抽象的な企業への罰金」から「具体的な個人の前科」へと移りました。
3. スイスにおけるCookie同意 — EUより緩やかだが推奨
スイスのCookie法に関する意外な真実
これは、事業者が誤解しがちな「スイスはEUではない」という最大のポイントです。 スイス法は、非機微Cookieについて法定のオプトイン同意を求めていません。その根拠は2つあります。(1) nFADP は透明性と正当な利益を用いており、EU ePrivacy第5条(3)のオプトインに相当するスイスの規定はありません。(2) スイス電気通信法（FMG）第45c条 は、ユーザーに情報を提供し、拒否する機会を与えることのみを求めており、明示的な事前同意は義務付けられていません。
したがって、スイス国内のみのサイトであれば、情報を提供し、オプトアウトを用意し、ユーザーが異議を唱えない限りトラッキングを行う「ソフト」なバナーで法令を遵守できます — これはEUの「事前のインフォームド・コンセント」モデルよりも、米国の「通知と選択」モデルに近いものです。
落とし穴 — EUの同時ターゲティング
落とし穴は、 EUの訪問者にもサービスを提供しているスイスのオンラインショップ — ほぼすべてがそうです（DACH地域またはより広い欧州）— は、EU居住者がサイトに訪れた時点でGDPRとePrivacyの対象になるという点です。実務上、ほぼすべてのスイスのEコマースサイトが、 GDPR型のCMP同意バナー を安全なデフォルトとして導入しています。スイス法だけなら、もっと軽いもので許容されるにもかかわらずです。
EDÖBが実際に期待していること
コミッショナーは、 非機微Cookie （アナリティクス、基本的なパーソナライゼーション）については、透明性と実効的なオプトアウトで十分であるとの姿勢を示しています。 機微な処理 （クロスデバイス・トラッキング、行動ターゲティング広告、重大な影響を伴うプロファイリング）については同意のハードルが上がり、明示的かつ細分化された同意が必要です。トラッキングを受け入れない限りアクセスを拒否する「Cookieウォール」は問題があります。
2026年の実践的な構成
- レベル1 — 厳密に必要なもの：同意不要（セッション、カート、言語、CSRF）
- レベル2 — 機能性＋アナリティクス：スイス法では透明なバナー＋オプトアウト、EUの同時ターゲティングではオプトインがベストプラクティス
- レベル3 — マーケティング／クロスデバイス：明示的なオプトイン、ベンダーごとの細分化、撤回可能
- 文書化：ベンダーごとのCookie登録簿、保存期間、法的根拠
4. プライバシーポリシー — nFADP第19条による義務
情報提供義務 — 現在は厳格に
nFADP第19条は、すべての管理者に体系的な 情報提供義務（Informationspflicht） を課しています。個人データを収集するときは常に — データ主体から直接であれ第三者からであれ — 管理者は次の事項を自ら積極的に開示しなければなりません。
- 管理者の 身元と連絡先 （会社名、法人形態、登記上の所在地、メールアドレス）
- 管理者による 処理の目的 — 明確かつ具体的な言葉で。汎用的な定型文ではなく
- データの 受領者のカテゴリー — 社内部門、処理者、第三者サービス、公的機関
- それぞれの 国外移転 — 移転先の国、法的根拠（十分性認定、スイスSCC、BCR、明示的同意）
- 所定の 保存期間 （データカテゴリーごと）
- 以下を含む データ主体の権利 の完全な一覧とその行使方法
プライバシーポリシーの構成方法
EDÖBは単一の必須形式を定めていませんが、スイスのEコマースにおける実務上の業界標準は次のとおりです。
- 身元と連絡先 — 管理者、登記上の所在地、EDÖBに登録されたDatenschutzberater（いる場合）、外国の管理者のためのスイス代理人
- 個人データのカテゴリー — 識別情報、連絡先、アカウント、注文履歴、決済、行動、技術情報
- 目的と法的根拠 — 契約の履行、正当な利益、法的義務、同意
- 受領者と処理者 — 設立国を記載した名称リスト
- 国外移転 — 移転先、法的根拠、スイスSCCまたは十分性認定へのリンク
- 保存期間 — データカテゴリーごとに、具体的な法定または契約上の根拠に基づいて
- データ主体の権利 — 完全な一覧、DSARの連絡先、EDÖBへの苦情申立ての経路
- 自動化された意思決定とプロファイリング — nFADP第21条に基づく開示
- Cookieとトラッキング — 概要、Cookie CMPへのリンク、オプトアウトの手順
- セキュリティ対策 — 技術的・組織的対策の概要
避けるべきよくある間違い
- ドイツのポリシーのコピペ — nFADP/EDÖBではなくGDPR/BfDIを参照している
- 汎用的な「サービス提供のためにお客様のデータを処理します」 — 第19条の具体性要件を満たさない
- 越境移転の開示漏れ — AWS、Google Workspace、米国のSaaSについて
- DSARの連絡窓口がない — 実際に機能するメールアドレスまたはフォームを示す必要がある
- 「最終更新日」がない — 重要な変更にはすべて日付を付ける必要がある
5. データ保護責任者 / Datenschutzberater — 任意だが戦略的
スイスの用語：Datenschutzberater
2023年の改正では、意図的に 採用されません でした（GDPRの義務的なDPO制度は）。nFADP第10条は、 Datenschutzberater （データ保護アドバイザー）を 民間企業にとって任意の選任 として導入しました — 中小企業の負担を軽減するとともに、EUの十分性認定を確保しつつ、GDPRとは異なる、より軽いアプローチを維持するためです。
それでも選任すべき理由
任意であるにもかかわらず、 DatenschutzberaterをEDÖBに選任・登録する ことには、実務上の大きなメリットがあります。それは 高リスクDPIAの自己完結です。nFADP第23条では、DPIAの結果、高い残存リスクが示された場合、管理者は処理を進める前にEDÖBと協議しなければなりません — ただし、登録済みのDatenschutzberaterが評価に関与していた場合は例外で、管理者は社内アドバイザーの意見に依拠し、EDÖBとの協議なしに処理を進めることができます。
プロファイリング、レコメンドエンジン、不正スコアリング、クロスデバイス・トラッキングなどを行うEコマース事業者にとって、これは大きな運用上の利点です — EDÖBとの協議には数週間から数か月かかることがあるからです。
誰がDatenschutzberaterになれるか？
nFADP第10条は、アドバイザーに次の要件を求めています。
- 職務の遂行に必要な 専門的な資格 を有すること（法律と技術の素養）
- 職務を 独立して 遂行し、その遂行にあたって指示を受けないこと
- 職務との 利益相反がない こと
- 必要なすべての情報と資源に アクセスする権限を与えられていること
アドバイザーは社内の従業員でも外部コンサルタントでも構いません。スイスの小規模なEコマース中小企業で最も一般的なのは、データ保護を専門とするスイスの外部弁護士に顧問契約で依頼する形です。
EDÖBへの登録
DPIA自己完結のメリットを得るには、管理者は DatenschutzberaterをEDÖBに登録する 必要があります（連邦ポータル経由）。登録は無料で、処理には数日かかり、アドバイザーの氏名、資格、連絡先を含める必要があります。EDÖBは登録済みアドバイザーの公開登録簿を管理しています。
連邦機関の場合 — DPOは義務
連邦機関（省庁、機関、裁判所）は 必ず nFADP第10条に基づきDPOを選任しなければなりません — 公的機関に対するGDPRの義務的制度と一致しています。
6. nFADPにおけるデータ主体の権利
権利の全一覧
nFADPはスイスのデータ主体に対し、実質的にGDPR第15–22条とほぼ同一の権利を付与しています。
- 情報を受ける権利（第19条） — 収集時点での積極的な開示
- アクセス権（第25–27条） — データ主体は、処理されているすべての個人データの写し、目的、受領者、保存期間、取得元、自動化された個別の意思決定の有無を請求できる
- 訂正権（第32条） — 不正確なデータの訂正
- 削除権 — 第32条および比例原則から導かれる。常に絶対的なものではない（法定の保存義務が優先される場合がある）
- 異議を唱える権利 — プロファイリングを含む、正当な利益に基づく処理に対して
- 自動化された個別の意思決定に対する権利（第21条） — 法的または重大な影響を伴う、自動化された手段のみによる意思決定について、通知を受け、人による見直しを求める権利
- データポータビリティの権利（第28条） — 2023年の改正で新設。構造化され、一般的に使用され、機械可読な形式で個人データを受け取る権利
DSARのワークフロー
nFADP第25条に基づき、管理者はアクセス請求に 30日以内に回答しなければなりません。複雑な場合は、データ主体に通知したうえで期限を延長できます。重要なのは、回答が 通常の場合は無料でなければならないことです。請求が明らかに過剰または反復的な場合にのみ、管理者は合理的な手数料（最大CHF 300）を請求できます。
DSARの回答に必要な内容は詳細に定められています。
- 処理されている個人データの写し
- 処理の目的
- 保存期間、またはそれが不可能な場合はその決定に用いる基準
- データの取得元に関する入手可能な情報
- 受領者のカテゴリー
- 自動化された個別の意思決定の有無とその根底にあるロジックに関する情報
- 該当する場合、国外の受領者と講じられている保護措置
拒否事由（第26条）
管理者がアクセス請求を拒否、制限、延期できるのは、限られた事由がある場合のみです。 法定の事由, 第三者の優越的な利益, 管理者の優越的な利益 （データが誰にも開示されず、その利益が正当な場合）、または 優越的な公共の利益 （特に国内外の安全保障）。拒否する場合は必ず理由を示し、EDÖBへの苦情申立てまたは民事裁判所への提訴の権利を通知しなければなりません。
7. データ侵害の通知 — 「可及的速やかに」
スイスの基準は柔軟だが、緩くはない
nFADP第24条は、 データセキュリティ侵害がデータ主体の人格または基本的権利に高いリスクをもたらすおそれがある場合には常に、管理者に侵害通知義務を課しています。通知先はEDÖBで、通知は 「可及的速やかに」 行わなければなりません — ドイツ語では 「so rasch als möglich」、フランス語では 「dans les meilleurs délais」.
です。これはスイスとGDPRの違いとして最もよく引用される点です。GDPRは、管理者が認識した時点から72時間という厳格な期限を定めています。nFADPは意図的に厳格な期限を設けていませんが、EDÖBのガイダンスは、「可及的速やかに」は 週単位ではなく営業日単位で考えるべきであり、5営業日を超える遅延は説明を求められることを明確にしています。
通知が必要なのはどんな場合か？
通知が必要なのは、 人格または基本的権利に対する高いリスク を伴う侵害のみです。常にこの基準を満たす実例は次のとおりです。
- 顧客記録を含む暗号化されていないノートPCやバックアップテープの紛失
- 注文／決済データベースのランサムウェアによる暗号化または持ち出し
- 設定ミスのクラウドバケットによる顧客の住所、電話番号、注文履歴の露出
- 個人データに触れるカスタマーサービスの受信箱へのフィッシング成功
- 内部者によるマーケティングまたは営業の連絡先リストの持ち出し
- スイスのデータ主体に関わるベンダー／処理者の侵害
通知の内容
EDÖBへの通知には次の内容を含める必要があります。
- 発生した 侵害の内容 — 何が、いつ起きたか、どのように発見されたか
- 影響を受けた データ主体のカテゴリーとおおよその人数 （対象者）
- 関係する 個人データ記録のカテゴリーとおおよその件数 （対象データ）
- データ主体にとっての 想定される結果 （影響）
- 是正のために すでに講じた、または予定している措置 （対応策）
- 連絡先として Datenschutzberaterの連絡先 またはその他の連絡窓口
EDÖBは、提出用の 構造化されたオンラインフォーム を連邦ポータルで提供しています。
データ主体への通知
管理者は、影響を受けたデータ主体にも直接通知しなければなりません — それが彼らの保護のために必要な場合、またはEDÖBが求める場合。管理者が適切な保護措置を講じている場合（例：影響を受けたデータが暗号化されており、鍵が漏えいしていない場合）は通知を省略できますが、その場合でもEDÖBへの通知は必要です。
実践的な対応手順書
- T+0：インシデントを検知し、隔離し、現場を保全
- T+24h：トリアージ — 侵害の規模を定量化し、データ主体のカテゴリーを特定し、高リスクの基準を評価
- T+72h：社内判断 — Datenschutzberater、法務、経営陣が通知について合意
- T+5営業日：連邦ポータル経由でEDÖBに通知
- インシデント後：必要に応じてデータ主体に通知、処理活動の記録に記載、DPIAを更新
8. 越境データ移転 — 十分性リスト＋スイスSCC
連邦参事会の十分性リスト
nFADP第16条は、 連邦参事会がその国が十分な保護水準を提供していると判断した場合に移転を認めています。2026年6月時点で、リストの対象は次のとおりです。
- 以下の EUおよびEEA 全域（27加盟国＋アイスランド、リヒテンシュタイン、ノルウェー）— スイスのEコマースデータの最も一般的な移転先
- 英国、アンドラ、アルゼンチン、カナダ（商業分野）、フェロー諸島、ガーンジー、イスラエル、マン島、日本、ジャージー、モナコ、ニュージーランド、韓国、ウルグアイ
- 米国 — Swiss-US Data Privacy Frameworkの認証を受けた組織のみ （2024年から施行）
その他の国への移転には、別の法的根拠が必要です。 スイスSCC、拘束的企業準則（BCR）、明示的同意、または限定的な第17条の例外です。
スイス標準契約条項
EDÖBは公式に EU SCC（2021/914）を承認しています — 国別の調整（GDPR → nFADP、加盟国法 → スイス法）を条件として、スイス法に適合するものとしてです。EUとスイスをまたぐデータの流れには、両制度を満たす単一のSCCセットを使用できます — これが事実上の業界標準です。
Swiss-US Data Privacy Framework
Schrems II判決によりEU-USおよびSwiss-US Privacy Shieldが無効とされた後、後継の枠組みが交渉されました。 Swiss-US Data Privacy Framework は 2024年9月15日に発効し、自己認証を行う米国の組織について十分性が回復しました。AWS、Google Cloud、Microsoft Azure、そしてDPF認証を受けた主要なSaaSベンダーの大半は、別途SCCを結ばなくても再びスイスのデータを受け取れるようになりました。
実践的な移転マトリクス
- スイスまたはEU/EEAでのホスティング — 特別な移転手続きは不要。プライバシーポリシーで開示するだけ
- DPF認証を受けた米国ベンダーでのホスティング — 開示し、DPFリストで認証を確認。SCCは不要
- DPF非認証の米国ベンダーでのホスティング — スイスSCCが必須。加えて移転影響評価も
- 十分性認定のない第三国でのホスティング （インド、中国、ロシア、一部の目的ではシンガポール）— スイスSCC＋徹底した移転影響評価＋理想的にはスイス国内で鍵を保管する暗号化
9. 罰則 — 個人に対して最大CHF 250,000
最も重要なスイス特有の点
これこそが、スイスのEコマースの創業者、取締役、DPOが、会社レベルだけでなく個人としてもnFADPコンプライアンスに気を配るべき最大の理由です。 nFADPの重大な違反に対する罰則は最大CHF 250,000の刑事罰金であり、会社ではなく責任者個人に科されます。
これは、GDPRの会社レベルの行政制裁金（世界売上高の最大4%）とは根本的に異なります。スイスでは：
- 罰金の対象は、法律に違反した 自然人 です — 通常は管理職、取締役、創業者、または指定された担当者
- それは 刑事罰金 であり、州の刑事裁判所が科すもので、規制当局が科す行政制裁金ではありません
- 有罪判決は個人の スイスの犯罪記録 に記載される可能性があり、在留許可、金融規制上の地位、取締役への就任などにも影響が及びます
- 罰金をD&O保険で会社が補填することはできません — スイスでは刑事罰金は一般に保険の対象外です
違反の種類別の罰金区分
会社への罰金 — 限られた場合のみ
nFADP第64条は、 会社自体に対して最大CHF 50,000の罰金 を認めています — ただし、責任者個人を特定するには不相当な捜査が必要となる場合に限られます。実務上、これは企業統治の構造が不透明で、検察官が責任ある自然人を特定できない場合の予備的な手段です。原則はあくまで個人責任です。
訴追のきっかけとなるものは？
- EDÖBによる付託 — コンプライアンスに関する対話が不調に終わった場合、または拘束力のある命令に従わなかった場合
- 刑事告訴 — データ主体による
- 州の刑事手続 — 職権による開始（実務上はまれ）
- 並行するGDPR調査からの波及 — 欧州のDPAが関与するもの
減軽事由
スイスの刑事裁判所は、最高区分の範囲内で実際の罰金額を決定する際、いくつかの減軽事由を考慮します。
- 以下の 登録済みのDatenschutzberater の存在と、文書化された社内コンプライアンス・プログラム
- EDÖBへの迅速な協力
- 自主的な侵害通知 と是正
- 過去の違反がないこと
- 中小企業であること と限られた財務能力
10. EコマースにおけるDSGとGDPR — 実務上の相違点
並列比較表
スイスのEコマース事業者にとって最も役立つのは、nFADPがGDPRとどこで異なるかを並べて示した相違点一覧です。以下の表は、オンライン小売にとって最も重要な10の観点をまとめたものです。
| 観点 | スイス nFADP / revDSG | EU GDPR | 実務上の影響 |
|---|---|---|---|
| 最高罰金 | 個人に対してCHF 250,000 | 会社に対して世界売上高の4% | スイスでは個人の刑事責任 |
| Cookie同意 | 透明性＋オプトアウト | 事前のオプトイン同意 | 同時ターゲティングにはCMPを推奨 |
| DPO／アドバイザー | 任意、自己完結のメリットあり | 定められた場合に義務（第37条） | DPIA負担軽減のための戦略的登録 |
| 侵害通知 | 「可及的速やかに」 | 72時間の厳格な期限 | 5営業日以内の対応手順書を整備 |
| 処理活動の記録 | 従業員250人以上または高リスクの場合のみ | すべての管理者と処理者（例外あり） | スイスでは中小企業の負担軽減、EUでは義務 |
| データポータビリティ | nFADP第28条 — 2023年に新設 | GDPR第20条 — 2018年から | 実務上はほぼ同一 |
| プロファイリング／自動化された意思決定 | 第21条＋情報提供義務 | GDPR第22条 | 同等 — 単一のワークフローで対応可能 |
| 越境移転 | 連邦参事会の十分性リスト＋スイスSCC | 欧州委員会の十分性認定＋EU SCC | スイス付属書付きでEU SCCを再利用 |
| 保護の範囲 | 自然人のみ（法人は除外） | 自然人のみ | 2023年の改正で整合 |
| 規制当局 | EDÖB（連邦）＋州のDPA | 各国のDPA＋EDPB | スイスでは単一の窓口 |
表の読み方： nFADPとGDPRは現在、実質的に大筋で一致していますが、スイス特有の5つの点 — 個人の刑事責任、より緩やかなCookie制度、任意のDPO、柔軟な侵害通知期限、処理活動の記録に関する中小企業の負担軽減 — が、異なる運用上の判断を生み出します。EUの顧客にもサービスを提供するスイスのEコマースサイトにとって最適な構成は、 各観点で2つの基準のうち高い方に合わせて構築することであり、これにより単一のワークフローで両方の制度に対応できます。
「一度の構築で二重に準拠」する構成
- プライバシーポリシー — DE/FR/IT/EN、nFADPとGDPRの両方、EDÖBと主管EU DPAの両方を参照
- Cookieバナー — GDPR型の事前オプトインCMP。定義上スイスもカバー
- DSARワークフロー — スイスの30日の期限（GDPR第12条と一致）＋スイスのより広い回答内容
- 侵害対応 — GDPRの72時間の期限。スイスの「可及的速やかに」も満たす
- 処理活動の記録 — 中小企業の負担軽減にかかわらず維持
- 越境移転 — スイス付属書付きのEU SCCで両法域をカバー
- DPO / Datenschutzberater — EDÖBに登録してDPIAの自己完結を可能にする
nFADPコンプライアンスを運用する方法 — 2026年のステップ・バイ・ステップ
1. 個人データの流れをマッピングする（判断ツリー）
- 顧客アカウント＋注文履歴 → 識別情報＋連絡先＋行動データ
- 決済処理 → 機微な金融データ、第5条に基づく特別な配慮
- マーケティング＋リマーケティング → プロファイリング、クロスデバイス・トラッキング、多くは同意ベース
- サポート＋カスタマーサービス → 自由記述欄に機微な情報が含まれることがある
- 物流＋配送 → InPost / Swiss Post / DPD / DHLと共有される連絡先データ
- アナリティクス → IP、デバイス、行動データ。IP匿名化を確認
2. スイス代理人を決める（外国の管理者のみ）
会社がスイスに拠点を持たないものの、スイス居住者の個人データを大規模に、または高リスクで処理している場合、nFADP第14条によりスイス代理人の選任が求められます。法的な選択肢は3つです。
- スイスの子会社または支店 — すでにスイスに法人がある場合は最も迅速
- 外部の法律事務所またはコンプライアンス専門家を代理人とする — 中小企業によくある形態
- 代理人サービスを専門とする事業者 — 毎月の定額料金、EDÖBとの連絡対応を含む
3. Datenschutzberaterを選任・登録する
社内・社外を問わず、アドバイザーをEDÖBに登録するとDPIAの自己完結が可能になり、これが最も効果の高いコンプライアンス施策です。登録は無料で、数日で完了します。
4. プライバシーポリシー＋Cookie CMPを構築する
- DE/FR/IT/ENでスイス法に準拠したプライバシーポリシーを作成する
- マーケティングCookieについて、ベンダーごとに細分化されたGDPR型の事前オプトインを備えたCMPを導入する
- Cookie登録簿を文書化する — ベンダー、目的、保存期間、法的根拠
- すべてのページのフッター、Cookieバナー、登録フォームからリンクする
5. DSARワークフローを整備する
- DSARの連絡窓口（メール＋フォーム）、本人確認、30日のSLAを公開する
- 注文＋カート＋閲覧＋マーケティング＋サポートにわたるデータのエクスポートを自動化する
- DE/FR/IT/ENでEDÖBに準拠した回答テンプレートを使用する
6. 処理活動の記録＋DPIAを文書化する
記録が任意の場合（従業員250人未満、高リスクなし）でも、それを維持することは刑事手続において注意義務を果たしたことを示す最良の証拠になります。DPIAも同様で、残存リスク、軽減策、アドバイザーの意見を文書化します。
7. 侵害インシデント対応手順書を作成する
- 検知のトリガーを定義する（セキュリティアラート、顧客からの苦情、処理者からの通知）
- 24時間以内のトリアージと5営業日以内のEDÖB通知という期限を設定する
- 事前に記入できるEDÖBフォームの項目（管理者の身元、連絡先）をあらかじめ埋めておく
8. 越境移転登録簿を設定する
すべての処理者とその設立国を一覧にします。十分性のない移転先については、スイスSCC＋移転影響評価を添付します。連邦参事会が十分性リストを更新したら自動的に再評価します。
9. Zunapro経由で接続する（10分でコンプライアンス設定）
- Zunaproにサインイン し、スイスモジュールを開く
- nFADPコンプライアンス・パックを有効化 — プライバシーポリシー生成ツール、CMP、DSARポータル、侵害対応手順書、処理活動の記録、越境移転登録簿
- Datenschutzberaterを登録 — ZunaproがEDÖBの登録フォームを事前入力できます
- スイスのマーケットプレイスを接続 — Galaxus、Digitec、Brack、Ricardo — 顧客データをコンプライアンス・パック経由でルーティング
- 運用開始 — 最初のコンプライアンス・ベースラインは約10分で完了し、継続的なモニタリングはバックグラウンドで実行されます
nFADP＋GDPRのコンプライアンスを1つのパネルに集約
プライバシーポリシー生成ツール · スイス向けCMP · DSARポータル · 侵害対応手順書 · 処理活動の記録 · 越境移転登録簿 · EDÖB対応の証拠エクスポート — すべてを1つのZunaproパネルで、スイスのマーケットプレイス連携とともに。
スイス向けコンプライアンス体制を構築 →スイス nFADP / DSG よくある質問 2026
新しいスイスのデータ保護法（nFADP / revDSG）はいつ施行されましたか？
この 改正連邦データ保護法（nFADP、ドイツ語：revDSG） は 2023年9月1日に施行されました。1992年の当初のデータ保護法に代わり、スイス法をEU GDPRに大きく近づける一方で、スイス特有の特徴もいくつか維持しています。非機微Cookieには法定の同意が不要、データ保護アドバイザーは任意、侵害通知は「可及的速やかに」という基準、そして最大CHF 250,000の個人への刑事罰金です。
2023年9月1日以降、これ以上の経過期間はありませんでした — 新制度は既得権の保護なしに即時適用されました。スイス向けのすべてのオンラインショップは、2026年半ばまでにすでに新しい枠組みに移行していなければなりません。
EUに拠点がある場合でも、スイスのnFADPは私のオンラインショップに適用されますか？
はい。nFADPには明示的な 域外適用（第3条）があり、スイスにおいて影響を及ぼすあらゆるデータ処理に適用されます。スイスの顧客に発送する、スイスの言語のページを運営する、CHFで価格を表示する、またはスイス居住者をターゲットにするEUのオンライン小売業者は、適用範囲に入り、遵守しなければなりません。
スイスに拠点を持たない外国の管理者は、場合によっては スイス代理人（nFADP第14条） を選任しなければなりません — 通常は、スイス居住者のデータを定期的に大規模処理する場合、高リスク処理の場合、または機微な個人データを処理する場合です。
2026年のスイスでは、GDPR型のCookie同意は義務ですか？
いいえ — nFADPは、非機微Cookieについて法定のオプトイン同意を求めていません。スイス法は 透明性／オプトアウト の論理に基づいています。Cookieとトラッキングについてユーザーに明確に通知する必要はありますが、スイス法のみでは、GDPR型の厳格な同意バナーは厳密には義務付けられていません。 スイス電気通信法（FMG）第45c条 が求めているのは、情報提供＋オプトアウトのみです。
ただし、EUの訪問者にもサービスを提供している場合 — ほぼすべてのスイスのEコマースサイトがそうです — GDPR＋ePrivacyのルールが並行して適用されます。実務上は、適切なCMP同意バナーが安全で実際的な選択であり、スイス法だけならもっと軽いもので許容されるにもかかわらず、スイスのオンラインショップの大半が導入しています。
スイス法ではデータ保護責任者（DPO）が必要ですか？
民間企業の場合、 データ保護アドバイザー（Datenschutzberater） — スイスでの用語で、nFADP第10条 — の選任は 任意であり、義務ではありません。スイスの立法者は、中小企業の負担を軽減するため、GDPRの義務的なDPO制度を意図的に採用しませんでした。
とはいえ、 選任してEDÖBに登録すれば、手続上の大きな負担軽減が得られます。高リスクのデータ保護影響評価（DPIA）を進める前にEDÖBと協議する必要がなくなるのです。連邦機関の場合、選任は義務です。
新しいスイスのnFADPにおける最高罰金はいくらですか？
最大CHF 250,000 — そしてこれこそがスイス法の最大の特徴です。罰金は 責任者個人 （法律に違反した管理職、取締役、またはその人物）に科され、 会社には科されません。これは、罰金が会社を対象とする（世界売上高の最大4%）GDPRとは根本的に異なります。
スイスの罰金は 刑事罰金 であり、州の刑事裁判所が科すもので、規制当局が科す行政制裁金ではありません。個人のスイスの犯罪記録に記載される可能性があり、一般にD&O保険の対象外です。この個人の刑事責任は、スイスのEコマースの創業者、取締役、管理職がコンプライアンスに取り組む姿勢を根本から変えるものです。
スイスのデータ主体には、GDPR型のアクセス権、訂正権、削除権がありますか？
はい。nFADPはスイスのデータ主体に、 情報を受ける権利（第19条）、アクセス権（第25–27条）、訂正権（第32条）、異議を唱える権利に加え、自動化された個別の意思決定に対する権利（第21条）を与えています。 データポータビリティの権利 は2023年の改正で新設されました（第28条）。
権利の一覧はGDPR第15–22条と本質的に同等です。回答期限と手続はわずかに異なり、標準的な期限は 30日で、延長可能 です（複雑な場合）。回答は通常の場合は無料でなければならず、明らかに過剰または反復的な請求に対してのみ、合理的な手数料（最大CHF 300）を請求できます。
スイスにおけるデータ侵害の通知ルールは？
以下の nFADP第24条に基づき、管理者はデータセキュリティ侵害をEDÖBに 「可及的速やかに」 （so rasch als möglich / dans les meilleurs délais）通知しなければなりません。対象となるのは、侵害がデータ主体の 人格または基本的権利に対する高いリスク をもたらすおそれがある場合です。
GDPRの72時間という厳格な期限とは異なり、スイス法は「可及的速やかに」という柔軟な基準を用いていますが、EDÖBのガイダンスは 5営業日 を超えるものを強く疑問視しています。通知は連邦ポータルの構造化されたオンラインフォームから行います。データ主体の保護に必要な場合、またはEDÖBが求める場合には、データ主体にも直接通知しなければなりません。
スイスの顧客データをEU、米国、その他の国に移転できますか？
十分な保護水準を有する国として 連邦参事会のリスト に掲載されている国 — EU/EEA全域、英国、カナダ、アルゼンチン、日本、韓国、イスラエル、ニュージーランドなど — へは、自由に移転できます。プライバシーポリシーで移転を開示するだけです。
十分性のない国へは、適切な保護措置がある場合のみ移転できます。 スイス標準契約条項、拘束的企業準則、または第17条の限定的な例外のいずれかです。2024年9月からは、 Swiss-US Data Privacy Framework により、同フレームワークの認証を受けた米国の受領者について十分性が認められています — 主要なクラウドおよびSaaSベンダーの大半が対象です。
スイスのnFADPとEUのGDPRの違いは何ですか？
主な違いは5つです。 (1) 罰金は個人に最大CHF 250,000 が科され（nFADP）、会社には科されません（GDPR：会社の売上高の4%）。 (2) Cookie同意は法律で義務付けられていません （nFADP）（GDPR＋ePrivacyはオプトインを要求）。 (3) DPO / Datenschutzberater は任意です （民間企業）（GDPR第37条は定められた場合にDPOを要求）。
(4) 侵害通知は「可及的速やかに」です （GDPR：72時間の厳格な期限）。 (5) 処理活動の記録 は、nFADPでは従業員250人以上の企業または高リスク処理を行う企業にのみ適用されます（GDPR：ほぼすべての管理者／処理者）。実質的には両制度は現在かなり一致しており、実務上の違いは行政負担と個人責任の構造にあります。
nFADPにおけるデータ保護影響評価（DPIA）とは何ですか？
DPIA（Datenschutz-Folgenabschätzung、nFADP第22条）は、処理がデータ主体の 人格または基本的権利に対する高いリスク をもたらすおそれがある場合に必要です — 典型的には、機微なデータの大規模処理、公共の場所の体系的な監視、新しいトラッキング技術の導入などです。
管理者は、リスク、軽減策、残存リスクを文書化しなければなりません。指定された DatenschutzberaterがEDÖBに登録されている場合、管理者は規制当局と協議することなく高リスクのDPIAを自己完結できます（nFADP第23条）— Eコマースのプロファイリング、レコメンドエンジン、不正スコアリングにとって大きな運用上の利点です。
スイスのオンラインショップにプライバシーポリシーは必須ですか？
はい — 情報提供義務（nFADP第19条） により、管理者はデータ主体に対し、身元、目的、受領者のカテゴリー、保存期間、国外移転、データ主体の権利に関する情報を提供しなければなりません。実務上は、これをウェブサイト上の プライバシーポリシー／データ保護宣言 として実装し、すべてのページのフッターから容易にアクセスできるようにします。
EDÖBは最低限の内容について詳細なガイダンスを公開しています。よくある間違いには、nFADPではなくGDPRを参照しているドイツのポリシーのコピペ、汎用的な定型文の目的、越境移転の開示漏れ、実際に機能するDSAR連絡窓口がないことなどがあります。Zunaproのコンプライアンス・パックは、DE/FR/IT/ENでスイス法に準拠したポリシーを自動生成します。
Eコマースにおけるスイスの子どものデータや未成年者についてはどうですか？
nFADPは、GDPR第8条（加盟国により13–16歳）のような具体的な同意年齢を定めていません。スイスの一般民法が適用されます。 判断能力（Urteilsfähigkeit）のある年齢に達した未成年者 — 事柄にもよりますが通常14–16歳 — は、自らデータ処理に同意できます。それより幼い子どもについては、保護者の同意が必要です。
16歳未満の購入者をターゲットとするEコマース販売者（おもちゃ、ゲーム、ファッション、学用品）は、登録時と購入手続き時に 年齢確認ゲートと保護者確認フロー を導入し、年齢確認のロジックを処理活動の記録に文書化し、子どものデータにより高度なセキュリティを適用すべきです。EDÖBは、2025–2026年の執行方針においてこの分野への注目を高めることを示しています。
スイスで販売を開始 — 初日からnFADPに準拠
プライバシーポリシー · CMP · DSARポータル · 侵害対応手順書 · 処理活動の記録 · 越境移転登録簿 · EDÖB対応の証拠 — すべてを1つのZunaproパネルで、Galaxus、Digitec、Brack、Ricardoのマーケットプレイス連携とともに。デモ不要、長期契約なし。今日からスイスでのEコマースを始めましょう。
🇨🇭 今すぐスイスで販売を開始 →お困りですか？
関連サービス: マーケットプレイス