Швейцарский закон о защите данных (DSG) для интернет-магазинов 2026: соблюдение nFADP и руководство для электронной коммерции

Защита данных в Швейцарии 2026 — обзор

Десять столпов ниже — несущая конструкция соблюдения nFADP для интернет-магазинов. Держите эти карточки под рукой при чтении подробных разделов: каждое швейцарское обязательство по защите данных в электронной коммерции соответствует одной из этих десяти карточек.

1. nFADP — обновлённый FADP, действующий с 1 сентября 2023 года

Три десятилетия реформ в одной дате

Исходный швейцарский FADP (DSG) появился в 1992 году — на три года раньше Директивы ЕС о защите данных и на четверть века раньше GDPR. К середине 2010-х разрыв стал неприемлемым: Швейцарии нужно было сохранить «решение об адекватности» ЕС, чтобы данные свободно передавались между швейцарскими контролёрами и европейскими компаниями. Федеральный совет внёс полный пересмотр в 2017 году; обновлённый FADP — nFADP / revDSG — был принят 25 сентября 2020 года, а датой вступления в силу стало 1 сентября 2023 года.

В результате получился закон, явно вдохновлённый GDPR — та же логика контролёра/обработчика, тот же перечень прав субъектов данных, то же требование DPIA на основе риска, — но с намеренными швейцарскими особенностями: личной уголовной ответственностью и более лёгкими административными обязанностями для МСП.

Восемь больших изменений для электронной коммерции

Если вы вели швейцарский интернет-магазин по старому FADP 1992 года и продолжали делать то же самое, то сейчас вы нарушаете требования как минимум по восьми отдельным пунктам:

• Защищаются только физические лица — защита юридических лиц отменена, в соответствии с GDPR
• Усиленная обязанность информирования (ст. 19) — раскрывайте каждого получателя, каждую передачу и правовое основание
• Privacy by Design / by Default (ст. 7) — формулировка идентична ст. 25 GDPR
• Реестр обработки (ст. 12) — обязателен при 250+ сотрудниках или обработке с высоким риском
• Оценка воздействия на защиту данных (ст. 22) — требуется при обработке с высоким риском
• Право на переносимость данных (ст. 28) — новое, почти идентично ст. 20 GDPR
• Уведомление об утечке (ст. 24) — «как можно скорее» при утечках с высоким риском
• Личный штраф CHF 250,000 — заменяет символические CHF 10,000 закона 1992 года

Кто подпадает под действие? Экстерриториальный охват

Ст. 3 nFADP определяет широкий экстерриториальный охват: закон применяется «к обстоятельствам, имеющим последствия в Швейцарии, даже если они возникли за рубежом». В терминах электронной коммерции ритейлер из ЕС или вне ЕС, который:

• доставляет физические товары на швейцарские адреса, ИЛИ
• ведёт сайт, ориентированный на Швейцарию (немецкий / французский / итальянский язык, домен .ch, цены в CHF, швейцарский флаг в шапке), ИЛИ
• ведёт платное привлечение, нацеленное на швейцарские индексы / жителей Швейцарии, ИЛИ
• принимает оплату через TWINT, PostFinance или швейцарские кредитные карты

…подпадает под действие nFADP и обязан его соблюдать. Ст. 14 дополнительно обязывает контролёров, не имеющих присутствия в Швейцарии, в определённых случаях назначать представителя в Швейцарии (регулярная масштабная обработка данных жителей Швейцарии, обработка с высоким риском или обработка чувствительных персональных данных).

Календарь соблюдения требований — 2026

К июню 2026 года каждый интернет-магазин, ориентированный на Швейцарию, уже должен работать по новому режиму. Дальнейшего переходного периода нет — дата вступления в силу 1 сентября 2023 года применялась сразу, без сохранения прежних условий. Если ваша политика конфиденциальности всё ещё ссылается на закон 1992 года, у вас нет реестра обработки или ваш план реагирования на утечки не упоминает EDÖB — вы нарушаете требования уже сегодня.

2. EDÖB — федеральный орган Швейцарии по защите данных

Кто такой EDÖB?

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) — Федеральный уполномоченный по защите данных и информации — швейцарский аналог немецкого BfDI, французского CNIL или британского ICO. Это независимый федеральный орган в Берне, который сейчас возглавляет Адриан Лобзигер (в должности с 2016 года, переназначен на срок 2022–2027).

Полномочия по новому закону

Пересмотр 2023 года существенно расширил инструментарий EDÖB. По новому nFADP уполномоченный может:

• Открывать официальные расследования по собственной инициативе или по жалобе
• Выносить обязательные административные предписания — включая требование к контролёру изменить, приостановить или прекратить обработку
• Предписывать публикацию уведомления об утечке, если контролёр не проинформировал затронутых субъектов данных
• Передавать дела для уголовного преследования — швейцарские уголовные штрафы для физических лиц рассматриваются кантональными уголовными судами
• Координировать действия с кантональными органами по защите данных (у каждого кантона есть свой орган для кантональных государственных учреждений)
• Выпускать официальные заявления и разъяснения — Leitfäden EDÖB на практике считаются квазиобязательными

Публичная библиотека разъяснений EDÖB

В отличие от многих европейских органов по защите данных, EDÖB публикует большинство разъяснений на трёх языках (DE / FR / IT) и всё чаще на английском. Ключевые документы, которые швейцарским операторам электронной коммерции стоит держать открытыми во вкладке браузера:

• Leitfaden zur Datensicherheit — руководство по техническим и организационным мерам безопасности
• Leitfaden zur Meldung von Verletzungen der Datensicherheit — официальный порядок уведомления об утечках
• Erläuterungen zur Datenschutz-Folgenabschätzung — методология DPIA
• Liste der Staaten mit angemessenem Datenschutzniveau — список третьих стран с адекватным уровнем защиты
• Standardvertragsklauseln — швейцарские SCC для трансграничной передачи

Насколько активно правоприменение на практике?

EDÖB исторически — прагматичный регулятор, ориентированный на диалог. Годовые отчёты показывают от нескольких до пары десятков официальных расследований в год, но интенсивную неформальную переписку. Изменение 2023 года — реальная угроза уголовного преследования физических лиц: риск правоприменения сместился от «абстрактного корпоративного штрафа» к «конкретной личной судимости».

3. Согласие на cookie в Швейцарии — мягче, чем в ЕС, но рекомендуется

Неожиданная правда о швейцарском праве в отношении cookie

Это главный пункт «Швейцария — не ЕС», в котором ошибаются операторы: швейцарское право не требует законного согласия (opt-in) для нечувствительных cookie. Основание двоякое: (1) nFADP опирается на прозрачность + законный интерес — швейцарского аналога opt-in по ст. 5(3) ePrivacy ЕС нет; (2) ст. 45c швейцарского Закона о телекоммуникациях (FMG) требует лишь информировать пользователей и давать возможность отказаться — явное предварительное согласие не предписано.

Поэтому сайт, работающий только на Швейцарию, может соблюдать требования с помощью «мягкого» баннера, который информирует, предлагает opt-out и продолжает отслеживание, если пользователь не возражает, — это ближе к американской модели «уведомление и выбор», чем к европейской модели «предварительного информированного согласия».

Подвох — одновременная ориентация на ЕС

Подвох в том, что любой швейцарский интернет-магазин, обслуживающий и посетителей из ЕС, — а это почти все (DACH или Европа в целом), — подпадает под GDPR + ePrivacy, как только на сайт заходит житель ЕС. На практике почти каждый швейцарский сайт электронной коммерции внедряет баннер согласия CMP в стиле GDPR как безопасный вариант по умолчанию, хотя одно лишь швейцарское право допускало бы более мягкое решение.

Чего на самом деле ожидает EDÖB

Уполномоченный дал понять, что для нечувствительных cookie (аналитика, базовая персонализация) достаточно прозрачности + реальной возможности отказа. Для чувствительной обработки (отслеживание между устройствами, поведенческая реклама, профилирование со значительными последствиями) порог согласия ужесточается — требуется явное, детальное согласие. «Cookie walls», блокирующие доступ без принятия отслеживания, проблематичны.

Практический стек 2026

• Уровень 1 — строго необходимые: согласие не требуется (сессия, корзина, язык, CSRF)
• Уровень 2 — функциональные + аналитика: прозрачный баннер + opt-out по швейцарскому праву; opt-in как лучшая практика при одновременной ориентации на ЕС
• Уровень 3 — маркетинг / между устройствами: явный opt-in, детально по каждому поставщику, с возможностью отзыва
• Документация: реестр cookie по поставщикам, сроки хранения и правовое основание

4. Политика конфиденциальности — обязательна по ст. 19 nFADP

Обязанность информирования — теперь строгая

Ст. 19 nFADP возлагает на каждого контролёра структурированную обязанность информирования (Informationspflicht). Всякий раз при сборе персональных данных — непосредственно у субъекта или от третьего лица — контролёр должен заранее раскрыть:

• Личность и контактные данные контролёра (название компании, организационно-правовая форма, юридический адрес, e-mail)
• Цели обработки понятным, конкретным языком — не общими шаблонами
• Категории получателей — внутренние подразделения, обработчики, сторонние сервисы, государственные органы
• Каждую передачу за рубеж — страна назначения, правовое основание (решение об адекватности, швейцарские SCC, BCR, явное согласие)
• Сроки хранения по каждой категории данных
• Полный перечень прав субъектов данных и способы их реализации

Как структурировать политику конфиденциальности

EDÖB не предписывает единого обязательного формата, но практический отраслевой стандарт для швейцарской электронной коммерции таков:

1. Личность и контакты — контролёр, юридический адрес, зарегистрированный в EDÖB Datenschutzberater (если есть), швейцарский представитель для иностранных контролёров
2. Категории персональных данных — идентификационные, контактные, данные аккаунта, история заказов, платёжные, поведенческие, технические
3. Цели и правовые основания — исполнение договора, законный интерес, правовое обязательство, согласие
4. Получатели и обработчики — поимённый список со страной регистрации
5. Передача за рубеж — страна назначения, правовое основание, ссылка на швейцарские SCC или решение об адекватности
6. Сроки хранения — по каждой категории данных с привязкой к конкретному законодательному или договорному основанию
7. Права субъектов данных — полный перечень, контакт для DSAR, порядок подачи жалобы в EDÖB
8. Автоматизированные решения и профилирование — раскрытие по ст. 21 nFADP
9. Cookie и отслеживание — обзор, ссылка на CMP для cookie, инструкции по отказу
10. Меры безопасности — краткое описание технических и организационных мер

Типичные ошибки, которых следует избегать

• Скопированные немецкие политики со ссылками на GDPR/BfDI вместо nFADP/EDÖB
• Общее «мы обрабатываем ваши данные для оказания наших услуг» — не соответствует требованию конкретности ст. 19
• Отсутствие раскрытия трансграничной передачи для AWS, Google Workspace, американских SaaS
• Нет канала для DSAR — необходимо указать работающий e-mail или форму
• Нет даты «последнего обновления» — каждое существенное изменение должно быть датировано

5. Инспектор по защите данных / Datenschutzberater — добровольно, но стратегически важно

Швейцарский термин: Datenschutzberater

Пересмотр 2023 года намеренно не перенял обязательный режим DPO из GDPR. Ст. 10 nFADP вводит Datenschutzberater (консультанта по защите данных) как добровольное назначение для частных компаний — чтобы облегчить жизнь МСП и сохранить отдельную, более мягкую альтернативу GDPR, при этом обеспечив решение ЕС об адекватности.

Почему его всё же стоит назначить

Несмотря на добровольность, назначение и регистрация Datenschutzberater в EDÖB дают важное практическое преимущество: самостоятельное одобрение DPIA с высоким риском. Согласно ст. 23 nFADP, если DPIA выявляет остаточный высокий риск, контролёр должен проконсультироваться с EDÖB перед началом обработки — кроме случаев, когда в оценке участвовал зарегистрированный Datenschutzberater: тогда контролёр может опираться на мнение внутреннего консультанта и продолжать без консультации с EDÖB.

Для операторов электронной коммерции, применяющих любое профилирование, рекомендательные системы, скоринг мошенничества или отслеживание между устройствами, это ощутимое операционное преимущество — консультации с EDÖB могут занимать от недель до месяцев.

Кто может быть Datenschutzberater?

Ст. 10 nFADP требует, чтобы консультант:

• обладал профессиональной квалификацией, необходимой для выполнения функции (юридическая и техническая грамотность)
• выполнял функцию независимо и не подчинялся указаниям при её выполнении
• не имел конфликта интересов с этой функцией
• имел право доступа ко всей необходимой информации и ресурсам

Консультантом может быть штатный сотрудник или внешний консультант. Для небольших швейцарских МСП электронной коммерции наиболее распространённый вариант — внешний швейцарский юрист, специализирующийся на защите данных, работающий на абонентской основе.

Регистрация в EDÖB

Чтобы получить преимущество самостоятельного одобрения DPIA, контролёр должен зарегистрировать Datenschutzberater в EDÖB через федеральный портал. Регистрация бесплатна, обрабатывается за несколько дней и должна содержать имя, квалификацию и контактные данные консультанта. EDÖB ведёт публичный реестр зарегистрированных консультантов.

Для федеральных органов DPO обязателен

Федеральные органы (департаменты, ведомства, суды) обязаны назначать DPO согласно ст. 10 nFADP — в соответствии с обязательным режимом GDPR для органов власти.

6. Права субъектов данных по nFADP

Полный перечень

nFADP предоставляет швейцарским субъектам данных перечень прав, по сути почти идентичный статьям 15–22 GDPR:

• Право на информацию (ст. 19) — заблаговременное раскрытие в момент сбора
• Право на доступ (ст. 25–27) — субъект данных может запросить копию всех обрабатываемых персональных данных, цели, получателей, сроки хранения, источник и любые автоматизированные индивидуальные решения
• Право на исправление (ст. 32) — исправление неточных данных
• Право на удаление — вытекает из ст. 32 и принципа соразмерности; не всегда абсолютно (могут преобладать законодательные обязанности по хранению)
• Право на возражение — против обработки на основе законного интереса, включая профилирование
• Право в отношении автоматизированных индивидуальных решений (ст. 21) — право быть проинформированным о решениях, принятых исключительно автоматически и имеющих правовые или значительные последствия, и требовать их пересмотра человеком
• Право на переносимость данных (ст. 28) — добавлено при пересмотре 2023 года; право получить персональные данные в структурированном, общепринятом, машиночитаемом формате

Процесс DSAR

Согласно ст. 25 nFADP контролёр должен ответить на запрос о доступе в течение 30 дней. Срок может быть продлён в сложных случаях с уведомлением субъекта данных. Важно, что ответ должен быть бесплатным в обычных случаях; контролёр может взимать разумную плату (до CHF 300) лишь тогда, когда запрос явно чрезмерен или повторяется.

Обязательное содержание ответа на DSAR подробно определено:

• Копия обрабатываемых персональных данных
• Цели обработки
• Срок хранения или, если это невозможно, критерии его определения
• Доступная информация об источнике данных
• Категории получателей
• Информация о наличии автоматизированных индивидуальных решений и их логике
• При необходимости — получатели за рубежом и применяемые гарантии

Основания для отказа (ст. 26)

Контролёр может отказать, ограничить или отложить ответ на запрос о доступе только по узким основаниям: законодательные основания, преобладающий интерес третьих лиц, преобладающий интерес контролёра (если данные никому не раскрываются и интерес обоснован) или преобладающий общественный интерес (особенно внутренняя/внешняя безопасность). Любой отказ должен быть мотивирован, с указанием права на жалобу в EDÖB или обращение в гражданский суд.

7. Уведомление об утечке данных — «как можно скорее»

Швейцарский стандарт гибкий, но не мягкий

Ст. 24 nFADP обязывает контролёров уведомлять об инциденте всякий раз, когда нарушение безопасности данных, вероятно, приведёт к высокому риску для личности или основных прав субъекта данных. Уведомление направляется в EDÖB и должно быть сделано «как можно скорее» — по-немецки «so rasch als möglich», по-французски «dans les meilleurs délais».

Это самое часто упоминаемое отличие Швейцарии от GDPR. GDPR устанавливает жёсткие 72 часа с момента, когда контролёр узнал об инциденте. nFADP намеренно отказывается от жёсткого срока, но разъяснения EDÖB ясно указывают, что «как можно скорее» следует измерять рабочими днями, а не неделями, а задержки более пяти рабочих дней вызовут вопросы.

Когда уведомление обязательно?

Уведомлять нужно только об утечках с высоким риском для личности или основных прав. Практические примеры, которые всегда достигают этого порога:

• Потеря незашифрованного ноутбука или резервной ленты с данными клиентов
• Шифрование программой-вымогателем или похищение баз данных заказов / платежей
• Неправильно настроенное облачное хранилище, раскрывающее адреса, телефоны или историю заказов клиентов
• Успешный фишинг почтового ящика службы поддержки, затронувший персональные данные
• Похищение инсайдером маркетинговых списков или списков контактов отдела продаж
• Утечка у поставщика / обработчика, затронувшая швейцарских субъектов данных

Содержание уведомления

Уведомление в EDÖB должно содержать:

• Характер утечки — что произошло, когда и как было обнаружено
• Категории и примерное число затронутых субъектов данных
• Категории и примерное число затронутых записей персональных данных
• Вероятные последствия для субъектов данных
• Уже принятые или планируемые меры по устранению
• Контактные данные Datenschutzberater или иного контактного лица

Для подачи EDÖB предоставляет структурированную онлайн-форму на своём федеральном портале.

Уведомление субъектов данных

Контролёр также должен напрямую уведомить затронутых субъектов данных, если это необходимо для их защиты или если этого требует EDÖB. От уведомления можно отказаться, если контролёр принял надлежащие защитные меры (например, затронутые данные были зашифрованы, а ключ не скомпрометирован), — при этом уведомление EDÖB по-прежнему обязательно.

Практический план действий

1. T+0: инцидент обнаружен, изоляция, фиксация обстановки
2. T+24ч: сортировка — оценка масштаба утечки, определение категорий субъектов данных, оценка порога высокого риска
3. T+72ч: внутреннее решение — Datenschutzberater + юристы + руководство согласуют уведомление
4. T+5 рабочих дней: уведомление EDÖB через федеральный портал
5. После инцидента: при необходимости — уведомление субъектов данных, запись в реестр обработки, обновление DPIA

8. Трансграничная передача данных — список адекватности + швейцарские SCC

Список адекватности Федерального совета

Ст. 16 nFADP разрешает передачу, если Федеральный совет установил, что страна обеспечивает адекватный уровень защиты. По состоянию на июнь 2026 года в список входят:

• Весь ЕС и ЕЭЗ (27 государств-членов + Исландия, Лихтенштейн, Норвегия) — самое частое направление для данных швейцарской электронной коммерции
• Великобритания, Андорра, Аргентина, Канада (коммерческий сектор), Фарерские острова, Гернси, Израиль, остров Мэн, Япония, Джерси, Монако, Новая Зеландия, Южная Корея, Уругвай
• США — только для организаций, сертифицированных по Swiss-US Data Privacy Framework (действует с 2024 года)

Для передачи в любую другую страну требуется отдельное правовое основание: швейцарские SCC, обязательные корпоративные правила, явное согласие или узкое исключение по ст. 17.

Швейцарские стандартные договорные условия

EDÖB официально признал SCC ЕС (2021/914) соответствующими швейцарскому праву при условии страновых адаптаций (GDPR → nFADP, право государства-члена → швейцарское право). Для совместных потоков ЕС+Швейцария можно использовать единый набор SCC, удовлетворяющий обоим режимам, — фактический отраслевой стандарт.

Swiss-US Data Privacy Framework

После того как решение Schrems II аннулировало Privacy Shield ЕС–США и Швейцария–США, был согласован преемник. Swiss-US Data Privacy Framework вступил в силу 15 сентября 2024 года, восстановив адекватность для американских организаций, прошедших самосертификацию. AWS, Google Cloud, Microsoft Azure и большинство крупных SaaS-поставщиков, сертифицированных по DPF, снова могут получать швейцарские данные без отдельных SCC.

Практическая матрица передачи

• Хостинг в Швейцарии или ЕС/ЕЭЗ — никаких особых формальностей передачи, достаточно указать в политике конфиденциальности
• Хостинг у американского поставщика с сертификацией DPF — раскройте, проверьте сертификацию в списке DPF, SCC не нужны
• Хостинг у американского поставщика без DPF — швейцарские SCC обязательны, плюс оценка последствий передачи
• Хостинг в третьей стране без адекватности (Индия, Китай, Россия, Сингапур для некоторых целей) — швейцарские SCC + тщательная оценка последствий передачи + в идеале шифрование с ключами, хранящимися в Швейцарии

9. Штрафы — до CHF 250,000 для физического лица

Самая важная швейцарская особенность

Это главная причина, по которой швейцарским основателям e-commerce, директорам и DPO стоит лично заботиться о соблюдении nFADP — а не только на уровне компании. Наказание за серьёзные нарушения nFADP — уголовный штраф до CHF 250,000, налагаемый на ответственное физическое лицо, а не на компанию.

Это принципиально отличается от административных штрафов GDPR на уровне компании (до 4% мирового оборота). В Швейцарии:

• Штраф направлен на физическое лицо, нарушившее закон, — обычно менеджера, директора, основателя или назначенного должностного лица
• Это уголовный штраф, назначаемый кантональным уголовным судом, а не административный штраф регулятора
• Приговор может попасть в швейцарский реестр судимостей лица — с последствиями для вида на жительство, статуса в финансовом регулировании, назначений в советы директоров
• Компания не может возместить штраф по страхованию D&O — уголовные штрафы в Швейцарии, как правило, не страхуются

Диапазоны штрафов по видам нарушений

Штраф для компании — только в узких случаях

Ст. 64 nFADP допускает штрафы до CHF 50,000 для самой компании — но только если установление ответственного физического лица потребовало бы несоразмерного расследования. На практике это запасной вариант, когда структура корпоративного управления настолько непрозрачна, что прокурор не может определить ответственное физическое лицо. По умолчанию действует личная ответственность.

Что запускает уголовное преследование?

• Передача дела EDÖB после неудачного диалога о соблюдении требований или невыполнения обязательного предписания
• Уголовная жалоба субъекта данных
• Кантональное уголовное производство, начатое по собственной инициативе (на практике редко)
• Перенос из параллельного расследования по GDPR с участием европейского органа по защите данных

Смягчающие обстоятельства

Швейцарские уголовные суды учитывают ряд смягчающих обстоятельств при определении фактического штрафа в пределах максимального диапазона:

• Наличие зарегистрированного Datenschutzberater и задокументированной внутренней программы соблюдения требований
• Оперативное сотрудничество с EDÖB
• Добровольное уведомление об утечке и устранение последствий
• Отсутствие предыдущих нарушений
• Статус МСП и ограниченные финансовые возможности

10. DSG и GDPR в электронной коммерции — практическая разница

Сравнительная таблица

Самый полезный инструмент для швейцарского оператора электронной коммерции — сравнение, показывающее, где nFADP расходится с GDPR. Таблица ниже обобщает десять измерений, наиболее важных для онлайн-розницы.

Измерение	Швейцарский nFADP / revDSG	GDPR ЕС	Практическое значение
Максимальный штраф	CHF 250,000 для физического лица	4% мирового оборота для компании	Личная уголовная ответственность в CH
Согласие на cookie	Прозрачность + opt-out	Предварительное согласие opt-in	CMP рекомендуется при одновременной ориентации на ЕС
DPO / консультант	Добровольно, с преимуществом самостоятельного одобрения	Обязателен в определённых случаях (ст. 37)	Стратегическая регистрация для облегчения DPIA
Уведомление об утечке	«Как можно скорее»	Жёсткий срок 72 часа	Постройте план действий на ≤5 рабочих дней
Реестр обработки	Только при 250+ сотрудниках или высоком риске	Все контролёры и обработчики (с исключениями)	Облегчение для МСП в CH, обязательно в ЕС
Переносимость данных	Ст. 28 nFADP — добавлена в 2023 году	Ст. 20 GDPR — с 2018 года	На практике почти идентично
Профилирование / автоматизированные решения	Ст. 21 + обязанность информирования	Ст. 22 GDPR	Эквивалентно — возможен единый процесс
Трансграничная передача	Список адекватности Федерального совета + швейцарские SCC	Адекватность по решению Комиссии + SCC ЕС	SCC ЕС используются повторно со швейцарским приложением
Сфера защиты	Только физические лица (юридические лица исключены)	Только физические лица	Согласовано при пересмотре 2023 года
Регулятор	EDÖB (федеральный) + кантональные органы	Национальные органы + EDPB	Единая швейцарская точка входа

Как читать таблицу: nFADP и GDPR теперь в целом согласованы по существу, но пять швейцарских особенностей — личная уголовная ответственность, более мягкий режим cookie, добровольный DPO, гибкий срок уведомления об утечке, облегчение для МСП в части реестра обработки — требуют отдельных операционных решений. Оптимальный стек для швейцарского интернет-магазина, обслуживающего и клиентов из ЕС, — строить по более высокому из двух стандартов в каждом измерении, обеспечивая соблюдение обоих режимов единым процессом.

Стек «сделать один раз — соблюдать дважды»

• Политика конфиденциальности — DE/FR/IT/EN, со ссылками на nFADP и GDPR, на EDÖB и ведущий орган ЕС
• Баннер cookie — CMP с предварительным opt-in по GDPR; по определению покрывает Швейцарию
• Процесс DSAR — швейцарский срок 30 дней (совпадает со ст. 12 GDPR) + более широкое швейцарское содержание
• Реагирование на утечки — срок GDPR 72 часа; удовлетворяет швейцарскому «как можно скорее»
• Реестр обработки — ведите независимо от облегчения для МСП
• Трансграничная передача — SCC ЕС со швейцарским приложением покрывают обе юрисдикции
• DPO / Datenschutzberater — зарегистрируйте в EDÖB для самостоятельного одобрения DPIA

Как внедрить соблюдение nFADP — пошагово в 2026 году

1. Составьте карту потоков персональных данных (дерево решений)

• Аккаунты клиентов + история заказов → идентификационные + контактные + поведенческие данные
• Обработка платежей → чувствительные финансовые данные, особая осторожность по ст. 5
• Маркетинг + ремаркетинг → профилирование, отслеживание между устройствами, часто на основе согласия
• Поддержка + обслуживание клиентов → поля свободного текста могут содержать чувствительную информацию
• Логистика + доставка → контактные данные передаются InPost / Swiss Post / DPD / DHL
• Аналитика → IP, устройство, поведение; проверьте анонимизацию IP

2. Решите вопрос о швейцарском представителе (только для иностранных контролёров)

Если ваша компания не зарегистрирована в Швейцарии, но обрабатывает персональные данные жителей Швейцарии в больших масштабах или с высоким риском, ст. 14 nFADP требует назначить швейцарского представителя. Три правовых варианта:

• Швейцарская дочерняя компания или филиал — быстрее всего, если у вас уже есть швейцарское юрлицо
• Внешняя юридическая фирма или специалист по комплаенсу в качестве представителя — распространённый вариант для МСП
• Специализированный провайдер услуги представителя — регулярная ежемесячная плата, включает взаимодействие с EDÖB

3. Назначьте и зарегистрируйте Datenschutzberater

Будь то штатный или внешний консультант, его регистрация в EDÖB открывает возможность самостоятельного одобрения DPIA и является самым эффективным шагом в соблюдении требований. Регистрация бесплатна и занимает несколько дней.

4. Подготовьте политику конфиденциальности + CMP для cookie

• Сформируйте соответствующую швейцарскому праву политику конфиденциальности на DE/FR/IT/EN
• Внедрите CMP с предварительным opt-in в стиле GDPR для маркетинговых cookie, детально по каждому поставщику
• Задокументируйте реестр cookie — поставщик, цель, срок хранения, правовое основание
• Разместите ссылку в футере каждой страницы, в баннере cookie и в форме регистрации

5. Настройте процесс DSAR

• Опубликуйте канал для DSAR (e-mail + форма), проверку личности, SLA 30 дней
• Автоматизируйте экспорт данных по заказам + корзине + просмотрам + маркетингу + поддержке
• Используйте шаблоны ответов в соответствии с разъяснениями EDÖB на DE/FR/IT/EN

6. Задокументируйте реестр обработки + DPIA

Даже когда реестр добровольный (менее 250 сотрудников, нет высокого риска), его ведение — лучшее доказательство должной осмотрительности в уголовном процессе. То же касается DPIA: документируйте остаточный риск, меры по снижению, мнение консультанта.

7. Подготовьте план реагирования на инциденты утечки

• Определите триггеры обнаружения (оповещения безопасности, жалобы клиентов, уведомления обработчиков)
• Установите сроки: сортировка за 24 часа и уведомление EDÖB за 5 рабочих дней
• Заранее заполните поля формы EDÖB, которые можно заполнить (личность контролёра, контакты)

8. Настройте реестр трансграничной передачи

Перечислите всех обработчиков и страны их регистрации. Приложите швейцарские SCC + оценку последствий передачи для направлений без адекватности. Автоматически пересматривайте при обновлении Федеральным советом списка адекватности.

9. Подключение через Zunapro (настройка соблюдения требований)

1. Войдите в Zunapro и откройте модуль Швейцарии
2. Включите пакет соблюдения nFADP — генератор политики конфиденциальности, CMP, портал DSAR, план реагирования на утечки, реестр обработки, реестр трансграничной передачи
3. Зарегистрируйте своего Datenschutzberater — Zunapro может заранее заполнить форму регистрации EDÖB
4. Подключите швейцарские маркетплейсы — Galaxus, Digitec, Brack, Ricardo — и направьте данные клиентов через пакет соблюдения требований
5. Запуск — после формирования базового уровня соблюдения требований мониторинг работает в фоновом режиме

FAQ по швейцарскому nFADP / DSG 2026