2026年面向在线零售商的瑞士数据保护法（DSG）：nFADP合规与电商指南

2026年瑞士数据保护格局一览

以下十大支柱是在线零售商nFADP合规的承重结构。阅读各深入章节时，请把这组卡片放在手边——瑞士电商的每一项数据保护义务都对应其中一张卡片。

1. nFADP — 自2023年9月1日起生效的修订版FADP

三十年改革，汇于一个日期

瑞士最初的 FADP（DSG） 可追溯到1992年——比欧盟《数据保护指令》早三年，比GDPR早四分之一个世纪。到2010年代中期，这一差距已难以为继：瑞士需要维持欧盟的“充分性决定”，才能让数据在瑞士控制者与欧洲企业之间自由流动。联邦委员会于2017年提出全面修订； 修订后的FADP——nFADP / revDSG——于2020年9月25日通过，并以 2023年9月1日 作为生效日期。

结果是一部 明显受GDPR启发 的法律——相同的控制者/处理者逻辑、相同的数据主体权利清单、相同的基于风险的DPIA要求——但刻意保留了瑞士特色：个人刑事责任，以及对中小企业较轻的行政义务。

对电商影响最大的八项变化

如果您按照1992年的旧FADP经营瑞士网店并且一切照旧，那么您现在至少在八个方面不合规：

• 只保护自然人 ——取消了对法人实体的保护，与GDPR保持一致
• 强化的告知义务（第19条） ——披露每一个接收方、每一次传输及其法律依据
• 隐私设计/默认隐私（第7条） ——措辞与GDPR第25条相同
• 处理活动记录（第12条） ——拥有250+名员工或进行高风险处理时必须建立
• 数据保护影响评估（第22条） ——高风险处理时必须进行
• 数据可携带权（第28条） ——新增，几乎与GDPR第20条相同
• 数据泄露通报（第24条） ——高风险泄露须“尽快”通报
• CHF 250,000个人罚款 ——取代1992年法律中象征性的CHF 10,000

谁在适用范围内？域外效力

nFADP第3条规定了广泛的域外效力：该法适用于 “在瑞士产生影响的情形，即使这些情形发起于境外”。就电商而言，欧盟或非欧盟零售商如果：

• 向瑞士地址寄送实物商品，或
• 运营面向瑞士的网站（德语/法语/意大利语、.ch域名、CHF定价、页眉中有瑞士国旗），或
• 针对瑞士邮编/瑞士居民投放付费获客广告，或
• 通过TWINT、PostFinance或瑞士信用卡处理付款

……即属于nFADP的适用范围，必须遵守。此外，第14条还规定，未在瑞士设立的控制者在某些情况下（定期大规模处理瑞士居民数据、高风险处理或处理敏感个人数据）须指定一名 瑞士代表 。

合规日历 — 2026年

到2026年6月，每家面向瑞士的网店都必须已经适用新制度。不存在进一步的过渡期——2023年9月1日的生效日期立即适用，没有任何祖父条款。如果您的隐私政策仍然引用1992年的法律、缺少处理活动记录，或者您的数据泄露应对手册中没有提到EDÖB，那么您目前就处于不合规状态。

2. EDÖB — 瑞士联邦数据保护机构

EDÖB是谁？

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter（EDÖB） ——联邦数据保护和信息专员——相当于德国的BfDI、法国的CNIL或英国的ICO。它是一个设在Bern的独立联邦机构，现任负责人为 Adrian Lobsiger （自2016年任职，并获连任2022–2027年任期）。

新法下的权力

2023年的修订大幅增强了EDÖB的工具箱。根据新的nFADP，专员可以：

• 启动正式调查 ——主动发起或基于投诉
• 发布具有约束力的行政命令 ——包括命令控制者修改、暂停或停止某项处理操作
• 责令公开数据泄露通报 ——当控制者未通知受影响的数据主体时
• 移交刑事追诉 ——瑞士针对个人的刑事罚款通过州刑事法院处理
• 与各州数据保护机构协调 （每个州都设有负责州公共机构的数据保护机构）
• 发布官方声明和指引 ——EDÖB的 Leitfäden（指南） 在实践中被视为具有准约束力

EDÖB的公开指引库

与许多欧洲数据保护机构不同，EDÖB以三种语言（DE / FR / IT）发布其大部分指引，并越来越多地提供英文版本。瑞士电商经营者应在浏览器标签页中常备以下关键文件：

• Leitfaden zur Datensicherheit ——关于技术和组织安全措施的指引
• Leitfaden zur Meldung von Verletzungen der Datensicherheit ——官方的数据泄露通报手册
• Erläuterungen zur Datenschutz-Folgenabschätzung ——DPIA方法论
• Liste der Staaten mit angemessenem Datenschutzniveau ——第三国充分性名单
• Standardvertragsklauseln ——用于跨境传输的瑞士标准合同条款（SCC）

实践中执法力度如何？

从历史上看，EDÖB是一个 务实、以对话为先的监管机构。年度报告显示，每年的正式调查数量为个位数到十几起，但非正式往来函件很多。2023年的变化在于，针对个人的刑事移交成为可信的威胁：执法风险已从“抽象的公司罚款”转变为“具体的个人刑事记录”。

3. 瑞士的Cookie同意 — 比欧盟宽松，但仍建议实施

关于瑞士Cookie法的意外真相

这是经营者最常弄错的“瑞士不是欧盟”问题： 瑞士法律并不要求对非敏感Cookie取得法定的选择加入同意。其依据有两方面：（1） nFADP 采用透明 + 正当利益原则——瑞士没有与欧盟ePrivacy第5(3)条选择加入要求相对应的规定；（2） 瑞士《电信法》（FMG）第45c条 仅要求告知用户并为其提供拒绝的可能——并不强制要求事先明确同意。

因此，仅面向瑞士的网站只需一个“软性”横幅即可合规：告知用户、提供选择退出，并在用户未提出反对时继续跟踪——这更接近美国的“告知与选择”模式，而非欧盟的“事先知情同意”模式。

问题所在 — 同时面向欧盟

问题在于， 任何同时服务欧盟访客的瑞士网店 ——而几乎所有网店都是如此（DACH地区或更广泛的欧洲）——一旦有欧盟居民访问网站，就落入GDPR + ePrivacy的适用范围。在实践中，几乎每个瑞士电商网站都会实施 GDPR式的CMP同意横幅 作为稳妥的默认方案，尽管仅依瑞士法律，更宽松的做法也可被接受。

EDÖB的实际期望

专员已表示，对于 非敏感Cookie （分析、基础个性化），透明 + 有意义的选择退出即已足够。对于 敏感处理 （跨设备跟踪、行为广告、具有重大影响的画像分析），同意门槛会提高——需要明确、细化的同意。不接受跟踪就拒绝访问的“Cookie墙”存在问题。

2026年的实用分层方案

• 第1层 — 绝对必要：无需同意（会话、购物车、语言、CSRF）
• 第2层 — 功能 + 分析：依瑞士法律，透明横幅 + 选择退出即可；若同时面向欧盟，最佳做法是选择加入
• 第3层 — 营销/跨设备：明确的选择加入，按供应商细化，并可撤回
• 文档记录：按供应商建立的Cookie登记册、保存期限和法律依据

4. 隐私政策 — nFADP第19条规定的强制要求

告知义务 — 现已严格执行

nFADP第19条对每个控制者规定了结构化的 告知义务（Informationspflicht） 。每当收集个人数据时——无论是直接从数据主体还是从第三方收集——控制者都必须主动披露：

• 控制者的 身份和联系方式 （公司名称、法律形式、注册地址、电子邮箱）
• 处理目的 ——用清晰、具体的语言表述，而不是空泛的套话
• 接收方类别 ——内部部门、处理者、第三方服务、公共机构
• 每一次 境外传输 ——目的国、法律依据（充分性决定、瑞士SCC、BCR、明确同意）
• 每类数据的 保存期限
• 完整的 数据主体权利 清单及行使方式

如何构建隐私政策

EDÖB并未规定单一的强制格式，但瑞士电商的实际行业标准是：

1. 身份与联系方式 ——控制者、注册地址、在EDÖB登记的Datenschutzberater（如有）、外国控制者的瑞士代表
2. 个人数据类别 ——身份识别、联系方式、账户、订单历史、支付、行为、技术数据
3. 目的与法律依据 ——履行合同、正当利益、法定义务、同意
4. 接收方与处理者 ——附设立国家的具名清单
5. 境外传输 ——目的地、法律依据、瑞士SCC或充分性决定的链接
6. 保存期限 ——按数据类别列明，并以具体的法定或合同依据为基础
7. 数据主体权利 ——完整清单、DSAR联系方式、向EDÖB投诉的途径
8. 自动化决策与画像分析 ——依据nFADP第21条进行披露
9. Cookie与跟踪 ——概述、Cookie CMP链接、选择退出说明
10. 安全措施 ——技术和组织措施的概要

应避免的常见错误

• 照搬德国的隐私政策 ——引用GDPR/BfDI而非nFADP/EDÖB
• 泛泛而谈的“我们处理您的数据以提供服务” ——不符合第19条的具体性要求
• 缺少跨境传输披露 ——针对AWS、Google Workspace、美国SaaS
• 没有DSAR联系渠道 ——必须提供可用的电子邮箱或表单
• 没有“最后更新”日期 ——每次实质性变更都必须注明日期

5. 数据保护官 / Datenschutzberater — 自愿设立但具有战略意义

瑞士术语：Datenschutzberater

2023年的修订刻意 没有 采用GDPR的强制DPO制度。nFADP第10条引入了 Datenschutzberater （数据保护顾问），并将其定为 私营公司的自愿任命 ——既为中小企业减负，又在确保欧盟充分性决定的同时，保留一种有别于GDPR、更为轻量的替代方案。

为什么仍然应该任命一名

尽管属于自愿性质，但任命并 在EDÖB登记Datenschutzberater 会带来一项重要的实际好处： 高风险DPIA的自行审批。根据nFADP第23条，如果DPIA显示仍存在较高的剩余风险，控制者必须在继续处理前咨询EDÖB——除非已登记的Datenschutzberater参与了评估，在这种情况下，控制者可以依据内部顾问的意见继续处理，而无需咨询EDÖB。

对于开展任何形式的画像分析、推荐引擎、欺诈评分或跨设备跟踪的电商经营者来说，这是一项实实在在的运营优势——EDÖB的咨询可能需要数周到数月。

谁可以担任Datenschutzberater？

nFADP第10条要求顾问：

• 具备履行该职能所需的 专业资质 （法律 + 技术素养）
• 独立 履行职能，且在履职时不受指令约束
• 与该职能 不存在利益冲突
• 有权 获取所有必要的信息和资源

顾问可以是内部员工，也可以是外部顾问。对于瑞士的小型电商中小企业，最常见的做法是聘请专门从事数据保护的外部瑞士律师，按聘用费（retainer）计费。

在EDÖB登记

为获得DPIA自行审批的好处，控制者必须通过联邦门户 在EDÖB登记Datenschutzberater 。登记免费，处理需要几天时间，且必须包含顾问的姓名、资质和联系方式。EDÖB维护着一份已登记顾问的公开名册。

对联邦机构而言 — DPO是强制性的

联邦机构（部门、机关、法院） 必须 根据nFADP第10条任命DPO——与GDPR针对公共机构的强制制度相一致。

6. nFADP下的数据主体权利

完整清单

nFADP赋予瑞士数据主体的权利清单，在实质上几乎与GDPR第15–22条相同：

• 知情权（第19条） ——在收集时主动披露
• 访问权（第25–27条） ——数据主体可以要求获得正在处理的所有个人数据的副本，以及处理目的、接收方、保存期限、来源和任何自动化个人决策
• 更正权（第32条） ——更正不准确的数据
• 删除权 ——源自第32条和比例原则；并非总是绝对的（法定保存义务可能优先）
• 反对权 ——针对基于正当利益的处理，包括画像分析
• 不受自动化个人决策约束的权利（第21条） ——有权获知完全由自动化方式作出、具有法律或重大影响的决策，并要求人工复核
• 数据可携带权（第28条） ——2023年修订新增；有权以结构化、常用、机器可读的格式获取个人数据

DSAR工作流

根据nFADP第25条，控制者必须 在30天内答复访问请求。如情况复杂，可延长期限，但须通知数据主体。关键在于，答复必须 在通常情况下免费；只有当请求明显过度或重复时，控制者才可收取合理费用（最高CHF 300）。

DSAR答复的必备内容十分详细：

• 正在处理的个人数据副本
• 处理目的
• 保存期限，或在无法确定时用于确定期限的标准
• 关于数据来源的现有信息
• 接收方类别
• 关于是否存在自动化个人决策及其基本逻辑的信息
• 如适用，境外接收方及已采取的保障措施

拒绝理由（第26条）

控制者只能基于有限的理由拒绝、限制或推迟访问请求： 法定理由, 压倒性的第三方利益, 压倒性的控制者利益 （在数据未向任何人披露且该利益正当的情况下），或 压倒性的公共利益 （尤其是内部/外部安全）。任何拒绝都必须说明理由，并告知数据主体有权向EDÖB投诉或向民事法院起诉。

7. 数据泄露通报 — “尽快”

瑞士标准灵活 — 但并不宽松

nFADP第24条规定，每当 数据安全违规可能对数据主体的人格或基本权利造成高风险时，控制者负有通报义务。通报对象是EDÖB，且必须 “尽快” ——德语为 “so rasch als möglich”，法语为 “dans les meilleurs délais”.

这是瑞士与GDPR之间最常被提及的差异。GDPR规定了从控制者知悉之时起严格的72小时期限。nFADP刻意不设硬性期限——但EDÖB的指引已明确表示，“尽快”应以 工作日而非周来衡量，超过五个工作日的延误将会受到质询。

何时需要通报？

只有对 人格或基本权利构成高风险 的泄露才需要通报。以下实际情形总是达到该门槛：

• 丢失含有客户记录的未加密笔记本电脑或备份磁带
• 订单/支付数据库遭勒索软件加密或数据被窃取
• 云存储桶配置错误，导致客户地址、电话号码或订单历史外泄
• 客服邮箱遭成功网络钓鱼攻击，且涉及个人数据
• 内部人员窃取营销或销售联系人名单
• 涉及瑞士数据主体的供应商/处理者数据泄露

通报内容

向EDÖB提交的通报必须包括：

• 泄露的性质 ——发生了什么、何时发生、如何发现
• 所涉 数据主体的类别和大致人数
• 所涉个人数据记录的类别和大致数量
• 对数据主体 可能造成的后果
• 为补救 已采取或计划采取的措施
• Datenschutzberater的联系方式 或其他联系人

EDÖB在其联邦门户上提供了 结构化在线表单 用于提交通报。

通知数据主体

控制者还必须直接通知受影响的数据主体， 前提是这对保护他们而言是必要的，或者EDÖB提出了这一要求。如果控制者已采取充分的保护措施（例如受影响的数据已加密且密钥未泄露），则可以不通知数据主体——但在这种情况下仍须向EDÖB通报。

实用应对手册

1. T+0：发现事件，隔离，保全现场
2. T+24h：分级处理——量化泄露规模，确定数据主体类别，评估是否达到高风险门槛
3. T+72h：内部决策——Datenschutzberater + 法务 + 管理层就通报达成一致
4. T+5个工作日：通过联邦门户向EDÖB通报
5. 事件后：如有需要通知数据主体，记入处理活动记录，更新DPIA

8. 跨境数据传输 — 充分性名单 + 瑞士SCC

联邦委员会充分性名单

nFADP第16条允许在以下情况下进行传输： 联邦委员会已认定该国提供充分的保护水平。截至2026年6月，名单包括：

• 全部 欧盟和EEA国家 （27个成员国 + 冰岛、列支敦士登、挪威）——瑞士电商数据最常见的目的地
• 英国、安道尔、阿根廷、加拿大（商业领域）、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、摩纳哥、新西兰、韩国、乌拉圭
• 美国——仅限获得瑞士-美国数据隐私框架认证的组织 （自2024年起生效）

向任何其他国家传输都需要单独的法律依据： 瑞士SCC、具有约束力的公司规则（BCR）、明确同意，或第17条规定的有限例外情形。

瑞士标准合同条款

EDÖB已正式 认可欧盟SCC（2021/914） 符合瑞士法律，但需进行针对本国的调整（GDPR → nFADP，成员国法律 → 瑞士法律）。对于欧盟与瑞士的合并数据流，您可以部署一套同时满足两种制度的SCC——这已成为事实上的行业标准。

瑞士-美国数据隐私框架

在Schrems II案判决欧盟-美国和瑞士-美国隐私盾无效后，双方谈判达成了后续框架。 瑞士-美国数据隐私框架（Swiss-US Data Privacy Framework） 于 2024年9月15日生效，为进行自我认证的美国组织恢复了充分性认定。AWS、Google Cloud、Microsoft Azure以及大多数经DPF认证的主要SaaS供应商，无需单独的SCC即可再次接收瑞士数据。

实用传输矩阵

• 在瑞士或欧盟/EEA托管 ——无需特定的传输手续，只需在隐私政策中披露
• 在经DPF认证的美国供应商处托管 ——进行披露，在DPF名单上核实认证，无需SCC
• 在未经DPF认证的美国供应商处托管 ——必须使用瑞士SCC，并进行传输影响评估
• 在不具备充分性认定的第三国托管 （印度、中国、俄罗斯，以及就某些用途而言的新加坡）——瑞士SCC + 全面的传输影响评估 + 最好使用密钥保存在瑞士的加密

9. 罚款 — 对个人最高CHF 250,000

最重要的瑞士特色

这正是瑞士电商创始人、董事和DPO应当从个人层面——而不仅仅是公司层面——重视nFADP合规的最大原因。 严重违反nFADP的处罚是最高CHF 250,000的刑事罚款，处罚对象是负责人个人，而不是公司。

这与GDPR针对公司的行政罚款（最高为全球营业额的4%）有根本区别。在瑞士：

• 罚款针对的是违法的 自然人 ——通常是经理、董事、创始人或指定负责人员
• 这是由州刑事法院判处的 刑事罚款 ，而不是监管机构作出的行政罚款
• 定罪可能会记入个人的 瑞士犯罪记录 ——进而影响居留许可、金融监管资格和董事会任职
• 罚款不能由公司通过D&O保险报销——在瑞士，刑事罚款通常不可投保

按违法类型划分的罚款档次

公司罚款 — 仅限于有限情形

nFADP第64条允许对 公司本身处以最高CHF 50,000的罚款 ——但前提是确定负责人需要进行不成比例的调查。在实践中，这是当公司治理结构极不透明、检察官无法锁定负责自然人时的备用手段。默认原则仍是个人责任。

什么会引发起诉？

• EDÖB移交 ——在合规对话失败或不遵守具有约束力的命令之后
• 刑事告诉 ——由数据主体提出
• 州刑事程序 ——依职权主动启动（实践中罕见）
• 平行的GDPR调查所引发的连带效应 ——涉及欧洲数据保护机构

减轻处罚的因素

瑞士刑事法院在最高档次范围内确定实际罚款时，会权衡若干减轻因素：

• 存在 已登记的Datenschutzberater 以及有文件记录的内部合规计划
• 及时配合EDÖB
• 自愿通报泄露 并进行补救
• 此前无违法记录
• 中小企业身份 及有限的经济能力

10. 电商领域的DSG与GDPR — 实际差异

并列对照表

对瑞士电商经营者而言，最有用的工具是一张展示nFADP与GDPR差异之处的并列对照表。下表总结了对在线零售最重要的十个维度。

维度	瑞士nFADP / revDSG	欧盟GDPR	实际影响
最高罚款	对个人处以CHF 250,000	对公司处以全球营业额的4%	在瑞士承担个人刑事责任
Cookie同意	透明 + 选择退出	事先选择加入同意	同时面向两地时建议使用CMP
DPO / 顾问	自愿设立，享有自行审批的好处	特定情形下强制设立（第37条）	为减轻DPIA负担进行战略性登记
数据泄露通报	“尽快”	严格的72小时期限	制定≤5个工作日的应对手册
处理活动记录	仅限250+名员工或高风险处理	所有控制者和处理者（有豁免）	在瑞士为中小企业减负，在欧盟为强制
数据可携带	nFADP第28条 — 2023年新增	GDPR第20条 — 自2018年起	实践中几乎相同
画像分析/自动化决策	第21条 + 告知义务	GDPR第22条	等效 — 可使用单一工作流
跨境	联邦委员会充分性名单 + 瑞士SCC	欧盟委员会充分性决定 + 欧盟SCC	沿用欧盟SCC并附加瑞士附件
保护范围	仅限自然人（已取消法人实体）	仅限自然人	2023年修订后已一致
监管机构	EDÖB（联邦）+ 各州数据保护机构	各国数据保护机构 + EDPB	瑞士只有单一入口

如何解读本表： nFADP与GDPR如今在实质上已大体一致，但五项瑞士特色——个人刑事责任、更宽松的Cookie制度、自愿设立的DPO、灵活的泄露通报期限、处理活动记录方面对中小企业的减负——带来了不同的运营决策。对于同时服务欧盟客户的瑞士电商网站，最佳做法是 在每个维度上按两种标准中较高者进行建设，以确保通过单一工作流同时满足两种制度。

“一次建设，双重合规”方案

• 隐私政策 ——DE/FR/IT/EN，同时引用nFADP和GDPR，同时提及EDÖB和欧盟牵头数据保护机构
• Cookie横幅 ——采用GDPR事先选择加入的CMP；自然也覆盖瑞士要求
• DSAR工作流 ——瑞士30天期限（与GDPR第12条一致）+ 瑞士更广泛的答复内容
• 泄露应对 ——采用GDPR的72小时期限；满足瑞士“尽快”的要求
• 处理活动记录 ——无论是否享有中小企业减负都予以维护
• 跨境 ——附瑞士附件的欧盟SCC可覆盖两个司法管辖区
• DPO / Datenschutzberater ——在EDÖB登记以获得DPIA自行审批资格

如何落实nFADP合规 — 2026年分步指南

1. 梳理您的个人数据流（决策树）

• 客户账户 + 订单历史 → 身份识别 + 联系方式 + 行为数据
• 支付处理 → 敏感财务数据，根据第5条需特别注意
• 营销 + 再营销 → 画像分析、跨设备跟踪，通常基于同意
• 支持 + 客服 → 自由文本字段可能包含敏感信息
• 物流 + 配送 → 与InPost / Swiss Post / DPD / DHL共享的联系数据
• 分析 → IP、设备、行为数据；检查是否进行IP匿名化

2. 决定是否设立瑞士代表（仅限外国控制者）

如果您的公司未在瑞士设立，但大规模或以高风险方式处理瑞士居民的个人数据，nFADP第14条要求任命一名瑞士代表。有三种合法选择：

• 瑞士子公司或分支机构 ——如果您已有瑞士法律实体，这是最快的方式
• 由外部律师事务所或合规专家担任代表 ——中小企业的常见做法
• 专业的代表即服务提供商 ——按月收取固定费用，包括与EDÖB的联络

3. 任命并登记Datenschutzberater

无论是内部还是外部顾问，在EDÖB登记都能获得DPIA自行审批资格，这是杠杆效应最高的一项合规步骤。登记免费，只需几天。

4. 制定隐私政策 + Cookie CMP

• 生成DE/FR/IT/EN版本的符合瑞士要求的隐私政策
• 实施CMP，对营销Cookie采用GDPR式的事先选择加入，并按供应商细化
• 记录Cookie登记册——供应商、目的、保存期限、法律依据
• 在每个页面的页脚、Cookie横幅和注册表单中提供链接

5. 建立DSAR工作流

• 公布DSAR联系渠道（电子邮箱 + 表单）、身份验证、30天SLA
• 自动导出订单 + 购物车 + 浏览 + 营销 + 客服等各方面的数据
• 使用DE/FR/IT/EN版本、符合EDÖB要求的答复模板

6. 记录处理活动 + DPIA

即使处理活动记录属于自愿性质（员工少于250名、无高风险处理），维护这些记录也是刑事诉讼中证明尽职调查的最佳证据。DPIA同理：记录剩余风险、缓解措施和顾问意见。

7. 制定数据泄露事件应对手册

• 定义检测触发条件（安全警报、客户投诉、处理者通知）
• 设定24小时分级处理和5个工作日内向EDÖB通报的期限
• 预先填好可提前填写的EDÖB表单字段（控制者身份、联系方式）

8. 配置跨境传输登记册

列出每个处理者及其设立国家。针对不具备充分性认定的目的地，附上瑞士SCC + 传输影响评估。联邦委员会更新充分性名单时自动重新评估。

9. 通过Zunapro连接（10分钟完成合规设置）

1. 登录Zunapro 并打开瑞士模块
2. 启用nFADP合规套件 ——隐私政策生成器、CMP、DSAR门户、泄露应对手册、处理活动记录、跨境登记册
3. 登记您的Datenschutzberater ——Zunapro可预先填写EDÖB登记表
4. 连接您的瑞士电商平台 ——Galaxus、Digitec、Brack、Ricardo——并让客户数据经由合规套件流转
5. 正式上线 ——首个合规基线大约10分钟完成；持续监控在后台运行

2026年瑞士nFADP / DSG常见问题