Compliance٢٣ مايو ٢٠٢٦ | FlexyConsent

قانون حماية البيانات الفيدرالي المُعدَّل في سويسرا لعام 2026: دليل الناشرين والمعلنين حول موافقة ملفات تعريف الارتباط وتطبيق FDPIC وتدفقات البيانات السويسرية الأوروبية

يُعدّ قانون حماية البيانات الفيدرالي السويسري المُعدَّل — المعروف بـ revFADP، ويُسمّى أحياناً nFADP في المواد الفرنسية والألمانية — قد دخل حيّز التنفيذ في 1 سبتمبر 2023 دون فترة السماح المتعددة السنوات التي منحتها الولايات القضائية الأخرى، وقد أمضى الأشهر الثمانية عشر الأولى في مرحلة وصفها مفوّض حماية البيانات والمعلومات الفيدرالي (FDPIC) علناً بـفترة المراقبة. تلك الفترة قد انتهت. طوال عام 2025، فتح FDPIC مجموعةً واضحةً من التحقيقات الرسمية ضد وحدات التحكم السويسرية والأجنبية، وأصدر قراراته المنشورة الأولى بموجب القانون المُعدَّل، وضَبَط توجيهاته التشغيلية مع GDPR في معظم الجوانب مع الإبقاء على المواقف السويسرية المميَّزة في مسائل بعينها — لا سيّما عمليات نقل البيانات العابرة للحدود إلى الولايات المتحدة، ودور الموافقة على ملفات تعريف الارتباط غير الضرورية، والمسؤولية الجنائية التي تقف إلى جانب النظام الإداري. ومع مطلع عام 2026، لم يعد revFADP شقيقاً هادئاً لـ GDPR يمكن للناشرين التعامل معه بوصفه هامشاً ضئيلاً على برنامجهم الأوروبي. فبالنسبة لأيّ ناشر أو معلن أو منصة تعالج البيانات الشخصية للأفراد في سويسرا — سواء كانت مقرّها في سويسرا أو تخدم حركة المرور السويسرية من الخارج — فإن عام 2026 هو العام الذي يصبح فيه revFADP التزاماً امتثالياً مستقلاً يحتاج إلى تدقيق خاص به. يُرشدك هذا الدليل عبر revFADP كما هو في 2026، وما تستلزمه موافقة ملفات تعريف الارتباط بموجب القانون السويسري، وكيفية عمل عمليات نقل البيانات العابرة للحدود بعد إعادة التوافق على الملاءمة في عام 2024، وما تكشفه موضوعات تطبيق FDPIC المبكرة حول أولويات عام 2026.

هيكل revFADP في عام 2026

حلّ revFADP محل نظام حماية البيانات السويسري لعام 1992 بإطار عمل يتتبّع GDPR عن كثب في معظم الجوانب التشغيلية مع الإبقاء على عدد من المواقف السويسرية المميَّزة. تُكمّل المرسوم المُعدَّل بشأن حماية البيانات (rev-OPDP) ومرسوم شهادات حماية البيانات، كلاهما سارٍ إلى جانب revFADP، التفاصيل التشغيلية.

ما الذي غيّره التعديل

أدخل التعديل: الإخطار الإلزامي بالخروقات إلى FDPIC، واشتراط سجلّ المعالجة لمعظم وحدات التحكم، وتقييمات أثر حماية البيانات للمعالجة عالية المخاطر، ونطاقاً ذا طابع إقليمي خارجي حقيقي مماثل للمادة 3(2) من GDPR، وتعزيزاً لحقوق موضوعات البيانات، وضماناً للمسؤولية الجنائية المطبَّقة على الأفراد لا المنظمة المسيطرة فحسب. تعريف البيانات الشخصية وأسس المعالجة المشروعة وهيكل حقوق موضوعات البيانات جميعها متوافقة مع GDPR بشكل وثيق، مما يُبسّط الامتثال السويسري للناشرين الذين يديرون برنامج GDPR بالفعل — لكن لا يُلغيه.

من يخضع للتنظيم

ينطبق revFADP على معالجة البيانات في سويسرا وعلى المعالجة خارج سويسرا التي تؤثر على الأفراد في سويسرا. الناشرون الأجانب الذين يخدمون حركة المرور السويسرية عبر مواقع محليّة أو نطاق .ch أو محتوى بالألمانية والفرنسية والإيطالية والرومانشية مُهيَّأ لجمهور سويسري، أو المخزون الإعلاني البرمجي المشترى مقابل عناوين IP السويسرية، فهم عادةً ضمن نطاق التطبيق، وقد أكّد FDPIC هذه القراءة الإقليمية الخارجية في تحديثات التوجيه لعام 2025.

الغرامات الإدارية والضمان الجنائي

إن أبرز ما يُميّز revFADP عن GDPR هو أن هيكل عقوباته جنائي في المقام الأول لا إداري. قد تصل الغرامات الفردية — المُوجَّهة عادةً إلى الأشخاص الطبيعيين المسؤولين كالمديرين ومسؤولي حماية البيانات وقادة الامتثال — إلى 250,000 فرنك سويسري (CHF) لكل انتهاك مقصود، مع مسؤولية جنائية موازية للسلوكيات الأشد خطورة. الحدّ الأقصى الإجمالي أدنى من سقف أربعة بالمئة من دوران GDPR من حيث القيمة المطلقة، لكن توجيه المسؤولية نحو الفرد المُسمّى لا المنظمة فحسب يُغيّر حسابات المخاطر عملياً. أعاد عدد من الناشرين هيكلة سير عمل الموافقة الداخلية في 2025 تحديداً لتوزيع التعرّض للمسؤولية.

ما الذي يُعدّ بيانات شخصية بموجب revFADP

يتتبّع تعريف revFADP للبيانات الشخصية GDPR عن كثب. البيانات الشخصية هي المعلومات المتعلقة بشخص محدد الهوية أو قابل للتعرّف عليها، وقد تعامل FDPIC باستمرار مع ملفات تعريف الارتباط ومعرّفات الإعلانات وعناوين IP وبصمات الأجهزة والملفات الشخصية السلوكية بوصفها بيانات شخصية عندما يمكن ربطها بفرد مباشرةً أو بالدمج مع معلومات أخرى.

البيانات الشخصية الحساسة بشكل خاص

يُحدّد revFADP فئةً تُسمّى البيانات الشخصية الحساسة بشكل خاص وهي أوسع نطاقاً قليلاً من الفئات الخاصة في GDPR. وتشمل: البيانات المتعلقة بالآراء والأنشطة الدينية والفلسفية والسياسية ونقابات العمال، والبيانات الصحية، وبيانات المجال الحميم أو الأصل العرقي أو الإثني، والبيانات الجينية والبيومترية التي تُعرّف شخصاً بشكل فريد، وبيانات الإجراءات والعقوبات الإدارية والجنائية، وبيانات تدابير المساعدة الاجتماعية. تستلزم معالجة البيانات الحساسة بشكل خاص متطلبات موافقة وشفافية متصاعدة.

لماذا يهمّ هذا بالنسبة لملفات تعريف الارتباط

ملف تعريف الارتباط الذي يخزّن معرّفاً إعلانياً روتينياً هو بيانات شخصية عادية. أما ملف تعريف الارتباط الذي يُغذّي شريحة جمهور تمسّ القائمة الحساسة بشكل خاص — الاهتمامات الصحية والميول السياسية والانتماء الديني — فهو معالجة بيانات شخصية حساسة بشكل خاص ويستلزم موافقة صريحة منفصلة عن تدفق الموافقة الإعلانية العامة. يجب مراجعة استهداف الجمهور باللغة السويسرية الذي يتداخل مع هذه القائمة تحديداً مقابل الحدّ الفاصل المرسوم بشكل مختلف قليلاً عن خط الفئات الخاصة في GDPR.

موافقة ملفات تعريف الارتباط بموجب revFADP في عام 2026

يُتيح revFADP عدة أسس مشروعة للمعالجة، وخلافاً لتوجيه ePrivacy المطبَّق في الدول الأعضاء بالاتحاد الأوروبي، لا يفرض القانون السويسري خطاً أساسياً قانونياً للموافقة فقط على ملفات تعريف الارتباط غير الضرورية. غير أن توجيهات FDPIC لعامَي 2024 و2025 وأحدث قرارات التطبيق قد تقاربت عملياً نحو موقف يقترب جداً من الخط الأساسي الأوروبي لملفات تعريف الارتباط المرتبطة بالإعلان والتحليلات والتنميط السياقي المتقاطع.

الموقف التشغيلي لـ FDPIC

الموقف المنشور لـ FDPIC هو أن ملفات تعريف الارتباط غير الضرورية — بما فيها الإعلانات وإعادة الاستهداف والتحليلات عبر المواقع والتخصيص — تستلزم موافقةً مسبقةً ومُستنيرةً وحرّةً ومحدّدةً تُؤخذ قبل تنشيط ملف تعريف الارتباط. يمكن تعيين ملفات تعريف الارتباط الضرورية تماماً والملفات التي تدعم خدمةً طلبها المستخدم صراحةً على أساس المصلحة المشروعة أو أساس تنفيذ العقد دون موجب موافقة مسبقة، لكن عبء تصنيف ملف تعريف الارتباط بوصفه ضرورياً تماماً يقع على عاتق وحدة التحكم وقد طُعن فيه في عدة شكاوى في عام 2025.

عناصر الموافقة الصحيحة

يجب أن تكون الموافقة بموجب revFADP:

كيف يبدو CMP المتوافق لحركة المرور السويسرية

يجب أن يقدّم CMP المُهيَّأ لسويسرا في عام 2026:

سجلات الموافقة

يجب على وحدات التحكم الاحتفاظ بأدلة على الموافقة — من وافق ومتى وعلى أي أغراض محدّدة وعبر أي واجهة. برزت سجلات الموافقة غير الكافية في عدة رسائل تحقيق من FDPIC في عام 2025، والسجلات القابلة للتصدير ذات الطوابع الزمنية المحتفَظ بها لفترة نظام التقادم المعمول بها هي التوقع الأساسي.

نقل البيانات عبر الحدود بعد إعادة التوافق على الملاءمة في عام 2024

نقل البيانات عبر الحدود هو المجال في revFADP الذي ينحرف فيه الموقف السويسري بشكل أوضح عن، ويتأخر قليلاً عن، الموقف الأوروبي. أفرز إعادة التوافق في 2024 التي أعقبت تبنّي الاتحاد الأوروبي لإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة إطار خصوصية بيانات سويسري-أمريكي موازياً، لكن نطاقه وشروطه ليسا متطابقَين.

آليات النقل المعترَف بها

يعترف revFADP وrev-OPDP بعدة مسارات:

إطار خصوصية البيانات السويسري-الأمريكي عملياً

يغطّي إطار DPF السويسري-الأمريكي عمليات النقل إلى المنظمات الأمريكية التي اعتمدت ذاتياً وحافظت على اعتمادها. ينبغي للناشرين التحقق من حالة الاعتماد النشط لكل مورّد إعلاني أو تحليلي أمريكي على قائمة DPF بدلاً من الاعتماد على فحص لمرة واحدة، لأن الاعتمادات المنتهية لا تُلغي بأثر رجعي عمليات النقل السابقة لكنها تستلزم معالجةً فوريةً للتدفقات المستمرة. حيثما لا يكون المورّد معتمداً بموجب DPF، تبقى البنود الأوروبية مع الملحق السويسري لـ FDPIC البديلَ العملي.

النهج العملي لعام 2026

بالنسبة لمعظم الناشرين، النهج العملي هو رسم خريطة لكل تدفق بيانات عابر للحدود من حركة المرور السويسرية إلى بلد وجهته وآليته، وتنفيذ البنود الملائمة مع الملحق السويسري حيثما لا يغطّي اعتماد DPF المورّد، وتوثيق الآلية في إشعار الخصوصية باللغة السويسرية، والتكميل بإذن قائم على الموافقة فقط حيث لا تتناسب الآليات المنظَّمة بشكل نظيف مع المعالجة.

حقوق موضوعات البيانات بموجب revFADP

يمنح revFADP مجموعةً من الحقوق تتتبّع GDPR عن كثب مع بعض الملامح السويسرية الخاصة:

جداول زمنية للردود

يجب على وحدات التحكم الردّ على طلبات موضوعات البيانات في غضون 30 يوماً بموجب الإطار العام، قابلة للتمديد بإشعار مُسبَّب في الحالات المعقّدة. الاستعداد التشغيلي لهذه النافذة — مع أدوات وكتيّبات تشغيل باللغة السويسرية بالألمانية والفرنسية والإيطالية — هو ثغرة شائعة للناشرين الأجانب الذين ضبطوا برنامجهم على لغة أوروبية واحدة.

العقوبات وموقف التطبيق في عام 2026

تصاعد نشاط تطبيق FDPIC بشكل ملحوظ طوال 2024 و2025، وعام 2026 يواصل هذا المسار لا يُسوّيه.

هيكل الغرامات

الغرامات ذات طابع جنائي في المقام الأول وموجَّهة إلى أفراد مُسمَّيْن — المديرون ومسؤولو حماية البيانات (DPOs) وقادة الامتثال — بحدّ أقصى 250,000 فرنك سويسري (CHF) لكل انتهاك مقصود. أكثر الفئات المستشهد بها في تطبيق 2025 كانت: معلومات غير كافية لموضوعات البيانات، وإخلال بواجب العناية في عمليات النقل عبر الحدود، والإخفاق في الوفاء بواجب إخطار FDPIC بالخروقات في الإطار الزمني المطلوب، وعدم الامتثال لقرارات FDPIC أو أوامره.

الضمان الجنائي

خلافاً لـ GDPR، يسري مسار المسؤولية الجنائية في revFADP على الشخص الطبيعي المسؤول لا الكيان القانوني فحسب، مما دفع إلى إعادة هيكلة داخلية جوهرية لسير عمل الموافقة في 2025. الأثر العملي هو أن شهادات الامتثال وسلاسل التدقيق لا تهمّ تعرُّض المنظمة فحسب بل تعرُّض الفرد أيضاً — وقد عدّل مسؤولو حماية البيانات (DPOs) تحديداً ممارسة التوثيق لتعكس ذلك.

موضوعات التطبيق

تتمحور إجراءات FDPIC في 2025 ومطلع 2026 حول: لافتات ملفات تعريف الارتباط التي تُقلّل من بروز إجراء الرفض أو تستخدم مربعات مُحدَّدة مسبقاً، وإشعارات الخصوصية غير المتاحة بلغة المستخدم الوطنية السويسرية، وعمليات النقل عبر الحدود إلى موردي الولايات المتحدة غير المعتمدين بموجب DPF ويفتقرون إلى آلية بديلة، والإخفاق في الردّ على طلبات موضوعات البيانات خلال 30 يوماً، وإشعارات الخروقات المتأخرة أو المفقودة. استُشهد بالناشرين الأجانب في جميع الفئات الخمس، مع تصدّر فئتَي تصميم اللافتات والنقل عبر الحدود لقائمة الدعاوى.

قائمة التدقيق للحركة السويسرية في عام 2026

التوقعات لعام 2026

تطوَّر نظام حماية البيانات السويسري من قانون قديم محترَم لكن هادئ إلى أداة عمل تمتلك التحديد التشغيلي والقدرة التطبيقية وبنية المسؤولية الجنائية لتشكيل أولويات الامتثال باستقلالية بدلاً من مجرد الارتكاز على البرنامج الأوروبي. أغلق إعادة التوافق على الملاءمة في 2024 الفجوة البنيوية الأكثر أهمية حول عمليات نقل البيانات إلى الولايات المتحدة، وموقف تطبيق FDPIC المتصاعد في 2025 يتسق مع جهاز تنظيمي يتوسّع بشكل مستدام لا يُدير حملةً آنية. بالنسبة للناشرين الذين يديرون بالفعل حزمة موافقة بمستوى GDPR، الفجوة إلى الامتثال مع revFADP أضيق من الفجوة مع أي ولاية قضائية أخرى خارج الاتحاد الأوروبي — لكنها حقيقية، وتكمن في التفاصيل: لافتات وإشعارات باللغة السويسرية، ورسم خريطة DPF مقابل SCC لكل مورّد أمريكي، والخط المختلف قليلاً لفئة الحساسية الخاصة، وإيقاع الردّ خلال 30 يوماً عبر ثلاث أو أربع لغات، وبنية المسؤولية الجنائية التي تجعل توثيق موافقة الفرد أداةً امتثاليةً من الدرجة الأولى لا مجرد نظيف محبَّذ. يمكن سدّ الفجوة في أسابيع إذا أُولِيت الأولوية، ومستويات CPM السويسرية للناشرين تجعل تحديد الأولوية اقتصادياً مباشراً. الناشرون الذين تعاملوا بهدوء مع سويسرا بوصفها تمريراً لـ GDPR طوال 2024 يجدون 2026 أكثر تطلُّباً بشكل ملحوظ، والاتجاه واضح.

← المدونة قراءة الكل →