Cấu trúc của revFADP năm 2026

revFADP đã thay thế chế độ bảo vệ dữ liệu năm 1992 của Thụy Sĩ bằng một khuôn khổ theo dõi sát GDPR về hầu hết các khía cạnh hoạt động trong khi duy trì một số lập trường riêng biệt của Thụy Sĩ. Nghị định Bảo vệ Dữ liệu sửa đổi (rev-OPDP) và Nghị định về Chứng nhận Bảo vệ Dữ liệu, cả hai đều có hiệu lực cùng với revFADP, điền vào các chi tiết hoạt động.

Những gì Sửa đổi đã Thay đổi

Sửa đổi đã giới thiệu: thông báo vi phạm bắt buộc cho FDPIC, yêu cầu hồ sơ xử lý đối với hầu hết các nhà kiểm soát, đánh giá tác động bảo vệ dữ liệu cho việc xử lý rủi ro cao, phạm vi ngoài lãnh thổ thực sự tương tự như Điều 3(2) của GDPR, tăng cường quyền của chủ thể dữ liệu, và một biện pháp bảo lưu trách nhiệm hình sự áp dụng cho các cá nhân chứ không chỉ là tổ chức kiểm soát. Định nghĩa về dữ liệu cá nhân, các căn cứ xử lý hợp pháp, và cấu trúc quyền của chủ thể dữ liệu đều được điều chỉnh chặt chẽ với GDPR, điều này về mặt vật chất đơn giản hóa tuân thủ Thụy Sĩ cho các nhà xuất bản đã chạy chương trình GDPR — nhưng không loại bỏ nó.

Ai Bị Điều chỉnh

revFADP áp dụng cho việc xử lý dữ liệu ở Thụy Sĩ và việc xử lý bên ngoài Thụy Sĩ ảnh hưởng đến các cá nhân ở Thụy Sĩ. Các nhà xuất bản nước ngoài phục vụ lưu lượng Thụy Sĩ qua các trang web được bản địa hóa, tên miền .ch, nội dung tiếng Đức-Pháp-Ý-Romansh được điều chỉnh cho khán giả Thụy Sĩ, hoặc kho lưu trữ chương trình được mua so với IP Thụy Sĩ thường nằm trong phạm vi, và FDPIC đã xác nhận cách đọc ngoài lãnh thổ trong các bản cập nhật hướng dẫn năm 2025.

Phạt Hành chính và Biện pháp Bảo lưu Hình sự

Sự khác biệt được thảo luận nhiều nhất của revFADP so với GDPR là kiến trúc trừng phạt của nó chủ yếu là hình sự hơn là hành chính. Tiền phạt cá nhân — thường đối với các thể nhân có trách nhiệm như giám đốc, nhân viên bảo vệ dữ liệu hoặc lãnh đạo tuân thủ — có thể lên đến 250.000 CHF mỗi vi phạm đối với các vi phạm cố ý, với trách nhiệm hình sự song song đối với hành vi nghiêm trọng nhất. Mức trần chính thấp hơn mức trần bốn phần trăm doanh thu của GDPR về mặt tuyệt đối, nhưng hướng trách nhiệm — đối với cá nhân được nêu tên thay vì chỉ là tổ chức — thay đổi tính toán rủi ro trên thực tế. Một số nhà xuất bản đã tái cơ cấu quy trình phê duyệt nội bộ vào năm 2025 đặc biệt để phân phối rủi ro.

Những gì được Tính là Dữ liệu Cá nhân theo revFADP

Định nghĩa dữ liệu cá nhân của revFADP theo dõi sát GDPR. Dữ liệu cá nhân là thông tin liên quan đến một người được xác định hoặc có thể xác định, và FDPIC đã nhất quán coi cookie, mã định danh quảng cáo, địa chỉ IP, dấu vân tay thiết bị và hồ sơ hành vi là dữ liệu cá nhân khi chúng có thể được gắn với một cá nhân trực tiếp hoặc bằng cách kết hợp với thông tin khác.

Dữ liệu Cá nhân Đặc biệt Nhạy cảm

revFADP chỉ định một danh mục được gọi là dữ liệu cá nhân đặc biệt nhạy cảm rộng hơn một chút so với các danh mục đặc biệt của GDPR. Nó bao gồm: dữ liệu về quan điểm và hoạt động tôn giáo, triết học, chính trị hoặc công đoàn, dữ liệu sức khỏe, dữ liệu về lĩnh vực thân mật hoặc nguồn gốc chủng tộc hoặc sắc tộc, dữ liệu di truyền và sinh trắc học xác định duy nhất một người, dữ liệu về các thủ tục và chế tài hành chính và hình sự, và dữ liệu về các biện pháp hỗ trợ xã hội. Xử lý dữ liệu cá nhân đặc biệt nhạy cảm kích hoạt các yêu cầu đồng ý và minh bạch cao hơn.

Tại sao Điều này Quan trọng đối với Cookie

Một cookie lưu trữ mã định danh quảng cáo thông thường là dữ liệu cá nhân thông thường. Một cookie cung cấp dữ liệu cho một phân đoạn đối tượng chạm vào danh sách đặc biệt nhạy cảm — sở thích sức khỏe, khuynh hướng chính trị, liên kết tôn giáo — là xử lý dữ liệu cá nhân đặc biệt nhạy cảm và yêu cầu sự đồng ý rõ ràng, riêng biệt với quy trình đồng ý quảng cáo chung. Nhắm mục tiêu khán giả theo ngôn ngữ Thụy Sĩ trùng lặp với danh sách này nên được kiểm toán riêng đối với ranh giới, được vẽ hơi khác so với ranh giới danh mục đặc biệt của GDPR.

Đồng ý Cookie theo revFADP năm 2026

revFADP cho phép một số căn cứ hợp pháp để xử lý, và không giống như Chỉ thị ePrivacy được áp dụng ở các nước thành viên EU, luật pháp Thụy Sĩ không áp đặt cơ sở chỉ-đồng ý theo luật định cho cookie không cần thiết. Tuy nhiên trên thực tế, hướng dẫn năm 2024 và 2025 của FDPIC và các quyết định thực thi gần đây nhất đã hội tụ về một lập trường rất gần với nền tảng EU đối với cookie liên quan đến quảng cáo, phân tích và hồ sơ hóa đa ngữ cảnh.

Lập trường Hoạt động của FDPIC

Lập trường đã công bố của FDPIC là cookie không cần thiết — bao gồm quảng cáo, nhắm mục tiêu lại, phân tích đa trang và cá nhân hóa — yêu cầu sự đồng ý trước, có thông tin, được cấp tự do và cụ thể, được thu thập trước khi cookie kích hoạt. Cookie hoàn toàn cần thiết và cookie hỗ trợ dịch vụ mà người dùng đã yêu cầu rõ ràng có thể được đặt trên cơ sở lợi ích hợp pháp hoặc cơ sở thực hiện hợp đồng mà không có lời nhắc đồng ý trước, nhưng gánh nặng phân loại cookie là hoàn toàn cần thiết đặt lên nhà kiểm soát và đã bị thách thức trong một số khiếu nại năm 2025.

Các Yếu tố của Đồng ý Hợp lệ

Đồng ý theo revFADP phải là:

• Được cấp tự do — không có sự ép buộc, gộp với việc cung cấp dịch vụ thiết yếu, hoặc tường cookie điều kiện hóa việc truy cập nội dung cốt lõi khi chấp nhận cookie không cần thiết
• Có thông tin — chủ thể dữ liệu hiểu dữ liệu nào được xử lý, bởi ai, cho mục đích gì và với những người nhận nào
• Cụ thể — gắn với các mục đích xử lý được xác định rõ ràng thay vì đồng ý bao quát
• Rõ ràng — được thể hiện qua một hành động khẳng định rõ ràng, không được suy ra từ việc cuộn, duyệt web liên tục, hoặc không hoạt động
• Rõ ràng tường minh trong các trường hợp liên quan đến dữ liệu cá nhân đặc biệt nhạy cảm, với sự đồng ý riêng cho việc xử lý nhạy cảm

CMP Tuân thủ cho Lưu lượng Thụy Sĩ trông như thế nào

CMP được cấu hình cho Thụy Sĩ vào năm 2026 nên trình bày:

• Banner được hiển thị bằng ngôn ngữ của người dùng — tiếng Đức, Pháp, Ý hoặc Romansh — trước khi bất kỳ cookie không cần thiết nào kích hoạt, với lựa chọn ngôn ngữ khớp với bản địa hóa trang .ch thay vì mặc định tiếng Anh
• Độ nổi bật trực quan bằng nhau cho các hành động Chấp nhận, Từ chối và Cài đặt — hướng dẫn năm 2025 của FDPIC chỉ trích rõ ràng các thiết kế banner trong đó Từ chối bị làm mờ về mặt trực quan so với Chấp nhận
• Nút gạt chi tiết theo mục đích: phân tích, quảng cáo, cá nhân hóa, chuyển dữ liệu xuyên biên giới và bất kỳ danh mục đặc biệt nhạy cảm nào
• Quy trình đồng ý riêng biệt cho bất kỳ việc xử lý dữ liệu cá nhân đặc biệt nhạy cảm nào, được đặt sau hành động của chính nó thay vì gộp vào đồng ý chung
• Cơ chế rút lại đồng ý liên tục, dễ tìm sau lựa chọn ban đầu, với độ ma sát tương đương khi đưa ra đồng ý
• Thông báo quyền riêng tư đầy đủ bằng tiếng Thụy Sĩ tiết lộ danh tính nhà kiểm soát, các bộ xử lý, mục đích, người nhận, thời gian lưu giữ, cơ chế chuyển và con đường quyền của chủ thể dữ liệu

Hồ sơ Đồng ý

Các nhà kiểm soát phải duy trì bằng chứng về sự đồng ý — ai đã đồng ý, khi nào, cho những mục đích cụ thể nào và qua giao diện nào. Hồ sơ đồng ý không đầy đủ đã xuất hiện trong một số thư điều tra của FDPIC vào năm 2025, và nhật ký có thể xuất được đánh dấu thời gian được lưu giữ trong thời hạn thời hiệu tố tụng áp dụng là kỳ vọng cơ bản.

Chuyển dữ liệu Xuyên biên giới sau khi Tái điều chỉnh Mức độ Đầy đủ năm 2024

Chuyển dữ liệu xuyên biên giới là lĩnh vực revFADP nơi lập trường Thụy Sĩ khác biệt rõ ràng nhất và hơi chậm hơn so với lập trường EU. Việc tái điều chỉnh năm 2024 sau khi EU thông qua EU-US Data Privacy Framework đã tạo ra một Swiss-US Data Privacy Framework song song, nhưng phạm vi và điều kiện của nó không giống nhau.

Các Cơ chế Chuyển dữ liệu được Công nhận

revFADP và rev-OPDP công nhận một số con đường:

• Các quyết định về mức độ đầy đủ bởi Hội đồng Liên bang Thụy Sĩ đối với các quốc gia được đánh giá là cung cấp bảo vệ đầy đủ — danh sách hiện tại bao gồm EEA, Vương quốc Anh và một số khu vực pháp lý khác
• Swiss-US Data Privacy Framework cho việc chuyển đến các tổ chức Hoa Kỳ tự chứng nhận theo khuôn khổ, thay thế Swiss-US Privacy Shield sau năm 2024
• Điều khoản hợp đồng tiêu chuẩn được FDPIC công nhận, bao gồm EU SCC với phụ lục Thụy Sĩ mà FDPIC đã xuất bản
• Các quy tắc doanh nghiệp ràng buộc được FDPIC phê duyệt
• Các ngoại lệ cụ thể bao gồm sự đồng ý rõ ràng với việc tiết lộ đầy đủ, sự cần thiết của hợp đồng, lợi ích thiết yếu và lợi ích công cộng quan trọng

Swiss-US DPF trên Thực tế

Swiss-US DPF bao gồm việc chuyển đến các tổ chức Hoa Kỳ đã tự chứng nhận và duy trì chứng nhận của họ. Các nhà xuất bản nên xác minh trạng thái chứng nhận hiện hoạt của từng nhà cung cấp công nghệ quảng cáo hoặc phân tích Hoa Kỳ trên danh sách DPF thay vì dựa vào kiểm tra một lần, vì chứng nhận hết hạn không vô hiệu hóa hồi tố các lần chuyển trước nhưng yêu cầu khắc phục ngay lập tức cho các luồng liên tục. Khi nhà cung cấp không được chứng nhận DPF, EU SCC với phụ lục Thụy Sĩ của FDPIC vẫn là giải pháp thay thế hoạt động.

Cách tiếp cận Thực tế năm 2026

Đối với hầu hết các nhà xuất bản, cách tiếp cận hoạt động là lập bản đồ mỗi luồng dữ liệu xuyên biên giới từ lưu lượng Thụy Sĩ đến quốc gia đích và cơ chế của nó, thực hiện các SCC-với-phụ-lục-Thụy-Sĩ phù hợp khi chứng nhận DPF không bao gồm nhà cung cấp, ghi lại cơ chế trong thông báo quyền riêng tư bằng tiếng Thụy Sĩ, và bổ sung bằng ủy quyền dựa trên sự đồng ý chỉ khi các cơ chế có cấu trúc không phù hợp rõ ràng với quá trình xử lý.

Quyền của Chủ thể Dữ liệu theo revFADP

revFADP cấp một tập hợp quyền theo dõi sát GDPR, với một vài điểm đặc trưng của Thụy Sĩ:

• Quyền truy cập vào dữ liệu cá nhân do nhà kiểm soát nắm giữ, với lần truy cập miễn phí đầu tiên mỗi năm và mức trần phục hồi chi phí cho các yêu cầu tiếp theo hoặc quy mô lớn
• Quyền chỉnh sửa dữ liệu không chính xác hoặc không đầy đủ
• Quyền xóa dữ liệu
• Quyền hạn chế xử lý
• Quyền chuyển dữ liệu đối với dữ liệu được xử lý bằng phương tiện tự động dựa trên sự đồng ý hoặc hợp đồng
• Quyền phản đối việc xử lý
• Quyền rút lại sự đồng ý
• Quyền không bị quyết định cá nhân tự động tạo ra các hậu quả pháp lý hoặc có tác động tương tự quan trọng, với biện pháp bảo vệ cho việc xem xét thủ công
• Quyền gửi khiếu nại lên FDPIC hoặc khởi kiện dân sự

Thời hạn Phản hồi

Các nhà kiểm soát phải phản hồi các yêu cầu của chủ thể dữ liệu trong vòng 30 ngày theo khuôn khổ chung, có thể gia hạn bằng thông báo có lý do trong các trường hợp phức tạp. Sự sẵn sàng hoạt động cho cửa sổ này — với công cụ ngôn ngữ Thụy Sĩ và sổ tay vận hành bằng tiếng Đức, Pháp và Ý — là một khoảng cách phổ biến đối với các nhà xuất bản nước ngoài đã điều chỉnh chương trình của họ thành một ngôn ngữ châu Âu duy nhất.

Hình phạt và Thái độ Thực thi năm 2026

Hoạt động thực thi của FDPIC đã leo thang đáng kể trong suốt năm 2024 và 2025, và năm 2026 đang tiếp tục xu hướng đó chứ không phải đạt mức ổn định.

Cơ cấu Phạt tiền

Tiền phạt chủ yếu là hình sự về bản chất và được hướng đến các cá nhân được nêu tên — giám đốc, DPO, lãnh đạo tuân thủ — với mức trần 250.000 CHF mỗi vi phạm cố ý. Các danh mục được trích dẫn thường xuyên nhất trong việc thực thi năm 2025 là: thông tin không đầy đủ cho chủ thể dữ liệu, vi phạm sự cẩn thận cần thiết trong việc chuyển dữ liệu xuyên biên giới, không thực hiện nghĩa vụ thông báo vi phạm dữ liệu cho FDPIC trong thời hạn yêu cầu, và không tuân thủ các quyết định hoặc lệnh của FDPIC.

Biện pháp Bảo lưu Hình sự

Không giống như GDPR, con đường trách nhiệm hình sự của revFADP nhắm vào thể nhân có trách nhiệm chứ không chỉ là pháp nhân, điều này đã thúc đẩy việc tái cơ cấu nội bộ đáng kể của các quy trình phê duyệt vào năm 2025. Tác động thực tế là các chứng nhận tuân thủ và dấu vết kiểm toán quan trọng không chỉ đối với rủi ro của tổ chức mà còn đối với rủi ro của cá nhân — và đặc biệt là các DPO đã điều chỉnh thực hành lập tài liệu để phản ánh điều này.

Chủ đề Thực thi

Các hành động của FDPIC trong năm 2025 và đầu năm 2026 tập trung xung quanh: banner cookie làm mờ hành động Từ chối hoặc sử dụng hộp kiểm tích sẵn, thông báo quyền riêng tư không có sẵn bằng ngôn ngữ quốc gia Thụy Sĩ của người dùng, chuyển dữ liệu xuyên biên giới đến các nhà cung cấp Hoa Kỳ không được chứng nhận DPF và thiếu cơ chế thay thế, không phản hồi các yêu cầu của chủ thể dữ liệu trong cửa sổ 30 ngày, và thông báo vi phạm bị trễ hoặc thiếu. Các nhà xuất bản nước ngoài đã được trích dẫn trong cả năm danh mục, với danh mục thiết kế banner và chuyển dữ liệu xuyên biên giới dẫn đầu danh sách.

Danh sách Kiểm tra Kiểm toán cho Lưu lượng Thụy Sĩ năm 2026

• Banner CMP được hiển thị bằng ngôn ngữ quốc gia Thụy Sĩ của người dùng (DE, FR, IT hoặc RM) với Chấp nhận, Từ chối và Cài đặt có độ nổi bật trực quan bằng nhau
• Mục đích đồng ý chi tiết và đặt việc xử lý đặc biệt nhạy cảm sau quy trình đồng ý riêng của nó
• Thông báo quyền riêng tư có sẵn bằng mỗi ngôn ngữ Thụy Sĩ liên quan với đầy đủ thông tin tiết lộ về nhà kiểm soát, bộ xử lý, mục đích, thời gian lưu giữ, quyền và con đường khiếu nại FDPIC
• Mỗi luồng xuyên biên giới từ lưu lượng Thụy Sĩ được lập bản đồ đến điểm đến và cơ chế của nó — mức độ đầy đủ, chứng nhận Swiss-US DPF, FDPIC-Swiss-addendum SCC, BCR hoặc một ngoại lệ được ghi chép
• Trạng thái chứng nhận DPF của nhà cung cấp Hoa Kỳ được xác minh lại trên danh sách đã xuất bản thay vì được lấy một lần và quên đi
• Nhật ký đồng ý có dấu thời gian, có thể xuất và được lưu giữ trong thời hạn thời hiệu áp dụng
• Quy trình yêu cầu của chủ thể dữ liệu có thể phản hồi trong vòng 30 ngày từ đầu đến cuối, bằng tiếng Đức, Pháp và Ý
• Sổ tay thông báo vi phạm được điều chỉnh theo thời hạn của revFADP và tích hợp với quy trình ứng phó sự cố nội bộ
• Quy trình phê duyệt phản ánh kiến trúc trách nhiệm hình sự ở cấp độ cá nhân, với người phê duyệt được nêu tên và dấu vết tài liệu
• Các phân đoạn đối tượng danh mục đặc biệt nhạy cảm được chặn sau sự đồng ý rõ ràng, được thu thập riêng
• Phân loại cookie đã được xem xét với con mắt phê phán về những cookie nào thực sự đủ điều kiện là hoàn toàn cần thiết theo hướng dẫn của FDPIC

Triển vọng năm 2026

Chế độ bảo vệ dữ liệu của Thụy Sĩ đã trưởng thành từ một quy chế cũ được tôn trọng nhưng yên tĩnh thành một công cụ hoạt động với tính cụ thể trong vận hành, năng lực thực thi và kiến trúc trách nhiệm hình sự để định hình các ưu tiên tuân thủ của chính nó thay vì chỉ đi theo chương trình EU. Việc tái điều chỉnh mức độ đầy đủ năm 2024 đã lấp đầy khoảng trống cấu trúc quan trọng nhất xung quanh việc chuyển dữ liệu sang Hoa Kỳ, và thái độ thực thi ngày càng leo thang của FDPIC vào năm 2025 nhất quán với một cơ quan quản lý mở rộng theo cách bền vững thay vì thực hiện một chiến dịch một lần. Đối với các nhà xuất bản đã chạy bộ đồng ý cấp GDPR, khoảng cách đến sự tuân thủ revFADP hẹp hơn khoảng cách đối với bất kỳ khu vực pháp lý nào khác ngoài EU — nhưng nó có thực, và nó sống trong các chi tiết: banner và thông báo bằng ngôn ngữ Thụy Sĩ, lập bản đồ DPF-so-với-SCC cho từng nhà cung cấp Hoa Kỳ, ranh giới danh mục đặc biệt nhạy cảm được vẽ hơi khác, nhịp điệu phản hồi 30 ngày bằng ba hoặc bốn ngôn ngữ, và kiến trúc trách nhiệm hình sự làm cho tài liệu phê duyệt cá nhân trở thành hiện vật tuân thủ hạng nhất chứ không phải điều tốt để có. Khoảng cách có thể được thu hẹp trong vài tuần nếu được ưu tiên, và CPM của nhà xuất bản Thụy Sĩ làm cho việc ưu tiên trở nên đơn giản về mặt kinh tế. Các nhà xuất bản đã xử lý Thụy Sĩ như một đường truyền qua GDPR trong suốt năm 2024 đang nhận thấy năm 2026 đòi hỏi nhiều hơn đáng kể, và xu hướng đó rõ ràng.