Compliance2026年5月23号 | FlexyConsent

2026年瑞士修订FADP：发布商与广告主关于Cookie同意、FDPIC执法及瑞-欧数据流动个指南

瑞士修订版《联邦数据保护法》——即revFADP，法语和德语材料里有辰光叫做nFADP——辰光在2023年9月1号正式生效，覅有给其他司法管辖区所提供个多年宽限期，头十八个月处于联邦数据保护与信息专员（FDPIC）公开描述个观察期阶段。该阶段已经结束。2025年，FDPIC针对瑞士及境外数据控制方开启了一系列正式调查，在修订版法律下发布了首批公开决定，并在大部分方面与GDPR个操作指引保持一致，同时保留了若干具有瑞士特色个立场——尤其是跨境向美国传输数据、非必要Cookie个同意角色，以及与行政体系并行个刑事责任兜底机制。进入2026年，revFADP再也覅是发布商可以当做其欧盟合规项目中无足轻重个附属品个GDPR"安静阿兄"了。任何在处理瑞士境内个人数据个发布商、广告主或平台——无论是在瑞士境内还是从境外服务瑞士流量——2026年都将面临revFADP作为独立合规义务个要求，需要开展独立审计。本指南全面梳理2026年revFADP个现状、瑞士法律下Cookie同意个实际要求、2024年充分性认定调整后跨境数据传输个运作方式，以及FDPIC早期执法主题所揭示个2026年优先事项。

2026年revFADP个结构

revFADP用一个在大部分操作层面与GDPR高度一致个框架替代了瑞士1992年个数据保护制度，同时保留了若干独具瑞士特色个立场。与revFADP同步生效个修订版《数据保护条例》（rev-OPDP）及《数据保护认证条例》填补了操作细节。

修订了啥

本次修订引入了：向FDPIC强制报告数据泄露、大部分控制方个处理记录要求、高风险处理个数据保护影响评估、类似GDPR第3条第2款个真正域外适用范围、强化个数据主体权利，以及针对自然人而非仅仅针对控制组织个刑事责任兜底机制。个人数据个定义、合法处理个依据以及数据主体权利个结构均与GDPR高度一致，这在实质上简化了已经运行GDPR合规项目个发布商个瑞士合规工作——但并不消除该义务。

监管对象

revFADP适用于在瑞士境内个数据处理，以及在瑞士境外但影响瑞士境内个人个数据处理。通过本地化网站、.ch域名、面向瑞士受众个德法意罗曼什语内容或针对瑞士IP买程序化广告库存向瑞士流量提供服务个境外发布商通常在监管范围之内，FDPIC已在其2025年指引更新中确认了域外适用个解读。

行政罚款与刑事责任兜底

revFADP与GDPR最受关注个区别在于其制裁体系主要是刑事性质而非行政性质。针对个人个罚款——通常指向董事、数据保护官或合规负责人等责任自然人——对于故意违规行为每次最高可达CHF 250,000，对最严重个行为还附有平行刑事责任。最高上限在绝对金额上低于GDPR个年营业额四个百分点上限，但责任指向——针对具名个人而非仅仅针对组织——在实践中改变了风险计算方式。2025年已有数家发布商专门重构内部签批流程来分散风险敞口。

revFADP下个人数据个界定

revFADP个个人数据定义与GDPR高度一致。个人数据是指与已识别或可识别个人相关个信息，FDPIC一贯将Cookie、广告标识符、IP地址、设备指纹和行为画像视为个人数据——当其能够直接或与其他信息结合识别到某一个人个辰光。

特别敏感个人数据

revFADP设立了一个称为特别敏感个人数据个类别，其范围略广于GDPR个特殊类别。包括：宗教、哲学、政治或工会观点及活动个数据、健康数据、私密领域或种族或民族来源个数据、唯一标识个人个遗传和生物特征数据、行政和刑事程序或制裁相关数据，以及社会救助措施相关数据。处理特别敏感个人数据须满足更高个同意和透明度要求。

为啥与Cookie有关系

存储常规广告标识符个Cookie属于普通个人数据。而向涉及特别敏感类别（健康兴趣、政治倾向、宗教信仰）个受众细分提供数据个Cookie，则属于特别敏感个人数据处理，需要独立于一般广告同意流程之外个明确同意。与上述清单存在交叉个瑞士语言受众定向，应专门针对该边界进行审计，其划定方式与GDPR特殊类别略有不同。

2026年revFADP下个Cookie同意

revFADP允许多种合法处理依据，与在欧盟成员国适用个ePrivacy指令不同，瑞士法律并未对非必要Cookie强制规定仅限同意个基线要求。然而在实践中，FDPIC 2024年和2025年个指引及最新执法决定已就广告、分析及跨场景画像相关Cookie个立场与欧盟基线高度趋同。

FDPIC个操作立场

FDPIC个公开立场是：非必要Cookie——包括广告、再营销、跨站分析和个性化——须在Cookie触发前获得事先的、知情的、自由给予的且具体个同意。严格必要个Cookie以及支持用户明确请求服务个Cookie可基于合法利益或合同履行依据设置，覅需要事先同意提示，但将Cookie归类为严格必要个举证责任由控制方承担，且已在2025年几桩投诉中受到质疑。

有效同意个要素

revFADP下个同意须满足：

面向瑞士流量个合规CMP应该是啥样子

2026年为瑞士配置个CMP应该呈现：

同意记录

控制方须保存同意证据——谁同意了、啥辰光同意、针对哪些具体目的、通过啥界面。2025年FDPIC个数封调查函中提及了同意记录不充分个问题，在适用诉讼时效期间内保存个带时间戳可导出日志是最低合规预期。

2024年充分性认定调整后个跨境数据传输

跨境数据传输是revFADP中瑞士立场最明显偏离欧盟立场（且略有滞后）个领域。欧盟采用EU-US Data Privacy Framework后，2024年个调整产生了平行个Swiss-US Data Privacy Framework，但其范围和条件并不完全一样。

认可个传输机制

revFADP和rev-OPDP认可以下几种途径：

Swiss-US DPF个实践

Swiss-US DPF覆盖已完成自我认证并维持认证状态个美国组织个传输。发布商应在DPF名单上核实每家美国广告技术或分析供应商个有效认证状态，而非依赖一次性核查，因为认证失效覅会追溯性地使此前个传输无效，但会要求立即对持续流量进行整改。若某供应商未获DPF认证，附有FDPIC瑞士附录个EU SCCs仍是有效替代方案。

2026年实用方法

对大部分发布商来讲，实用方法是将来自瑞士流量个每个跨境数据流映射至其目的地国家和传输机制，在DPF认证未能覆盖该供应商个情形下签署附瑞士附录个相应SCCs，在瑞士语言隐私声明中记录该机制，并仅在结构化机制无法完全适用于该处理个辰光才以基于同意个授权作为补充。

revFADP下个数据主体权利

revFADP赋予一系列与GDPR高度一致个权利，并附有若干瑞士特色：

响应时限

在一般框架下，控制方须在30天内回应数据主体请求，复杂情形可通过有理由说明个通知延期。具备这一时间窗口个操作准备——包括覆盖德语、法语和意大利语个瑞士语言工具和操作手册——是境外发布商在将项目调整至单一欧洲语言辰光常见个缺口。

2026年个处罚与执法态势

FDPIC个执法活动在2024年和2025年显著升级，2026年延续这一态势而非趋于平稳。

罚款结构

罚款主要是刑事性质，指向具名个人——董事、DPOs、合规负责人——每次故意违规上限为CHF 250,000。2025年执法中最常被引用个类别为：向数据主体提供个信息不充分、跨境传输尽职义务违反、未在规定时间窗口内向FDPIC履行数据泄露通知义务，以及不合规于FDPIC个决定或命令。

刑事责任兜底

与GDPR不同，revFADP个刑事责任路径针对个是负责任个自然人而非仅仅针对法人实体，这促使2025年大量内部签批流程进行了重大重构。实际效果是合规证明和审计追踪不仅关乎组织个风险敞口，也关乎个人个风险敞口——尤其是DPO，其文件记录实践已相应调整以反映这一点。

执法主题

FDPIC 2025年及2026年初个执法行动主要集中于：弱化拒绝操作或使用预勾选框个Cookie横幅、隐私声明未以用户瑞士国家语言提供、向未获DPF认证且缺乏替代机制个美国供应商进行跨境传输、未在30天时间窗口内回应数据主体请求，以及迟报或漏报数据泄露。境外发布商在上述五个类别中均有被引用个案例，以横幅设计和跨境传输类别处于处理案件前列。

2026年瑞士流量审计清单

2026年展望

瑞士数据保护制度已从受人尊重但相对安静个旧法律文书，演变为具备操作专属性、执法能力和刑事责任体系个工作工具，足以独立塑造合规优先事项，而不仅仅依附于欧盟项目。2024年充分性认定调整消除了美国数据传输方面最重要个结构性缺口，FDPIC 2025年不断升级个执法态势与监管机构持续扩能个方式相符，而非一次性运动。对于已运行GDPR级别同意堆栈个发布商来讲，与revFADP合规个差距小于与任何其他非欧盟司法管辖区个差距——但差距确实存在，且存在于具体细节中：瑞士语言横幅和声明、针对每家美国供应商个DPF与SCC映射、特别敏感类别略有不同个边界线、跨三四种语言个30天响应节奏，以及使个人签批文件从锦上添花变为一流合规文物个刑事责任体系。若优先处理，这一差距可在几个礼拜内弥合，而瑞士发布商CPM水平使得优先处理在经济上合情合理。那些在2024年前悄然将瑞士视为GDPR直通区个发布商，正发现2026年个要求明显更高，且趋势清晰。

← 博客 阅读全部 →