Lainsäädäntö · 7. marraskuuta 2026 · Lukuaika 4 min
Verkkosivuston seuranta Sveitsissä: revDSG ja FMG
Mitä evästeille ja seurannalle pätee Sveitsissä: revDSG 1.9.2023 alkaen, FMG:n 45c artikla, DSG:n 19 artiklan tiedonantovelvollisuus ja milloin GDPR soveltuu lisäksi.
Sveitsissä evästeille ja seurannalle pätee eri malli kuin Saksassa ja Itävallassa. Yleistä suostumusvelvoitetta jokaiselle skriptille ei ole. Sen sijaan on tiedonanto- ja kieltäytymismahdollisuusvelvoitteita. Joissakin tapauksissa suostumus kuitenkin tarvitaan. Tämä artikkeli luokittelee säännöt ja näyttää, milloin sveitsiläisten yritysten on lisäksi noudatettava GDPR:ää.
Kaksi yhdessä vaikuttavaa lakia
Tietosuojalaki (DSG). Kokonaan uudistettu DSG on voimassa 1. syyskuuta 2023 alkaen. Se säätää jokaisesta henkilötietojen käsittelystä, myös evästeillä ja vastaavilla tekniikoilla. Teksti on sivulla Fedlex.
Televiestintälaki (FMG). FMG:n 45c artikla on erityissääntö tallentamiselle vieraille laitteille ja niiltä lukemiselle, ja se on ollut voimassa vuodesta 2007. Liittovaltion tietosuoja- ja julkisuusvaltuutetun (EDÖB) ohjeen mukaan verkkosivuston ylläpitäjien on informoitava kävijöitä tällaisten teknologioiden käytöstä ja tarkoituksesta. Heidän on lisäksi huomautettava, että ja miten kävijät voivat kieltäytyä käsittelystä. Molemmat lait pätevät rinnakkain. FMG:n löydätte sivulta Fedlex.
Mitä se tarkoittaa käytännössä
EDÖB on julkaissut vuonna 2025 ohjeen evästeistä ja vastaavista teknologioista, lokakuussa 2025 tarkistettuna versiona. Se ei ole oikeuslähde, mutta näyttää, miten viranomainen lukee lakeja. Siitä seuraa kolme rakennusosaa.
- Tiedotus. DSG:n 19 artiklan mukaan teidän on informoitava rekisteröityjä henkilötietojen hankinnan yhteydessä. Nimetkää rekisterinpitäjä, tarkoitus ja tarvittaessa vastaanottajat. Missä kolmannet keräävät tietoja sivunne kautta omiin tarkoituksiinsa, sekin on paljastettava.
- Mahdollisuus kieltäytyä. Siltä osin kuin suostumusta ei tarvita, kävijöiden on voitava vastustaa ei-välttämättömien evästeiden käyttöä. Ohje vaatii, että tämä mahdollisuus on selkeästi esillä ja toteutettu hyvän uskon mukaisesti. Lisäksi käytön tulisi siihen asti olla oletusasetuksilla rajattu tarpeelliseen vähimmäismäärään.
- Suostumus tietyissä tapauksissa. EDÖB katsoo suostumuksen tarpeelliseksi esimerkiksi erityisen syvälle menevässä seurannassa, kuten suuririskisessä profiloinnissa. Missä se on tarpeen, sen on oltava nimenomainen.
Etujen punninta on Sveitsin oikeudessa rakennettu eri tavalla kuin GDPR:ssä. DSG ei vaadi yksityisiltä rekisterinpitäjiltä oikeusperustetta jokaiselle käsittelylle. Vain jos käsittely loukkaa persoonallisuutta, tarvitaan oikeuttamisperuste kuten suostumus tai ylivoimainen etu (DSG:n 30 ja 31 artikla).
Sveitsi, Saksa ja Itävalta vertailussa
| Sveitsi | Saksa | Itävalta | |
|---|---|---|---|
| Päätelaitetta koskeva sääntö | FMG:n 45c artikla | § 25 TDDDG | § 165 Abs. 3 TKG 2021 |
| Perusmalli | Tiedotus ja kieltäytymismahdollisuus | Suostumus | Suostumus |
| Suostumus tarpeen? | Vain tietyissä tapauksissa | Lähtökohtaisesti | Lähtökohtaisesti |
| Yleinen tietosuojasääntö | DSG | GDPR | GDPR |
Molempien naapurimaiden säännöt selittävät § 25 TDDDG: evästeet ja seuranta Saksassa ja Evästeet Itävallassa: § 165 TKG 2021 selitettynä.
Milloin EU:n oikeus silti pätee
Sveitsiläinen yritys voi olla myös GDPR:n alainen. GDPR:n 3 artiklan 2 kohta kattaa rekisterinpitäjät, joilla ei ole EU:ssa toimipaikkaa, jos käsittely liittyy siihen,
- että unionissa oleville rekisteröidyille tarjotaan tavaroita tai palveluja, tai
- että seurataan heidän käyttäytymistään, siltä osin kuin se tapahtuu unionissa.
Tätä kutsutaan markkinapaikkaperiaatteeksi. Zürichiläinen verkkokauppa, joka toimittaa kohdennetusti Saksaan tai Itävaltaan, tarjoaa tavaroita unionissa. Pelkkä sveitsiläinen sivusto ilman EU-käyttäjiin suuntausta ei todennäköisesti täytä edellytystä, mutta se on yksittäistapauksen kysymys. Tyypillisiä viitteitä ovat se, kohdistuvatko valuutta, kieli, toimitusmaat ja mainonta EU:hun.
Päteekö sen lisäksi jonkin EU-maan evästesäännöt, riippuu yksittäistapauksesta. Selvittäkää se tietosuojaneuvontanne kanssa, jos tarjontanne kohdistuu tietoisesti EU:hun.
Tarkistuslista sveitsiläisille verkkosivustoille
- Kartoittakaa kaikki sivunne skriptit ja tarkoitukset.
- Informoikaa tietosuojaselosteessa DSG:n 19 artiklan mukaan, myös kolmansista.
- Näyttäkää hyvin näkyvä huomautus, jossa on kieltäytymismahdollisuus.
- Hankkikaa nimenomainen suostumus, jos harjoitatte suuririskistä profilointia.
- Tarkistakaa, suuntaatteko tarjontaa EU:ssa oleville henkilöille. Silloin pätee lisäksi GDPR.
Usein kysyttyä
Enkö tarvitse Sveitsissä evästebanneria? Yleistä velvoitetta suostumusbanneriin ei ole. Teidän on kuitenkin informoitava ja mahdollistettava kieltäytyminen. Se tapahtuu käytännössä usein bannerin kautta. EU:ssa olevilla kohderyhmillä se on joka tapauksessa tavallinen.
Riittääkö pelkkä huomautus ilman kieltäytymisvaihtoehtoa? EDÖB:n ohjeen mukaan ei, jos asetetaan ei-välttämättömiä evästeitä. Huomautuksen on myös selitettävä, miten kävijät voivat kieltäytyä. Miten se tehdään teknisesti, laki ei määrää.
Pätevätkö revDSG yritystietoihin? DSG suojaa luonnollisten henkilöiden henkilötietoja. Oikeushenkilöiden tiedot eivät uudistuksen jälkeen enää kuulu siihen. Joka tunnistaa yrityksen mutta ei henkilöä, koskettaa siksi DSG:tä vain siltä osin kuin tiedot liittyvät yksilöitävissä olevaan henkilöön. Lisää rajanvedosta artikkelissa Kävijätunnistus ja GDPR: asiallinen arvio.
