Webbplatsspårning i Schweiz: revDSG och FMG

I Schweiz gäller för cookies och spårning en annan modell än i Tyskland och Österrike. Det finns ingen allmän samtyckesplikt för varje skript. I gengäld finns plikter att informera och att ge möjlighet att avböja. I vissa fall krävs ändå ett samtycke. Den här artikeln ordnar in reglerna och visar när schweiziska företag dessutom måste beakta GDPR.

Två lagar som samverkar

Dataskyddslagen (DSG). Den totalreviderade DSG har varit i kraft sedan den 1 september 2023. Den reglerar varje behandling av personuppgifter, även med cookies och liknande tekniker. Texten finns på Fedlex.

Telekommunikationslagen (FMG). Artikel 45c FMG är en specialregel för lagring och läsning på främmande enheter och gäller sedan 2007. Enligt vägledningen från den eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Schweiz dataskydds- och offentlighetsombudsman, måste webbplatsägare informera besökarna om användningen av sådana tekniker och om ändamålet. De måste dessutom hänvisa till att och hur besökarna kan avböja behandlingen. Båda lagarna gäller sida vid sida. FMG hittar du hos Fedlex.

Vad det betyder i praktiken

EDÖB har 2025 publicerat en vägledning om cookies och liknande tekniker, i oktober 2025 i en reviderad version. Den är ingen rättskälla men visar hur myndigheten läser lagarna. Av den följer tre byggstenar.

1. Information. Enligt artikel 19 DSG måste du informera de berörda vid insamlingen av personuppgifter. Ange ansvarig, ändamål och i förekommande fall mottagare. Där tredje part samlar in uppgifter via din sida för egna ändamål måste också det redovisas.
2. Kunna avböja. I den mån ett samtycke inte behövs måste besökare kunna invända mot användningen av icke nödvändiga cookies. Vägledningen kräver att denna möjlighet utformas framträdande och i god tro. Dessutom ska användningen fram till dess genom förinställningar vara begränsad till det nödvändiga minimum.
3. Samtycke i vissa fall. EDÖB anser att ett samtycke krävs till exempel vid särskilt ingripande spårning, till exempel profilering med hög risk. Där det behövs måste det vara uttryckligt.

En intresseavvägning är i schweizisk rätt uppbyggd annorlunda än i GDPR. DSG kräver för privata ansvariga ingen rättslig grund för varje behandling. Först när en behandling kränker personligheten behövs en rättfärdigandegrund som samtycke eller ett övervägande intresse (artiklarna 30 och 31 DSG).

Schweiz, Tyskland och Österrike i jämförelse

Reglerna för de två grannländerna förklarar § 25 TDDDG: cookies och spårning i Tyskland och Cookies i Österrike: § 165 TKG 2021 förklarat.

När EU-rätt ändå gäller

Ett schweiziskt företag kan också omfattas av GDPR. Artikel 3.2 GDPR omfattar ansvariga utan verksamhetsställe i EU, om behandlingen hänger samman med att

• erbjuda berörda personer i unionen varor eller tjänster, eller
• övervaka deras beteende, i den mån det sker i unionen.

Man kallar det marknadsortsprincipen. En webbutik från Zürich som riktat levererar till Tyskland eller Österrike erbjuder varor i unionen. En rent schweizisk sida utan inriktning på EU-användare uppfyller förutsättningen snarare inte, men det är en fråga för det enskilda fallet. Om valuta, språk, leveransländer och reklam siktar på EU är typiska hållpunkter.

Om därutöver också cookiereglerna i ett EU-land gäller beror på det enskilda fallet. Klarlägg det med din dataskyddsrådgivning om ditt erbjudande riktas till EU.

Checklista för schweiziska webbplatser

1. Förteckna alla skript och ändamål på din sida.
2. Informera i integritetspolicyn enligt artikel 19 DSG, även om tredje parter.
3. Visa en väl synlig information med möjlighet att avböja.
4. Inhämta ett uttryckligt samtycke om du bedriver profilering med hög risk.
5. Kontrollera om du riktar erbjudanden till personer i EU. Då gäller dessutom GDPR.

Vanliga frågor

Behöver jag ingen cookiebanner i Schweiz? Någon generell plikt till en samtyckesbanner finns inte. Du måste dock informera och möjliggöra ett avböjande. Det sker i praktiken ofta via en banner. Vid målgrupper i EU är den ändå vanlig.

Räcker en ren information utan alternativet att avböja? Enligt EDÖB:s vägledning inte, om icke nödvändiga cookies sätts. Informationen måste också förklara hur besökare kan avböja. Hur det går till tekniskt bestämmer lagen inte.

Gäller revDSG även företagsdata? DSG skyddar personuppgifter om fysiska personer. Uppgifter om juridiska personer omfattas sedan revisionen inte längre. Den som känner igen ett företag men ingen person berör därför DSG bara i den mån uppgifterna avser en identifierbar person. Mer om avgränsningen i Besöksigenkänning och GDPR: en nykter bedömning.