Abrir espacio

Guía · Normativa suiza

FADP: la ley suiza de datos explicada para quienes viven de los anuncios

Suiza no forma parte de la Unión Europea y tiene su propia ley de datos, revisada en 2023. Es más flexible que el GDPR en algunos puntos y más dura en otro: la multa recae sobre la persona responsable. Mira qué se aplica a las cookies, los banners y los anuncios de Google con visitantes suizos.

Auditar mi tráfico de SuizaLeer la guía
  • ✓Basado en la ley federal y en las orientaciones oficiales del regulador suizo
  • ✓Ejemplos de sitios con anuncios, incluidos sitios brasileños
  • ✓Lectura sin modificar el sitio
CHF 250 milmulta máxima, aplicada a la persona responsable y no a la empresa
2023año en que entró en vigor la ley revisada, el 1 de septiembre, sin período de adaptación
250empleados: por debajo de esa cifra, las empresas con tratamientos de bajo riesgo pueden omitir el registro de actividades
CHF 5 milmulta máxima de la ley de telecomunicaciones para quien incumple la regla de cookies

Qué es

Una ley propia, parecida al GDPR, pero no igual

La Ley Federal de Protección de Datos de Suiza, conocida por la sigla FADP en inglés, nLPD en francés y nDSG en alemán, fue revisada por el Parlamento en 2020 y entró en vigor el 1 de septiembre de 2023. La nueva versión acercó la ley suiza al GDPR europeo, pero mantuvo una lógica propia.

En el GDPR, todo tratamiento de datos personales necesita una base legal. En Suiza, el tratamiento está permitido siempre que respete los principios de la ley, como transparencia, finalidad y proporcionalidad. La justificación, como el consentimiento o un interés preponderante, solo se exige cuando el tratamiento vulnera esos principios o la personalidad de la persona.

La supervisión está a cargo del Comisionado Federal de Protección de Datos e Información, el FDPIC, llamado PFPDT en francés y EDÖB en alemán. Investiga, da órdenes y publica orientaciones, pero no aplica multas. Las multas son penales y las imponen las autoridades de los cantones.

Las cookies también siguen una regla de la ley de telecomunicaciones. Esta exige que el sitio informe sobre el uso y la finalidad de las cookies y ofrezca al visitante la posibilidad de rechazarlas. La orientación del FDPIC explica cómo se combinan estas dos leyes.

Lista de verificación

Lo que debes cumplir

Estos son los puntos que la orientación del FDPIC y Google exigen a un sitio con anuncios que recibe visitantes de Suiza.

  1. Usa una CMP certificada por Google

    Desde el 31 de julio de 2024, Google exige una CMP certificada e integrada con el IAB TCF para mostrar anuncios personalizados en Suiza. Sin ella, el tráfico suizo solo puede recibir anuncios no personalizados o limitados.

    Ejemplo

    Incluye a Suiza en las regiones de la CMP, porque no forma parte de la Unión Europea ni del EEE.

  2. Permite siempre rechazar las cookies

    El FDPIC dice que el sitio siempre debe dar al visitante la opción de rechazar las cookies que no son esenciales. La opción de rechazo debe verse con claridad.

    Ejemplo

    El banner muestra un botón Rechazar visible, y no solo un enlace pequeño en el texto.

  3. No uses un banner con solo aceptar todo

    Para el FDPIC, una ventana que solo permite aceptar todo no es una declaración clara de consentimiento. Esto pesa aún más cuando mezcla cookies esenciales con cookies que requieren consentimiento.

  4. Pide consentimiento expreso en los casos de alto riesgo

    Los datos sensibles y la elaboración de perfiles de alto riesgo exigen consentimiento expreso. El FDPIC explica que el rastreo de anuncios entre varios sitios puede llegar a ese nivel. Si tienes dudas, consulta con tu área jurídica.

    Ejemplo

    Las cookies de anuncios de terceros solo se guardan después del clic activo en aceptar.

  5. Informa en el momento de la recogida

    El visitante debe ser informado cuando se recogen los datos, por capas, con lo más importante primero. No basta con poner la política de privacidad en un rincón escondido del sitio.

    Ejemplo

    El banner resume el uso de las cookies y lleva con un clic a la política completa.

  6. Indica quién recibe los datos y en qué país

    La política debe informar cuándo los datos van a terceros o a proveedores, con su finalidad. Si los datos salen de Suiza, también se debe informar el país de destino.

    Ejemplo

    En la política: usamos Google y otras redes de anuncios, y los datos pueden enviarse a Estados Unidos.

  7. No dificultes la retirada del consentimiento

    Exigir mucho más esfuerzo para retirar el consentimiento que para darlo va contra la voluntariedad, según el FDPIC. Las casillas ya marcadas solo se aceptan donde no se exige consentimiento expreso.

    Ejemplo

    Un enlace fijo en el pie de página vuelve a abrir las preferencias con un clic.

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Para los anuncios personalizados en Suiza, Google exige una CMP certificada, y estas son las páginas oficiales para elegir y configurar una.

A quién se aplica y definiciones

Qué cubre la ley

La ley mira el efecto en Suiza, no la dirección de la empresa. Estos son los conceptos que más pesan para un sitio con anuncios.

Efecto en Suiza

La ley se aplica a situaciones que producen efectos en el país, aunque el sitio esté alojado y administrado en otro lugar.

Solo personas físicas

La nueva versión protege únicamente los datos de personas físicas. Los datos de empresas dejaron de estar cubiertos.

Datos sensibles

Incluyen salud, origen étnico, religión, opinión política, datos genéticos y biométricos y procesos penales. Exigen cuidado y, muchas veces, consentimiento expreso.

Perfilado de alto riesgo

Es el cruce de datos que permite evaluar aspectos esenciales de la personalidad de alguien. El rastreo de anuncios entre varios sitios puede llegar a ese nivel.

Responsable y encargado

El responsable decide la finalidad y los medios, como el dueño del sitio. El encargado trata los datos en su nombre, como un servicio de alojamiento.

Representante en Suiza

Las empresas de fuera que ofrecen productos o monitorean a personas en el país necesitan un representante local cuando el tratamiento es regular, a gran escala y de alto riesgo.

Consentimiento y cookies

Cuándo basta con avisar y cuándo hay que pedir

La regla básica para las cookies en Suiza es avisar y permitir rechazar. El sitio debe informar, en el momento de la recopilación, que usa cookies y para qué, y recordar al visitante que puede decir que no. La orientación del FDPIC deja claro que el derecho a rechazar es obligatorio en cualquier escenario.

El consentimiento expreso, con un clic activo en un botón o en una casilla, pasa a exigirse en los casos de mayor riesgo: tratamiento de datos sensibles y perfilado de alto riesgo. También se aplica a los sitios con contenido político, sindical o religioso cuando las cookies van más allá de lo esperado.

La versión actualizada de la orientación, publicada en octubre de 2025, trata la publicidad. Explica que las cookies de terceros distribuidas en varios sitios, que entregan datos de visitantes a cambio de un pago, pueden constituir un perfilado de alto riesgo. Si el sitio no puede descartar ese riesgo, debe tratarlo como alto y pedir consentimiento expreso.

Sobre el banner, el FDPIC dice que una ventana que ofrece solo aceptar todo no genera un consentimiento claro, que el rechazo debe estar visible y que retirar el consentimiento no puede ser más difícil que darlo. Las casillas premarcadas solo se aceptan para usos que no exigen consentimiento expreso.

Derechos de las personas

Qué puede pedir el visitante suizo

El sitio debe tener un contacto para recibir solicitudes y responder dentro del plazo.

Acceso

Saber si el sitio trata datos sobre la persona y recibir la información prevista en la ley, por regla general en un máximo de 30 días y gratis.

Corrección y eliminación

Pedir que se corrijan los datos erróneos y que se borren los datos tratados de forma irregular.

Oposición

Oponerse a un tratamiento, incluido rechazar cookies. Según la ley de telecomunicaciones, este rechazo siempre debe ser posible.

Portabilidad

Recibir los datos que entregó en un formato electrónico común o pedir que se envíen a otra empresa.

Revisión humana

Ser informado sobre decisiones tomadas solo por un sistema que tengan un efecto importante y pedir que una persona las revise.

Información en la recopilación

Ser informado de quién recopila, para qué, con quién se comparte y a qué países van los datos.

Obligaciones

Qué debe hacer un sitio con visitantes suizos

  1. Informar en el momento de la recopilaciónTen una política de privacidad con la identidad y el contacto del responsable, las finalidades, los destinatarios y los países a los que van los datos. La orientación pide información en capas, con lo principal primero, y nunca escondida en un rincón de la página.
  2. Ofrecer el rechazo de cookiesMuestra un aviso de cookies con una opción clara de rechazar. Para anuncios con rastreo entre sitios, prefiere el consentimiento expreso, que además es lo que Google exige para los anuncios personalizados.
  3. Empezar con lo mínimoLa ley pide protección desde el diseño y por defecto. En la práctica, nada que no sea esencial debe ejecutarse solo porque la página se cargó.
  4. Evaluar el riesgoHaz una evaluación de impacto antes de tratamientos de alto riesgo y mantén un registro de actividades, salvo que la empresa tenga menos de 250 empleados y solo tratamientos de bajo riesgo.
  5. Avisar sobre filtracionesComunica al FDPIC lo antes posible cuando una filtración pueda suponer un riesgo alto para las personas, y avisa a los afectados cuando sea necesario para protegerlos.
  6. Cuidar las transferenciasEl envío de datos fuera de Suiza requiere un país con protección adecuada o garantías como cláusulas contractuales. Para Estados Unidos, se aceptan las empresas certificadas en el Swiss-U.S. Data Privacy Framework desde el 15 de septiembre de 2024.

Supervisión y multas

En Suiza, paga la persona

A diferencia del GDPR, la multa suiza no se calcula sobre la facturación de la empresa. Es penal y apunta al individuo que decidió o ejecutó la infracción.

Hasta CHF 250 mil

Multa para la persona física responsable que, a propósito, infringe deberes como informar, responder a solicitudes de acceso o proteger los datos al transferirlos.

Empresa solo por excepción

Cuando encontrar a la persona responsable exigiría una investigación desproporcionada, se puede multar a la empresa en su lugar, siempre que la multa no supere los CHF 50 mil.

Órdenes del FDPIC

El comisionado investiga y puede ordenar que se corrija el tratamiento, que se suspenda o que se borren los datos. Desobedecer la orden también es un delito.

Regla de cookies

La ley de telecomunicaciones prevé una multa de hasta CHF 5 mil para quien incumpla, a propósito o por negligencia, el deber de informar y de permitir el rechazo.

Cronología

Las fechas que importan

Desde la aprobación de la ley revisada hasta la actualización más reciente de la orientación sobre cookies.

  1. 25 de septiembre de 2020

    Ley revisada aprobada

    El Parlamento suizo aprueba la revisión completa de la ley de protección de datos.

  2. 1 de septiembre de 2023

    Entrada en vigor

    La nueva ley y la ordenanza que la reglamenta empiezan a regir, sin período de transición para la mayoría de las reglas.

  3. 31 de julio de 2024

    Google exige una CMP certificada

    Para los anuncios personalizados a visitantes de Suiza, AdSense y Ad Manager pasan a exigir una CMP certificada e integrada con IAB TCF.

  4. 15 de septiembre de 2024

    Acuerdo con Estados Unidos

    Las empresas estadounidenses certificadas en el Swiss-U.S. Data Privacy Framework pasan a considerarse un destino adecuado para los datos.

  5. Enero de 2025

    Orientación sobre cookies

    El FDPIC publica la orientación sobre el tratamiento de datos con cookies y tecnologías similares.

  6. Octubre de 2025

    Orientación actualizada

    La versión 1.1 detalla la publicidad personalizada, los datos de ubicación y el modelo de pagar o aceptar.

Para quienes tienen AdSense o Ad Manager

Qué cambia en la práctica para los ingresos

Desde el 31 de julio de 2024, Google exige para los visitantes de Suiza lo mismo que exige para el Espacio Económico Europeo y el Reino Unido: una CMP certificada e integrada con IAB TCF. Sin ella, el tráfico suizo solo recibe anuncios no personalizados o limitados.

Esto significa que, aunque la ley suiza se conforme con avisar y permitir rechazar en algunos casos, quien quiere anuncios personalizados de Google necesita un consentimiento registrado en la TC string. En la práctica, el estándar de Google termina siendo el más exigente.

Un ejemplo común: un sitio brasileño de empleos en francés que recibe visitantes de Ginebra y Lausana. Si la CMP se configuró solo para la Unión Europea, Suiza queda fuera, porque no es miembro de la Unión ni del EEE. El resultado es tráfico suizo sin TC string y con anuncios limitados.

El mensaje de privacidad de AdSense y de Ad Manager ya está certificado y permite incluir a Suiza. Con otra CMP, comprueba que Suiza aparezca en la lista de regiones y que Google esté entre los proveedores.

En la práctica

Qué se puede y qué no con visitantes suizos

Ejemplos del día a día de sitios de contenido, empleos y finanzas con público en Suiza.

Sí se puede

  • Usar cookies esenciales, como la que guarda la elección del banner, sin pedir consentimiento
  • Informar sobre el uso de cookies en capas, con el resumen en el banner y el detalle en la página de privacidad
  • Incluir a Suiza en la misma configuración de CMP que se usa para el EEE y el Reino Unido
  • Mostrar anuncios no personalizados a quien rechazó
  • Ofrecer un enlace fijo en el pie de página para que el visitante cambie su elección

No se puede

  • Mostrar un banner con solo el botón de aceptar todo
  • Activar píxeles de remarketing de terceros antes de cualquier respuesta
  • Olvidar a Suiza porque no forma parte de la Unión Europea
  • Hacer que retirar el consentimiento sea más difícil que aceptar
  • Esconder la política de privacidad en un rincón difícil de encontrar

Errores comunes

Dónde fallan más los sitios

Fallas que aparecen con frecuencia en sitios con tráfico suizo.

Suiza fuera de la lista de regiones

La CMP muestra el mensaje para la Unión Europea, pero no para Suiza. Google recibe solicitudes sin consentimiento válido y limita los anuncios.

Confiar solo en el opt-out

La ley acepta avisar y permitir rechazar en algunos casos, pero el rastreo de anuncios entre sitios puede exigir consentimiento expreso, y Google exige consentimiento para personalizar.

Pensar que la multa es problema de la empresa

En Suiza, la multa penal recae sobre la persona que decidió. El dueño del sitio, el gestor o el responsable técnico pueden responder personalmente.

Política sin países de destino

La ley exige informar a qué países van los datos. Muchos textos mencionan a Google y olvidan decir que los datos salen de Suiza.

Banner que no reconoce el rechazo

El visitante hace clic en rechazar y las cookies de anuncios siguen ahí. La orientación dice que un rechazo impedido por el sitio no puede usarse en contra del visitante.

Pagar o aceptar sin cuidado

Condicionar el acceso a aceptar el rastreo o pagar una suscripción se trata en la orientación con condiciones propias. Copiar el modelo de otro país sin revisarlo es arriesgado.

En ConsentMode

Qué revisa la auditoría para Suiza

  • Abre el sitio como visitante de Suiza y registra si aparece el banner, qué botones ofrece y si el rechazo está visible.
  • Identifica la CMP por el código de la página y verifica si está en la lista de certificadas de Google.
  • Lee la TC string y las señales de Consent Mode enviadas en las solicitudes de anuncios.
  • Compara cookies y solicitudes de red antes y después de la elección y señala lo que se activa antes de tiempo.
  • Comprueba si la política de privacidad incluye responsable, finalidades, destinatarios y países de destino.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

Mi sitio es brasileño. ¿Me aplica la ley suiza?

La ley alcanza situaciones con efecto en Suiza, aunque se inicien en el extranjero. Si el sitio rastrea a visitantes suizos para anuncios, hay un efecto en el país. Y Google exige una CMP certificada para personalizar anuncios para ese público, sin importar dónde esté el sitio.

¿En Suiza el banner puede ser solo informativo?

Para cookies de bajo riesgo, la ley acepta informar y ofrecer el rechazo. Para el rastreo de anuncios entre sitios, datos sensibles o perfilado de alto riesgo, se necesita consentimiento expreso. Para los anuncios personalizados de Google, la CMP certificada con consentimiento es obligatoria.

¿Quién supervisa y quién multa?

El FDPIC investiga, orienta y puede dar órdenes. Las multas las imponen las autoridades penales de los cantones.

¿La multa puede llegar al dueño del sitio?

Sí. La multa de hasta CHF 250 mil se aplica a la persona física responsable de la infracción intencional. La empresa solo es multada en casos excepcionales.

¿Necesito un representante en Suiza?

Solo si la empresa está fuera del país y trata datos de personas en Suiza de forma regular, a gran escala y con alto riesgo. La mayoría de los sitios de contenido pequeños y medianos no llega a ese nivel, pero conviene evaluarlo.

Uso la misma CMP del GDPR. ¿Necesito algo distinto?

Normalmente no. Basta con confirmar que Suiza está en las regiones configuradas y que los textos del banner y de la política cumplen también con la ley suiza, como la mención de los países de destino.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Mira cómo aparece tu sitio para un visitante suizo

La auditoría abre el sitio desde Suiza, registra el banner, la TC string y las cookies, y muestra qué corregir, sin modificar nada.

Comenzar la auditoría