Abrir workspace

Guia · Regulamento suíço

FADP: a lei suíça de dados explicada para quem vive de anúncios

A Suíça não faz parte da União Europeia e tem uma lei de dados própria, revisada em 2023. Ela é mais flexível que o GDPR em alguns pontos e mais dura em outro: a multa recai sobre a pessoa responsável. Veja o que vale para cookies, banners e anúncios do Google com visitantes suíços.

Auditar meu tráfego da SuíçaLer o guia
  • ✓Baseado na lei federal e nas orientações oficiais do regulador suíço
  • ✓Exemplos de sites com anúncios, inclusive brasileiros
  • ✓Leitura sem alterar o site
CHF 250 milmulta máxima, aplicada à pessoa responsável e não à empresa
2023ano em que a lei revisada entrou em vigor, em 1º de setembro, sem período de adaptação
250funcionários: abaixo disso, empresas com tratamento de baixo risco podem dispensar o registro de atividades
CHF 5 milmulta máxima da lei de telecomunicações para quem descumpre a regra de cookies

O que é

Uma lei própria, parecida com o GDPR, mas não igual

A Lei Federal de Proteção de Dados da Suíça, conhecida pela sigla FADP em inglês, nLPD em francês e nDSG em alemão, foi revisada pelo Parlamento em 2020 e entrou em vigor em 1º de setembro de 2023. A versão nova aproximou a lei suíça do GDPR europeu, mas manteve uma lógica própria.

No GDPR, todo tratamento de dado pessoal precisa de uma base legal. Na Suíça, o tratamento é permitido desde que respeite os princípios da lei, como transparência, finalidade e proporcionalidade. A justificativa, como consentimento ou interesse preponderante, só é exigida quando o tratamento fere esses princípios ou a personalidade da pessoa.

A fiscalização fica com o Comissário Federal de Proteção de Dados e Informação, o FDPIC, chamado de PFPDT em francês e EDÖB em alemão. Ele investiga, dá ordens e publica orientações, mas não aplica multas. As multas são penais e ficam a cargo das autoridades dos cantões.

Os cookies também seguem uma regra da lei de telecomunicações. Ela exige que o site informe o uso e a finalidade dos cookies e ofereça ao visitante a possibilidade de recusá-los. A orientação do FDPIC explica como essas duas leis se combinam.

Checklist

O que você precisa cumprir

Estes são os pontos que a orientação do FDPIC e o Google cobram de um site com anúncios que recebe visitantes da Suíça.

  1. Use uma CMP certificada pelo Google

    Desde 31 de julho de 2024, o Google exige uma CMP certificada e integrada ao IAB TCF para mostrar anúncios personalizados na Suíça. Sem ela, o tráfego suíço só pode receber anúncios não personalizados ou limitados.

    Exemplo

    Inclua a Suíça nas regiões da CMP, porque ela não faz parte da União Europeia nem do EEE.

  2. Deixe sempre recusar os cookies

    O FDPIC diz que o site deve sempre dar ao visitante a opção de recusar os cookies que não são essenciais. A opção de recusa precisa aparecer com clareza.

    Exemplo

    O banner mostra um botão Recusar visível, e não só um link pequeno no texto.

  3. Não use um banner só com aceitar tudo

    Para o FDPIC, uma janela que só permite aceitar tudo não é uma declaração clara de consentimento. Isso pesa ainda mais quando mistura cookies essenciais com cookies que exigem consentimento.

  4. Peça consentimento expresso nos casos de alto risco

    Dados sensíveis e perfilamento de alto risco exigem consentimento expresso. O FDPIC explica que o rastreamento de anúncios entre vários sites pode chegar a esse nível. Na dúvida, confira com seu jurídico.

    Exemplo

    Cookies de anúncios de terceiros só gravam depois do clique ativo em aceitar.

  5. Informe no momento da coleta

    O visitante precisa ser informado quando os dados são coletados, em camadas, com o mais importante primeiro. Não basta colocar a política de privacidade num canto escondido do site.

    Exemplo

    O banner resume o uso dos cookies e leva com um clique para a política completa.

  6. Diga quem recebe os dados e em que país

    A política precisa informar quando os dados vão para terceiros ou prestadores, com a finalidade. Se os dados saem da Suíça, o país de destino também deve ser informado.

    Exemplo

    Na política: usamos o Google e outras redes de anúncios, e os dados podem ser enviados aos Estados Unidos.

  7. Não dificulte a retirada do consentimento

    Exigir bem mais esforço para retirar o consentimento do que para dar fere a voluntariedade, segundo o FDPIC. Caixas já marcadas só são aceitas onde não se exige consentimento expresso.

    Exemplo

    Um link fixo no rodapé reabre as preferências com um clique.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

Para anúncios personalizados na Suíça, o Google exige uma CMP certificada, e estas são as páginas oficiais para escolher e configurar.

A quem se aplica e definições

O que a lei cobre

A lei olha para o efeito na Suíça, não para o endereço da empresa. Estes são os conceitos que mais pesam para um site com anúncios.

Efeito na Suíça

A lei vale para situações que produzem efeito no país, mesmo que o site esteja hospedado e administrado em outro lugar.

Só pessoas físicas

A versão nova protege apenas dados de pessoas físicas. Dados de empresas deixaram de estar cobertos.

Dados sensíveis

Incluem saúde, origem étnica, religião, opinião política, dados genéticos e biométricos e processos penais. Exigem cuidado e, muitas vezes, consentimento expresso.

Perfilamento de alto risco

É o cruzamento de dados que permite avaliar aspectos essenciais da personalidade de alguém. Rastreamento de anúncios entre vários sites pode chegar a esse nível.

Controlador e operador

O controlador decide a finalidade e os meios, como o dono do site. O operador trata dados em nome dele, como uma hospedagem.

Representante na Suíça

Empresas de fora que oferecem produtos ou monitoram pessoas no país precisam de um representante local quando o tratamento é regular, em grande escala e de alto risco.

Consentimento e cookies

Quando basta avisar e quando é preciso pedir

A regra básica para cookies na Suíça é avisar e deixar recusar. O site precisa informar, no momento da coleta, que usa cookies e para quê, e lembrar ao visitante que ele pode dizer não. A orientação do FDPIC deixa claro que o direito de recusar é obrigatório em qualquer cenário.

O consentimento expresso, com clique ativo num botão ou numa caixa, passa a ser exigido em casos de maior risco: tratamento de dados sensíveis e perfilamento de alto risco. Também vale para sites com conteúdo político, sindical ou religioso quando os cookies vão além do esperado.

A versão atualizada da orientação, publicada em outubro de 2025, trata de publicidade. Ela explica que cookies de terceiros espalhados por vários sites, que entregam dados de visitantes em troca de pagamento, podem configurar perfilamento de alto risco. Se o site não consegue descartar esse risco, deve tratá-lo como alto e pedir consentimento expresso.

Sobre o banner, o FDPIC diz que uma janela que oferece apenas aceitar tudo não gera consentimento claro, que a recusa precisa estar visível e que retirar o consentimento não pode ser mais difícil que dar. Caixas pré-marcadas só são aceitas para usos que não exigem consentimento expresso.

Direitos das pessoas

O que o visitante suíço pode pedir

O site precisa ter um contato para receber pedidos e responder dentro do prazo.

Acesso

Saber se o site trata dados sobre a pessoa e receber as informações previstas na lei, em regra em até 30 dias e de graça.

Correção e exclusão

Pedir que dados errados sejam corrigidos e que dados tratados de forma irregular sejam apagados.

Oposição

Se opor a um tratamento, inclusive recusar cookies. Para a lei de telecomunicações, essa recusa precisa sempre ser possível.

Portabilidade

Receber os dados que entregou num formato eletrônico comum ou pedir que sejam enviados a outra empresa.

Revisão humana

Ser informado sobre decisões tomadas só por sistema que tenham efeito importante e pedir que uma pessoa revise.

Informação na coleta

Ser avisado de quem coleta, para quê, com quem compartilha e para quais países os dados vão.

Obrigações

O que um site com visitantes suíços precisa fazer

  1. Informar no momento da coletaTenha uma política de privacidade com identidade e contato do responsável, finalidades, destinatários e países para onde os dados vão. A orientação pede informação em camadas, com o principal primeiro, e nunca escondida num canto da página.
  2. Oferecer a recusa de cookiesMostre um aviso de cookies com opção clara de recusar. Para anúncios com rastreamento entre sites, prefira consentimento expresso, que também é o que o Google exige para anúncios personalizados.
  3. Começar com o mínimoA lei pede proteção desde a concepção e por padrão. Na prática, nada que não seja essencial deve rodar só porque a página carregou.
  4. Avaliar o riscoFaça uma avaliação de impacto antes de tratamentos de alto risco e mantenha um registro de atividades, salvo se a empresa tiver menos de 250 funcionários e só tratamentos de baixo risco.
  5. Avisar sobre vazamentosComunique o FDPIC o mais rápido possível quando um vazamento puder trazer risco alto às pessoas, e avise os afetados quando isso for necessário para protegê-los.
  6. Cuidar das transferênciasEnvio de dados para fora da Suíça precisa de país com proteção adequada ou de garantias como cláusulas contratuais. Para os Estados Unidos, empresas certificadas no Swiss-U.S. Data Privacy Framework são aceitas desde 15 de setembro de 2024.

Fiscalização e multas

Na Suíça, quem paga é a pessoa

Diferente do GDPR, a multa suíça não é calculada sobre o faturamento da empresa. Ela é penal e mira o indivíduo que decidiu ou executou a infração.

Até CHF 250 mil

Multa para a pessoa física responsável que viola, de propósito, deveres como informar, responder a pedidos de acesso ou proteger os dados ao transferi-los.

Empresa só em exceção

Quando achar a pessoa responsável exigiria uma investigação desproporcional, a empresa pode ser multada no lugar dela, desde que a multa não passe de CHF 50 mil.

Ordens do FDPIC

O comissário investiga e pode ordenar que o tratamento seja corrigido, suspenso ou que os dados sejam apagados. Desobedecer a ordem também é crime.

Regra de cookies

A lei de telecomunicações prevê multa de até CHF 5 mil para quem descumpre, de propósito ou por negligência, o dever de informar e de deixar recusar.

Linha do tempo

As datas que importam

Da aprovação da lei revisada à atualização mais recente da orientação de cookies.

  1. 25 de setembro de 2020

    Lei revisada aprovada

    O Parlamento suíço aprova a revisão completa da lei de proteção de dados.

  2. 1º de setembro de 2023

    Entrada em vigor

    A nova lei e a ordenança que a regulamenta começam a valer, sem período de transição para a maioria das regras.

  3. 31 de julho de 2024

    Google exige CMP certificada

    Para anúncios personalizados a visitantes da Suíça, AdSense e Ad Manager passam a exigir uma CMP certificada e integrada ao IAB TCF.

  4. 15 de setembro de 2024

    Acordo com os Estados Unidos

    Empresas americanas certificadas no Swiss-U.S. Data Privacy Framework passam a ser consideradas destino adequado para dados.

  5. Janeiro de 2025

    Orientação de cookies

    O FDPIC publica a orientação sobre tratamento de dados com cookies e tecnologias semelhantes.

  6. Outubro de 2025

    Orientação atualizada

    A versão 1.1 detalha publicidade personalizada, dados de localização e o modelo pague ou aceite.

Para quem tem AdSense ou Ad Manager

O que muda na prática para a receita

Desde 31 de julho de 2024, o Google exige para visitantes da Suíça o mesmo que exige para o Espaço Econômico Europeu e o Reino Unido: uma CMP certificada e integrada ao IAB TCF. Sem ela, o tráfego suíço só recebe anúncios não personalizados ou limitados.

Isso significa que, mesmo que a lei suíça se contente com avisar e deixar recusar em alguns casos, quem quer anúncios personalizados do Google precisa de consentimento registrado na TC string. Na prática, o padrão do Google acaba sendo o mais exigente.

Um exemplo comum: um site brasileiro de vagas em francês que recebe visitantes de Genebra e Lausanne. Se a CMP foi configurada só para a União Europeia, a Suíça fica de fora, porque não é membro da União nem do EEE. O resultado é tráfego suíço sem TC string e com anúncios limitados.

A Mensagem de privacidade do AdSense e do Ad Manager já é certificada e permite incluir a Suíça. Com outra CMP, confira se a Suíça aparece na lista de regiões e se o Google está entre os fornecedores.

Na prática

O que pode e o que não pode com visitantes suíços

Exemplos do dia a dia de sites de conteúdo, vagas e finanças com público na Suíça.

Pode

  • Usar cookies essenciais, como o que guarda a escolha do banner, sem pedir consentimento
  • Informar o uso de cookies em camadas, com o resumo no banner e o detalhe na página de privacidade
  • Incluir a Suíça na mesma configuração de CMP usada para o EEE e o Reino Unido
  • Exibir anúncios não personalizados para quem recusou
  • Oferecer um link fixo no rodapé para o visitante mudar a escolha

Não pode

  • Mostrar um banner com apenas o botão aceitar tudo
  • Disparar pixels de remarketing de terceiros antes de qualquer resposta
  • Esquecer a Suíça porque ela não faz parte da União Europeia
  • Tornar a retirada do consentimento mais difícil que o aceite
  • Esconder a política de privacidade num canto difícil de achar

Erros comuns

Onde os sites mais escorregam

Falhas que aparecem com frequência em sites com tráfego suíço.

Suíça fora da lista de regiões

A CMP mostra a mensagem para a União Europeia, mas não para a Suíça. O Google recebe pedidos sem consentimento válido e limita os anúncios.

Confiar só no opt-out

A lei aceita avisar e deixar recusar em alguns casos, mas rastreamento de anúncios entre sites pode exigir consentimento expresso, e o Google exige consentimento para personalizar.

Achar que a multa é problema da empresa

Na Suíça, a multa penal recai sobre a pessoa que decidiu. Dono do site, gestor ou responsável técnico podem responder pessoalmente.

Política sem países de destino

A lei exige informar para quais países os dados vão. Muitos textos citam o Google e esquecem de dizer que os dados saem da Suíça.

Banner que não reconhece a recusa

O visitante clica em recusar e os cookies de anúncios continuam lá. A orientação diz que uma recusa impedida pelo site não pode ser usada contra o visitante.

Pague ou aceite sem cuidado

Condicionar o acesso a aceitar rastreamento ou pagar uma assinatura é tratado na orientação com condições próprias. Copiar o modelo de outro país sem revisar é arriscado.

No ConsentMode

O que a auditoria confere para a Suíça

  • Abre o site como visitante da Suíça e registra se o banner aparece, quais botões oferece e se a recusa está visível.
  • Identifica a CMP pelo código da página e verifica se ela consta na lista de certificadas do Google.
  • Lê a TC string e os sinais do Consent Mode enviados nos pedidos de anúncio.
  • Compara cookies e pedidos de rede antes e depois da escolha e aponta o que dispara antes da hora.
  • Confere se a política de privacidade traz responsável, finalidades, destinatários e países de destino.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Meu site é brasileiro. A lei suíça vale para mim?

A lei alcança situações com efeito na Suíça, mesmo iniciadas no exterior. Se o site rastreia visitantes suíços para anúncios, há efeito no país. E o Google exige CMP certificada para personalizar anúncios para esse público, independentemente de onde o site está.

Na Suíça o banner pode ser só informativo?

Para cookies de baixo risco, a lei aceita informar e oferecer a recusa. Para rastreamento de anúncios entre sites, dados sensíveis ou perfilamento de alto risco, é preciso consentimento expresso. Para anúncios personalizados do Google, a CMP certificada com consentimento é obrigatória.

Quem fiscaliza e quem multa?

O FDPIC investiga, orienta e pode dar ordens. As multas são aplicadas pelas autoridades penais dos cantões.

A multa pode chegar ao dono do site?

Sim. A multa de até CHF 250 mil é aplicada à pessoa física responsável pela violação intencional. A empresa só é multada em casos excepcionais.

Preciso de um representante na Suíça?

Só se a empresa estiver fora do país e tratar dados de pessoas na Suíça de forma regular, em grande escala e com alto risco. A maioria dos sites de conteúdo pequenos e médios não chega a esse nível, mas vale avaliar.

Uso a mesma CMP do GDPR. Preciso de algo diferente?

Normalmente não. Basta confirmar que a Suíça está nas regiões configuradas e que os textos do banner e da política atendem também à lei suíça, como a menção aos países de destino.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja como o seu site aparece para um visitante suíço

A auditoria abre o site a partir da Suíça, registra o banner, a TC string e os cookies e mostra o que corrigir, sem alterar nada.

Começar a auditoria