En resumen: en Suiza, el artículo 45c de la Ley de Telecomunicaciones obliga a toda web a informar sobre las cookies, explicar para qué sirven y permitir que el visitante las rechace, mientras que la Ley Federal de Protección de Datos revisada (nLPD) determina cuándo basta un opt-out y cuándo se necesita un consentimiento expreso. Las normas se aplican a las empresas suizas y a las webs extranjeras cuyo seguimiento tiene efectos en Suiza, también a muchas empresas españolas. Los incumplimientos pueden acarrear órdenes vinculantes del PFPDT y multas penales de hasta 250.000 CHF para las personas responsables.
nLPD: ¿de qué se trata?
La nLPD, o «nueva LPD», es el nombre informal de la Ley Federal de Protección de Datos totalmente revisada, de 25 de septiembre de 2020 (RS 235.1). Entró en vigor el 1 de septiembre de 2023 y derogó la ley de 19 de junio de 1992. Los textos oficiales la llaman simplemente LPD (en alemán DSG o revDSG). Se ha acercado mucho al RGPD, pero sigue siendo una ley suiza con conceptos y sanciones propios. Tenga en cuenta que el español no es lengua oficial de la Confederación: los textos con valor legal están en alemán, francés e italiano.
La LPD regula todo tratamiento de datos personales por particulares y órganos federales. Para las cookies, funciona junto con una disposición mucho más antigua y breve: el artículo 45c de la Ley de Telecomunicaciones (LTC, RS 784.10), en vigor desde el 1 de abril de 2007. Según este artículo, tratar datos en el equipo de otra persona mediante técnicas de telecomunicación solo está permitido para servicios de telecomunicaciones y su facturación, o si se informa a los usuarios del tratamiento y de su finalidad y se les indica que pueden rechazarlo.
El Encargado federal de protección de datos y transparencia (PFPDT, EDÖB en alemán) publicó el 22 de enero de 2025 una guía detallada sobre cookies y tecnologías similares, completada el 6 de octubre de 2025. Es la referencia principal para aplicar ambos textos a webs y apps.
Ámbito territorial
El artículo 3 de la LPD aplica la ley a las situaciones que tienen efectos en Suiza, aunque se hayan originado en el extranjero. Una web española, francesa o estadounidense que sigue a visitantes en Suiza entra en su ámbito por ese seguimiento.
¿A quién se aplica?
Las normas afectan a quien decide por qué y cómo se usan las cookies en una web o app:
- Empresas y organizaciones suizas de cualquier tamaño.
- Empresas extranjeras que se dirigen a visitantes suizos o cuyo seguimiento les afecta.
- Órganos federales, con reglas más estrictas: según el PFPDT, necesitan consentimiento expreso incluso para perfiles ordinarios.
El PFPDT deja claro que el titular de la web es responsable del uso de cookies, porque decide qué datos se tratan a través de su sitio y con qué fin. Cuando integra servicios de terceros, como plugins sociales, vídeos o etiquetas publicitarias que recogen datos para sus propios fines, el PFPDT considera que comparte la responsabilidad de esa recogida. No basta con remitirse a las condiciones del tercero.
Los responsables privados extranjeros pueden necesitar además un representante en Suiza (artículo 14 LPD) si su tratamiento de datos de residentes suizos está ligado a ofrecer bienes o servicios o a observar su comportamiento, y es extenso, regular y de alto riesgo.
Lo que exige la nLPD para las cookies y el consentimiento
Dos niveles: artículo 45c LTC y LPD
El derecho suizo de cookies tiene dos niveles. El artículo 45c LTC regula el acto técnico de instalar y leer cookies, haya o no datos personales, y exige siempre información y derecho de rechazo. La LPD regula después el tratamiento de los datos personales que recogen. El PFPDT clasifica las cookies en tres grupos.
Cookies técnicamente necesarias
Las cookies necesarias para el funcionamiento o la seguridad de la web son proporcionadas según la LPD. Los ejemplos no vinculantes del PFPDT incluyen la cookie del carrito, el almacenamiento temporal de formularios, la autenticación del usuario conectado, el idioma elegido, la propia elección de cookies, el equilibrio de carga, la protección frente a intentos de acceso por fuerza bruta y los captchas. La necesidad se aplica también al contenido y a la duración: una preferencia de idioma debería guardarse como un valor simple, sin identificador único.
Cookies no esenciales: justificación y opt-out obligatorio
Las cookies funcionales, analíticas y publicitarias van más allá de lo necesario, por lo que, según el PFPDT, chocan con el principio de proporcionalidad del artículo 6 LPD. Según los artículos 30 y 31, ese tratamiento es ilícito salvo que lo justifique el consentimiento, un interés preponderante privado o público, o la ley. En la práctica tiene dos vías:
- Interés preponderante más opt-out. Usted pondera su interés frente a la intromisión. Ofrecer el rechazo reduce la intromisión, y para las cookies no esenciales es obligatorio de todos modos por el artículo 45c LTC.
- Consentimiento. Un consentimiento válido según el artículo 6.6 LPD debe ser libre, para un tratamiento determinado y basado en información adecuada.
Las estadísticas de visitas pueden justificarse por un interés preponderante cuando los datos se anonimizan lo antes posible, en las webs normalmente de inmediato, y los resultados se publican sin identificar a nadie, también con herramientas externas si el proveedor solo trata los datos por cuenta de usted.
Cuándo el opt-in es obligatorio
El artículo 6.7 LPD exige consentimiento expreso para tratar datos sensibles y para la elaboración de perfiles de alto riesgo por particulares. El PFPDT lo aplica a las cookies: cuando el seguimiento permite evaluar aspectos esenciales de la personalidad, el opt-out ya no basta. Advierte que el seguimiento publicitario entre sitios puede superar el umbral del perfil ordinario y que, sin análisis de riesgos, debe presumirse que el riesgo es alto. Los usos inesperados, como un seguimiento comercial en una web política, sindical o religiosa, exigen avisos destacados o consentimiento expreso.
Información, configuración por defecto, retirada y prueba
El artículo 19 LPD exige informar al menos de la identidad del responsable, la finalidad y los destinatarios, incluidos los países extranjeros. El PFPDT pide un enfoque por capas con la información clave en el primer nivel. El artículo 7.3 LPD impone una configuración por defecto respetuosa con la privacidad. El consentimiento y el rechazo deben poder revocarse en todo momento y sin formalidades. Si se apoya en el consentimiento, conserve registros de lo que se informó y de lo que se eligió.
El banner de cookies conforme a la nLPD
El PFPDT describe los banners y las plataformas de gestión del consentimiento como la forma habitual de cumplir. Un banner preparado para Suiza debería:
- explicar las finalidades de cada categoría y nombrar a los terceros implicados;
- permitir aceptar o rechazar cada categoría por separado;
- dejar claro qué es obligatorio y qué es opcional;
- para las cookies en opt-out, mostrar en la primera visita y en las siguientes cómo rechazarlas con pocos clics;
- para los casos de opt-in, exigir un clic activo antes de que se ejecute nada;
- ofrecer una vía permanente para cambiar la elección.
Para plugins sociales, píxeles y otros servicios de terceros, el PFPDT recomienda una solución de dos clics, de modo que su JavaScript solo se cargue tras informar y obtener el acuerdo.
Dark patterns prohibidos
La guía indica que un diseño o una redacción engañosos (dark patterns o nudging) pueden invalidar el consentimiento. Cita un diálogo que solo permite aceptarlo todo o abandonar la web, casillas premarcadas más difíciles de desmarcar que de marcar, tipografías o colores que confunden, obligar a desmarcar una larga lista para retirar el consentimiento y muros de pago cuyo precio es desproporcionado respecto a los ingresos perdidos. Para diseños concretos, consulte nuestra guía del banner de cookies y nuestro artículo sobre dark patterns.
Sanciones y controles
El PFPDT supervisa la aplicación de la legislación federal de protección de datos. No impone multas, pero según el artículo 51 LPD puede ordenar que un tratamiento se modifique, suspenda o cese y que se supriman datos.
Las multas son sanciones penales. Según los artículos 60 a 63 LPD, los particulares que incumplen dolosamente ciertas obligaciones, como el deber de información del artículo 19, las reglas de comunicación al extranjero o una decisión del PFPDT, se exponen a multas de hasta 250.000 CHF. Varias infracciones solo se persiguen a instancia de parte, y la persecución corresponde a los cantones (artículo 65). Si identificar a la persona responsable fuera desproporcionado y la multa no supera 50.000 CHF, puede condenarse a la empresa (artículo 64). Por separado, incumplir el artículo 45c LTC puede sancionarse con hasta 5.000 CHF según el artículo 53 LTC.
Casos reales
- Ricardo AG y TX Group AG. El PFPDT cerró el 11 de abril de 2024 una investigación sobre la plataforma de subastas Ricardo y recomendó hacer transparentes las transferencias de datos y el seguimiento entre plataformas con fines publicitarios, y obtener un consentimiento válido. El caso afectaba a cookies que vinculaban datos de uso entre empresas del mismo grupo y se resolvió con la ley antigua. (comunicado del PFPDT)
- Digitec Galaxus AG. En una investigación cerrada en abril de 2024 con la ley antigua, el PFPDT concluyó que exigir una cuenta de cliente para comprar vulneraba la proporcionalidad y recomendó permitir oponerse al tratamiento con fines de marketing. El 27 de noviembre de 2025, el minorista informó de que los usuarios pueden desactivar la personalización con un clic, lo que desactiva las cookies asociadas, y el PFPDT cerró el caso. (página del caso)
Checklist de cumplimiento
- Liste cada cookie, píxel y servicio integrado en su web, incluidos los de terceros.
- Separe las cookies técnicamente necesarias del resto, con los ejemplos del PFPDT como guía.
- Informe en la primera capa de las finalidades, los destinatarios y las transferencias al extranjero.
- Ofrezca una forma clara y sencilla de rechazar toda cookie no esencial, visible en la primera visita y en las siguientes.
- Identifique el seguimiento de alto riesgo y páselo a consentimiento expreso.
- Bloquee los scripts de terceros hasta que el visitante esté informado y, si hace falta, haya aceptado.
- Evite los dark patterns: nada de aceptar o salir, ni casillas difíciles de desmarcar.
- Facilite la retirada con un enlace o icono permanente.
- Anonimice la analítica si se apoya en el interés preponderante.
- Compruebe si necesita un representante en Suiza si su empresa está en el extranjero.
Cómo le ayuda FlowConsent a cumplir la nLPD
FlowConsent se ocupa de la parte técnica de las normas suizas. Los scripts se bloquean antes del consentimiento, de modo que las etiquetas de terceros permanecen inactivas hasta que el visitante ha visto la información y ha elegido, lo que cubre también los casos suizos de opt-in. El escaneo automático lista las cookies y servicios de su web, el punto de partida para separar las necesarias del resto, y puede publicar el resultado como declaración de cookies. Cada elección queda registrada y la prueba de consentimiento es exportable. Google Consent Mode v2 está integrado, el alojamiento es europeo y la instalación lleva unos diez minutos. Empiece con nuestro escáner gratuito y regístrese: gratis hasta 25.000 sesiones al mes, Pro a 14,99 € al mes hasta 100.000 sesiones.
Para saber más
Los artículos siguientes cubren la parte práctica de estas normas. Nuestra guía de analítica sin cookies le será útil si quiere apoyarse en la justificación estadística suiza, y el artículo sobre muros de cookies explica por qué los modelos de aceptar o salir son arriesgados tanto en Suiza como en la UE.