La FADP revisada de Suiza en 2026: La guía para editores y anunciantes sobre el consentimiento de cookies, la aplicación del FDPIC y los flujos de datos entre Suiza y la UE
La Ley federal revisada de protección de datos de Suiza — la revFADP, a veces denominada nFADP en materiales franceses y alemanes — entró en vigor el 1 de septiembre de 2023 sin el período de gracia plurianual que otorgaron otras jurisdicciones, y pasó los primeros dieciocho meses en una fase que el Comisionado Federal de Protección de Datos e Información (FDPIC) describió públicamente como un período de observación. Ese período ha concluido. A lo largo de 2025, el FDPIC abrió un conjunto visible de investigaciones formales contra responsables del tratamiento suizos y extranjeros, emitió sus primeras decisiones publicadas en virtud de la Ley revisada y alineó sus directrices operativas con el GDPR en la mayoría de los aspectos, manteniendo al mismo tiempo las posiciones claramente suizas en cuestiones específicas — notablemente las transferencias transfronterizas a Estados Unidos, el papel del consentimiento para las cookies no esenciales y el mecanismo de responsabilidad penal que acompaña al régimen administrativo. A principios de 2026, la revFADP ya no es el silencioso hermano del GDPR que los editores podían tratar como un error de redondeo en su programa de la UE. Para cualquier editor, anunciante o plataforma que procese datos personales de personas en Suiza — ya sea con sede en Suiza o atendiendo tráfico suizo desde el extranjero — 2026 es el año en que la revFADP se convierte en una obligación de cumplimiento independiente que necesita su propia auditoría. Esta guía recorre la revFADP tal como se encuentra en 2026, qué requiere realmente el consentimiento de cookies en virtud del derecho suizo, cómo funcionan las transferencias transfronterizas después del realineamiento de adecuación de 2024 y qué revelan los primeros temas de aplicación del FDPIC sobre las prioridades de 2026.
La Estructura de la revFADP en 2026
La revFADP sustituyó el régimen suizo de protección de datos de 1992 por un marco que sigue de cerca al GDPR en la mayoría de los aspectos operativos, manteniendo al mismo tiempo un puñado de posiciones claramente suizas. El Reglamento revisado de protección de datos (rev-OPDP) y el Reglamento sobre certificaciones de protección de datos, ambos en vigor junto a la revFADP, completan los detalles operativos.
Qué Cambió la Revisión
La revisión introdujo: notificación obligatoria de brechas al FDPIC, un requisito de registro de tratamiento para la mayoría de los responsables, evaluaciones de impacto de la protección de datos para el tratamiento de alto riesgo, un alcance verdaderamente extraterritorial similar al artículo 3(2) del GDPR, derechos de los interesados reforzados y un mecanismo de responsabilidad penal aplicable a personas físicas y no solo a la organización controladora. La definición de datos personales, las bases del tratamiento lícito y la estructura de los derechos de los interesados están todos estrechamente alineados con el GDPR, lo que simplifica materialmente el cumplimiento suizo para los editores que ya ejecutan un programa GDPR, pero no lo elimina.
Quién Está Regulado
La revFADP se aplica al tratamiento de datos en Suiza y al tratamiento fuera de Suiza que afecta a personas en Suiza. Los editores extranjeros que atienden tráfico suizo a través de sitios localizados, un dominio .ch, contenido en alemán-francés-italiano-romanche adaptado a audiencias suizas o inventario programático comprado contra IP suizas están típicamente dentro del ámbito, y el FDPIC ha confirmado la interpretación extraterritorial en sus actualizaciones de directrices de 2025.
Multas Administrativas y la Garantía Penal
La desviación más comentada de la revFADP respecto al GDPR es que su arquitectura de sanciones es principalmente penal y no administrativa. Las multas individuales — generalmente dirigidas a las personas físicas responsables, como directores, delegados de protección de datos o responsables de cumplimiento — pueden alcanzar hasta CHF 250.000 por infracción en el caso de infracciones intencionales, con responsabilidad penal paralela para la conducta más grave. El límite máximo es inferior al techo del cuatro por ciento del volumen de negocio del GDPR en términos absolutos, pero la dirección de la responsabilidad — hacia la persona física identificada y no solo la organización — cambia el cálculo de riesgos en la práctica. Varios editores reestructuraron los flujos de trabajo internos de aprobación en 2025 específicamente para distribuir la exposición.
Qué Cuenta como Datos Personales en virtud de la revFADP
La definición de datos personales de la revFADP sigue de cerca al GDPR. Los datos personales son información relativa a una persona identificada o identificable, y el FDPIC ha tratado sistemáticamente las cookies, los identificadores publicitarios, las direcciones IP, las huellas digitales de dispositivos y los perfiles de comportamiento como datos personales cuando pueden vincularse a un individuo directamente o por combinación con otra información.
Datos Personales Especialmente Sensibles
La revFADP designa una categoría denominada datos personales especialmente sensibles que es algo más amplia que las categorías especiales del GDPR. Incluye: datos sobre opiniones y actividades religiosas, filosóficas, políticas o sindicales, datos de salud, datos sobre la esfera íntima o el origen racial o étnico, datos genéticos y biométricos que identifican de forma única a una persona, datos sobre procedimientos y sanciones administrativos y penales, y datos sobre medidas de asistencia social. El tratamiento de datos personales especialmente sensibles activa requisitos elevados de consentimiento y transparencia.
Por qué esto Importa para las Cookies
Una cookie que almacena un identificador publicitario rutinario son datos personales ordinarios. Una cookie que alimenta un segmento de audiencia que toca la lista especialmente sensible — intereses de salud, tendencias políticas, afiliación religiosa — es un tratamiento de datos personales especialmente sensibles y requiere consentimiento explícito, separado del flujo general de consentimiento publicitario. El targeting de audiencia en lengua suiza que se superpone a esta lista debe auditarse específicamente contra el límite, que está trazado de forma ligeramente diferente a la línea de categoría especial del GDPR.
Consentimiento de Cookies en virtud de la revFADP en 2026
La revFADP permite varias bases legítimas para el tratamiento, y a diferencia de la Directiva ePrivacy tal como se aplica en los estados miembros de la UE, el derecho suizo no impone una línea de base únicamente por consentimiento legal para las cookies no esenciales. Sin embargo, en la práctica, las directrices del FDPIC de 2024 y 2025 y las decisiones de aplicación más recientes han convergido en una posición muy cercana a la línea de base de la UE para las cookies vinculadas a publicidad, análisis y elaboración de perfiles en varios contextos.
La Posición Operativa del FDPIC
La posición publicada del FDPIC es que las cookies no esenciales — incluidas las de publicidad, retargeting, análisis entre sitios y personalización — requieren un consentimiento previo, informado, libremente prestado y específico obtenido antes de que se active la cookie. Las cookies estrictamente necesarias y las cookies que respaldan un servicio que el usuario ha solicitado explícitamente pueden establecerse sobre la base del interés legítimo o sobre la base del cumplimiento del contrato sin un aviso de consentimiento previo, pero la carga de clasificar una cookie como estrictamente necesaria recae sobre el responsable del tratamiento y ha sido cuestionada en varias reclamaciones de 2025.
Los Elementos del Consentimiento Válido
El consentimiento en virtud de la revFADP debe ser:
- Libremente prestado — sin coacción, combinación con la prestación de servicios esenciales o una barrera de cookies que condicione el acceso al contenido básico a la aceptación de una cookie no esencial
- Informado — el interesado comprende qué datos se tratan, por quién, con qué finalidad y a qué destinatarios
- Específico — vinculado a finalidades de tratamiento claramente identificadas en lugar de un consentimiento general
- Inequívoco — expresado mediante un acto afirmativo claro, no inferido del desplazamiento, la navegación continuada o la inactividad
- Explícito en los casos que involucran datos personales especialmente sensibles, con consentimiento separado para el tratamiento sensible
Cómo Luce una CMP Conforme para el Tráfico Suizo
Una CMP configurada para Suiza en 2026 debe presentar:
- Un banner servido en el idioma del usuario — alemán, francés, italiano o romanche — antes de que se active cualquier cookie no esencial, con la selección de idioma que coincida con la localización del sitio .ch en lugar de recurrir por defecto al inglés
- Igual prominencia visual para las acciones Aceptar, Rechazar y Configuración — las directrices del FDPIC de 2025 critican explícitamente los diseños de banners donde Rechazar está visualmente minimizado en relación a Aceptar
- Controles granulares por finalidad: análisis, publicidad, personalización, transferencia transfronteriza y cualquier categoría especialmente sensible
- Un flujo de consentimiento separado para cualquier tratamiento de datos personales especialmente sensibles, bloqueado detrás de su propia acción en lugar de combinado en el consentimiento general
- Un mecanismo permanente y fácilmente localizable para retirar el consentimiento después de la elección inicial, con la misma fricción que para otorgar el consentimiento
- Un aviso de privacidad completo en lengua suiza que revele la identidad del responsable, los encargados, las finalidades, los destinatarios, los períodos de retención, los mecanismos de transferencia y la vía de los derechos de los interesados
Registros de Consentimiento
Los responsables deben mantener evidencia del consentimiento — quién dio el consentimiento, cuándo, para qué finalidades específicas y a través de qué interfaz. Los registros de consentimiento inadecuados aparecieron en varias cartas de investigación del FDPIC en 2025, y los registros exportables con marca de tiempo retenidos durante el período del plazo de prescripción aplicable son la expectativa de referencia.
Transferencias Transfronterizas tras el Realineamiento de Adecuación de 2024
Las transferencias transfronterizas de datos son el área de la revFADP donde la posición suiza más claramente se aparta de, y ligeramente se retrasa respecto a, la posición de la UE. El realineamiento de 2024 que siguió a la adopción por parte de la UE del EU-US Data Privacy Framework produjo un Swiss-US Data Privacy Framework paralelo, pero su alcance y condiciones no son idénticos.
Los Mecanismos de Transferencia Reconocidos
La revFADP y la rev-OPDP reconocen varias vías:
- Decisiones de adecuación del Consejo Federal Suizo para países evaluados como que proporcionan protección adecuada — la lista actual incluye el EEA, el Reino Unido y un puñado de otras jurisdicciones
- El Swiss-US Data Privacy Framework para transferencias a organizaciones de EE. UU. autocertificadas en virtud del marco, que sustituyó al Swiss-US Privacy Shield tras 2024
- Cláusulas contractuales tipo (SCC) reconocidas por el FDPIC, incluidas las SCC de la UE con un apéndice suizo que el FDPIC publicó
- Normas corporativas vinculantes (BCR) aprobadas por el FDPIC
- Exenciones específicas que incluyen el consentimiento explícito con divulgación adecuada, la necesidad del contrato, el interés vital y el interés público sustancial
El Swiss-US DPF en la Práctica
El Swiss-US DPF cubre las transferencias a organizaciones de EE. UU. que se han autocertificado y mantenido su certificación. Los editores deben verificar el estado de certificación activa de cada proveedor de tecnología publicitaria o analítica de EE. UU. en la lista del DPF en lugar de depender de una comprobación única, porque las certificaciones vencidas no invalidan retroactivamente las transferencias anteriores, pero sí requieren una solución inmediata para los flujos en curso. Cuando un proveedor no está certificado DPF, las SCC de la UE con el apéndice suizo del FDPIC siguen siendo la alternativa operativa.
El Enfoque Práctico para 2026
Para la mayoría de los editores, el enfoque operativo es mapear cada flujo de datos transfronterizo del tráfico suizo a su país de destino y mecanismo, ejecutar las SCC-con-apéndice-suizo adecuadas donde la certificación DPF no cubra al proveedor, documentar el mecanismo en el aviso de privacidad en lengua suiza y complementar con autorización basada en consentimiento solo donde los mecanismos estructurados no se ajusten limpiamente al tratamiento.
Derechos de los Interesados en virtud de la revFADP
La revFADP otorga un conjunto de derechos que sigue de cerca al GDPR, con algunos contornos específicamente suizos:
- Derecho de acceso a los datos personales en poder del responsable, con un primer acceso gratuito al año y un límite de recuperación de costes para solicitudes posteriores o de gran alcance
- Derecho de rectificación de datos inexactos o incompletos
- Derecho de supresión
- Derecho a limitar el tratamiento
- Derecho a la portabilidad de los datos tratados por medios automatizados sobre la base del consentimiento o contrato
- Derecho de oposición al tratamiento
- Derecho a retirar el consentimiento
- Derecho a no ser objeto de una decisión individual automatizada que produzca efectos jurídicos o similares de importancia significativa, con una salvaguarda para la revisión manual
- Derecho a presentar una reclamación ante el FDPIC o a entablar procedimientos civiles
Plazos de Respuesta
Los responsables deben responder a las solicitudes de los interesados en un plazo de 30 días en virtud del marco general, ampliable mediante notificación motivada en casos complejos. La preparación operativa para esta ventana — con herramientas en lengua suiza y manuales de operaciones en alemán, francés e italiano — es una brecha habitual para los editores extranjeros que han ajustado su programa a un único idioma europeo.
Sanciones y Postura de Aplicación en 2026
La actividad de aplicación del FDPIC se intensificó significativamente durante 2024 y 2025, y 2026 continúa la trayectoria en lugar de estabilizarse.
La Estructura de Multas
Las multas son principalmente de naturaleza penal y dirigidas a personas físicas concretas — directores, DPOs, responsables de cumplimiento — con un límite de CHF 250.000 por infracción intencional. Las categorías más citadas en la aplicación de 2025 fueron: información insuficiente a los interesados, incumplimiento del deber de diligencia debida en las transferencias transfronterizas, incumplimiento del deber de notificar brechas de datos al FDPIC dentro del plazo requerido e incumplimiento de las decisiones u órdenes del FDPIC.
La Garantía de Responsabilidad Penal
A diferencia del GDPR, la vía de responsabilidad penal de la revFADP es contra la persona física responsable y no únicamente contra la entidad jurídica, lo que provocó una reestructuración interna sustancial de los flujos de trabajo de aprobación en 2025. El efecto práctico es que las atestaciones de cumplimiento y los rastros de auditoría importan no solo para la exposición de la organización sino también para la exposición del individuo — y los DPOs en particular han adaptado la práctica de documentación para reflejar esto.
Temas de Aplicación
Las actuaciones del FDPIC de 2025 y principios de 2026 se agrupan en torno a: banners de cookies que minimizan visualmente la acción Rechazar o utilizan casillas marcadas previamente, avisos de privacidad no disponibles en el idioma nacional suizo del usuario, transferencias transfronterizas a proveedores de EE. UU. que no están certificados DPF y carecen de mecanismo alternativo, no responder a solicitudes de interesados dentro del plazo de 30 días y notificaciones de brechas tardías o ausentes. Los editores extranjeros han sido citados en las cinco categorías, con las categorías de diseño de banners y transferencias transfronterizas liderando el expediente.
Lista de Verificación de Auditoría para Tráfico Suizo en 2026
- El banner de la CMP se sirve en el idioma nacional suizo del usuario (DE, FR, IT o RM) con igual prominencia visual para Aceptar, Rechazar y Configuración
- Las finalidades del consentimiento son granulares y separan el tratamiento especialmente sensible detrás de su propio flujo de consentimiento
- El aviso de privacidad está disponible en cada idioma suizo relevante con divulgación completa del responsable, encargados, finalidades, retención, derechos y vía de reclamación ante el FDPIC
- Cada flujo transfronterizo del tráfico suizo está mapeado a su destino y mecanismo — adecuación, certificación Swiss-US DPF, SCC con apéndice suizo del FDPIC, BCR o exención documentada
- El estado de certificación DPF del proveedor de EE. UU. se reverifica en la lista publicada en lugar de tomarse una vez y olvidarse
- Los registros de consentimiento tienen marca de tiempo, son exportables y se retienen durante el período del plazo de prescripción aplicable
- El flujo de trabajo de solicitudes de interesados puede responder en 30 días de principio a fin, en alemán, francés e italiano
- El manual de notificación de brechas está ajustado a los plazos de la revFADP e integrado con el proceso interno de respuesta a incidentes
- Los flujos de trabajo de aprobación reflejan la arquitectura de responsabilidad penal individual, con aprobadores designados y rastro de documentación
- Los segmentos de audiencia de categorías especialmente sensibles están bloqueados detrás de un consentimiento explícito obtenido por separado
- La clasificación de cookies ha sido revisada con ojo crítico sobre qué cookies realmente califican como estrictamente necesarias según las directrices del FDPIC
Las Perspectivas para 2026
El régimen de protección de datos de Suiza ha madurado de un estatuto antiguo respetado pero silencioso a un instrumento operativo con la especificidad operativa, la capacidad de aplicación y la arquitectura de responsabilidad penal para dar forma a las prioridades de cumplimiento de forma independiente en lugar de simplemente apoyarse en el programa de la UE. El realineamiento de adecuación de 2024 cerró la brecha estructural más importante en torno a las transferencias a EE. UU., y la postura de aplicación escalada del FDPIC en 2025 es coherente con un regulador que se expande de manera sostenida en lugar de llevar a cabo una campaña puntual. Para los editores que ya ejecutan una pila de consentimiento de nivel GDPR, la brecha hasta el cumplimiento de la revFADP es más estrecha que la brecha para cualquier otra jurisdicción fuera de la UE — pero es real, y vive en los detalles: banners y avisos en lengua suiza, mapeo DPF versus SCC para cada proveedor de EE. UU., la línea ligeramente diferente de la categoría especialmente sensible, el ritmo de respuesta de 30 días en tres o cuatro idiomas y la arquitectura de responsabilidad penal que hace de la documentación individual de aprobación un artefacto de cumplimiento de primer orden en lugar de algo deseable pero opcional. La brecha puede cerrarse en semanas si se prioriza, y los CPM suizos de los editores hacen que la priorización sea económicamente directa. Los editores que trataron silenciosamente a Suiza como un paso de GDPR hasta 2024 encuentran 2026 significativamente más exigente, y la tendencia es clara.