Declaración de protección de datos para su sitio web: lo que exige la nueva LPD en Suiza

Desde el 1 de septiembre de 2023 rige en Suiza la nueva Ley Federal de Protección de Datos (nLPD). Quien recopila datos personales a través de un sitio web, por ejemplo con un formulario de contacto, una herramienta de análisis, un boletín o simplemente con los registros del servidor web, debe informar de ello a los visitantes (art. 19 LPD). En la práctica, esto se hace con una declaración de protección de datos accesible desde cada página. Indica como mínimo al responsable y sus datos de contacto, las finalidades del tratamiento, los destinatarios y, si los datos se comunican al extranjero, los Estados y las garantías.

Este artículo es información general y no constituye asesoramiento jurídico. Para su caso concreto, consulte a un especialista en derecho de protección de datos.

Qué ha cambiado con la nueva LPD

• La ley (RS 235.1) y la Ordenanza sobre la Protección de Datos OPD (RS 235.11) rigen desde el 1 de septiembre de 2023.
• Solo se protegen los datos de personas físicas, ya no los de empresas y otras personas jurídicas.
• El deber de informar se aplica a toda recopilación de datos personales. Antes, en el sector privado, solo se aplicaba a datos sensibles y perfiles de la personalidad.
• Quien infrinja intencionadamente el deber de informar puede ser sancionado, previa denuncia, con una multa de hasta CHF 250 000 (art. 60 LPD). La multa recae sobre la persona responsable, por ejemplo la directora o el propietario.
• Las violaciones de la seguridad de los datos que probablemente supongan un riesgo elevado para las personas afectadas deben notificarse al PFPDT lo antes posible (art. 24 LPD).
• Las empresas llevan un registro de las actividades de tratamiento (art. 12 LPD). Quedan exentas las empresas con menos de 250 empleados, siempre que no traten datos sensibles a gran escala ni realicen perfiles de alto riesgo (art. 24 OPD).

La información obligatoria según el art. 19 LPD

El art. 19 exige toda la información necesaria para que las personas afectadas puedan ejercer sus derechos y se garantice un tratamiento transparente. Como mínimo, se trata de los siguientes datos:

No lo exige expresamente la ley, pero es recomendable y habitual en la práctica: qué datos recopila en detalle, cuánto tiempo los conserva, qué derechos tienen las personas afectadas (en particular el acceso según el art. 25 LPD, la rectificación y la supresión), qué cookies y servicios utiliza y cómo oponerse, así como la fecha de la última modificación.

En sus indicaciones sobre las declaraciones de protección de datos en internet, el PFPDT recomienda una presentación por niveles: primero un resumen breve y comprensible, después los detalles. La declaración debe ser fácilmente accesible desde cada página, estar disponible en todos los idiomas del sitio y evitar formulaciones vagas como «en determinadas circunstancias».

Consejo: La declaración debe corresponder a la realidad. Antes de redactarla, compruebe qué servicios carga realmente su sitio web, por ejemplo en las herramientas para desarrolladores del navegador, pestaña «Red». Las plantillas son un comienzo, pero no sustituyen este inventario.

Cookies, análisis y servicios integrados

La LPD no exige un banner de cookies. La disposición determinante es el art. 45c de la Ley de Telecomunicaciones (LTC): quien trata datos en el dispositivo de los visitantes, por ejemplo con cookies, debe informarles del tratamiento y de su finalidad e indicarles que pueden rechazarlo. El PFPDT ha concretado su postura en una guía sobre cookies y tecnologías similares (versión 1.1 del 6 de octubre de 2025). La LPD exige un consentimiento expreso para tratar datos sensibles y para la elaboración de perfiles de alto riesgo (art. 6 apdo. 7 LPD).

• Cookies técnicamente necesarias, por ejemplo para la sesión, el carrito o el idioma: basta con informar en la declaración.
• Estadísticas, por ejemplo con Matomo o Google Analytics: descríbalas en la declaración, permita un rechazo sencillo e indique las garantías de los proveedores en el extranjero.
• Marketing y seguimiento entre varios sitios web, como píxeles publicitarios y remarketing: según la guía del PFPDT, aquí suele ser necesario un consentimiento.
• Contenidos integrados como vídeos de YouTube, Google Maps, fuentes cargadas desde servidores de terceros o plugins de redes sociales: transmiten la dirección IP al proveedor en cuanto se carga la página. Integre las fuentes de forma local y cargue mapas o vídeos solo tras un clic.

Diseñe un banner equilibrado: rechazar debe ser tan fácil como aceptar, sin botones ocultos ni casillas premarcadas. Si tiene visitantes de la UE, las normas europeas exigen de todos modos un consentimiento previo para las cookies no necesarias. Por eso, muchos sitios web suizos piden el consentimiento a todos los visitantes.

Formulario de contacto, boletín y registros del servidor

• Formulario de contacto: pida solo lo que necesita para responder e indique la finalidad y el plazo de conservación. El formulario debe funcionar con HTTPS. Una protección antispam como Google reCAPTCHA transmite datos a Google y debe figurar en la declaración.
• Boletín: haga confirmar la suscripción mediante un enlace de confirmación (doble opt-in) para poder demostrar el consentimiento y ofrezca la baja en cada envío. Según el art. 3 apdo. 1 letra o LCD, la publicidad masiva por correo requiere en principio un consentimiento previo. Indique el servicio de envío como destinatario.
• Registros del servidor: en cada solicitud, el servidor web guarda, entre otros datos, la dirección IP, la hora, la página solicitada y el navegador. Esto sirve para el funcionamiento y la seguridad y debe figurar en la declaración con el plazo de conservación.
• Tienda en línea y cuenta de cliente: los proveedores de pago, los servicios de envío y el software de contabilidad son destinatarios y deben indicarse.

Proveedor de hosting y otros proveedores: el encargo del tratamiento

Su proveedor de hosting, su servicio de boletines o su CRM tratan datos personales por encargo suyo. Según el art. 9 LPD, esto está permitido si lo prevé un contrato o la ley, si el proveedor trata los datos solo como usted mismo podría hacerlo y si usted se asegura de que garantiza la seguridad de los datos. Solo puede recurrir a otros subencargados con su autorización previa. Estas reglas suelen figurar en las condiciones generales o en un contrato de encargo del tratamiento separado.

Si los datos se comunican al extranjero, se aplica el art. 16 LPD: sin más medidas, es posible hacia Estados cuya protección de datos el Consejo Federal ha reconocido como adecuada. La lista figura en el anexo 1 de la OPD e incluye, entre otros, los Estados de la UE y del EEE. Para otros Estados se necesitan garantías adecuadas, normalmente cláusulas contractuales tipo reconocidas por el PFPDT. Para EE. UU., desde el 15 de septiembre de 2024 el Consejo Federal reconoce a las empresas certificadas según el Swiss-U.S. Data Privacy Framework. En la declaración, indique los Estados y las garantías correspondientes.

Cuándo se aplica también el RGPD

Según su art. 3 apdo. 2, el Reglamento General de Protección de Datos de la UE se aplica también a las empresas suizas que ofrecen de forma dirigida bienes o servicios a personas en la UE u observan su comportamiento, por ejemplo con herramientas de seguimiento. Son indicios de una oferta dirigida los envíos a la UE, los precios en euros o la publicidad orientada a países de la UE. En Liechtenstein, como Estado del EEE, el RGPD se aplica directamente.

El RGPD exige más información que la LPD, entre otras la base jurídica de cada tratamiento, el plazo de conservación, todos los derechos de los interesados y el derecho a presentar una reclamación ante una autoridad de control (art. 13 RGPD). Según el alcance, también puede necesitarse un representante en la UE (art. 27 RGPD).

Consejo: Muchas pymes redactan una única declaración que cubre tanto la LPD como el RGPD. Así mantiene un solo documento y está preparado también para los visitantes de la UE.

Lista de comprobación para su sitio web

1. Inventario: ¿qué datos personales recopila y dónde? Formularios, tienda, boletín, registros, análisis, contenidos integrados, chat.
2. Registrar todos los servicios externos con la sede del proveedor y comprobar si el Estado figura en la lista del anexo 1 de la OPD o qué garantías existen.
3. Redactar la declaración con la información del art. 19 LPD, completada con derechos, conservación y contacto.
4. Colocar el enlace en el pie de cada página, en todos los idiomas del sitio.
5. Revisar las cookies: permitir el rechazo y obtener el consentimiento para el seguimiento y para los visitantes de la UE.
6. Revisar los contratos de encargo del tratamiento con el proveedor de hosting y los demás proveedores.
7. HTTPS en todo el sitio web, incluidos todos los formularios.
8. Aclarar si debe llevar un registro de las actividades de tratamiento.
9. Definir procedimientos para las solicitudes de acceso, que por regla general deben responderse en un plazo de 30 días (art. 18 OPD), y para las violaciones de la seguridad de los datos.
10. Revisar la declaración cada año y con cada nuevo servicio, y actualizar la fecha de modificación.

Los textos legales están en la recopilación oficial en fedlex.admin.ch (LPD: RS 235.1, OPD: RS 235.11, LTC: RS 784.10). El PFPDT ofrece indicaciones, guías y el portal de notificación de violaciones de la seguridad de los datos en edoeb.admin.ch.

En HostOn, el encargo del tratamiento de los datos que guarda en su hosting web, sus buzones y sus servidores está regulado en las condiciones generales (núm. 14). Los certificados SSL gratuitos para todos los dominios están incluidos en cada plan de hosting web, desde Hosting web Rigi por CHF 11.90 al mes IVA incl., de modo que los formularios se transmiten cifrados desde el principio.