Què és la revFADP i per què hi haurien de parar atenció els editors d'apps

Suïssa no és a la UE, així que el RGPD no s'hi aplica directament. En canvi, el país té el seu propi règim: la Llei federal de protecció de dades revisada, o revFADP (en alemany, revDSG), plenament en vigor des de l'1 de setembre de 2023. La revisió va acostar molt la llei suïssa al RGPD tot mantenint algunes peculiaritats distintivament suïsses.

Per als editors d'apps i jocs mòbils, Suïssa importa més del que la seva mida suggereix: un mercat ric amb eCPM publicitaris alts i una porció significativa de moltes bases d'instal·lacions. Tractar-la com "bàsicament RGPD" — o ignorar-la — arrisca tant llacunes de compliment com pèrdua de monetització.

Com es diferencia la revFADP del RGPD

Les dues lleis rimen, però no són idèntiques. Conèixer les diferències evita que sobredimensioneu o infradimensioneu el vostre flux de consentiment.

• L'exclusió com a punt de partida per defecte. A diferència de l'estricta inclusió del RGPD per a la majoria de tractaments, la revFADP generalment permet el tractament tret que la llei el restringeixi — la transparència és el deure central en comptes del consentiment previ universal.
• Desencadenants de consentiment més estrets. El consentiment explícit es requereix principalment per a l'elaboració de perfils d'alt risc i les dades sensibles (salut, religió, biomètriques, dades genètiques i similars).
• Cap DPO obligatori, tot i que la llei suïssa fomenta nomenar un assessor de protecció de dades.
• L'òrgan de supervisió és el FDPIC (Comissari Federal de Protecció de Dades i Informació), no una xarxa d'APD d'estil UE.

Requisits de consentiment i transparència

El cor de la revFADP és la transparència informada. Fins i tot quan el consentiment no és estrictament obligatori, heu de dir als usuaris clarament què recolliu i per què. A la pràctica, les apps finançades amb publicitat encara necessiten un mecanisme de consentiment genuí perquè la cadena de subministrament publicitari — Google, proveïdors de l'IAB, socis de mesurament — demana senyals per operar. Els editors haurien de proporcionar:

• Un avís de privacitat clar que descrigui les categories de dades, les finalitats, la conservació i les transferències transfrontereres.
• Una sol·licitud de consentiment abans que s'activin el seguiment no essencial, els identificadors publicitaris o els SDK d'elaboració de perfils.
• Controls granulars perquè els usuaris puguin acceptar o rebutjar la publicitat i l'analítica per separat.
• Divulgació de la presa de decisions automatitzada i l'elaboració de perfils d'alt risc on es produeixi.

Com que Google requereix una CMP certificada per servir anuncis personalitzats a usuaris de l'EEE, el Regne Unit i Suïssa, una capa de consentiment conforme és efectivament un requisit de monetització. Els senyals de Google Consent Mode v2 (ad_storage, ad_user_data, ad_personalization) haurien de reflectir les eleccions dels usuaris suïssos igual que ho fan per als usuaris de la UE.

Abast extraterritorial

Com el RGPD, la revFADP arriba més enllà de les fronteres suïsses. S'aplica a qualsevol tractament que tingui un efecte a Suïssa, independentment d'on estigui constituïda la vostra empresa o d'on siguin els vostres servidors. Un estudi de jocs a Singapur, Turquia o els EUA amb jugadors suïssos hi entra de ple.

És crucial que les empreses estrangeres sense un establiment suís puguin haver de nomenar un representant a Suïssa si tracten dades de residents suïssos a gran escala, regularment, mentre ofereixen béns o serveis. Moltes apps finançades amb publicitat superen aquest llindar sense adonar-se'n.

Sancions i responsabilitat personal

Aquí ve la sorpresa que agafa molts editors desprevinguts: les sancions de la revFADP no són multes corporatives — van dirigides a individus. Les persones responsables (sovint directius o qui hagi pres la decisió) poden ser multades amb fins a 250.000 CHF per infraccions com no proporcionar la informació requerida, vulnerar els deures de transparència o divulgació, ignorar els requisits mínims de seguretat de les dades o no nomenar un representant.

Com que la responsabilitat és personal i de naturalesa penal, "ja pagarem la multa si arriba" és una estratègia molt més feble que sota el RGPD. Crea una exposició directa per a fundadors i gestors — augmentant el que hi ha en joc per encertar el consentiment i la divulgació a la primera.

Una llista de verificació pràctica per a editors que serveixen usuaris suïssos

• Detecteu el trànsit suís i apliqueu una experiència de consentiment de nivell RGPD — no excloeu Suïssa del vostre flux de la UE.
• Publiqueu un avís de privacitat transparent que cobreixi finalitats, conservació i transferències transfrontereres.
• Restringiu els SDK de publicitat i analítica darrere del consentiment i connecteu les eleccions amb Consent Mode v2.
• Avalueu si necessiteu un representant suís i un registre de les activitats de tractament.
• Manteniu registres d'auditoria del consentiment per demostrar el compliment al FDPIC.

Aquí és on una CMP multiregió es guanya el sou. FlexyConsent és una plataforma de gestió del consentiment certificada per Google compatible amb IAB TCF 2.3 i Consent Mode v2, i gestiona la cobertura suïssa i de la UE des d'una única integració — detectant la regió, mostrant l'avís correcte, capturant eleccions granulars i emmagatzemant registres de consentiment que podeu produir a petició. Us manteniu conformes tant amb la revFADP com amb el RGPD sense fluxos separats ni pèrdua d'ingressos publicitaris.

Aquest article és informació general i no és assessorament jurídic; consulteu un advocat qualificat per a la vostra situació específica.

Punts clau

• La revFADP s'aplica des del setembre de 2023 i arriba a qualsevol app el tractament de la qual afecti usuaris suïssos, allà on estigui l'editor.
• S'inclina cap a la transparència en comptes de la inclusió universal, però les apps finançades amb publicitat encara necessiten una capa de consentiment real per monetitzar.
• Les sancions són personals — els individus s'enfronten a multes de fins a 250.000 CHF — així que el compliment és una preocupació de nivell directiu.
• Una CMP multiregió com FlexyConsent cobreix les normes suïsses i de la UE conjuntament mitjançant TCF 2.3 i Consent Mode v2.