Τι Είναι το revFADP & Γιατί Πρέπει να Ενδιαφέρει τους Εκδότες Εφαρμογών

Η Ελβετία δεν είναι στην ΕΕ, οπότε ο GDPR δεν ισχύει εκεί άμεσα. Αντ' αυτού, η χώρα διαθέτει το δικό της καθεστώς: τον αναθεωρημένο Ομοσπονδιακό Νόμο για την Προστασία Δεδομένων, ή revFADP (στα γερμανικά, revDSG), πλήρως σε ισχύ από την 1η Σεπτεμβρίου 2023. Η αναθεώρηση έφερε το ελβετικό δίκαιο πολύ πιο κοντά στον GDPR, διατηρώντας παράλληλα ορισμένες χαρακτηριστικά ελβετικές ιδιαιτερότητες.

Για τους εκδότες εφαρμογών και παιχνιδιών κινητής, η Ελβετία έχει μεγαλύτερη σημασία από όση υποδηλώνει το μέγεθός της: μια πλούσια αγορά με υψηλά διαφημιστικά eCPM και ένα ουσιαστικό κομμάτι πολλών βάσεων εγκαταστάσεων. Το να την αντιμετωπίζετε ως «βασικά GDPR» — ή να την αγνοείτε — ρισκάρει τόσο κενά συμμόρφωσης όσο και χαμένη χρηματοποίηση.

Πώς το revFADP Διαφέρει Από τον GDPR

Οι δύο νόμοι ομοιοκαταληκτούν, αλλά δεν είναι πανομοιότυποι. Η γνώση των διαφορών σας προφυλάσσει από το υπερβολικό ή ανεπαρκή σχεδιασμό της ροής συγκατάθεσής σας.

• Η εξαίρεση ως προεπιλεγμένη βάση. Σε αντίθεση με την αυστηρή επιλογή συμμετοχής του GDPR για τις περισσότερες επεξεργασίες, το revFADP επιτρέπει γενικά την επεξεργασία εκτός αν ο νόμος τη περιορίζει — η διαφάνεια είναι το κεντρικό καθήκον αντί για την καθολική προηγούμενη συγκατάθεση.
• Στενότερες αφορμές συγκατάθεσης. Η ρητή συγκατάθεση απαιτείται κυρίως για προφίλ υψηλού κινδύνου και ευαίσθητα δεδομένα (υγεία, θρησκεία, βιομετρικά, γενετικά δεδομένα και παρόμοια).
• Κανένας υποχρεωτικός DPO, αν και το ελβετικό δίκαιο ενθαρρύνει τον διορισμό ενός συμβούλου προστασίας δεδομένων.
• Το εποπτικό όργανο είναι ο FDPIC (Ομοσπονδιακός Επίτροπος Προστασίας Δεδομένων και Πληροφοριών), όχι ένα δίκτυο DPA τύπου ΕΕ.

Απαιτήσεις Συγκατάθεσης & Διαφάνειας

Η καρδιά του revFADP είναι η ενημερωμένη διαφάνεια. Ακόμα και εκεί όπου η συγκατάθεση δεν είναι αυστηρά υποχρεωτική, πρέπει να πείτε στους χρήστες σαφώς τι συλλέγετε και γιατί. Στην πράξη, οι εφαρμογές που χρηματοδοτούνται από διαφημίσεις εξακολουθούν να χρειάζονται έναν γνήσιο μηχανισμό συγκατάθεσης επειδή η αλυσίδα εφοδιασμού διαφημίσεων — Google, προμηθευτές IAB, συνεργάτες μέτρησης — απαιτεί σήματα για να λειτουργήσει. Οι εκδότες πρέπει να παρέχουν:

• Μια σαφή ειδοποίηση ιδιωτικότητας που περιγράφει τις κατηγορίες δεδομένων, τους σκοπούς, τη διατήρηση και τις διασυνοριακές μεταφορές.
• Μια προτροπή συγκατάθεσης πριν ενεργοποιηθούν μη ουσιώδης παρακολούθηση, διαφημιστικά αναγνωριστικά ή SDK προφίλ.
• Λεπτομερείς ελέγχους ώστε οι χρήστες να μπορούν να αποδεχτούν ή να απορρίψουν τη διαφήμιση και τα analytics ξεχωριστά.
• Αποκάλυψη της αυτοματοποιημένης λήψης αποφάσεων και του προφίλ υψηλού κινδύνου όπου συμβαίνει.

Επειδή η Google απαιτεί ένα πιστοποιημένο CMP για την προβολή εξατομικευμένων διαφημίσεων σε χρήστες στον ΕΟΧ, το ΗΒ και την Ελβετία, ένα συμμορφούμενο επίπεδο συγκατάθεσης είναι ουσιαστικά απαίτηση χρηματοποίησης. Τα σήματα του Google Consent Mode v2 (ad_storage, ad_user_data, ad_personalization) θα πρέπει να αντικατοπτρίζουν τις επιλογές των Ελβετών χρηστών όπως ακριβώς και για τους χρήστες της ΕΕ.

Εξωεδαφικό Πεδίο Εφαρμογής

Όπως ο GDPR, το revFADP εκτείνεται πέρα από τα ελβετικά σύνορα. Ισχύει για κάθε επεξεργασία που έχει αποτέλεσμα στην Ελβετία, ανεξάρτητα από το πού είναι καταχωρισμένη η εταιρεία σας ή πού βρίσκονται οι διακομιστές σας. Ένα στούντιο παιχνιδιών στη Σιγκαπούρη, την Τουρκία ή τις ΗΠΑ με Ελβετούς παίκτες εμπίπτει πλήρως στο πεδίο εφαρμογής.

Καίριας σημασίας είναι ότι οι ξένες επιχειρήσεις χωρίς ελβετική εγκατάσταση μπορεί να χρειαστεί να διορίσουν εκπρόσωπο στην Ελβετία αν επεξεργάζονται δεδομένα Ελβετών κατοίκων σε μεγάλη κλίμακα, τακτικά, ενώ προσφέρουν αγαθά ή υπηρεσίες. Πολλές εφαρμογές που υποστηρίζονται από διαφημίσεις ξεπερνούν αυτό το όριο χωρίς να το συνειδητοποιούν.

Ποινές & Προσωπική Ευθύνη

Εδώ είναι η έκπληξη που πιάνει πολλούς εκδότες απροετοίμαστους: οι ποινές του revFADP δεν είναι εταιρικά πρόστιμα — στοχεύουν άτομα. Τα υπεύθυνα πρόσωπα (συχνά στελέχη ή όποιος έλαβε την απόφαση) μπορούν να επιβληθούν πρόστιμο έως 250.000 CHF για παραβάσεις όπως η μη παροχή των απαιτούμενων πληροφοριών, η παραβίαση των καθηκόντων διαφάνειας ή αποκάλυψης, η αγνόηση των ελάχιστων απαιτήσεων ασφάλειας δεδομένων ή η μη διορισμός εκπροσώπου.

Επειδή η ευθύνη είναι προσωπική και ποινικής φύσης, το «θα πληρώσουμε το πρόστιμο αν έρθει» είναι μια πολύ ασθενέστερη στρατηγική απ' ό,τι υπό τον GDPR. Δημιουργεί άμεση έκθεση για τους ιδρυτές και τους διαχειριστές — αυξάνοντας το διακύβευμα για τη σωστή συγκατάθεση και αποκάλυψη από την πρώτη φορά.

Μια Πρακτική Λίστα Ελέγχου για Εκδότες που Εξυπηρετούν Ελβετούς Χρήστες

• Εντοπίστε την ελβετική κίνηση και εφαρμόστε μια εμπειρία συγκατάθεσης επιπέδου GDPR — μην εξαιρείτε την Ελβετία από τη ροή σας για την ΕΕ.
• Δημοσιεύστε μια διαφανή ειδοποίηση ιδιωτικότητας που καλύπτει τους σκοπούς, τη διατήρηση και τις διασυνοριακές μεταφορές.
• Περιορίστε τα SDK διαφήμισης και analytics πίσω από συγκατάθεση και συνδέστε τις επιλογές στο Consent Mode v2.
• Αξιολογήστε αν χρειάζεστε Ελβετό εκπρόσωπο και αρχείο δραστηριοτήτων επεξεργασίας.
• Διατηρήστε αρχεία καταγραφής ελέγχου της συγκατάθεσης για να αποδείξετε τη συμμόρφωση στον FDPIC.

Εδώ ένα πολυπεριφερειακό CMP αποδεικνύει την αξία του. Το FlexyConsent είναι μια πιστοποιημένη από την Google Πλατφόρμα Διαχείρισης Συγκατάθεσης που υποστηρίζει IAB TCF 2.3 και Consent Mode v2, και χειρίζεται την κάλυψη Ελβετίας και ΕΕ από μία μόνο ενσωμάτωση — εντοπίζοντας την περιοχή, εμφανίζοντας τη σωστή ειδοποίηση, καταγράφοντας λεπτομερείς επιλογές και αποθηκεύοντας αρχεία συγκατάθεσης που μπορείτε να παρουσιάσετε κατ' απαίτηση. Παραμένετε συμμορφούμενοι με το revFADP και τον GDPR χωρίς ξεχωριστές ροές ή χαμένα διαφημιστικά έσοδα.

Αυτό το άρθρο είναι για γενική πληροφόρηση και δεν αποτελεί νομική συμβουλή· συμβουλευτείτε εξειδικευμένο νομικό σύμβουλο για τη συγκεκριμένη σας κατάσταση.

Βασικά Συμπεράσματα

• Το revFADP ισχύει από τον Σεπτέμβριο του 2023 και φτάνει κάθε εφαρμογή της οποίας η επεξεργασία επηρεάζει Ελβετούς χρήστες, οπουδήποτε κι αν εδρεύει ο εκδότης.
• Στηρίζεται στη διαφάνεια αντί στην καθολική επιλογή συμμετοχής, αλλά οι εφαρμογές που χρηματοδοτούνται από διαφημίσεις εξακολουθούν να χρειάζονται ένα πραγματικό επίπεδο συγκατάθεσης για να χρηματοποιήσουν.
• Οι ποινές είναι προσωπικές — τα άτομα αντιμετωπίζουν πρόστιμα έως 250.000 CHF — οπότε η συμμόρφωση είναι ζήτημα επιπέδου ηγεσίας.
• Ένα πολυπεριφερειακό CMP όπως το FlexyConsent καλύπτει τους ελβετικούς και τους ευρωπαϊκούς κανόνες μαζί μέσω TCF 2.3 και Consent Mode v2.