Qué es la revFADP y por qué deberían importarle a los editores de apps

Suiza no está en la UE, así que el RGPD no se aplica allí directamente. En su lugar, el país tiene su propio régimen: la Ley Federal de Protección de Datos revisada, o revFADP (en alemán, revDSG), plenamente en vigor desde el 1 de septiembre de 2023. La revisión acercó mucho la ley suiza al RGPD manteniendo a la vez algunas peculiaridades claramente suizas.

Para los editores de apps y juegos móviles, Suiza importa más de lo que su tamaño sugiere: un mercado adinerado con altos eCPM publicitarios y una porción significativa de muchas bases de instalación. Tratarla como "básicamente RGPD" — o ignorarla — arriesga tanto lagunas de cumplimiento como pérdida de monetización.

En qué se diferencia la revFADP del RGPD

Las dos leyes riman, pero no son idénticas. Conocer las diferencias evita que sobredimensiones o infradimensiones tu flujo de consentimiento.

• La exclusión voluntaria como base por defecto. A diferencia de la estricta aceptación previa del RGPD para la mayoría de los tratamientos, la revFADP permite por lo general el tratamiento salvo que la ley lo restrinja — la transparencia es el deber central, en lugar del consentimiento previo universal.
• Detonantes de consentimiento más estrechos. El consentimiento explícito se exige principalmente para la elaboración de perfiles de alto riesgo y los datos sensibles (salud, religión, biometría, datos genéticos y similares).
• No hay DPO obligatorio, aunque la ley suiza fomenta nombrar a un asesor de protección de datos.
• El organismo supervisor es el FDPIC (Comisionado Federal de Protección de Datos e Información), no una red de APD al estilo de la UE.

Requisitos de consentimiento y transparencia

El corazón de la revFADP es la transparencia informada. Incluso allí donde el consentimiento no sea estrictamente obligatorio, debes decir a los usuarios con claridad qué recopilas y por qué. En la práctica, las apps financiadas con publicidad siguen necesitando un mecanismo de consentimiento genuino porque la cadena de suministro publicitaria — Google, los proveedores del IAB, los socios de medición — exige señales para operar. Los editores deberían proporcionar:

• Un aviso de privacidad claro que describa las categorías de datos, las finalidades, la conservación y las transferencias transfronterizas.
• Un aviso de consentimiento antes de que se activen el seguimiento no esencial, los identificadores publicitarios o los SDK de elaboración de perfiles.
• Controles granulares para que los usuarios puedan aceptar o rechazar por separado la publicidad y la analítica.
• Divulgación de la toma de decisiones automatizada y la elaboración de perfiles de alto riesgo donde se produzca.

Como Google exige un CMP certificado para servir anuncios personalizados a usuarios en el EEE, el Reino Unido y Suiza, una capa de consentimiento conforme es en la práctica un requisito de monetización. Las señales de Google Consent Mode v2 (ad_storage, ad_user_data, ad_personalization) deben reflejar las elecciones de los usuarios suizos igual que lo hacen para los usuarios de la UE.

Alcance extraterritorial

Al igual que el RGPD, la revFADP llega más allá de las fronteras suizas. Se aplica a cualquier tratamiento que tenga un efecto en Suiza, independientemente de dónde esté constituida tu empresa o dónde se encuentren tus servidores. Un estudio de juegos en Singapur, Turquía o EE. UU. con jugadores suizos está de lleno dentro del ámbito.

Es fundamental señalar que las empresas extranjeras sin establecimiento suizo pueden tener que nombrar a un representante en Suiza si tratan datos de residentes suizos a gran escala, de forma regular, mientras ofrecen bienes o servicios. Muchas apps financiadas con publicidad cruzan ese umbral sin darse cuenta.

Sanciones y responsabilidad personal

Aquí está la sorpresa que pilla desprevenidos a muchos editores: las sanciones de la revFADP no son multas corporativas — van dirigidas a los individuos. Las personas responsables (a menudo directivos o quien tomó la decisión) pueden ser multadas con hasta 250.000 CHF por infracciones como no proporcionar la información requerida, vulnerar los deberes de transparencia o divulgación, ignorar los requisitos mínimos de seguridad de los datos o no nombrar a un representante.

Como la responsabilidad es personal y de naturaleza penal, "pagaremos la multa si llega" es una estrategia mucho más débil que bajo el RGPD. Crea una exposición directa para fundadores y gestores — elevando lo que está en juego para acertar con el consentimiento y la divulgación a la primera.

Una lista de comprobación práctica para editores que dan servicio a usuarios suizos

• Detecta el tráfico suizo y aplica una experiencia de consentimiento de nivel RGPD — no excluyas a Suiza de tu flujo de la UE.
• Publica un aviso de privacidad transparente que cubra finalidades, conservación y transferencias transfronterizas.
• Condiciona los SDK de publicidad y analítica al consentimiento y conecta las elecciones con Consent Mode v2.
• Evalúa si necesitas un representante suizo y un registro de actividades de tratamiento.
• Mantén registros de auditoría del consentimiento para demostrar el cumplimiento ante el FDPIC.

Aquí es donde un CMP multirregión demuestra su valor. FlexyConsent es una plataforma de gestión del consentimiento certificada por Google, compatible con IAB TCF 2.3 y Consent Mode v2, y gestiona la cobertura suiza y de la UE desde una sola integración — detectando la región, mostrando el aviso correcto, capturando elecciones granulares y almacenando registros de consentimiento que puedes presentar cuando se requiera. Sigues siendo conforme con la revFADP y el RGPD sin flujos separados ni pérdida de ingresos publicitarios.

Este artículo es información general y no constituye asesoramiento legal; consulta a un asesor cualificado para tu situación concreta.

Conclusiones clave

• La revFADP se aplica desde septiembre de 2023 y alcanza a cualquier app cuyo tratamiento afecte a usuarios suizos, dondequiera que tenga su sede el editor.
• Se apoya en la transparencia más que en la aceptación previa universal, pero las apps financiadas con publicidad siguen necesitando una capa real de consentimiento para monetizar.
• Las sanciones son personales — los individuos se enfrentan a multas de hasta 250.000 CHF — así que el cumplimiento es una preocupación a nivel de dirección.
• Un CMP multirregión como FlexyConsent cubre las reglas suizas y de la UE juntas mediante TCF 2.3 y Consent Mode v2.