Ce qu'est le revFADP & pourquoi les éditeurs d'applications devraient s'en soucier

La Suisse ne fait pas partie de l'UE, le RGPD ne s'y applique donc pas directement. Le pays dispose en revanche de son propre régime : la loi fédérale révisée sur la protection des données, ou revFADP (en allemand, revDSG), pleinement en vigueur depuis le 1er septembre 2023. La révision a rapproché considérablement le droit suisse du RGPD tout en conservant certaines particularités typiquement suisses.

Pour les éditeurs d'applications et de jeux mobiles, la Suisse compte plus que sa taille ne le laisse supposer : un marché riche aux eCPM publicitaires élevés et une part non négligeable de nombreuses bases d'installations. La considérer comme « essentiellement du RGPD » — ou l'ignorer — expose à la fois à des lacunes de conformité et à une perte de monétisation.

En quoi le revFADP diffère du RGPD

Les deux lois se ressemblent, mais ne sont pas identiques. Connaître les différences vous évite de surdimensionner ou sous-dimensionner votre flux de consentement.

• Le désengagement comme base par défaut. Contrairement à l'adhésion stricte du RGPD pour la plupart des traitements, le revFADP autorise généralement le traitement sauf si la loi le restreint — la transparence est le devoir central plutôt que le consentement préalable universel.
• Des déclencheurs de consentement plus étroits. Le consentement explicite est exigé principalement pour le profilage à risque élevé et les données sensibles (santé, religion, biométrie, données génétiques et assimilées).
• Aucun DPO obligatoire, bien que le droit suisse encourage la nomination d'un conseiller à la protection des données.
• L'organe de surveillance est le PFPDT (Préposé fédéral à la protection des données et à la transparence), et non un réseau d'APD de type UE.

Exigences de consentement & de transparence

Le cœur du revFADP est la transparence éclairée. Même lorsque le consentement n'est pas strictement obligatoire, vous devez indiquer clairement aux utilisateurs ce que vous collectez et pourquoi. En pratique, les applications financées par la publicité ont toujours besoin d'un véritable mécanisme de consentement, car la chaîne d'approvisionnement publicitaire — Google, les fournisseurs de l'IAB, les partenaires de mesure — exige des signaux pour fonctionner. Les éditeurs devraient fournir :

• Une notice de confidentialité claire décrivant les catégories de données, les finalités, la conservation et les transferts transfrontaliers.
• Une invite de consentement avant le déclenchement de tout suivi non essentiel, identifiant publicitaire ou SDK de profilage.
• Des contrôles granulaires permettant aux utilisateurs d'accepter ou de refuser séparément la publicité et l'analytique.
• La divulgation de la prise de décision automatisée et du profilage à risque élevé là où ils ont lieu.

Parce que Google exige une CMP certifiée pour diffuser des publicités personnalisées aux utilisateurs de l'EEE, du Royaume-Uni et de la Suisse, une couche de consentement conforme est de fait une exigence de monétisation. Les signaux de Google Consent Mode v2 (ad_storage, ad_user_data, ad_personalization) devraient refléter les choix des utilisateurs suisses tout comme ceux des utilisateurs de l'UE.

Portée extraterritoriale

Comme le RGPD, le revFADP s'étend au-delà des frontières suisses. Il s'applique à tout traitement qui produit un effet en Suisse, quel que soit le lieu d'immatriculation de votre société ou l'emplacement de vos serveurs. Un studio de jeux à Singapour, en Turquie ou aux États-Unis ayant des joueurs suisses entre pleinement dans son champ d'application.

Point crucial : les entreprises étrangères sans établissement suisse peuvent devoir désigner un représentant en Suisse si elles traitent les données de résidents suisses à grande échelle, de manière régulière, tout en proposant des biens ou des services. De nombreuses applications financées par la publicité franchissent ce seuil sans s'en rendre compte.

Sanctions & responsabilité personnelle

Voici la surprise qui prend de court de nombreux éditeurs : les sanctions du revFADP ne sont pas des amendes d'entreprise — elles visent les individus. Les personnes responsables (souvent des dirigeants ou quiconque a pris la décision) peuvent se voir infliger une amende pouvant atteindre 250 000 CHF pour des manquements tels que le défaut de fournir les informations requises, la violation des devoirs de transparence ou de divulgation, le non-respect des exigences minimales de sécurité des données ou le défaut de désigner un représentant.

Parce que la responsabilité est personnelle et de nature pénale, « nous paierons l'amende si elle vient » est une stratégie bien plus faible que sous le RGPD. Elle crée une exposition directe pour les fondateurs et les dirigeants — ce qui relève les enjeux d'un consentement et d'une divulgation corrects dès la première fois.

Une liste de contrôle pratique pour les éditeurs servant des utilisateurs suisses

• Détectez le trafic suisse et appliquez une expérience de consentement de niveau RGPD — n'excluez pas la Suisse de votre flux UE.
• Publiez une notice de confidentialité transparente couvrant les finalités, la conservation et les transferts transfrontaliers.
• Verrouillez les SDK publicitaires et d'analyse derrière le consentement et reliez les choix au Consent Mode v2.
• Évaluez si vous avez besoin d'un représentant suisse et d'un registre des activités de traitement.
• Conservez des journaux d'audit du consentement pour démontrer la conformité au PFPDT.

C'est ici qu'une CMP multirégionale prouve sa valeur. FlexyConsent est une plateforme de gestion du consentement certifiée par Google prenant en charge l'IAB TCF 2.3 et le Consent Mode v2, et elle gère la couverture suisse et européenne à partir d'une seule intégration — détectant la région, affichant la bonne notice, capturant des choix granulaires et stockant des enregistrements de consentement que vous pouvez produire à la demande. Vous restez conforme au revFADP et au RGPD sans flux distincts ni perte de revenus publicitaires.

Cet article constitue une information générale et ne constitue pas un conseil juridique ; consultez un conseil qualifié pour votre situation spécifique.

Points clés à retenir

• Le revFADP s'applique depuis septembre 2023 et atteint toute application dont le traitement affecte des utilisateurs suisses, où que soit basé l'éditeur.
• Il s'appuie sur la transparence plutôt que sur l'adhésion universelle, mais les applications financées par la publicité ont tout de même besoin d'une véritable couche de consentement pour monétiser.
• Les sanctions sont personnelles — les individus encourent des amendes pouvant atteindre 250 000 CHF — la conformité est donc une préoccupation au niveau de la direction.
• Une CMP multirégionale comme FlexyConsent couvre conjointement les règles suisses et européennes via le TCF 2.3 et le Consent Mode v2.