מהו revFADP ומדוע מפרסמי אפליקציות צריכים לשים לב

שווייץ אינה באיחוד האירופי, כך שה-GDPR אינו חל שם ישירות. במקום זאת המדינה מפעילה משטר משלה: חוק ההגנה על נתונים הפדרלי המתוקן, או revFADP (בגרמנית, revDSG), בתוקף מלא מאז 1 בספטמבר 2023. התיקון קירב את החוק השווייצרי הרבה יותר ל-GDPR תוך שמירה על כמה מאפיינים שווייצריים ייחודיים.

עבור מפרסמי אפליקציות ומשחקי מובייל, שווייץ חשובה יותר ממה שגודלה מרמז: שוק עשיר עם eCPM פרסומי גבוה ופלח משמעותי מבסיסי התקנה רבים. התייחסות אליה כ"בעצם GDPR" — או התעלמות ממנה — מסכנת גם פערי ציות וגם אובדן מונטיזציה.

כיצד revFADP שונה מ-GDPR

שני החוקים מתחרזים, אך אינם זהים. הכרת ההבדלים שומרת עליכם מהנדסת-יתר או הנדסת-חסר של זרימת ההסכמה.

• ביטול הצטרפות כקו בסיס ברירת מחדל. בניגוד להצטרפות הקפדנית של ה-GDPR לרוב העיבודים, ה-revFADP בדרך כלל מתיר עיבוד אלא אם החוק מגביל אותו — שקיפות היא החובה המרכזית ולא הסכמה מוקדמת אוניברסלית.
• טריגרים צרים יותר להסכמה. הסכמה מפורשת נדרשת בעיקר עבור פרופיילינג בסיכון גבוה ונתונים רגישים (בריאות, דת, ביומטריה, נתונים גנטיים וכדומה).
• אין DPO חובה, אם כי החוק השווייצרי מעודד מינוי יועץ הגנת נתונים.
• גוף הפיקוח הוא ה-FDPIC (הנציב הפדרלי להגנת נתונים ומידע), לא רשת רשויות הגנת נתונים בסגנון האיחוד האירופי.

דרישות הסכמה ושקיפות

ליבת ה-revFADP היא שקיפות מיודעת. אפילו כאשר הסכמה אינה חובה מוחלטת, עליכם לומר למשתמשים בבירור מה אתם אוספים ומדוע. בפועל, אפליקציות הממומנות מפרסום עדיין זקוקות למנגנון הסכמה אמיתי מפני ששרשרת אספקת הפרסום — Google, ספקי IAB, שותפי מדידה — דורשת אותות כדי לפעול. מפרסמים צריכים לספק:

• הודעת פרטיות ברורה המתארת קטגוריות נתונים, מטרות, שמירה והעברות חוצות גבולות.
• בקשת הסכמה לפני שמעקב לא חיוני, מזהי פרסום או ערכות SDK לפרופיילינג מופעלים.
• בקרות גרנולריות כך שמשתמשים יוכלו לקבל או לדחות פרסום וניתוח בנפרד.
• גילוי קבלת החלטות אוטומטית ופרופיילינג בסיכון גבוה היכן שהוא מתרחש.

מכיוון ש-Google דורשת CMP מאושר כדי להגיש מודעות מותאמות אישית למשתמשים ב-EEA, בבריטניה ובשווייץ, שכבת הסכמה תואמת היא למעשה דרישת מונטיזציה. אותות Google Consent Mode v2 (ad_storage, ad_user_data, ad_personalization) צריכים לשקף את בחירות המשתמשים השווייצרים בדיוק כפי שהם עושים עבור משתמשי האיחוד האירופי.

היקף חוץ-טריטוריאלי

כמו ה-GDPR, ה-revFADP מגיע מעבר לגבולות שווייץ. הוא חל על כל עיבוד שיש לו השפעה בשווייץ, ללא קשר למקום שבו החברה שלכם רשומה או היכן השרתים שלכם יושבים. אולפן משחקים בסינגפור, בטורקיה או בארה"ב עם שחקנים שווייצרים נמצא בבירור בהיקף.

חשוב לציין שעסקים זרים ללא מוסד שווייצרי עשויים להיות חייבים למנות נציג בשווייץ אם הם מעבדים נתונים של תושבי שווייץ בקנה מידה גדול, באופן קבוע, תוך הצעת מוצרים או שירותים. אפליקציות רבות הנתמכות בפרסום חוצות את הסף הזה מבלי להבין זאת.

עונשים ואחריות אישית

הנה ההפתעה שתופסת מפרסמים רבים לא מוכנים: עונשי ה-revFADP אינם קנסות תאגידיים — הם מכוונים ליחידים. אנשים אחראים (לעיתים קרובות מנהלים או מי שקיבל את ההחלטה) עלולים להיקנס עד 250,000 פרנק שווייצרי על הפרות כמו אי-מתן מידע נדרש, הפרת חובות שקיפות או גילוי, התעלמות מדרישות אבטחת נתונים מינימליות, או אי-מינוי נציג.

מכיוון שהאחריות אישית ופלילית באופייה, "נשלם את הקנס אם יגיע" היא אסטרטגיה חלשה בהרבה מאשר תחת ה-GDPR. היא יוצרת חשיפה ישירה למייסדים ולמנהלים — ומעלה את הסיכון בקבלת ההסכמה והגילוי בצורה נכונה בפעם הראשונה.

רשימת בדיקה מעשית למפרסמים המשרתים משתמשים שווייצרים

• זהו תעבורה שווייצרית והחילו חוויית הסכמה ברמת GDPR — אל תוציאו את שווייץ מזרימת האיחוד האירופי שלכם.
• פרסמו הודעת פרטיות שקופה המכסה מטרות, שמירה והעברות חוצות גבולות.
• הגבילו ערכות SDK לפרסום וניתוח מאחורי הסכמה וחברו את הבחירות ל-Consent Mode v2.
• העריכו אם אתם זקוקים לנציג שווייצרי ולרשומה של פעילויות עיבוד.
• שמרו יומני ביקורת של הסכמה כדי להוכיח ציות ל-FDPIC.

כאן CMP רב-אזורי מצדיק את קיומו. FlexyConsent היא פלטפורמת ניהול הסכמה מאושרת על ידי Google התומכת ב-IAB TCF 2.3 וב-Consent Mode v2, והיא מטפלת בכיסוי שווייצרי ואירופי מאינטגרציה אחת — מזהה אזור, מציגה את ההודעה הנכונה, לוכדת בחירות גרנולריות, ושומרת רשומות הסכמה שתוכלו להציג לפי דרישה. אתם נשארים תואמים גם ל-revFADP וגם ל-GDPR ללא זרימות נפרדות או אובדן הכנסות מפרסום.

מאמר זה הוא מידע כללי ואינו ייעוץ משפטי; היוועצו בעורך דין מוסמך לגבי המצב הספציפי שלכם.

נקודות מפתח

• ה-revFADP חל מאז ספטמבר 2023 ומגיע לכל אפליקציה שעיבודה משפיע על משתמשים שווייצרים, בכל מקום שבו המפרסם ממוקם.
• הוא נשען על שקיפות ולא על הצטרפות אוניברסלית, אך אפליקציות הממומנות מפרסום עדיין זקוקות לשכבת הסכמה אמיתית כדי לייצר הכנסה.
• העונשים אישיים — יחידים מתמודדים עם קנסות עד 250,000 פרנק שווייצרי — כך שהציות הוא דאגה ברמת ההנהלה.
• CMP רב-אזורי כמו FlexyConsent מכסה את כללי שווייץ והאיחוד האירופי יחד דרך TCF 2.3 ו-Consent Mode v2.