Cos'è il revFADP e perché gli editori di app dovrebbero interessarsene

La Svizzera non è nell'UE, quindi il GDPR non vi si applica direttamente. Il Paese gestisce invece il proprio regime: la Legge federale riveduta sulla protezione dei dati, ovvero revFADP (in tedesco, revDSG), pienamente in vigore dal 1° settembre 2023. La revisione ha avvicinato molto il diritto svizzero al GDPR pur mantenendo alcune peculiarità tipicamente svizzere.

Per gli editori di app e giochi mobile, la Svizzera conta più di quanto le sue dimensioni suggeriscano: un mercato ricco con eCPM pubblicitari elevati e una fetta significativa di molte basi di installazioni. Trattarla come "sostanzialmente GDPR" — o ignorarla — rischia sia lacune di conformità sia perdite di monetizzazione.

In cosa il revFADP differisce dal GDPR

Le due leggi rimano, ma non sono identiche. Conoscere le differenze vi evita di sovra- o sotto-ingegnerizzare il vostro flusso di consenso.

• L'opt-out come base predefinita. A differenza del rigoroso opt-in del GDPR per la maggior parte dei trattamenti, il revFADP generalmente consente il trattamento a meno che la legge non lo limiti — la trasparenza è il dovere centrale anziché il consenso preventivo universale.
• Trigger di consenso più ristretti. Il consenso esplicito è richiesto principalmente per la profilazione ad alto rischio e i dati sensibili (salute, religione, dati biometrici, dati genetici e simili).
• Nessun DPO obbligatorio, sebbene il diritto svizzero incoraggi la nomina di un consulente per la protezione dei dati.
• L'organo di vigilanza è l'IFPDT (Incaricato federale della protezione dei dati e della trasparenza), non una rete di autorità di tipo UE.

Requisiti di consenso e trasparenza

Il cuore del revFADP è la trasparenza informata. Anche quando il consenso non è strettamente obbligatorio, dovete dire agli utenti con chiarezza cosa raccogliete e perché. In pratica, le app finanziate dalla pubblicità hanno comunque bisogno di un autentico meccanismo di consenso perché la catena di fornitura pubblicitaria — Google, fornitori IAB, partner di misurazione — richiede segnali per operare. Gli editori dovrebbero fornire:

• Un'informativa sulla privacy chiara che descriva categorie di dati, finalità, conservazione e trasferimenti transfrontalieri.
• Una richiesta di consenso prima che si attivino tracciamento non essenziale, identificatori pubblicitari o SDK di profilazione.
• Controlli granulari in modo che gli utenti possano accettare o rifiutare pubblicità e analisi separatamente.
• La divulgazione del processo decisionale automatizzato e della profilazione ad alto rischio ove avvenga.

Poiché Google richiede una CMP certificata per servire annunci personalizzati agli utenti nel SEE, nel Regno Unito e in Svizzera, un livello di consenso conforme è di fatto un requisito di monetizzazione. I segnali di Google Consent Mode v2 (ad_storage, ad_user_data, ad_personalization) dovrebbero riflettere le scelte degli utenti svizzeri esattamente come fanno per gli utenti UE.

Ambito extraterritoriale

Come il GDPR, il revFADP si estende oltre i confini svizzeri. Si applica a qualsiasi trattamento che abbia un effetto in Svizzera, indipendentemente da dove la vostra azienda sia costituita o dove risiedano i vostri server. Uno studio di giochi a Singapore, in Turchia o negli Stati Uniti con giocatori svizzeri rientra pienamente nell'ambito.

È fondamentale che le imprese estere prive di uno stabilimento svizzero possano dover nominare un rappresentante in Svizzera se trattano dati di residenti svizzeri su larga scala, regolarmente, mentre offrono beni o servizi. Molte app supportate dalla pubblicità superano quella soglia senza rendersene conto.

Sanzioni e responsabilità personale

Ecco la sorpresa che coglie molti editori alla sprovvista: le sanzioni del revFADP non sono multe aziendali — colpiscono gli individui. Le persone responsabili (spesso i dirigenti o chi ha preso la decisione) possono essere multate fino a 250.000 CHF per violazioni come la mancata fornitura delle informazioni richieste, la violazione dei doveri di trasparenza o divulgazione, l'ignorare i requisiti minimi di sicurezza dei dati o la mancata nomina di un rappresentante.

Poiché la responsabilità è personale e di natura penale, "pagheremo la multa se arriva" è una strategia molto più debole rispetto al GDPR. Crea un'esposizione diretta per fondatori e manager — aumentando la posta in gioco nel gestire correttamente consenso e divulgazione fin dalla prima volta.

Una checklist pratica per gli editori che servono utenti svizzeri

• Rilevate il traffico svizzero e applicate un'esperienza di consenso di livello GDPR — non escludete la Svizzera dal vostro flusso UE.
• Pubblicate un'informativa sulla privacy trasparente che copra finalità, conservazione e trasferimenti transfrontalieri.
• Bloccate gli SDK di pubblicità e analisi dietro il consenso e collegate le scelte a Consent Mode v2.
• Valutate se vi serve un rappresentante svizzero e un registro delle attività di trattamento.
• Mantenete log di audit del consenso per dimostrare la conformità all'IFPDT.

È qui che una CMP multi-regione si guadagna lo stipendio. FlexyConsent è una piattaforma di gestione del consenso certificata Google che supporta IAB TCF 2.3 e Consent Mode v2, e gestisce la copertura svizzera e UE da un'unica integrazione — rilevando la regione, mostrando l'informativa corretta, catturando scelte granulari e memorizzando record di consenso che potete produrre su richiesta. Restate conformi sia al revFADP sia al GDPR senza flussi separati né entrate pubblicitarie perse.

Questo articolo è un'informazione generale e non costituisce consulenza legale; consultate un legale qualificato per la vostra situazione specifica.

Punti chiave

• Il revFADP si applica da settembre 2023 e raggiunge qualsiasi app il cui trattamento incida sugli utenti svizzeri, ovunque l'editore abbia sede.
• Si basa sulla trasparenza anziché sull'opt-in universale, ma le app finanziate dalla pubblicità hanno comunque bisogno di un vero livello di consenso per monetizzare.
• Le sanzioni sono personali — gli individui rischiano multe fino a 250.000 CHF — quindi la conformità è una questione a livello dirigenziale.
• Una CMP multi-regione come FlexyConsent copre insieme le regole svizzere e UE tramite TCF 2.3 e Consent Mode v2.