Wat revFADP is en waarom app-uitgevers er belang bij hebben

Zwitserland zit niet in de EU, dus de GDPR is daar niet rechtstreeks van toepassing. In plaats daarvan kent het land zijn eigen regime: de herziene Federale Wet op de Gegevensbescherming, of revFADP (in het Duits revDSG), volledig van kracht sinds 1 september 2023. De herziening trok het Zwitserse recht veel dichter naar de GDPR toe, met behoud van enkele typisch Zwitserse eigenaardigheden.

Voor uitgevers van mobiele apps en games doet Zwitserland er meer toe dan zijn omvang doet vermoeden: een welvarende markt met hoge advertentie-eCPM's en een betekenisvol deel van veel installbases. Het behandelen als "in wezen de GDPR" — of negeren — brengt zowel nalevingslacunes als verloren monetisatie met zich mee.

Hoe revFADP verschilt van de GDPR

De twee wetten rijmen, maar zijn niet identiek. De verschillen kennen behoedt u voor het over- of onderengineeren van uw toestemmingsflow.

• Opt-out als standaardbasislijn. Anders dan de strikte opt-in van de GDPR voor de meeste verwerking, staat revFADP verwerking over het algemeen toe tenzij de wet die beperkt — transparantie is de centrale plicht in plaats van universele voorafgaande toestemming.
• Engere toestemmingstriggers. Uitdrukkelijke toestemming is voornamelijk vereist voor hoogrisicoprofilering en gevoelige gegevens (gezondheid, religie, biometrie, genetische gegevens en dergelijke).
• Geen verplichte DPO, al moedigt de Zwitserse wet het aanstellen van een gegevensbeschermingsadviseur aan.
• De toezichthoudende instantie is de FDPIC (Federale Commissaris voor Gegevensbescherming en Informatie), niet een EU-achtig netwerk van DPA's.

Vereisten voor toestemming en transparantie

De kern van revFADP is geïnformeerde transparantie. Zelfs waar toestemming niet strikt verplicht is, moet u gebruikers duidelijk vertellen wat u verzamelt en waarom. In de praktijk hebben advertentiegefinancierde apps nog steeds een echt toestemmingsmechanisme nodig, omdat de advertentie-leveringsketen — Google, IAB-vendoren, meetpartners — signalen vereist om te werken. Uitgevers moeten zorgen voor:

• Een duidelijke privacyverklaring die gegevenscategorieën, doeleinden, bewaring en grensoverschrijdende doorgiften beschrijft.
• Een toestemmingsprompt voordat niet-essentiële tracking, advertentie-ID's of profilerings-SDK's afgaan.
• Granulaire bedieningselementen zodat gebruikers reclame en analytics apart kunnen accepteren of weigeren.
• Openbaarmaking van geautomatiseerde besluitvorming en hoogrisicoprofilering waar die zich voordoet.

Omdat Google een gecertificeerde CMP vereist om gepersonaliseerde advertenties te tonen aan gebruikers in de EER, het VK en Zwitserland, is een conforme toestemmingslaag feitelijk een monetisatievereiste. De signalen van Google Consent Mode v2 (ad_storage, ad_user_data, ad_personalization) moeten de keuzes van Zwitserse gebruikers net zo weerspiegelen als die van EU-gebruikers.

Extraterritoriale reikwijdte

Net als de GDPR reikt revFADP voorbij de Zwitserse grenzen. Het is van toepassing op elke verwerking die effect heeft in Zwitserland, ongeacht waar uw bedrijf is gevestigd of waar uw servers staan. Een gamestudio in Singapore, Turkije of de VS met Zwitserse spelers valt vierkant binnen de reikwijdte.

Cruciaal is dat buitenlandse bedrijven zonder Zwitserse vestiging mogelijk een vertegenwoordiger in Zwitserland moeten aanstellen als ze gegevens van Zwitserse inwoners op grote schaal en regelmatig verwerken terwijl ze goederen of diensten aanbieden. Veel advertentiegefinancierde apps overschrijden die drempel zonder het te beseffen.

Sancties en persoonlijke aansprakelijkheid

Hier is de verrassing die veel uitgevers overvalt: revFADP-sancties zijn geen bedrijfsboetes — ze richten zich op individuen. Verantwoordelijke personen (vaak bestuurders of wie de beslissing nam) kunnen worden beboet tot CHF 250.000 voor overtredingen zoals het niet verstrekken van vereiste informatie, het schenden van transparantie- of openbaarmakingsplichten, het negeren van minimale gegevensbeveiligingsvereisten of het niet aanstellen van een vertegenwoordiger.

Omdat de aansprakelijkheid persoonlijk en strafrechtelijk van aard is, is "we betalen de boete wel als die komt" een veel zwakkere strategie dan onder de GDPR. Het creëert directe blootstelling voor oprichters en managers — wat de inzet verhoogt om toestemming en openbaarmaking de eerste keer goed te doen.

Een praktische checklist voor uitgevers die Zwitserse gebruikers bedienen

• Detecteer Zwitsers verkeer en pas een toestemmingservaring op GDPR-niveau toe — sluit Zwitserland niet uit van uw EU-flow.
• Publiceer een transparante privacyverklaring die doeleinden, bewaring en grensoverschrijdende doorgiften dekt.
• Zet advertentie- en analyse-SDK's achter toestemming en koppel de keuzes aan Consent Mode v2.
• Beoordeel of u een Zwitserse vertegenwoordiger nodig hebt en een register van verwerkingsactiviteiten.
• Houd auditlogs van toestemming bij om naleving aan de FDPIC aan te tonen.

Dit is waar een multiregio-CMP zich terugbetaalt. FlexyConsent is een door Google gecertificeerd Consent Management Platform dat IAB TCF 2.3 en Consent Mode v2 ondersteunt, en het verzorgt Zwitserse en EU-dekking vanuit één integratie — het detecteert de regio, toont de juiste melding, legt granulaire keuzes vast en bewaart toestemmingsregistraties die u op verzoek kunt overleggen. U blijft conform aan revFADP en GDPR zonder aparte flows of verloren advertentie-inkomsten.

Dit artikel is voor algemene informatie en is geen juridisch advies; raadpleeg een gekwalificeerd raadsman voor uw specifieke situatie.

Belangrijkste conclusies

• revFADP geldt sinds september 2023 en reikt tot elke app waarvan de verwerking Zwitserse gebruikers raakt, waar de uitgever ook gevestigd is.
• Het leunt op transparantie in plaats van universele opt-in, maar advertentiegefinancierde apps hebben nog steeds een echte toestemmingslaag nodig om te monetiseren.
• Sancties zijn persoonlijk — individuen riskeren boetes tot CHF 250.000 — dus naleving is een aangelegenheid op leiderschapsniveau.
• Een multiregio-CMP zoals FlexyConsent dekt de Zwitserse en EU-regels samen via TCF 2.3 en Consent Mode v2.