Что такое revFADP & почему издателям приложений стоит беспокоиться

Швейцария не входит в ЕС, поэтому GDPR там не действует напрямую. Вместо этого страна руководствуется собственным режимом: пересмотренным Федеральным законом о защите данных, или revFADP (на немецком revDSG), полностью действующим с 1 сентября 2023 года. Пересмотр значительно приблизил швейцарское право к GDPR, сохранив при этом некоторые отчётливо швейцарские особенности.

Для издателей мобильных приложений и игр Швейцария значит больше, чем подсказывает её размер: состоятельный рынок с высокими рекламными eCPM и значительной долей многих инсталляционных баз. Относиться к ней как к "в основном GDPR" — или игнорировать её — рискует и пробелами в соответствии, и потерянной монетизацией.

Чем revFADP отличается от GDPR

Два закона рифмуются, но не идентичны. Знание различий уберегает вас от над- или недопроектирования вашего потока согласия.

• Отказ (opt-out) как базовая основа. В отличие от строгого opt-in GDPR для большинства обработки, revFADP в целом разрешает обработку, если закон её не ограничивает — прозрачность является центральной обязанностью вместо универсального предварительного согласия.
• Более узкие триггеры согласия. Явное согласие требуется главным образом для профилирования с высоким риском и чувствительных данных (здоровье, религия, биометрия, генетические данные и подобное).
• Нет обязательного DPO, хотя швейцарское право поощряет назначение советника по защите данных.
• Надзорный орган — это FDPIC (Федеральный уполномоченный по защите данных и информации), а не сеть DPA в стиле ЕС.

Требования к согласию & прозрачности

Сердцем revFADP является информированная прозрачность. Даже там, где согласие не является строго обязательным, вы должны чётко сообщить пользователям, что собираете и зачем. На практике приложения, финансируемые рекламой, всё равно нуждаются в подлинном механизме согласия, потому что цепочка поставок рекламы — Google, поставщики IAB, партнёры по измерению — требует сигналов для работы. Издатели должны предоставлять:

• Чёткое уведомление о приватности, описывающее категории данных, цели, хранение и трансграничные передачи.
• Запрос согласия до срабатывания несущественного отслеживания, рекламных ID или SDK профилирования.
• Гранулярные элементы управления, чтобы пользователи могли отдельно принять или отклонить рекламу и аналитику.
• Раскрытие автоматизированного принятия решений и профилирования с высоким риском там, где оно происходит.

Поскольку Google требует сертифицированную CMP для показа персонализированной рекламы пользователям в ЕЭЗ, Великобритании и Швейцарии, соответствующий слой согласия фактически является требованием монетизации. Сигналы Google Consent Mode v2 (ad_storage, ad_user_data, ad_personalization) должны отражать выбор швейцарских пользователей так же, как для пользователей ЕС.

Экстерриториальная сфера действия

Как и GDPR, revFADP простирается за пределы швейцарских границ. Он применяется к любой обработке, которая оказывает влияние в Швейцарии, независимо от того, где зарегистрирована ваша компания или где расположены ваши серверы. Игровая студия в Сингапуре, Турции или США со швейцарскими игроками однозначно попадает в сферу действия.

Важно, что иностранные компании без швейцарского представительства могут быть обязаны назначить представителя в Швейцарии, если они обрабатывают данные швейцарских резидентов в крупном масштабе, регулярно, предлагая товары или услуги. Многие приложения, поддерживаемые рекламой, переходят этот порог, не осознавая этого.

Наказания & личная ответственность

Вот сюрприз, который застаёт многих издателей врасплох: наказания revFADP не являются корпоративными штрафами — они нацелены на отдельных лиц. Ответственные лица (часто руководители или тот, кто принял решение) могут быть оштрафованы на сумму до 250 000 CHF за нарушения, такие как непредоставление необходимой информации, нарушение обязанностей прозрачности или раскрытия, игнорирование минимальных требований безопасности данных или неназначение представителя.

Поскольку ответственность личная и уголовная по природе, "мы заплатим штраф, если он придёт" — гораздо более слабая стратегия, чем при GDPR. Это создаёт прямую уязвимость для основателей и менеджеров — повышая ставки на то, чтобы сделать согласие и раскрытие правильно с первого раза.

Практический контрольный список для издателей, обслуживающих швейцарских пользователей

• Обнаруживайте швейцарский трафик и применяйте опыт согласия уровня GDPR — не вырезайте Швейцарию из своего потока ЕС.
• Опубликуйте прозрачное уведомление о приватности, охватывающее цели, хранение и трансграничные передачи.
• Заблокируйте рекламные и аналитические SDK за согласием и подключите выбор к Consent Mode v2.
• Оцените, нужен ли вам швейцарский представитель и реестр деятельности по обработке.
• Ведите аудиторские журналы согласия, чтобы продемонстрировать соответствие перед FDPIC.

Именно здесь многорегиональная CMP оправдывает себя. FlexyConsent — это сертифицированная Google платформа управления согласием, поддерживающая IAB TCF 2.3 и Consent Mode v2, и она обрабатывает покрытие Швейцарии и ЕС из единой интеграции — определяет регион, показывает правильное уведомление, фиксирует гранулярный выбор и хранит записи согласия, которые вы можете предоставить по требованию. Вы остаётесь соответствующими в рамках revFADP и GDPR без отдельных потоков или потерянного дохода от рекламы.

Эта статья предназначена для общей информации и не является юридической консультацией; обратитесь к квалифицированному юрисконсульту по вашей конкретной ситуации.

Ключевые выводы

• revFADP применяется с сентября 2023 года и распространяется на любое приложение, обработка которого затрагивает швейцарских пользователей, где бы ни базировался издатель.
• Он опирается на прозрачность, а не на универсальный opt-in, но приложения, финансируемые рекламой, всё равно нуждаются в реальном слое согласия для монетизации.
• Наказания личные — отдельные лица сталкиваются со штрафами до 250 000 CHF — поэтому соответствие является вопросом уровня руководства.
• Многорегиональная CMP, такая как FlexyConsent, покрывает швейцарские и ЕС правила вместе через TCF 2.3 и Consent Mode v2.