Che cos'è la Conformità GDPR per gli Sviluppatori di Giochi?

La conformità al GDPR in quest'area di competenza implica che debba essere conforme all'architettura di gioco, alla telemetria e al processo di pubblicazione in accordo con le politiche sulla privacy dell'UE. Il contesto di questa problematica è associato alla strategia adottata dagli studi per quanto riguarda il diritto alla privacy dell'utente. Essa comprende sia le pratiche predefinite che la ragione del trattamento dei dati. Questo ambito può anche essere caratterizzato da multe fino a 20 milioni di euro o al 4% del fatturato annuo mondiale totale.

Gli sviluppatori a volte pensano che non utilizzando le identità possano ridurre la portata normativa. Tuttavia, le regole sulla privacy su internet sono piuttosto generali. Se le informazioni raccolte possono essere usate per risalire all'identità di una persona, allora devono seguire tali regole. Le leggi sulla privacy si applicano comunque ai dati di telemetria che possono identificare una persona.

• Identificatori di dispositivo e pubblicitari: L'Identifier for Advertisers (IDFA) di Apple e il Google Advertising ID (GAID) monitorano i modelli di comportamento nelle applicazioni e rientrano nella classe degli identificatori online protetti.
• Protocolli di rete: Gli indirizzi IP o gli indirizzi MAC acquisiti durante gli handshake del server rientrano nelle categorie di dati personali.
• Informazioni sull'account: I profili dei giocatori raccolgono e-mail verificate, ID account interni e accessi da servizi come Steam o PlayStation Network.
• Telemetria e comunicazioni di gioco: Le metriche di gioco si affiancano ai registri degli acquisti e ai log vocali o testuali non elaborati. Questi elementi sono relativi alla gestione dei dati comportamentali.
• Applicazione nella vita reale: I log degli errori raccolti da uno studio multiplayer di medie dimensioni spesso raggruppano gli indirizzi IP insieme alle configurazioni di sistema locali. Lo studio tratta i log di quel tipo come asset di dati dei giocatori.

Le norme di sicurezza digitale si collegano ai sistemi di classificazione di organizzazioni come l'ESRB e il PEGI. Si connettono anche a leggi come il Children’s Online Privacy Protection Act (COPPA) che si concentrano sugli utenti più giovani in determinate regioni. Le linee guida dell'UE di solito indicano i 16 anni come punto di partenza per l'età del consenso. Alcuni Stati membri procedono e abbassano tale cifra a 13 anni quando si adatta al loro approccio. Gli studi generalmente aggiungono controlli sull'età nella configurazione. Lasciano il tracciamento personalizzato disattivato per impostazione predefinita per la fascia d'età più giovane. Allo stesso tempo, i team si occupano di ottenere l'approvazione documentata dei genitori prima di estrarre qualsiasi informazione da tali account.

L'implementazione di meccanismi affidabili per catturare l'intento del giocatore costituisce il fulcro delle pipeline iniziali di inizializzazione dell'utente. Gli studi devono implementare flussi chiari di consenso del giocatore prima di avviare qualsiasi attività analitica in background o reti pubblicitarie di terze parti:

• Configurazione iniziale: I titoli devono presentare caselle di controllo opt-in inequivocabili durante l'inizializzazione dell'account, separando gli accordi sui termini di servizio dalle autorizzazioni sulla privacy.
• Consenso per gli acquisti in-app: La profilazione e le transazioni dovrebbero avere un proprio consenso separato prima di qualsiasi elaborazione acquisti in-app.
• Integrazione con ATT: Quando si distribuisce l'app sui dispositivi mobili, la richiesta ATT a livello di piattaforma dovrebbe essere in armonia con le impostazioni sulla privacy interne del gioco.

Secondo l'Articolo 17, un giocatore attivo può richiedere la cancellazione permanente di tutti i dati personali allo sviluppatore o all'editore. Il processo deve essere implementato negli ambienti di servizio live attualmente operativi, il che implica che devono esserci pipeline di dati affidabili e automatizzate nel backend.

I team di ingegneri separano la telemetria comportamentale del gameplay dagli identificatori personali unici per elaborare una cancellazione senza corrompere gli ambienti multiplayer. I record aggregati delle partite rimangono mentre i riferimenti ai singoli giocatori si trasformano in token statici generalizzati.

Gli sviluppatori di giochi si rivolgono a plugin esterni in molti progetti. Qui entrano in gioco i cicli di produzione. Gli editori, tuttavia, rimangono legalmente responsabili in queste configurazioni, poiché l'intera questione si collega a come qualsiasi Kit di sviluppo software (SDK) recupera i record dei giocatori dove l'autorizzazione non è documentata.

I team gestiscono la conformità seguendo questi passaggi nella pratica:

1. Mappare i payload API: Gli strumenti di rete catturano i campi esatti che la telemetria, la pubblicità o gli SDK anti-cheat inviano a terze parti.
2. Applicare ritardi di inizializzazione: Codificare l'engine in modo che nessun SDK esterno si avvii prima che la schermata di consenso iniziale sia stata accettata.
3. Rivedere i contratti dei fornitori: Gli accordi con i fornitori di annunci e le piattaforme di analisi vengono esaminati per Addendum sul Trattamento dei Dati (DPA) che si allineano.
4. Isolare i Permessi SDK: Limitare le autorizzazioni a livello di motore in modo che i componenti non essenziali non possano accedere agli indirizzi hardware del dispositivo o alle coordinate di geolocalizzazione.

La decisione sui meccanismi di conformità è legata al vostro approccio di distribuzione e a chi finisce per giocare. Gli studi valutano le cose ponendosi tre domande.

• I titoli sono scaricabili o accessibili alle persone che vivono nello Spazio Economico Europeo?
• Ci sono sistemi che raccolgono informazioni sul comportamento, token di dispositivo o che mostrano annunci pubblicitari?
• Ci sono giocatori più giovani?

Se ci sono risposte affermative, allora è necessario agire. Le considerazioni in questo caso sono la posizione del giocatore, le fonti di reddito e le risorse per il lavoro sui dati.