게임 개발자를 위한 GDPR 준수란 무엇인가요?

이 전문 분야 내 GDPR 준수는 EU의 개인정보 보호 정책에 따라 게임 아키텍처, 텔레메트리 및 퍼블리싱 프로세스에 부합해야 함을 의미합니다. 이 문제의 배경은 사용자 개인정보 보호 권리에 대해 스튜디오가 채택한 전략과 관련이 있습니다. 여기에는 기본 관행과 데이터 처리의 이유가 모두 포함됩니다. 이 분야에서는 최대 2천만 유로 또는 전 세계 연간 총 매출의 4%에 달하는 벌금이 부과될 수 있습니다.

개발자들은 때때로 식별 정보를 사용하지 않으면 규제 적용 범위를 줄일 수 있다고 생각합니다. 하지만 인터넷 개인 정보 보호에 관한 규칙은 상당히 일반적입니다. 수집된 정보가 특정 개인을 식별하는 데 사용될 수 있다면 해당 규칙을 따라야 합니다. 개인 식별이 가능한 원격 측정 데이터에도 개인 정보 보호법이 여전히 적용됩니다.

• 기기 및 광고 식별자: Apple의 IDFA(광고주용 식별자) 및 Google GAID(광고 ID)는 애플리케이션 내 행동 패턴을 모니터링하며, 보호되는 온라인 식별자 범주에 속합니다.
• 네트워크 프로토콜: 서버 핸드셰이크 중에 획득된 IP 주소 또는 MAC 주소는 개인 데이터 범주에 포함됩니다.
• 계정 정보: 플레이어 프로필은 확인된 이메일, 내부 계정 ID, Steam 또는 PlayStation Network와 같은 서비스의 로그인 정보로 구성됩니다.
• 게임 플레이 텔레메트리 및 통신: 게임 내 지표는 구매 기록, 그리고 미처리 음성 또는 텍스트 로그와 나란히 존재합니다. 이러한 정보들은 행동 데이터 처리와 관련이 있습니다.
• 실제 적용 사례: 중견 멀티플레이어 스튜디오에서 수집한 충돌 로그는 종종 IP 주소와 로컬 시스템 구성을 함께 포함합니다. 해당 스튜디오는 그러한 유형의 로그를 플레이어 데이터 자산으로 취급합니다.

디지털 안전 규칙은 ESRB 및 PEGI와 같은 기관의 등급 시스템과 연동됩니다. 이 규칙들은 또한 특정 지역의 어린 사용자를 대상으로 하는 아동 온라인 개인 정보 보호법(COPPA)과 같은 법률과도 연결됩니다. EU 가이드라인은 일반적으로 동의 연령의 시작점을 16세로 명시합니다. 일부 회원국은 자국의 접근 방식에 따라 이 수치를 13세로 낮추기도 합니다. 스튜디오는 일반적으로 설정에 연령 확인 기능을 추가합니다. 어린 사용자 그룹에 대해서는 개인 맞춤형 추적 기능을 기본적으로 해제한 상태로 둡니다. 동시에, 팀은 해당 계정에서 정보를 수집하기 전에 문서화된 부모의 승인을 받도록 조치합니다.

플레이어의 의도를 파악하기 위한 신뢰할 수 있는 메커니즘을 구현하는 것은 초기 사용자 초기화 파이프라인의 핵심을 이룹니다. 스튜디오는 백그라운드 분석 작업이나 타사 광고 네트워크를 시작하기 전에 명확한 플레이어 동의 흐름을 배포해야 합니다:

• 초기 설정: 게임 타이틀은 계정 초기화 시 서비스 약관 동의와 개인정보 보호 권한을 분리하여 명확한 동의 체크박스를 제시해야 합니다.
• 인앱 구매 동의: 프로파일링 및 거래는 처리 전에 별도의 동의를 받아야 합니다. 인앱 구매.
• ATT 연동: 모바일 기기에 앱을 배포할 때, 플랫폼 수준의 ATT 요청은 게임 내부 개인정보 보호 설정과 조화를 이루어야 합니다.

제17조에 따라 활동 중인 플레이어는 개발자 또는 퍼블리셔에게 모든 개인 데이터의 영구적인 삭제를 요구할 수 있습니다. 이 과정은 현재 운영 중인 라이브 서비스 환경에서 구현되어야 하며, 이는 백엔드에 안정적이고 자동화된 데이터 파이프라인이 있어야 함을 의미합니다.

엔지니어링 팀은 멀티플레이어 환경을 손상시키지 않고 삭제를 처리하기 위해 행동 기반 게임 플레이 텔레메트리를 고유 개인 식별자로부터 분리합니다. 개별 플레이어 참조가 정적 일반화 토큰으로 전환되면 집계된 매치 기록은 그대로 유지됩니다.

게임 개발자는 많은 프로젝트에서 외부 플러그인을 활용합니다. 이 지점에서 생산 주기가 중요해집니다. 그러나 전체가 어떠한 방식이든 연결되기 때문에 퍼블리셔는 이러한 환경에서 법적 책임을 유지합니다. 소프트웨어 개발 키트 (SDK) 승인이 문서화되지 않은 플레이어 기록을 가져옵니다.

팀은 다음 단계를 실제로 실행하여 규정 준수를 처리합니다:

1. API 페이로드 매핑: 네트워크 도구는 텔레메트리, 광고 또는 안티 치트 SDK가 서드 파티로 전송하는 정확한 필드를 캡처합니다.
2. 초기화 지연 적용: 첫 동의 화면이 해제될 때까지 외부 SDK가 실행되지 않도록 엔진을 하드 코딩합니다.
3. 공급업체 계약 검토: 광고 제공업체 및 분석 플랫폼과의 계약은 다음을 위해 검토됩니다: 데이터 처리 부속 합의서 (DPA) 일치하는 것.
4. SDK 권한 격리: 비필수 구성 요소가 기기 하드웨어 주소 또는 지리적 위치 좌표에 접근할 수 없도록 엔진 수준 권한을 제한합니다.

규정 준수 메커니즘을 결정하는 것은 유통 방식과 최종 플레이어에 따라 달라집니다. 스튜디오는 세 가지 질문을 통해 이를 평가합니다.

• 해당 타이틀이 다운로드 가능하거나 유럽 경제 지역(EEA)에 거주하는 사람들이 접근할 수 있습니까?
• 행동 정보, 기기 토큰을 수집하거나 광고를 제공하는 시스템이 있습니까?
• 더 어린 플레이어가 있습니까?

긍정적인 답변이 있다면, 조치가 취해져야 합니다. 이 경우 고려사항은 플레이어 위치, 수입원, 그리고 데이터 작업 리소스입니다.