Wat is AVG-conformiteit voor game-ontwikkelaars?

De AVG-naleving binnen dit expertisegebied impliceert dat het moet voldoen aan de game-architectuur, telemetrie en het publicatieproces in overeenstemming met het privacybeleid van de EU. De achtergrond van deze kwestie houdt verband met de strategie die door de studio's wordt gehanteerd met betrekking tot het recht van de gebruiker op privacy. Dit omvat zowel de standaardpraktijken als de reden voor gegevensverwerking. Dit domein kan ook gekenmerkt worden door boetes tot €20 miljoen of 4% van de totale wereldwijde jaaromzet.

Ontwikkelaars denken soms dat het niet gebruiken van identiteiten hen in staat stelt de regelgevende reikwijdte te verminderen. De regels voor privacy op internet zijn echter vrij algemeen. Als de verzamelde informatie kan worden gebruikt om een persoon te identificeren, dan moet deze die regels volgen. Privacywetten zijn nog steeds van toepassing op telemetrische gegevens die een persoon kunnen identificeren.

• Apparaat- en advertentie-identificatiecodes: Apple’s Identifier for Advertisers (IDFA) en Google Advertising ID (GAID) monitoren gedragspatronen in applicaties en vallen onder de categorie van beschermde online identificatiecodes.
• Netwerkprotocollen: IP-adressen of MAC-adressen die tijdens serverhandshakes worden vastgelegd, vallen onder de categorieën persoonsgegevens.
• Accountgegevens: Spelersprofielen omvatten geverifieerde e-mails, interne account-ID's en inloggegevens van diensten zoals Steam of PlayStation Network.
• Gameplaytelemetrie en communicatie: In-game meetgegevens staan naast aankoopgegevens en onverwerkte spraak- of tekstlogboeken. Deze onderdelen hebben betrekking op de verwerking van gedragsgegevens.
• Praktische Toepassing: Crashlogboeken die door een middelgrote multiplayerstudio worden verzameld, bundelen vaak IP-adressen samen met lokale systeemconfiguraties. De studio beschouwt dit type logboeken als gegevensactiva van spelers.

Digitale veiligheidsregels zijn gekoppeld aan classificatiesystemen van organisaties zoals de ESRB en PEGI. Ze zijn ook verbonden met wetten zoals de Children’s Online Privacy Protection Act (COPPA) die zich richten op jongere gebruikers in bepaalde regio's. EU-richtlijnen hanteren doorgaans 16 jaar als startpunt voor de leeftijd van toestemming. Sommige lidstaten verlagen dat cijfer echter naar 13 jaar wanneer dit past bij hun aanpak. Studio's voegen over het algemeen leeftijdscontroles toe aan de instellingen. Ze laten gepersonaliseerde tracking standaard uitgeschakeld voor de jongere doelgroep. Tegelijkertijd regelen teams gedocumenteerde ouderlijke toestemming voordat er informatie van die accounts wordt opgehaald.

Het implementeren van betrouwbare mechanismen om de intentie van spelers vast te leggen, vormt de kern van de initiële gebruikersinitialisatieprocessen. Studio's moeten duidelijke toestemmingsstromen voor spelers implementeren voordat ze achtergrondanalysetaken of advertentienetwerken van derden lanceren:

• Eerste keer instellen: Applicaties moeten tijdens de accountinitialisatie ondubbelzinnige, opt-in aanvinkvakjes tonen, waarbij algemene voorwaarden gescheiden worden gehouden van privacytoestemmingen.
• Toestemming voor in-app aankopen: Profilering en transacties moeten hun eigen afzonderlijke toestemming hebben voordat enige verwerking plaatsvindt in-app aankopen.
• Integratie met ATT: Bij het implementeren van de app op mobiele apparaten, moet het ATT-verzoek op platformniveau in harmonie zijn met de interne privacyinstellingen van de game.

Conform Artikel 17 kan een actieve speler de permanente verwijdering van alle persoonsgegevens van de ontwikkelaar of uitgever eisen. Het proces moet worden geïmplementeerd in live service-omgevingen die momenteel operationeel zijn, wat impliceert dat er betrouwbare en geautomatiseerde datapijplijnen aan de backend moeten zijn.

Engineeringteams scheiden gedragsmatige gameplay telemetrie van unieke persoonlijke identificatiegegevens om een verwijdering te verwerken zonder multiplayeromgevingen te corrumperen. Geaggregeerde wedstrijdverslagen blijven behouden terwijl individuele spelersreferenties overgaan naar statische gegeneraliseerde tokens.

Gameontwikkelaars maken in veel projecten gebruik van externe plug-ins. Productiecycli komen hier in beeld. Uitgevers blijven echter wettelijk verantwoordelijk in deze configuraties, aangezien het geheel samenhangt met hoe elke Software Development Kit (SDK) haalt spelersgegevens op waar autorisatie niet is gedocumenteerd.

Teams werken aan compliance door deze stappen in de praktijk te volgen:

1. API-payloads in kaart brengen: Netwerkhulpmiddelen leggen de exacte velden vast die telemetrie-, advertentie- of anti-cheat SDK's naar derden verzenden.
2. Initialisatievertragingen afdwingen: Codeer de engine zodanig dat geen enkele externe SDK opstart voordat het eerste toestemmingsscherm is gewist.
3. Leverancierscontracten beoordelen: Overeenkomsten met advertentieaanbieders en analyseplatforms worden onderzocht op Gegevensverwerkingsovereenkomsten (GVO's) die aansluiten.
4. Isoleer SDK-machtigingen: Beperk machtigingen op engine-niveau, zodat niet-essentiële componenten geen toegang hebben tot hardwareadressen van apparaten of geolocatiecoördinaten.

Het kiezen van nalevingsmechanismen hangt samen met uw distributieaanpak en wie uiteindelijk speelt. Studio's wegen de zaken af aan de hand van drie vragen.

• Zijn de titels downloadbaar of toegankelijk voor mensen die wonen in de Europese Economische Ruimte?
• Zijn er systemen die gedragsinformatie, apparaattokens verzamelen of advertenties weergeven?
• Zijn er jongere spelers?

Als er bevestigende antwoorden zijn, moet er actie worden ondernomen. Overwegingen in dit geval zijn de locatie van de speler, inkomstenbronnen en middelen voor dataverwerking.