Llegó el día en el que las autoridades de protección de datos se empezaron a tomar en serio de verdad el tratamiento en los videojuegos. Teníamos aquel documento de patrones adictivos de la AEPD con buen tino en los ejemplos de prácticas concretas, pero faltaba uno centrado exclusivamente en la industria. Tendría que haber existido ya hace años, pero no le miremos mucho el diente al caballo regalado: Recomendaciones y mejores prácticas para la protección de datos personales en videojuegos.
Que también parece que han tenido que venir la AEPD y la autoridad belga a decirle a mucha gente que el sector de los videojuegos reúne a un tercio de la población mundial. Cosa que lleva pasando bastante tiempo, aunque algunos sólo empiecen a prestar atención cuando una autoridad lo expone. Es “curioso” que siempre haya sido la especialidad con menos interacciones por redes, pero ahora es lo superhipermegacapital.
Yendo al meollo. Buen ladrillo de 109 páginas que nos ha caído, aunque no es especialmente denso: 1ª parte de contexto y más denso como “ensayo”, 2ª parte con la parte práctica de recomendaciones y 3ª de listado de comprobación de las recomendaciones y prácticas dichas.
Después de haberlo leído lo mejor que se ha podido, y haber escrito/investigado sobre aplicación de protección de datos en este sector durante unos años (a veces en forma de post, y a veces en forma de cubos, 😉), reconozco mucho de los que aquí se expone. O sea, que no podría meter mucho el dedo en el ojo porque faltara algo nuclear. Me parece uno de los mejores documentos que le he visto a la AEPD. Combina el punto de un estudio con nivel de detalle, con bajarse al barro a dar elemento práctico de verdad.
Yo hubiera optado por un documento más del estilo a la guía de RRHH para no tener esa primera parte que engaña más sobre la practicidad real documento, pero poco se añadir a una segunda parte que va a fuego con preguntas/aclaración de que rol te aplica en cada supuesto + medidas concretas a aplicar en información y otras sobre PIA y + que si se aplica en espejo a cualquiera de la industria, ejem + colmillo técnico para que no se escapen: auditoría de verdad de las que duelen. Págs. 32 a 76, imperdibles.
Sí que es cierto que hubiera estado bien más detalle en las fuentes. Se entiende que a la mínima se apuntaría a x empresa, pero sería curioso ver si alguien a jugado a algo y cómo (la 2º parte de la explicación, básicamente): “El documento está basado en la evidencia que se ha recogido mediante análisis estáticos (de políticas de privacidad, términos y condiciones del servicio, contratos y SLAs) y dinámicos (ejecución en entornos reales de juegos online, SDKs, launchers, etc.) de videojuegos actuales”.
Cierto es que echo en falta algo apuntando sin decir nombres a los Pokémon Sleep y Alarmo que juegan con el patrón del sueño, pero sobre el prime pesa senda denuncia. ¿Se sabrá algún día si hice arder a Pikachu?. TOC personal, sin más.
Lo acojonante es que viene en el momento de regulación expresa europea del videojuego: la iniciativa Stop Killing buscando la alternativa de incorporar algo en la Digital Fairness Act, la propia Digital Fairness Act que meterá mano a las monedas virtuales/modelo de negocio powered by adicción y otras discordancias legales por ahí: no reventa videojuegos digitales, desistimiento que abusa de la excepción de renuncia a este derecho.
Finalmente, quiero pensar que dar el coñazo hasta en consulta pública del plan estratégico ha servido para que estemos todos hoy aquí. Si a alguien le interesa, no es difícil reidentificar lo que propuse yo en el Excel publicado de contribuciones (no intenten doctrina Scania o anonimización, que no cuela.)
Comentario, ahora sí
Sin más rollo, ahora sí que vamos con lo que se ocurre comentar. Cosas que me gustan, cosas que matizaría o que se vayan pasando a colación. Sin orden definido, porque ya empecé por la parte central. Y sin ánimo de meter el dedo en el ojo a nadie, aunque parezca increíble por ser de Valladolid capital.
De la parte central Santo Grial:
De esa parte central del documento de preguntas a fuego, poco se puede pinchar. Está prevista hasta la diversidad de la muy corresponsable relación de la conexión de dos plataformas: tú compras y accedes al juego en una, pero con conexión paralela obligada en la cuenta de la otra plataforma titular del juego. Una de las clásicas de corresponsabilidad, que ni de coña van a quedar declarar hasta sanción de la AEPD (o la belga).
-Nos incluyen alguna otra pregunta-misil que tampoco querrá responder. Será cine ver la cara que ponen tras haber leído que se les pueden venir dos autoridades con checklist cojonudo:
“¿Ofrece servicios genéricos de predicción de abandono, compromiso o monetización en varios juegos, entrenados con datos de múltiples clientes? Si es así, es el responsable del tratamiento de ese perfilado, incluso si los estudios también son responsables del tratamiento al aplicar las predicciones obtenidas.”
-Dos adicionales de privacy by design y default de desactivada por defecto que nada molara. Es lo suyo, totalmente. De adicción, los de META saben.
“Deben limitar las ventanas de perfil (por ejemplo, las últimas 3 sesiones) para evitar perfiles “de por vida” y prohibir explícitamente la derivación/almacenamiento de inferencias de debilidad o vulnerabilidad (por ejemplo, señales de adicción o estrés financiero) para el ajuste de la participación, ya que estas se aproximan peligrosamente a las categorías especiales de datos conforme al Artículo 9 del RGPD”
“Los editores deben garantizar que solo las cuentas marcadas como “de adultos” puedan activar la elaboración de perfiles orientada a la monetización. Finalmente, los storefronts deben establecer “sin marketing personalizado” como opción por defecto para las cuentas genéricas y asegurarse de que las recomendaciones para estos usuarios se limiten a sugerencias no basadas en perfiles, como las selecciones del editor.”
-Y una que a todos nos mordería el culo. La Matrioska de controlar la cadena de subproveedores, aunque será en DOS NIVELES. La de limitarlo a los nieles de muñeca, lo veo difícil en lo que sea.
“Es fundamental conocer el efecto “muñecas rusas” en los videojuegos: la cadena anidada de SDK en la que la integración de una tecnología de desarrollo principal incorpora automáticamente múltiples sub-SDK de terceros, creando capas opacas de encargados del tratamiento que los responsables a menudo no mapean o controlan fácilmente. Estos deben exigir a sus encargados declaraciones completas de subencargados y rechazar la mediación de “caja negra”. Deben requerir notificación/autorización previa del responsable para los cambios en los subencargados (Artículo 28(2) del RGPD) y establecer límites, por ejemplo, “sin muñecas más allá de 2 niveles”. Se recomienda utilizar escáneres de SDK y herramientas similares en los procesos de CI/CD12 para identificar estos anidamientos en esta etapa del ciclo de vida. Además, recurrir a integraciones directas o soluciones locales por defecto (por ejemplo, sin recurrir a publicidad en la nube) para las configuraciones predeterminadas. Los proveedores de tecnología para el desarrollo deben diseñar sus servicios de modo que las funcionalidades como el análisis de audiencias o el retargeting publicitario estén desacopladas, permitiendo a los clientes seleccionar solo los módulos de software que necesitan para minimizar estas integraciones.”
De regalo, una que se va a acabar imponiendo por todo lo que va saliendo en los dos juicios horribilis de Nuevo México y California:
«También es una buena práctica fomentar el bienestar de los jugadores incorporando puntos de control, guardados automáticos y pausas naturales (temporizadores de sesión, solicitudes de “descanso sugerido”) para limitar el exceso de participación o compromiso.»
De la primera parte del documento
-Se nota que se ha puesto intención en entender y plasmar cómo funciona la industria del videojuego en lo que toca al dato personal. Está lleno de callejones y casuística, pero se nota buena mano en el fondo. No es fácil condensar lo nuclear en el flujograma que incluyen en la primera parte de contexto:
-Me parece muy acertado que no haya tenido la tentación de citar ninguna fuente que no se estrictamente oficial. Puede parecer una tontería, pero en un documento de este tipo, aunque no tiene valor legal vinculante (ni las guías lo tienen), es vital que la autoridad pública de lo que sea mantenga esa la imagen de equidistancia e imparcialidad completa. No se puede saber si por detrás han tenido asesoramiento, pero evitamos el enlace salvaje a no oficial que la AEPD ha metido en algunas ocasionales.
-Está muy bien que se advierta, en el intento de aterrizar las fases/ciclo de vida del juego en preproducción/producción, lanzamiento y postproducción, que los dichosos freemium se escapan de esta estructura. Los testers somos los jugadores desde que se lanzan en estadio muy inicial. Asimismo, la delimitación de qué figuras principales juegas en cada fase:
- El estudio/desarrollares en la primera.
- El publisher/editora/distribuidora en las otras dos fases. «Publisher» como término conjunto en inglés, pero es mejor evitarlo para valorar bien los casos en el que editora y distribuidora (no contando a las plataformas de venta tipo Steam), no sean la misma empresa.
Así luego es más fácil poder delimitar qué figura de responsable, encargado o corresponsable pudieran tener cada uno. Lo habitual es que el estudio acabe siendo encargado de manera principal, pero no tiene porqué en todos los casos. Ya nos lo dejan claro caso a caso en las preguntas de la parte Santo Grial.
-Explican bien las finalidades principales de toda la “telemetría” sobre el jugador para afinar perfilado comportamental para diversas historias de las que no es muy consciente el jugador. Compro:
“La vinculación puede usarse para perfilado de usuarios como “propensos a gastar” o “ballenas”, con el objetivo de inducirlos a gastar sumas exorbitantes de dinero real dentro del juego.”
-Al hacer referencia a la necesidad de cuenta de usuario, se tendría que haber puesto sobre la mesa la posible no justificación en todo caso de su existencia. Cierto es que las recomendaciones 2/2025 del EDPB que lo dice claro están en consulta pública, pero en la mayor parte de casos no es una necesidad en el sentido la base de la ejecución del contrato para todas las finalidades aludidas. Al menos, en los de un jugador sin multi y dejarlo en que debería valorarse. Suelen abusar de la ejecución del contrato hasta pata legitimar el sistema anti-cheat (la parte de escaneo de tu dispositivo, jamás te la cuentan bien).
Que ya sabemos que dirían que todo tiene funcionalidades multijugador para justificar la cuenta, además de las anti-cheat, pero el enfoque es bien distinto entre un jugador y un multi. Y así se engarza con la legítima lucha de juego offline y la preservación ten en boga con Stop Killing Games. El interés principal de la cuenta de usuario es trincar datos, tenerte cautivo y poder quitarte en remoto el acceso al juego o biblioteca entera.
Lo del juego offline lo hemos tenido en cierta manera en aquella denuncia de Noyb a Ubisoft.
– Cierto es que hay posible dato personal de categoría especial, tanto en A o como en inferido, pero no lo hubiera puesto en una tabla de categorías de datos en general. Hubiera ido más a la parte de si dato biométrico del 9 o no por el tema de voz en la implantación de IA subida de tono en la moderación de chats por voz, pero no a comentar algunas que diría que están más en patente, en VR no siempre activado del todo en más futurible: “elevación de cejas, dilatación de la pupila, información y patrones relativos al cerebro, Respuesta galvánica de la piel, sudoración, pulso cardíaco, respiración, tono y volumen de voz.“. Doble ejemplo que puede dar: Las Oculus en formato artículo, y algo mas actualizado en formato podcast:
Compradísimo que parte de esa telemetría se usa para predecir determinados momentos de frustración, aunque no se ate del todo el concepto de la dificultad dinámica sobre ejemplo contrastable. Sin romper la línea de la cita oficial, se podría haber ido a las transcripciones de una comisión del Parlamento Británico en la que se salía en boca de “lo hacen otros”. Y la del emparejamiento o alteración de matchmaking, que va a lo mismo.
Punto 104 del apartado 4 del documento “Immersive and addictive technologies” elaborado por el Parlamento Británico tras las comparecencias de especialistas en la materia y representantes de la industria: “Moreover, despite concerns around gaming disorder, some parts of the games industry use data collected about players to modify their experience and keep them playing for longer. Alex Dale told us that King does not use player data to change the experience for individual users—a practice known as ‘dynamic difficulty adjustment’—however, other companies do. For example, Electronic Arts has patented systems that mean “the difficulty level of the video game may be automatically adjusted” to “keep a user engaged for a longer period of time.”
La casualidad es que sobre esa patente de EA aludida, también hay post datero del 21.
En este punto la AEPD saca la patita trénica para hablar de algoritmos en trénico. Poco se puede discutir aquí. Sólo leer y aprender. Luego emtern el “neurogaming”, pero al igual que en aquel doc conjunto con el EDPS, diría que está más lejos de lo comercial de lo que dicen.
“Los flujos de datos en bruto alimentan la ingeniería de características, luego las CNN3 analizan el tono de voz, volumen y disfluencias del habla para detectar excitación o frustración; las soluciones de NLP4 y algoritmos de grafos clasifican roles sociales (líder, troll); el agrupamiento no supervisado (K-means/DBSCAN5) categoriza estilos de juego; los modelos supervisados (XGBoost6, LSTM7) predicen el abandono/emoción a partir de series temporales; el aprendizaje por refuerzo adapta personajes no jugadores basándose en arquetipos inferidos como “triunfador” o “socializador”, el procesamiento en el borde en tiempo real permite la dificultad dinámica o generación de contenido, etc.”
-Habiendo sacado el tema de que las jugadoras “pueden” sufrir acoso para ocultar el género, hubiera aprovechado para indicar que ese campo nunca ha sido necesario. Y es que en los videojuegos se tiene esa especial sensibilidad de incluir muchos tipos para no herir sensibilidad, ergo que se acercan demasiado a un tratamiento de categoría especial bien tonto y evitable. Ahí la AEPD tiene resoluciones al respecto, que explica mejor Lídia Gimeno en este post de Citizen8: El dato de “identidad de género”: problemas actuales y oportunidades de futuro.
Nunca esta más meter el punto de que este tipo de herramientas de comunicación tiene alternativas menos invasivas. Nunca fue necesario un chat general para que niñatos se digan tontadas unos a otros: comunicación con acciones predeterminadas en partida, chat de grupo de amigos y filtro de amigos para conectarlos por alguna externa.
-Muy buena previsión al incluir el tema de las brechas seguridad. El sector en que se colecciona alguna de las más grandes, mal gestionadas y lamentables. Aquella previa al RGPD de Sony que les obligó a darnos juegos gratis, o la meme del año pasado de Ubisoft
-Muy de acuerdo en el tema del repudio o de que hay que investigar ese punto problemático de la oposición ante el “baneo” por ser previo a que ni siquiera seas consciente de nada, pero hubiera puesto más en tela de juicio de la necesidad de según que medidas de este tipo. Otra vez el punto de las alternativas menos invasivas.
También muy a de acuerdo en crear una ficha de flujo explicativa de verdad de la decisión automatizada, proceso de queja y revisión humana. Cosa que intentar evitar hasta evitando el 15.4 de un derecho de acceso concreto, pero es ni oír hablar de supervisión humana quieren por la escala.
Y poco más. Disfruten del inicio de la protección de datos real en los videojuegos. O de las sanciones curiosas, al menos.