Denunciando a Pokémon por Pokémon Sleep

Pues sí.  Como ya indica el título completamente auto explicativo, habemus denuncia a The Pokémon Company. El título no lo dice, pero, obviamente, es ante la Agencia Española de Protección de Datos (AEPD). ¿Pero por qué? Por el juego/aplicación móvil Pokémon Sleep.

Puede que suene a algo lejano que se ha visto en algún momento anunciado sin mucho más recuerdo, pero está a punto de celebrarse el 1º aniversario desde que The Pokémon Company tuvo la feliz idea de sacar al mercado este jueguito gratuito que mide y parametriza el patrón del sueño de sus jugadores. Si ya suena a algo feo, pero peor es que se haya quedado como una suerte de “sleeper legal” que no ha tenido ninguna repercusión por especialistas o gente poniendo el grito en el cielo.

No vaya a ser que Pokémon en sus mil formas tenga a los niños como público objetivo (los millennials que seguimos jugado empezamos cuando fuimos niñitos), que sea gratuito, que tenga micropagos, que casi todo menor tiene móvil propio y que en menores sube el ratio de jugador/población a entre el 71% y 84%. Y que supieran que era algo sensible para poner tremendo disclaimer  (ojo, puesto en la web y no en la app/juego) antes de la herida. Un poco “Excusatio non petita, accusatio manifesta”.

“Pokémon Sleep es una aplicación destinada únicamente al entretenimiento y no está pensada para detectar, diagnosticar o tratar ninguna condición médica ni enfermedad”.

Los videojuegos siempre ha sido una suerte de sandbox seguro de las megacorpos para probar tecnología y tratamientos que no están del todo bien montados en lo legal (o que no podría montarse, directamente) sin que exista mucho riesgo de que los jugadores reclamen nada o denuncien a las autoridades: sistemas de seguimiento ocular o «eye tracking», sistemas de dificultad dinámica (Candy Crush, entre mil), sistemas de creación dinámica de piezas de música, sistemas de escaneo y grabación de conversaciones con fines de detección de trampas, o segmentación publicitaria 3.0.

Quitando que la FTC le ha dado a EPIC un buen susto con el tema menores, las autoridades de protección europeas están demasiado centradas en los árboles más grandes tipo Meta, WorldCoin (ojo con el tema) o Clearview, pero no en el bosque completo de sus filiales ni de las grandes nativas tratando en tiempo real los datos personales y personales de un tercio de la población mundial. Hablaba de entre el 70 u 80% antes de menores, pero en términos absolutos juega en España un tercio de la población: aprox 18 millones de jugadores si hacemos caso a la Asociación Española de Videojuegos (AEVI) en su libro blanco de 2022. Un bonito a gran escala mucho a más escala que lo de WorldCoin en su máximo de locura por España hasta su suspensión temporal.

Seguro que alguien está pensando en el par de sanciones por brechas de seguridad de la AEPD a SIE (la filial de Sony de la que cuelga PlayStation) o una más reciente a un desarrollador chino, pero el componente videojuego es más tangencial. Es cierto que en la de SIE es en la consola, pero me falta que sean por un tratamiento netamente específico de la actividad principal videojueguil.

Con este contexto, pues aquí estamos. Todo esto parte de un estudio serio (o lo más serio que sé) de casi 100 páginas que un servidor presentó a premio de la AEPD el año pasado (a escasos meses de su salida y con más de 10 millones de jugadores a nivel mundial acumulados en menos de un mes), pero que se consideró no suficientemente bueno para pitar. No obstante, agradezco a la AEPD tres cosas:

  • Que quitara la restricción de poder presentarse al premio de investigación a los que ya había sido galardonados con anterioridad;
  • Que se leyera las casi 100 páginas del estudio a mayores de todo lo que seguro que se presentaría. Bordeando el máximo posible como buen puñetero; y
  • Que siempre estén disponibles vía correo electrónico para dar respuesta rápida ante dudas de la presentación o si se ha fallado o no el premio. 10 de 10 la rapidez de respuesta.

Aunque sí me dio un poco de pena ver que el año pasado sólo se diera el premio absoluto de investigación, y se dejara desierto el accésit del mismo. Justo el que me llevé yo aquel 2020 tan particular. Efectivamente, con un estudio sobre protección de datos y videojuegos. No lo sé, pero me cuesta pensar que no había ninguna candidatura suficientemente buena para lo llevar el cubo de 2º premio.

Vamos al lío.

¿Cómo funciona Pokémon Sleep?

Este artículo es más contar a por lo que voy en la denuncia, qué he dejado fuera y un poco el contexto. El detalle del funcionamiento, ciclo del juego, batallitas, límites y burradas que todavía lo hacen menos justificable y +, está en el último episodio del podcast: Jugando a Derecho. Así conseguimos que sea un artículo transmedia y adecuado a lo modernidad exigente del podcast. En Ivoox 👇, YouTube, Spotify y Apple Podcast

Para transmedia bueno, también está el eco en los medios de esta denuncia que me he marcado. La noticia original de Alberto R. Aguiar para Businees Insider bien plantada (tras prestarme su valioso tiempo para que le contara la batallita), la de la buena gente de Hobby Consolas, Vandal, Nintenderos, Nintedúo, el Nuevo Diario por Nicaragua y hasta en Reddit causando discusiones un tanto peregrinas . Cuánto más se alejan del original y España, más van apareciendo las cosas raras de si una entidad ha denunciado o que mi nombre se pierde como lágrimas en la lluvia. Cosas de los medios e ir a tope sin tiempo para todo lo que sale continuamente.

¿A por qué voy?

A por el núcleo duro de su jugabilidad y funcionalidad que ofrece al jugador: captar con la aplicación encendida al lado de la almohada el sueño del jugador para extraer conclusiones sobre la calidad del mismo, de manera diaria y acumulada, en virtud a tres niveles: ligero, medio, profundo o equilibrado. O sea, artículo 9 y 22 del RGPD.

  • Tratamiento de datos de salud por la propia definición del RGPD y literalmente: “datos personales relativos a la salud física o mental de una persona física que revelen información sobre su estado de salud”;
  • Elaboración de este perfilado y decisión totalmente automatizada con efectos significativamente similares a los jurídicos: lo primero es auto explicativo, pero lo segundo es un cajón más difuso y complicado de hilvanar, que yo lo veo clarinete: no produce efecto jurídico alguno, pero sí similares al poder implicar un cambio real y significativo en el comportamiento y decisiones del jugador en relación con sus hábitos de descanso. Por ejemplo, por intentar conseguir los Pokémon asociados a un tipo concreto de sueño, por preocupación por el resultado que le lleve a contar ovejitas o consumir cosas, acudir al médico, cambios de alimentación o cualquier elemento con incidencia directa o indirecta en el propio sueño;

  • Que, partiendo de que lo único que podría intentar sostener esta carpa es el consentimiento, pues que no es suficiente lo que hay ni por asomo. Veo varios y explícitos que brillan por su ausencia. Hablando a nivel de base teórica, porque a nivel de tratamiento creo que tiene demasiadas bombas de racimo para legitimarlo completamente;
  • Que se omite completamente cualquier información de este tema en la política de privacidad. Un clásico que falte de todo en las políticas. Un aplauso especial por no actualizarla desde la salida y que lo de UK viniera ya rancio (luego hablamos);
  • Que vaya pidiendo la AEPD la evaluación de impacto, porque no es que haya mucho límite y todo el conjunto huele mucho a que no te saldría positiva ni de coña. Efectivamente, los menores no están fuera de este tratamiento, pero pesa igual que haya unas cuantas alternativas menos invasivas que te invalidan, per se, ir por aquí. Y que se han implementado desincentivos concretos para evitar que metas los datos del sueño a mano, o sea, que todo bien para no estar bien;
  • Que lo del artículo 8 de comprobar el consentimiento de padres o tutores que llama a una verificación de edad suficiente brilla por su ausencia. Tanto que me dio de paso una edad de 6 meses y sólo me restringe secretamente el poder hacer “grupos de estudio” aka funciona de “juega con amigos. Como bonus que no puedo probar y no va más allá, diré que este limite es invisible para el jugador y sólo te enteras por foros o por comparativa con otros jugadores que sí tienen la funcionalidad activa; y 

  • Que la grabación de sonido ambiental es algo que atenta fuerte contra el principio de minimización y que es la pirueta final de todo. Pero es que te viene de base activado y lo de desactivarse, pues como que no. Viva la captación de ronquidos, anomalías respiratorias, palabras en sueños, episodio de terror nocturno, noctambulismo, voces o sonidos provocados por terceros que se encuentran en la estancia o pasan por allí.

Y el jaja de que venga activado por defecto, que te digan que puedes desactivarlo, pero luego que no se te ocurra no permitir el micrófono a nivel de app. El micrófono que no necesita para capta el sueño porque declara en otro sitio hacerlo por el acelerómetro del móvil. Obviamente, a nivel de FAQS separadas:

¿A por qué no voy?

Fuera se han quedado el resto de cosas no tan centrales:

  • Todo el conjunto de cositas que creo que no están bien de bases de legitimación o información del resto de tratamientos que hace Pokémon Sleep. Los normales de cualquier otra app;
  • La derivada de la corresponsabilidad con Nintendo. Yo veo clarinete que la hay con la empresa clave de Pokémon y titular de los derechos de los nombres y eso puede afectar a todo lo demás, pero no era plan meterla. Aunque con Nintendo siempre es más divertido todo por su amor a demandar a la mínima;
  • La derivada de la corresponsabilidad secundaria con Google y Apple porque Pokémon Sleep se ofrece desde sus markets y sobre sus sistemas operativos. Todo el tema muy fashion ID de qué se quedarían estos dos y hasta dónde habría que matizarlo;
  • La resolución de un derecho de acceso realizado, que, a mi juicio, no fue correcta: por forzarme a ir a un formulario después de acudir a una dirección concreta de privacidad, mareo, petición de información excesiva, el calificarlo como complejo cuando no responde al concepto del RGPD y era porque les había colado una edad de 6 meses por su inexistente sistema de verificación, o que en lo recibido no estaba todo lo que debería;

Podría haberlo metido, pero, siguiente las pautas de reclamación de la AEPD, pues iría por modelo aparte y no es tan jugosón como lo otro. Aunque sí se ha metido, no por el derecho de acceso, sino porque en el propio ejercicio a pregunta concreta se me responde que, efectivamente, no hay intervención humana en el proceso de sleepear a los jugadores por pokemones; o 

  • El punto del Reino Unido. Sí que menciono que se dé traslado a la autoridad que corresponda, pero no tengo tan claro que no sea la AEPD la que deba resolver sin posibilidad de remitirlo. The Pokémon Company declara el ICO en la política, pero ahora mismo es como nada por no ser una autoridad de control de estado miembro para que aplique el procedimiento de cooperación y ventanilla única. Podría ser infracción adicional por no nombrar representante e informarlo al interesado como tal.

Si hubiera jugado la baza de argumentar que Nintendo es corresponsable y me hubiera ido contra ella, pues se iría a la autoridad de Hesse (sede de Nintendo of Europe) si la AEPD lo hubiera considerado igual que yo. Ya veremos, pero un aplauso por poner algo en la política que ya está desactualizado antes de publicarla por primera vez.

¿Qué pasará?

Pues ya veremos. ¿La AEPD me mandará a pastar?. ¿Me harán casito y lo investigarán?, ¿habrá sorpresa como con WorldCoin y saldrá establecimiento europeo al que darle traslado?…. Obviamente, a la AEPD no le ataría lo que yo digo y puede ir por otros derroteros si pita la cosa., pero no sería la primera vez que van a por algo y sacan más. Que la AEPD siempre ha dicho que en la investigación que puede ir por una cosa y te pueden acabar mirándolo todo.

Yo me quedo más tranquilo habiendo hecho lo que he podido contra cosas que no deberían existir, ni porque se busquen finalidades ocultas malvadas, ni porque se tenga una idea y se crea que por ser presuntamente blanca ya no hay que pensar nada más. Puede que haya gente que piense que es por de x empresa, pero lo que subyace en poner el granito de arena que se puede para defender un derecho fundamental importantísimo en esta ola loca de avances sin pensar demasiado en las consecuencias o efectos imprevistos. 

Veremos cómo acaba todo y si Pikachu sigue durmiendo plácidamente o no.