La industria de los videojuegos tiene un conjunto importante de líos legales de alto impacto encima: propiedad intelectual (ojo con la manía de vulnerar los derechos morales para no meter en los créditos a todo el mundo), protección de datos que no lleva nada bien (anti-cheats, con su aplicabilidad de la DSA, cumplimiento en general, corresponsabilidad, un RIA que se van a comer con patatas los freemium/micropagos, dificultad dinámica); o historias tipo Pokémon Go con IA + “geoespacialidad).
El componente tecnológico de base de la industria, hace que cada vez surjan más cosas. En eso que estamos a 12 de septiembre de 2025, cabe preguntarse si se van comer con patatas la Data Act que entra en aplicación efectiva hoy. No olvidemos que esta industria entra de lleno en el modelo de negocio basado en datos (data-driven, en anglo), aunque no lo parezca.
Ciertamente, es una de las normas venida de la UE más fastidiosa de entender desde hace bastante tiempo. Hasta tal punto que te planteas si tienes problemas de comprensión lectora, o si es la versión extendida de Tenet. El Silmarillion en comparativa ahora parece un libro de Teo va a la Tierra Media.
Debido al gran brillo y acojone por el Reglamento de IA en tiempo locos de IA, la Data Act ha pasado bajo el radar de mucha gente. Igual que tanto sleepers que en el lanzamiento no se ve por poco o nada marketing, pero que luego pasar a ser un juego recordado o de culto.
Es cierto que esta aplicación desde el 12 tiene más letra pequeña, pero aquí está ya: obligación de hacer accesibles datos de los productos conectados que se introduzcan al mercado a partir de esa fecha en 2026, o si el contrato se celebra a partir de esas fechas, o al 2027 (tiene más miga, pero nos hacemos a la idea).
En el mundo actual videojueguil de obligación de cuenta de usuario, conexión permanente a internet, consolas, periféricos y aplicaciones secundarias; sería raro que no acabara entrando por las dos vías principales de esta norma: productos conectados/IoT, y servicios de tratamiento de datos/nube.
En el tema de smartphone u ordenador se puede ver más fácil, pero ¿y en el supuesto arquetípico de la consola y todo su ecosistema de empresas, apps y datos? Spoiler alert: sip. Y para el que le guste el formato podcast, puede darle una escucha al episodio nuevo de Jugando a Derecho. No está todo lo que se cuenta aquí, pero es un formato más amigable con el menos leer que se estila ahora.
Y siempre el mejor indicador es que alguna empresita del sector se ponga a meter cambios en los contratos en agosto: La querida Nintendo va a ello. No se ha podido confirmar que otra relevante del sector lo haga, pero se seguirá vigilando de cerca.
También es un indicador “curioso” que la propia Comisión Europea actualice su documento de preguntas frecuentes (FAQs), el mismo día de la aplicación efectiva. Ya hablaremos más delante de este documento importante por lo que aclara, pero su versión previa era de febrero de 2025. El hecho de que sea una norma completa ya ameritaba la creación de este documento, pero ¿qué ha cambiado para ampliarlo con + ejemplos concretos en desdobles de apartados?, es la mejor opción esperarse al mismo día como “parche de día de uno”? ¿vamos a tener más cambios cuando empiecen a venir los problemas interpretativos?. Nos los irán dando, pero no nos vamos a aburrir.
1) Imagen fija del bosque de la consola y su ecosistema
Sobre esta maraña general de figuras y conexiones, vamos a ir comentando. Y aprendiendo sobre esta norma bien chunga que tantas dudas deja en el aire hasta que vaya aterrizándose, o dándonos de cabeza con ella al tener que usarla.
-Clientes de juegos o launcher: los mil que todos conocemos de las muchas editoras que nos obligan a tenerlo para acceder a su catálogo, previa cuenta de usuario en cada una con su “conexión a internet permanente”: Epic, Steam, GOG Galaxy, Ubisoft Connect, EA App, Battle.net…… Y los propios de cada titular del juego que sea, y que van a obligar seguro a autenticarte en tu plataforma de origen y la suya para permitir el juego.
Y también podemos hablar del juego en la nube con servicios tipo GeForce NOW: te obliga a conectar tu biblioteca del juego x que sea para comprobar que lo tienes comprado legalmente en la que sea, para luego cargar una copia digital del juego desde sus servidores con la ventaja del ray tracing y potencia de la NASA en remoto (antes sí obligaba a instalar el juego en una máquina virtual dentro de sus servidores el juego que fuera).
-Apps oficiales y de funcionalidades propias: las mil que todas las editoras tiene para ver si picamos y las conectamos a nuestras cuentas de usuario: PS Remote Play, Xbox Cloud, Xbox Game Bar………..
-Apps de terceros: todas las funcionalidades permitidas de terceros para comunicación en partida (suelen ser mejores que las nativas que da el cliente de juego/juego), retransmisión en x plataforma, grabación de la partida si no tiene algo nativo para ello, funcionalidades concretas que permite un juego.
-Periféricos: sin ánimo de promocionar marcas de nada: ratón, teclado, mando, cascos, micrófono, monitor, visor VR, mandos adaptados para accesibilidad, cualquier cosa háptica rara tipo chaleco, mando con forma de pistola, cúpula del trueno con plataforma deslizable que permite el movimiento sin desplazamiento, algo casero que te permite disparar guiñando en ojo………..
-Fabricante: tenemos asumidos a los principales como editoras por su doble función en un nicho de tres (Sony, Xbox y Nintendo) + alguna suelta (Valve o las de consolas retro) pero no dejan de ser lo primero. Y los fabricantes de terceras consolas que también existen por ahí, aunque si son chinos juegan a meter clones de juegos que no van por vía “oficial”.
2) ¿La consola es un producto conectado? ¿y más cosas?
Definición “un bien que obtiene, genera, o recoge datos relativos a su uso o entorno y que puede comunicar datos del producto a través de un servicio de comunicaciones electrónicas, una conexión física o un acceso en el dispositivo y cuya función primaria no es el almacenamiento, el tratamiento ni la transmisión de datos en nombre de alguien que no sea el usuario.”
Por la definición tan amplia que se presente en la Data Act, no podría negarse de manera tajante que una consola no cumpla con los elementos nucleares de la misma, o sea, que sí se podría considerar por lo siguiente:
- Es un bien/dispositivo que genera y recoge datos de todo tipo de su uso (o entorno si hablamos de combo con VR o periférico eslabón perdido tipo Kinect).
- Lo hace a través de un servicio de comunicación electrónica conectado al dispositivo en todo momento. Lo del modo offline ya sabemos que no le gusta mucho a la industria.
- Su función primaria es el jugar mucho y bien, y no el almacenamiento, tratamiento o trasmisión de datos de nada no comandado por el usuario. No es fácil de entender este último punto, pero la Data Act, en sus Considerando 16, pone como ejemplos que estarían exentos los servicios de almacenamiento en servidores y nube en los considerandos. Poca broma con la importancia de los considerandos en esta Data Act,, pero aquí dónde se entiende bien es en las FAQS (apartado 7) de la CE.
“Los productos que cumplen principalmente la función de almacenar, procesar o transmitir datos (por ejemplo, servidores y enrutadores) quedan fuera del ámbito de aplicación de las obligaciones de intercambio de datos previstas en el capítulo II de la Ley de Datos, a menos que sean propiedad del usuario, estén alquilados o arrendados por él.”
“Del mismo modo, el hecho de que un producto conectado (por ejemplo, un vagón, un avión o un vehículo) deba utilizar determinadas infraestructuras (por ejemplo, ferrocarriles, aeropuertos o autopistas) para funcionar no da derecho al usuario de ese producto conectado a acceder a los datos generados, por ejemplo, por los sensores que forman parte de esa infraestructura.”
En 2023, ISFE (la asociación europea de referencia en editoras/distribuidoras/Publisher) peleó en alegaciones a partes interesadas, que se incluyera a las consolas y periféricos como excepciones previstas en la propia definición. Con la redacción previa del Considerando 15 que incluía como excepciones a los ordenadores personales, smartphones o webcams, hubiéramos ido al lado contrario de que no les aplicara.
Sin ese rango del ejemplo sobre el matiz de reproducir contenido, y el no menos importante: “requiera acción humana para generar el contenido….”, no queda mucho en pie para intentar negar que casi todos van dentro del concepto. Sí no aplicaba a tabletas, smartphone u ordenador doméstico, pues se iba a quedar fuera el consumidor del todo. El primer ejemplo que viene a la cabeza como producto conectado con historia tumultuosa es la Smart TV, pero ¿iba a estar el teléfono fuera de la terna?
Viendo que sí se debería considerar a la consola como producto conectado, quedan resolver las demás incógnitas de la Data Act. Recordemos que no sólo aplica al IoT, y que en materia de videojuegos, la consola no es un entorno conectado a otros entornos con entornos intermedios. Cierto es que la mayor del corpus normativo cae para el IoT, pero quedaría el punto de proveedor de servicios de tratamiento de datos.
3) ¿Tenemos un servicio relacionado del producto conectado?
Definición: “un servicio digital, distinto de un servicio de comunicaciones electrónicas, incluido el software, que está conectado con el producto en el momento de la compraventa, el alquiler o el arrendamiento, de tal manera que su ausencia impediría al producto conectado realizar una o varias de sus funciones, o que el fabricante o un tercero conecta posteriormente al producto para añadir, actualizar o adaptar las funciones del producto conectado.”
La pregunta de este epígrafe podría parecer un tanto retórica si antes se ha llegado a la conclusión de que existe un producto conectado, pero la definición tiene bastante más miga en sus “dos supuestos” de la que parece.
– Que la ausencia impida una o varias funciones: por deformación profesional en protección de datos, saldría decir que ni de coña es ningún servicio necesario para que la consola funcione. Que todo el ecosistema de que no tengamos disco o cartucho, que venga la parte de arranque monda y lironda, que luego haya que descargarlo (hola a todos, incluyendo a Nintendo con su cambio de política), que no te permita hacer nada sin autenticarse en la cuenta, que te cape juego online al pago, o las mil actualizaciones de muchos minutos; son imposiciones realizadas por motivo comercial, seguridad e intentar limitar al máximo derechos de consumidor. La consola, al igual que hacían antes cuando no todo era campo del micropago y freemium, funciona sin más leches.
Es decir, la dualidad de la consola con su sistema operativo, y el cliente de juego con la cuenta de usuario que se monta encima, de manera que condiciona el funcionamiento de la consola, hasta tal punto que se puede suspender de manera remota por infracción del EULA. E incluso hacer cambios desde la cuenta de usuario desde otro dispositivo, o efecto de sincronización en la propia consola.
Pero, ¿aquí aplicaría la misma pauta, o nos aceptan pulpo por haberlo diseñado así?. Tiene toda la pinta de ser la segunda al no acotar el concepto de “funcionalidad”. No está acotado a funcionalidades nucleares de la consola, sino que daría manga para definir qué funcionalidades se incluyen.
– Que se conecte para actualizar, añadir o adaptar funcionalidades: sobre este supuesto, no cabría interpretación posible: las mil funcionalidades y opciones que el fabricante mete, las actualizaciones continuas, los cambios en tema de accesibilidad, modo parental. Eso incluiría las famosas opciones de accesibilidad, compatibilidades con mil cosas de tercero o modo parental.
Dejando fuera de comentario a los asistentes virtuales (dentro de la Data Act si dentro si van sobre la consola/producto conectado), también podríamos concluir con lo expuesto que nos encaja el cliente de juego como servicio relacionado sobre la consola/producto conectado.
Por último, ¿tenemos un servicio de tratamiento de datos sobre la consola?
Definición: “servicio digital que se presta a un cliente y que permite un acceso de red ubicuo y bajo demanda a un conjunto compartido de recursos informáticos configurables, modulables y elásticos de carácter centralizado, distribuido o muy distribuido, que puede movilizarse y liberarse rápidamente con un mínimo esfuerzo de gestión o interacción con el proveedor de servicios”
Descontando que se van a intentar enhebrar agujas discutibles de exención con los mil conceptos de la definición (“distribuido”, “muy distribuido”, “elástico”, “ubicuo”, “modulable” o “conjunto compartido”), esta redacción va al corazón de los servicios de proveedores de nube y de “edge computing” con las mil variaciones actuales de que sea un PaaS, SaaS o IaaS (o todo junto).
Teniendo en el entorno de la consola un completo ecosistema de servicios de juego online y con partidas guardadas y sincronizadas en nube (luego ya metemos el propio juego en nube), pues sería difícil no encajarles por aquí. Aunque entran ciertas dudas por ejemplo que la Comisión Europea deja caer en la actualización de las FAQS mencionadas varias veces. Especialmente por el ejemplo que pone:
“Por lo tanto, es importante considerar si el usuario es un cliente y si utiliza un servicio de tratamiento de datos como tal o hace uso de una funcionalidad habilitada por un servicio de tratamiento de datos, como escuchar música o ver vídeos.”
De lo que sí se librarían por definición, sería del servicio de intermediación de datos. Un rollo regulado en la Governance Act con varias excepciones, pero que nos libramos de tener en cuenta aquí.
4) ¿A qué información aplicaría?
Ahora ya que tenemos claro, o lo más claro que se ha podido, que la consola y los periféricos varios son productos conectados. ¿hasta qué tipo de información aplicaría la Data Act sobre los mismos?
4.1. Datos de productos conectados
Definición: “datos generados por el uso de un producto conectado que el fabricante ha diseñado para que puedan ser extraídos, a través de un servicio de comunicaciones electrónicas, una conexión física o un acceso en el dispositivo, por un usuario, un titular de los datos o un tercero, incluido, cuando proceda, el fabricante.”
La definición es bastante indicativa sobre el ámbito de datos que estamos hablando. Sí establece el importante límite de “diseñado para que pueda ser extraídos” que habría que aterrizar:
- Incluidos datos primarios/en bruto y pretratados: categorías de datos clave que no se incluyen el articulado, sino en el largo Considerando 15. Ese mismo considerando al que se agarraba ISFE en su redacción anterior a la definitiva.
- Exentos los datos inferidos o derivados: salvando las distancias, como un derecho de portabilidad de protección de datos que alcanza a los datos personales obtenidos y observados, pero no a los inferidos. La Data Act lo ejemplifica con la información que un algoritmo extrapole de los datos que sí son objeto de entrega.
Por aquí se puede intentar escapar un sistema anti-cheat, aunque ya hacen uso indebido de la limitación del derecho de acceso de protección de datos para no dar nada de nada, así que esa historia la dejamos para otro momento.
Trasladado al supuesto que nos ocupa de la consola, y sin ser un fabricante de consolas de la gran ciudad (chistecito basado en Los Simpson), tendríamos los típicos datos y métricas a las que un PCero está acostumbrado.
El hecho de que la consola sea un entorno cerrado con mucho marketing para diferenciarlo, no desvirtúa que sea bajo la carcasa un ordenador miniaturizado y configurado para una única cosa: jugar. Bueno, y también para caparte acceso a configurar nada del sistema operativo ni casi ninguna opción de configuración real.
- Datos de rendimiento y uso de la consola: temperaturas de GPU, CPU y demás, velocidad o métricas de ventiladores y refrigeración, memoria RAM, frecuencias en tiempo, tiempos de carga de juegos, horas totales de uso de consola. Las consolas, no dejan de ser pequeños ordenadores optimizados para una única función.
- Datos de conectividad: latencia, métricas de redes wifi o datos, de actualizaciones, de conexión bluetooth de mandos, auriculares y demás.
- Datos de configuración y preferencias: ajustes de audio y video, configuraciones de controles y accesibilidad, idioma y región seleccionados.
- Datos de dispositivos conectados: métricas y datos de periféricos, incluyendo la carga si es por batería.
Por si alguno se pregunta si los datos de instrucciones, uso, garantía y demás papelería legal entra dentro, pues nop. No encaja en la definición, y tampoco es fuera muy difícil conseguirla en el propio enlace que ahora dan para ahorrarse imprimir nada (y gracias de que la consola sigue siendo un cacharro tangible, aunque empiecen a cobrar aparte el lector de disco.).
4.2. Datos de servicios relacionados
Definición: “datos que representan la digitalización de acciones del usuario o de eventos relacionados con el producto conectado, registrados intencionadamente por el usuario o generados como subproducto de la acción del usuario durante la prestación de un servicio relacionado por el proveedor.”
Sobre la base de lo comentado de que el punto principal sería cliente de juego (launcher para los amigos), o las propias apps, serían los datos de corte más técnico de uso. Lo habitual sería pensar que se refiere a las capturas de pantalla, mensajes enviados, listas de amigos, mapas o modding propios, reseñas o clips hechos como jugados, pero:
Nos metería en el RGPD por el componente de datos personales incluidos, y ya más si hablar del historial de logros o estadísticas que implica un perfilado del jugador. La Data Act habla cachondamente de primacía absoluta del RGPD, pero mil dudas para aterrizarlo.
- Métricas de navegación.
- Inicios y cierres de sesión automáticos.
- Sincronización de datos de guardado en la nube.
- Descargas e instalaciones iniciadas por el usuario.
- Cambios automáticos de estado (online/offline/ausente).
5) ¿Quién es quién aquí?
Desde fuera del todo, el concepto de titular de datos o de usuarios, parecen autoexplicativos. Ojalá significaran lo que parecen, pero son mucho más amplios y dadores de futuros mareos. El quién es quién aquí es más jodido que jugar al clásico de mes con Skynet.
5.1. Titular de datos/data holder vs usuario
Definición de titular de datos: “una persona física o jurídica que tiene el derecho o la obligación, con arreglo al presente Reglamento, al Derecho de la Unión aplicable o a la normativa nacional adoptada de conformidad con el Derecho de la Unión, de utilizar y poner a disposición datos, incluidos, cuando se haya pactado contractualmente, los datos del producto o los datos de servicios relacionados que haya extraído o generado durante la prestación de un servicio relacionado.”.
Definición de usuario: “una persona física o jurídica que posee un producto conectado o a la que se le han transferido por contrato derechos temporales de uso de dicho producto conectado, o que recibe servicios relacionados.”
Aquí se entra pensando en que es la típica relación de empresa fabricante o comercializadora del producto como titular de los datos, y consumidor final que la adquiere o contrata como usuario, pero se sale con dolor de cabeza del tipo de Ketchup vs Catsup del Señor Burns. También se entra haciendo la equivalencia titular de datos = responsable del tratamiento, y usuario = interesado, como buena deformación profesional.
Ojalá fuera así. La Comisión Europea nos da dos ejemplos que ponen a jugar estos elementos subrayados de las definiciones para que sea un caso a caso permeable y complicado:
- Una empresa opera una excavadora: el titular de los datos sería normalmente el fabricante de la excavadora, y el usuario sería la empresa que explota la excavadora.
- Si alguien compra un frigorífico conectado y descarga una aplicación que le ayuda a regular la temperatura óptima para el contenido del frigorífico, podría haber dos titulares de datos, a saber, la entidad que comercializó el frigorífico y la entidad que ofrece el servicio relacionado (la aplicación), y solo un usuario (el propietario del frigorífico).
Aplicándolo a lo nuestro, y partiendo de los elementos nucleares de que el titular de datos tiene que tener un contrato con el usuario (compra-venta suscripción, contrato de servicios…, etc.), y de que el titular de datos y usuario no pueden ser ambas cosas sobre el mismo conjunto de datos. Justo en los videojuegos, rige el famoso EULA o licencia de usuario final + todos los acuerdos unidos en cascada del resto de parte.
- Sony, Nintendo y Microsoft son titulares por partida triple. Como fabricantes de la consola, como editoras con sus clientes de juego propios y ecosistema al que se daría acceso a otras editoras, y como fabricantes de los periféricos oficiales de cada una.
- Las editoras no fabricantes tendrían la doble condición: titulares de datos por el cliente de juego propio sobre los jugadores y sus datos, y usuarias de los fabricantes con los que llegan al acuerdo para desarrollar juegos compatibles y todos los elementos necesarios para conectar su cliente de juego a través de la consola/el pedirle datos de uso de la consola.
- Los estudios podrían desplegar varios roles, según si son independientes o forman parte la editora. Si actúan como su propia editora, sería el mismo caso doble de las editoras del punto anterior; y si actúa como estudio interno de una editora, serían usuarios por cuenta de la misma.
- Las entidades detrás de las apps o funcionalidades de terceros tendrían doble condición también: titulares de datos de los jugadores como usuarios, y usuarias de Sony, Nintendo o Microsoft, o usuarias de la editora en la que se incorporara su app o funcionalidad de tercero.
- Los jugadores como usuarios de todos los anteriores titulares de datos. Lo pasamos sin leer, pero con cada uno de ellos nos hemos tragado un EULA distinto en cadena.
Alguien podría preguntarse ¿qué pasa con los jugadores a los que les dejamos un mando cuando están por casa?. ¿son usuarios a efectos de esta Data Act?. Cierto es que ya es casi un recuerdo del pasado jugar en una misma consola varias personas, pero ahí sigue la posibilidad de “cooperativo en multijugador local”.
La respuesta sería que nop. La exigencia de que cada uno tenga una cuenta de usuario en la autenticarse cuando se conecta un nuevo mando, hace que todos tengan este nexo contractual o “derecho real”. La única excepción sería aquellos que siguen jugando a consolas clásicas/retro (genuinas de la época), pero estarían fuera de todo radar normativo actual de datos e información. Como el anda con un móvil no Smart.
5.2. Destinatario de datos o “tercero”
Definición: “Una persona física o jurídica que actúa con un propósito relacionado con su actividad comercial, empresa, oficio o profesión, distinta del usuario de un producto conectado o servicio relacionado, a disposición de la cual el titular de datos pone los datos, incluso un tercero previa solicitud del usuario al titular de datos o de conformidad con una obligación legal en virtud del Derecho de la Unión o de la normativa nacional adoptada de conformidad con el Derecho de la Unión”;
Obviando la parte de posibles obligaciones legales de cesión a autoridades competentes y tribunales, se abre un amplio campo de difuso de cualquier tercera entidad con las que se llegue a un acuerdo en este sentido. Para intentar aterrizarlo en un flujograma, vamos a personalizar para la ocasión uno de los que da la Comisión en sus FAQS.
6) ¿Qué obligaciones principales existirían?
Quitando las partes de intercambio de información entre empresas y admin pública, lo de espacio de datos, interoperabilidad en estos espacios o el tema de ejecución, vamos con los capítulos II, III, y VI, o sea, obligaciones para productos conectados, titulares de datos y proveedores de servicios tratamiento de datos.
6.1. Productos conectados y servicios relacionados
Para el fabricante de la consola, editoras en su punto de titulares y los de las apps de terceros, tendríamos las siguientes. Siempre con el runrún comentado del límite de datos primarios, datos pretratados, nada de información inferida y secreto empresarial.
- Accesibilidad de la información: se tiene que permitir el acceso a los usuarios de los datos del producto (los que genera el dispositivo por el uso), “datos de servicios relacionados” (los que genera la aplicación conectada al dispositivo por acciones de usuario o eventos) y los metadatos que permitan entenderlo todo. Cogiendo la misma idea del derecho de portabilidad del RGPD, que sea en un “formato completo, estructurado, de utilización habitual y de lectura mecánica”, y, cuando proceda y sea técnicamente viable”.
La modificación del contrato de Nintendo enlazada en la intro, nos permite recordar que todo esto tiene que ir garantizado por un contrato con contenido tasado. En el de Nintendo se saca la patita con el concepto de dato generado y que el jugador autorice el uso con la firma del mismo, pero tiene que ir más chicha (art 3). Distinto si hablamos del producto conectado o del servicio, pero, en síntesis: tipo, formato y volumen de datos que se generarán, si es en tiempo real, si se almacenan, el modo de consultarlos o si se “prevé utilizar él mismo los datos fácilmente disponibles y los fines para los que se utilizarán dichos datos.” Se vuelve a poner la captura, que ir tan hacia arriba de nuevo es un coñazo.
- Los fácilmente disponibles: Nintendo menciona en su definición de esta modificación contractual este matiz. El artículo 4 de la Data Act da la clave del juego que se puede hacer aquí al determinar qué va ser accesible directamente en la consola, y luego qué se va a consideran “fácilmente accesible” para el acceso se dé a petición concreta con la pauta abierta de “sin un esfuerzo desproporcionado que vaya más allá de una operación simple”.
En las propias FAQS, la Comisión Europea nos ilumina, vía Considerando 20, que si el producto capa la transferencia o almacenamiento interno, no es info fácilmente disponible. Cosa que en la consola no pasa ninguno de los dos lados. “Si el diseño de un producto conectado impide inherentemente el almacenamiento o la transmisión externa de datos, dichos datos no se consideran «fácilmente disponibles» (Considerando 20).”
Y también que ojo con que se puede volver a asociar info con usuario sin hacer nada extraño: “En segundo lugar, siempre que existan medios razonables para vincular de nuevo los datos a un usuario específico o a un producto conectado, sin cambios sustanciales en el sistema ni costes, los datos permanecerán «fácilmente disponibles» para su solicitud en virtud de los artículos 4 y 5.”
- Derecho de portabilidad vitaminado: lo anterior, pero con la obligación de poner a disposición estos datos fácilmente disponibles al tercero que el usuario peticionario indique. El ejemplo arquetípico sería el del jugador que pide que se trasladen los datos a otra consola de otro fabricante, pero puede ser una Ubisoft editora de la vida a otra entidad distinta.
A fin de poder discriminar qué datos generaría cada usuario para poder cumplir adecuadamente, tenemos las cuentas de usuario para todo que tanto gusta. En otros casos podrían ser un problema, pero en la industria actual se da un calco del Considerando 21:
“el diseño del producto conectado o servicio relacionado o la interfaz pertinente debe permitir que cada usuario tenga acceso a los datos que genera. Por lo general, el uso de productos conectados que generan datos necesita la creación de una cuenta de usuario. Esta cuenta permite la identificación del usuario por parte del titular de datos, que puede ser el fabricante. También se puede utilizar como medio para comunicarse y para presentar y tramitar las solicitudes de acceso a datos. (…….)
Los fabricantes o diseñadores de un producto conectado que suelen utilizar varias personas deben establecer los mecanismos necesarios para crear cuentas de usuario separadas para personas concretas, cuando proceda, o que varias personas puedan utilizar la misma cuenta de usuario. Las soluciones de cuenta deben permitir al usuario suprimir sus cuentas y los datos relacionados con ellas, y podrían permitirle poner fin al acceso a los datos o a su utilización o intercambio, o presentar solicitudes para ponerle fin, en particular, teniendo en cuenta las situaciones en las que cambia la propiedad o el uso del producto conectado.
- Intercambio de información por obligación legal B2B: tanto en el supuesto de que se pida la cesión de datos a tercero, como en los que hubiera obligación legal de comunicarlos, se debe suscribir contrato específico. No será obligatorio usar los modelos que encargó la CE para ello, pero todos sabemos que se impondrán como estándar de algo ya hecho y tasado: los modelos de “cláusulas contractuales tipo” o “MCT” (no obligatorias, publicadas en abril de este 2025, como parte del informe “Final Report of the Expert Group on B2B data sharing and cloud computing contracts”). Y las concretas para servicios de computación en nube (SSCs).
Nos podríamos dejar fuera la parte de la puesta a disposición de información a organismos y autoridades, que ya es un poco largo el artículo. Tiene su qué por el enfoque garantista desde protección de datos, pero para otro día. El hecho de que sólo se puedan pedir datos personales en casos de “emergencia pública” (emergencia de salud pública, una emergencia derivada de catástrofes naturales, catástrofe grave provocada por el hombre, ciberseguridad….) con petición por escrito, medidas de adecuada, garantía de que no pueda obtenerlos por medios alternativos ni fuera suficiente con información no personal….
Muy al estilo de la Directiva/Ley Orgánica “de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales”.
6.2. Proveedor de servicios de tratamiento de datos
Las editoras como titulares de sus clientes de juego en la relación con el jugador. Aunque el cliente de juego de la editora se conecte con el principal del fabricante/consola, actúa como un servicio independiente que le seguirá por sus consolas, ordenador y dónde sea que quiera jugar a un juego del que son “titulares de su IP”. Se pide al jugador que se haga cuenta y se autentique cada vez para sincronizar el contenido del mismo con la consola en la que se reproduce.
La carga de la Data Act se reduce bastante, ya que gran parte del corpus va unida al producto conectado y los servicios relacionados. Especialmente, el trasladarle los datos a otro proveedor del ramo para que te preste el servicio él. El de portabilidad de protección, una vez más, pero tuneado para la ocasión. Y una vez más, con contrato por escrito. Esperemos a los EULAs con una nueva cláusula que nadie leerá.
- Deber de información en sitio web: jurisdicción a la que está sujeta la infraestructura de TIC, y descripción general de las medidas técnicas, organizativas y contractuales adoptadas por el proveedor de servicios de tratamiento de datos para impedir el acceso o transferencia internacionales por parte de las administraciones públicas.
- Derecho de portabilidad (cambio de proveedor): dar respuesta y traslado de la información al proveedor designado por el cliente que preste servicios equivalentes, con plazo máximo de preaviso de 2 meses, bajo el contrato que se regula en el art. 25, con determinación de plazos transitorios y de extracción de información, supresión si el proceso de cambio se finaliza, y afectación o dos tipos concretos de información:
Para no perder la mala costumbre del demonio incluyendo matices, aquí tenemos dos nuevos conceptos a tener en cuenta:
- «activos digitales»: “elementos en forma digital, incluidas las aplicaciones, para los que el cliente tiene derecho de uso, independientemente de la relación contractual establecida con el servicio de tratamiento de datos del que el cliente se pretende cambiar”.
- «datos exportables»: “a efectos de lo dispuesto en los artículos 23 a 31 y en el artículo 35, los datos de entrada y salida, incluidos los metadatos, directa o indirectamente generados o cogenerados por el uso por parte del cliente del servicio de tratamiento de datos, excluidos cualesquiera activos o datos protegidos por derechos de propiedad intelectual, o que constituyan secretos comerciales, de proveedores de servicios de tratamiento de datos o de terceros”
7) Aplicabilidad condensada en protección de datos
Nos divertiremos todos en el futuro con las derivadas que se ven a simple vista ahora, pero lo principal será el papelón de si estamos ante un interesado-usuario, y los derechos de acceso y portabilidad.
La Data ACT se cubre en el artículo 1.5 con la declaración de primacía del RGPD en caso de conflicto, pero ¿cómo se aterriza esto al caso concreto?. La maliciosa primera tentación sería decir que no se aplica la Data Act y pista. Ojalá, pero ojalá. Y más aquí que juega este artículo 1.5, el 5.7 y el Considerando 34.
Artículo 1.5: “En caso de conflicto entre el presente Reglamento y el Derecho de la Unión en materia de protección de datos personales o de la intimidad, o la normativa nacional adoptada de conformidad con el Derecho de la Unión en la materia, prevalecerá el Derecho aplicable de la Unión o nacional en materia de protección de datos personales o de la intimidad.”
También van dejando muy claro. Una vez más a nivel de considerandos, que esta Data Act no es base de legitimación alguna para justificar nada. Nada de decir que obligación legal o interés legítimo de suyo por existir una norma que permite pedir información de la consola:
Considerando 7: “(….) Cuando el usuario no sea el interesado, el presente Reglamento no contiene ninguna base jurídica para que se proporcione acceso a los datos personales o estos se pongan a disposición de un tercero, y no debe entenderse que concede ningún nuevo derecho al titular de datos a utilizar los datos personales generados por el uso de un producto conectado o de un servicio relacionado.”
Groso modo, tendríamos dos supuestos principales aterrizados: el usuario-interesado (jugador), y el usuario no interesado (juego del fabricante y editora). Por concretarlo lo máximos posible en dos ejemplos:
- Usuario-interesado: es el supuesto fácil en el que vamos a tener un usuario que va a poder pedir todos los datos. Los no personales fácilmente disponibles que gustan a la Data Act, y sus propios datos personales. Sea como un derecho de acceso o de portabilidad, en su doble vertiente de RGPD y Data Act.
- Usuario no interesado: aquí ya estamos en la cara oculta de la Luna. Si hablamos de datos no personales, seguiría lo demás. El tema es si piden acceso a datos personales que se hayan generado por el uso de producto conectado por otro usuario, en este caso el jugador. Y siempre sin olvidar la jodida del RGPD: están los datos personales en origen, pero, también, los datos no personales que acaban siéndolo por inferencia o combinación.
Aquí pondría en 1ª línea a esta editora que, en este intento de pedir datos de los jugadores generados por el pasar rato con el juego del que es titular en la consola, pasa a ser automáticamente responsable del tratamiento de RGOD (como recuerda el 5.7 y el Considerando 34 de la Data Act).
Va a necesitar una base de legitimación de las 6 que el artículo 6 del RGPD determina. A efectos, o intenta un ser necesario para la ejecución del contrato con el jugador interesado, o un consentimiento. La primera tiene la complicación de que habría que demostrar que el tratamiento de esos datos personales es estrictamente necesario de necesidad, y la segunda es la que seguro que intentarán más.
Recordando la actualización de términos de Nintendo del inicio, pudiera parecer que se van a decantar más por consentimiento. Nada más lejos de la realidad. Lo más habitual es que intenten retorcer primero el contrato, y luego ya vamos viendo.
Han sido listos, y en los términos actualizados va a por los “datos generados”, es decir, todos aquellos no personales que el jugador va generando por el propio uso de la consola. Y es aquí dónde te ponen delante la autorización que les permitiría funcionar por la Data Act (aunque no sin algún punto difuso). Ni rastro de consentimiento o referencia para el tratamiento propiamente de datos personales, pero tendría más gracia verlos en los términos de las editoras no fabricantes que pudieran intentar pedirlos.
Podríamos ahora hablar de si habría responsabilidad o corresponsabilidad entre el fabricante titular y la editorial usuaria, pero se iría mucho. Y que hace tiempo ya se trató el tema en el blog, sobre protección de datos pura si mascarada previa de Data Act: Corresponsabilidad de datos personales en los 🎮.
El boss oculto está de rabiosa actualidad. El 4 de septiembre, el TJUE ha resuelto el esperado caso SRB v EDPS. Y lo ha hecho confirmando la doctrina Scania: el dato seudonimizado puede ser personal o no para el cesionario, en base a si tiene posibilidad o no de identificar al interesado. Valoración caso a caso, y que para las corpos del tipo de META se vuelve complicado usar.
Parece que destruye las líneas maestras de que un dato seudónimo no sea siempre dato personal, pero entra en el supuesto de sentido común de que para una parte no lo sea si no puede identificarlo sin esfuerzos desproporcionados. Si alguien quiere consultar más en profundidad Scania y el recorrido hacia ello, puede ir a los que escriben Jorge García Herrero (mucha presentación tampoco hace falta) y Mikel Recuero (buena tesis con referencia a que el Considerando 26 del RGPD ya dejaba cositas).
Punto 86: “De ello se infiere que, contrariamente a lo que sostiene el EDPS, no debe considerarse que los datos seudonimizados constituyen, de cualquier forma y para cualquier persona, datos personales a efectos de la aplicación del Reglamento 2018/1725 ( el RGPD del lado público de la UE), en la medida en que la seudonimización puede, según las circunstancias del caso, impedir efectivamente que personas distintas del responsable del tratamiento identifiquen al interesado de tal manera que, para ellas, este no sea, o deje de ser, identificable.”
Aplicándolo al caso, habría que ver una a una las medidas de seudonimización que el fabricante podría aplicar para que la editora se salte el RGPD por no poder identificar. Lo más jugoso para la editora, sería pillar datos de perfilado del jugador sin tener que cumplir malamente con el RGPD ni el temido 22.
- Tendríamos algún supuesto más fácil de seudonimización que desde el lado de la editora, como las métricas de rendimiento del hardware durante el juego o los datos de “crasheos”, errores técnicos, actualizaciones, uso de red del juego,
- Los más complicados: compras in-game, tiempo de juego y sesiones y alguno más. Complicados por el hecho de que la editora tiene más fácil hacer un cruce con los propios del jugador que tiene en su cliente de juego. Los jugadores son personitas de rutina, se nos obliga a tener un cliente de juego por cada conjunto de juegos concretos, y somos personitas de rutinas. Y de comprar, más o menos cada cabra siempre acaba tirando al mismo monte.
Salvo que se haga caso al EDPB y EDPS, en su dictamen conjunto sobre esta norma, y de base permita a los usuarios interesados usar el producto de forma completamente anónima. No tiene mucha pinta de que vaya a pasar, o como mucho, se verán el “modo invitado no usuario, o “modo limitado hasta que conectes una app”.
Y hasta aquí. Ha sido un largo camino, pero es lo que tienen las normas complicadas. Y ya iremos viendo si llega un momento en que la singularidad cuántica nos invade a todos para ser unos jurisconsultos de la Data Act. Ese momento en el que todo hace click perfecto en tu cabeza.
