Pasado el maravilloso día de la privacidad en el que anualmente la AEPD anuncia los ganadores de sus premios, ya se puede decir alto, claro y a los cuatro vientos que he tenido la gran suerte de levantar otro cubo (bueno, lo haré en el momento en que se decida hacer la ceremonia de entrega de premios).
Me he vuelto a llevar un cubo en la categoría mágica de investigación (menos para el pobre jurado si se acumulan muchos candidatos en el límite de 100 páginas). La diferencia con el 2020 es que ahora estoy en el escalón definitivo: el premio absoluto o 1º premio, en modalidad ex aqueo por compartirlo con el estudio: “Privacy in the age of neurotechnology. Investigating public attitudes towards brain data collection and use”; de las investigadoras de la Universidad de Paderborn: Patricia Arias Cabarcos y Emiram Kablo. Cada cual se lleva un cacharro independiente, pero dejando claro que ambos estudios se consideran dignos cual Mjölnir para el escalón de oro.
Yo me lo he llevado por algo sobre protección de datos aplicada a videojuegos (gran sorpresa, la verdad), pero con un título un poco más largo: “Análisis de la adecuación y funcionamiento de los sistemas antitrampas o «anti-cheat» en los videojuegos. Comentario especial del escaneo en tiempo real y a nivel de administrador del dispositivo de juego.” En mi defensa diré que lo suyo es que sea descriptivo, y que la última parte es vital que esté ahí desde el minuto cero.
Ambos estudios, junto con el resto de premios galardonados, se puede consultar en abierto en la página que la AEPD deja todos los años para que queden a disposición pública. Si alguien quiere usar algo premiado del ganador que sea, pues lo suyo es cumplir con el derecho de cita y no ser un notas. O mejor, cumplir con el derecho de cita y contactar con el autor para contar lo que sea que se va a hacer.
¿No sabes si te quieres meter de cabeza en un estudio de 60 páginas sobre sistemas antitrampas en los videojuegos? No pasa nada de nada, que vengo preparado con una versión liviana del núcleo del tema en formato podcast. No es lo mismo, pero sí te puede una pauta del tema, sin el componente datero a fuego del estudio.
También está la memoria ejecutiva que colgó la AEPD en el anterior enlace, aunque todos sabemos que ahora se lleva más escuchar que leer.
Allá por el 2020 hice otro artículo de celebración del Accésit (y del Premio de Investigación de la AVPD por el mismo estudio, que no hay que olvidar el doblete) contando un poco la película, pero para el presente creo que puede más interesante hablar de curiosidades o cositas del cómo se hizo. La parte de iceberg que nunca se ve, pero que a veces determina cómo acaba saliendo algo.
Por nostalgia y darle un poco de color al post, vamos a recuperar un par de imágenes del 2020. Que siempre hace ilusión ver lo que uno va envejeciendo en un plazo de 4-5 años, y que se siga dando guerra con un temita que nunca se acaba.
La génesis del estudio
Los videojuegos siempre han guardado en su interior grandes éxitos de la problemática datera. Similares a muchos de los que tienen gran parte de servicios digitales, pero siempre con algún giro, matiz o fase añadida. Si no contamos en sandbox perfecto menos visibles que otros sectores para practicar con cosas que no deberían. Nadie está mirando a The Pokémon Company con Pokémon Sleep, ni a Niantic con Pokémon GO.
En el estudio del 2020 se hacía menciona sucinta a los sistemas antitrampas, pero no es hasta 2024 cuando se me encendió la bombilla de intentar hacer una especie de auditoría “técnica. Por el camino surgieron cosita del tipo a la grabación del chat de voz (se trata de manera separada en el estudio del premio), pero no fue el detonante.
Lo más fácil como jurista hubiera sido hacer un análisis legal, pero con los sistemas antitrampas merecía la pena jugar un poco más cerca del barranco para intentar llegar a la información accedida, a fin de luego poder cotejarlo/contrastarlo con lo legal e informado (no siempre se declara). ¿A qué datos personales e información del dispositivo acceden de verdad para intentar logar este interés legítimo en concepción tan blanco?
Todo esto está explicado en el estudio, pero el giro fue que el análisis no salió como se esperaba. Al usar dos programas propietarios de Windows (Sysmon y Procmon) para medir el uso de recursos y acceso de los cinco sistemas reales objeto de análisis, me encontré con varias cosas: que no había nada concluyente, que no permitiría el acceso a los logs, o había imposibilidad forzada algunos de los sistemas por “protección de código fuente o de funcionamiento frente a malosos”. Problemas del día a día que no son ajenos a cualquier jugador por las cosas raras, la imposibilidad de juego sin permitir acceso a nivel de administrador, o la obligación de desactivar cualquier programa, antivirus o elementos que consideren que puede implicar una trampa.
Haciendo uso de la expresión de “no hay mal que por bien no venga”, toda esta imposibilidad da más fuerza a la parte jurídico-datera. Si me pones trabas y problemas un tanto subidos, pues la proporcionalidad, legítimas expectativas, información de protección de datos que no casa y + van a ser losa en la necesarias PIA y LIA. Luego se suma el hecho de que el algoritmo te expulse /banee sin que puedas volver a jugar si intentas usar algo más potente de “análisis forense”.
El detrás de las cámaras (del juego)
Aunque pueda parecer un contrasentido, de los juegos de renombre con los cinco sistemas antitrampas unidos que se tuvieron que jugar para obtener la información de 1ª mano que analizar, sólo había jugado a Fornite antes de prepararlo. Nunca jugué (ni volveré a jugar salvo “necesidad investigadora”) a Call of Duty: Warzone, Xdefiant, Team Fortress 2 y Valorant. Digo que jugué a Fornite, pero también fue para escribir algo sobre temita verificación de edad.
Obviamente, no podía hacer el análisis sobre juegos que no fueran de los más jugados del ámbito multijugador online en el que están más activos los sistemas antrampas. Ninguno será nunca santos de mi devoción, porque han cimentado el sistema de micropagos y juego como servicio que tanto daño está haciendo al sector de los videojuegos.
De todos estos juegos, el que más guerra y problemas dio fue Valorant con su sistema antitrampas propio de la compañía: Vanguard. Un sistema que se instala como aplicación, pero que a la mínima que detecta cualquier medición te avisa de que no vas a jugar/te saca del juego sin más.
Aunque tampoco se queda atrás, Easy Anti-cheat/el sistema de Fornite: si decides no autorizar el acceso a nivel de administrador a tu dispositivo, te lo va a bloquear hasta que vayas a la carpeta concreta en la que se hubiera instalado y toques un archivo de una manera concreta que ellos te dicen. De nada sirve desinstalar y volver a instalar/viva la libertad y el forzar la elección del usuario.
+ Curiosidades
Agradezco que la AEPD ponga en valor el tema de IA y de propiedad intelectual en la nota de prensa de publicación de ganadores, pero lo cierto es que el apartado de objeto y alcance intento delimitar lo que no voy a tratar. Se ofrecen de manera paquetizada como funcionalidades, pero son netamente sistemas antitrampas: los sistemas de DRM para evitar acceso ilegal a copias del juego, funcionalidades de control de odio y similares por chats de voz, o denuncias por otros jugadores para investigar.
Reconozco que los sistemas de DRM son el inicio de todo, pero los dejo fuera por centrarse en tema propiedad intelectual y no tener esa problemática tan acuciante como los sistemas antitrampas. En apartados separados, sí trato de manera más breve la grabación de chat de voz, la posibilidad de denuncia o el tema RIA por ser un algoritmo full artículo 22 del RGPD. Bueno, y que les sería de aplicación a sus responsables un poco de DSA.
En el estudio no lo digo, pero la gente de Valorant nunca llegó a responder a mi ejercicio de derecho de acceso. Entiendo que el DPO y equipo de protección de datos se asusten al ver un ejercicio de acceso que ya va avisando (vía ejemplo del EDPB) que no se atrevan a escaparte por el 15.4, pero acay un trecho desde el susto hasta el peligroso ni responder en plazo. Ni que sea haz lo mismo que el resto: abusar de la excepción aduciendo código fuente para no cumplir con la satisfacción de un derecho de manera total.
Y el remate es el dolor de alma que supone buscar información de protección o relevante sobre el tratamiento entre la política de privacidad y otros tantos documentos desperdigados sin referencia directa en la misma. FAQS, políticas de privacidad del proveedor, códigos de conducta, información de restricciones técnicas o información general del sistema a modo de publicación en blog.
Lo más importante de todo
¿Con qué pin de solapa iré a la entrega en el momento que se decida hacer? Muchas posibilidades que cumplen el requisito del dar el cante.
Sin más. Muchas gracias por leer este post. A continuación, las fotos de rigor de este año:
Saludos dateros.