Empezamos el día 8 de abril con un alineamiento planetario. Se puede creer en las casualidades, en la magia o en todo pasa por algo, pero poca broma: servidor está por la AEPD recogiendo un cubo bien bonito de premio por estudio sobre lo chungo que va el tratamiento de prevención de trampas en videojuegos, Nintendo está abriendo su sistema de prerreserva VIP pasado de rosca para la Switch 2, y vosotros estaréis leyendo estar artículo sobre estas reservas VIP.
El lunes parecía que los aranceles habían supuesto el retraso de su apertura, pero al final lo tenemos aquí con nosotros. Servidor se enteró por referencia de dos personitas en redes: por José Miguel (@josemirr93gamer en Twitter) mediante mención a la cuenta de Jugando a Derecho, y por una 2ª mención estratégica del gran Alberto R. Aguiar por Linkedin. Era impepinable acabar haciendo un articulito, aunque vaya ahora por delante del sistema de reserva.
¿Qué es lo plantea Nintendo para seleccionar vips?
Literalmente, lo de este collage de capturas del día del anuncio de la Switch 2. Van a revisar si tienes suscripción en activo de Switch Online de 2 años para arriba, te van a perfilar con una muy posible decisión totalmente automatizada, y te van enviar un correo de invitación. No es poco llamativa la redacción y advertencias de tres consentimientos (no llamados así) cruzados, genéricos y un tanto no libres. Fondo de ave suficiente para ver si nos da para un buen caldo.
Esta idea estrella de Nintendo recuerda mucho a la que tuvo Sony con la prerreserva de la PS5. También tratada en el blog por lo que no cumplía, pero con mejor enfoque en el planteamiento de la estructura del tratamiento.
Lo que se va a comentar aquí se basa en la poca información disponible de no VIP sin acceso la invitación (llevo sin tocar consola de Nintendo desde la Game Boy Color). Obviando que pudiera existir una 1ª capa informativa en el correo de invitación (lo dudo bastante por cómo pinta), quedan las capturas previas + la política de privacidad que debería aplicar a este caso: la de la cuenta de usuario de Nintendo.
Conociendo el amor por hacer políticas tipo anillo único de todos los tratamientos por todos los sitios, se agradece que Nintendo tengo una pestaña de “información legal” con el desglose de las distintas políticas de la compañía. Aunque no pongamos la mano en el fuego por posible política salvaje apareció por otro lado (referencia a Pokémon, sí). La de la propia web que debería tener sólo los tratamientos que se hacen desde la misma, tiene algún susto que mejor no mirar.
Tratamiento autónomo y con entidad propia
Con la situación actual de bots y personas que se dedican a agotar stock para distorsionar los precios de consolas y juegos, se podría pensar que es el intento de Nintendo de evitarlo. Un poco al estilo del interés legítimo de prevenir trampas en un videojuego (luego se corrompe por las mil ilegalidades que meten para “garantizar” la efectividad). Nada más lejos de la realidad, aquí tenemos puro interés comercial sin posibles intereses legítimos elevados que ansíen llegar a ser imperiosos.
Mencionaba antes el otro caso similar de Sony. Lejos de ser una mera referencia de interés por comparativa, la gracia es que no pecaba del principal problema que veo aquí: era un tratamiento específico y autónomo presentado como tal.
Aquí parece que se esté intentando aprovechar que el Pisuerga pasa por Valladolid con un enfoque engañoso: te hablo de cosas que ya se mencionaron/te suenan/o has visto a totum revolutum en la política de privacidad, a fin de que no te parezca extraño ni distinto lo que te planteo ahora.
“Nintendo también podrá someter a tratamiento los datos de uso para fines de marketing, lo que permitirá personalizar los contenidos, productos y servicios para satisfacer de este modo las necesidades de nuestros usuarios, así como personalizar las recomendaciones y ofertas mostradas a través del Servicio de la Cuenta Nintendo y otras funciones en línea. En función de cómo haya configurado usted los ajustes del historial de programas usados en su Dispositivo de Usuario, sus amigos podrían recibir recomendaciones basadas en los programas que usted haya utilizado.”
Mencionar cosas del estilo a este fragmento en la política de privacidad, con mareo de consentimiento o interés legítimo para hacer una redacción difusa y general para que te quepa cualquier cosa que se te ocurra, ¿haría que fuera una finalidad que cumpliera los requisitos del RGPD, en particular, la de especificidad? Yo no lo veo.
Alguno pensará, ¿y aquí no cabría decir que es una finalidad secundaria compatible con la ya informada? El 6.4 del RGPD inhabilita esta posibilidad si vas por el consentimiento que han decidido meter (sin llamarlo consentimiento) en las capturas, pero vamos a mirar los requisitos con la lupa del caso DIGI del TJUE:
- Relación concreta, lógica y suficientemente estrecha entre los fines: la relación en este sentido la verá Nintendo, pero hay un Amazonas de distancia entre usaré los datos de uso de la consola/juego + te enviaré comunicaciones comerciales normales o personalizadas, y te voy a hacer un casting específico para decidir si eres el primero en tener la oportunidad de pagarme la nueva consola; y que
- No exceda las legítimas expectativas: teniendo en cuenta que la expectativa, según nos dice el EDPB, tiene que ser algo que el interesado vea y espere sin indicación externa de ningún tipo, pues que me cuente Nintendo qué tipo de setas le dan de comer a Mario.
Nintendo es la que tiene el control que debería poseer el interesado sobre sus datos
En el cacareado ejemplo de Sony del formulario, tú decides que se lleve a cabo el tratamiento al apuntarte, pero aquí Nintendo es la que va a hacerlo sobre tus datos si da la casualidad de que tienes todos los checks marcados de uso de datos y de comunicaciones generales para todo. ¿Consentimiento convertido en oposición chunga por no permitirla a priori del tratamiento? ¿Ingeniería jurídica para minimizar el riesgo y punto?.
El punto de la autonomía del principio de licitud (recordado por el EDPB en sus directrices de privacy by design) salta por la ventana: “el interesado debe tener la máxima autonomía posible en lo que respecta al control de sus datos personales en el marco de la base jurídica.” Y el riesgo inherente para Nintendo por jugadores enfadados ejerciendo derechos, quejas y +. En el RGPD, el interesado es el rey y el sujeto de protección.
¿Y si yo estoy tan feliz en las Maldivas de vacaciones con mi recién comprada Switch uno con pantalla OLED (tras quemar la original al jugar), no me entero de nada de esto, y me llega una invitación que ni gracia me hace?
¿Y la posibilidad de que yo sólo quiera seguir recibiendo las comunicaciones comerciales + permitir el uso de datos que leí en la política, pero me niegue a desactivar nada porque no es mi problema?
Y luego la pregunta tipo Mercadona: ¿Y este tratamiento no va a afectar a cualquier jugador activo? Tenga o no tenga los requisitos, el sistema tendrá que filtrar a los que sí. Igualito a lo de hacer reconocimiento facial a todo el mundo para filtrar a los que tuvieran órdenes de alejamiento en las tiendas.
¿El hecho de ser fan acérrimo Nintendero garantiza que nadie se va a ir a contarle nada a la autoridad de protección de datos de su país de la UE?
Perfilado y decisiones automatizadas
¿En lo que nos plantea Nintendo estaríamos en el jardín del artículo 22 del RGPD que complicaría mucho el tratamiento?. Dos de tres requisitos es fácil, pero puede haber dudas en el tercero necesario:
- ¿Elaboración de perfiles y decisiones automatizadas?: las capturas ya nos dicen que se va perfilar para fallar quién es merecedor de las invitaciones. Lo que no dice es que sea por medios automatizados, pero a nivel de Nintendo y por cómo funciona todo, ya podemos dar por supuesto que hay medios de este tipo;
- ¿Sin intervención humana?: casi seguro que sí por el volumen, pero no se puede saber sin más información si tenemos “humanidad dirimente” en el proceso;
- ¿Efectos jurídicos o similares?: está la tentación de agarrarse a que produciría una discriminación significativa en los que se quedaran fuera de esta invitación, pero sería más discutible si se puede argumentar en serio que lo produciría de manera significativa. No implica una imposibilidad de compra o reserva de los no seleccionados, no supone una variación del precio (salvo susto que venga)
Aunque no parezca entrar en el 22, sí sería un perfilado y decisiones automatizadas de la que debería dar información. No vemos información de protección de datos, pero casi en lo que más llegan a aterrizar funcionamiento entendible (2ª columna de la captura).
De comunicaciones comerciales y consentimiento
El punto de las comunicaciones comerciales es el que más llama la atención del montaje de Nintendo, pero también el que suscita más dudas:
- ¿Realmente es una comunicación comercial, o es que venía bien para minimizar posibles riesgos sin intentar hacerlo bien? ¿Para enviar mensajes de nuevas funcionalidades de la Swtich y de la cuenta de usuario también es necesario tener el check de comunicaciones comerciales?;
- ¿Si son usuarios activos desde hace mil con una Switch 1, no se puede enviar el mensaje de invitación a través de mensaje interno del perfil de usuario? No hay consola ni plataforma que no te exija el tener una cuenta de usuario. Y hasta por ahí es por dónde se suele poner ejercer derechos de protección de datos. Por ejemplo, seguro que están ahí los checks que te piden no desmarcar ahora;
- ¿Se ha aprovechado para forzar la legitimación de que te puedan enviar comunicaciones comerciales normales, personalizadas y poder obtener los datos de uso de cualquier que crea que cumpla los requisitos?; o
- Si es una mera invitación a reservas sin cambio de precio o nada más, ¿qué habla Nintendo de “oferta personalizada”?.
En el tema de comunicaciones comerciales se mezcla la normativa específica que determina el consentimiento general y el interés legítimo como excepción limitada, con el propio tratamiento de datos personales que supone. Este mareo lo ejecutan en la política de privacidad para el jugador no sepa muy bien si consentimiento es necesario para que le fusilen, pero aquí se tira un triple.
Al distorsionar el enfoque del tratamiento par que no fuera uno autónomo real sin cambios, se cae en tres consentimientos no válidos a nivel del RGPD: consentimiento para uso de datos, consentimiento para comunicaciones y consentimiento para ofertas personalizadas. No son válidos por:
- No son libres: Nintendo te está dejando bien claro que, si quieres chicha, que ni se te ocurra desmarcarlos (o marcarlo lo antes posible) todos todos. Casa bastante mal con poder demostrar luego que ha sido una “manifestación libre de voluntad”;
- No son inequívocos: no tenemos una manifestación real de que consientes al tratamiento concreto, sino una advertencia de que no desmarques los que ya dan casi por sentado que deberías tener;
- No son específicos: lo ya comentado de que se refieren a consentimiento generales que no versan sobre el tratamiento que se está planteando aquí;
- No parecen informados en términos del RGPD: salvo que se hagan esa 1ª capa en el correo de invitación. Aunque tampoco sería información previa del tratamiento. Ni podrían decir que se amparan en el 14 del RGPD: los datos se obtienen del propio jugador; y
- No son revocables: el punto de la falta de libertad también afecta a la revocabilidad con la advertencia de efectos negativos o perjuicios. Por ejemplo, que si desmarcas el de comunicaciones no te podemos dar nada, aunque lo hagas en el último día previo y ya esté decidido que tú eres un invitado VIP. Casi hasta la sensación de que el aviso que vemos se acerca más a una oposición de tú verás si no los desmarcas.
Si lo hubieran enfocada como un tratamiento autónomo como tal, podría haber sido practicable un consentimiento de verdad y bien montado + el envío del correo cubierto como el propio tratamiento + la posibilidad opcional de si quieren recibir comunicaciones comerciales. Podría valorarse si se nos encontramos en un supuesto de “petición de medidas precontractuales por el propio interesado”, para ver si nos encajaría la comprobación limitada y con una mejor decisión humana. Entraríamos en el punto complicado de la necesidad. ¿Si es una precompra/reserva no es necesaria el perfilado maravilloso VIP, aquí se podría justificar?
Con esta pregunta abierta tan maja, lo dejamos. Estamos viviendo momentos extraños de que todo se intenta para ver si cuela, pero el escudo de invisibilidad del sector de los videojuegos se está disipando. Ya tenemos autoridades de protección de datos que están enterándose del tema con acierto, e iremos viendo si caen o no fatalities.
Y con el Reglamento de IA en la mano que prohíbe conductas engañosas y peores que se hacen algorítmicamente en muchos free to play de lustre (spam legítimo Jugando a Derecho: