RGPD et jeux vidéo : Ubisoft a-t-elle le droit de collecter des données pour ses jeux solo ?
Par Henri Leben, avocat à la Cour, DPO
Plainte RGPD contre Ubisoft pour collecte illicite de données en mode solo
L'association noyb, fondée par Max Schrems, a déposé le 24 avril 2025 une plainte auprès de l'autorité autrichienne de protection des données (DSB) visant Ubisoft. Elle reproche à l'éditeur de jeux vidéo de collecter des données personnelles lors de sessions de jeu en mode solo, sans consentement valable et sans base légale.
Cette plainte qui, à terme, pourrait également donner lieu à une saisine de la Cour de justice de l'Union européenne, est de nature à bouleverser le modèle économique du jeu vidéo.
L'affaire porte sur le jeu Far Cry Primal, lancé via Steam, pour lequel l'utilisateur est contraint de se connecter à un compte Ubisoft. Une analyse technique menée sur une session de 10 minutes a révélé, selon noyb, plus de 150 requêtes DNS et plus de 50 connexions à des serveurs tiers, dont Google, Amazon et Datadog - sans que le contenu des données transférées puisse être identifié, du fait du chiffrement.
Ubisoft justifie ces traitements par des motifs de vérification de licence et d'amélioration de l'expérience utilisateur, mais noyb conteste leur nécessité et dénonce l'absence de transparence et de consentement explicite en violation, selon elle, des articles 5 et 6 du RGPD.
Dans sa plainte, noyb écarte les différentes bases légales invocables par Ubisoft (contrat, consentement ou intérêt légitime) et estime que la collecte des données est effectuée illégalement par l'éditeur.
Un raisonnement trop simpliste ?
Le raisonnement de noyb est foncièrement très simple. A partir du moment où un joueur a exprimé le souhait de jouer à un jeu vidéo en mode solo, aucune donnée ne nécessite d'être échangée avec d'autres joueurs, ni même avec l'éditeur du jeu.
La collecte de données relatives à son usage du jeu, à son temps de connexion, à ses métriques, etc. ne serait ainsi en aucun cas justifiée.
Pour rappel, un traitement de données répond à une finalité à laquelle la personne concernée (le joueur) doit avoir consenti, sauf si cette finalité est nécessaire à l'exécution du contrat ou répond à l'intérêt légitime du responsable (Ubisoft). Dans ce dernier cas, le joueur dispose d'ailleurs de la possibilité de s'opposer au traitement à tout moment.
Or, selon noyb, fondamentalement, la collecte des données n'est pas nécessaire pour permettre au joueur d'effectuer sa partie en mode solo. Le traitement mis en place par Ubisoft violerait donc le RGPD.
Sur son site, noyb n'hésite pas à comparer cette situation à celle d'un joueur du "Monopoly qui verrait quelqu'un s'assoir à sa table et prendrait des notes chaque fois que le joueur veut jouer à un jeu de société avec sa famille ou ses amis."
Au-delà de l'analyse juridique et du caractère exact ou erroné du raisonnement effectué par noyb, il existe des différences évidentes entre un jeu vidéo solo et le jeu Monopoly.
En premier lieu, le modèle économique sous-jacent à ces deux divertissements est radicalement différent. Leurs coûts de développement sont également très éloignés et le marché des jeux de plateau ne peut en aucun cas être comparé à celui des jeux vidéo.
En outre, la comparaison effectuée par l'association plaignante ne manque pas d'interroger. Si le droit est évidemment le même pour tous, ne faut-il pas néanmoins, au moment de son application, tenir compte des spécificités de l'activité en cause ? Cette question est fondamentale lors du travail de mise en conformité de toute société.
Il est vrai que cette approche pragmatique que l'on peut identifier dans certaines jurisprudences des tribunaux, est peut-être moins prégnante dans les décisions rendues par la CNIL et autres autorités chargées de l'application du RGPD.
Quelle que soit la décision qui interviendra, il est sûr qu'elle sera suivie avec intérêt par les acteurs du jeu vidéo.
Henri Leben
Avocat à la Cour, DPO
Leben-Avocats
Pour aller plus loin : Plainte de noyb à l'encontre d'Ubisoft du 24 avril 2025