Dis moi à quoi tu joues, et je te dirai qui tu es

La collecte des données personnelles des joueurs à l'heure du RGPD

Un peu de fiction. Imaginons un enfant qui au réveil, au lieu de prendre son petit déjeuner et d'aller tranquillement se laver les dents, passe son début de matinée à consulter ses messages sur son téléphone et à rejoindre sa communauté, guilde ou autre groupe de joueurs de son jeu favori.

Imaginons que ce même enfant emporte avec lui à l'école son smartphone ou sa console portable, et continue à jouer dans la journée.

Toujours en faisant preuve d'un peu d'imagination, considérons qu'en rentrant chez lui, ce même enfant se reconnecte à sa console de salon, échange avec sa communauté sur un forum, et dépense quelques euros pour acheter un coffre, une épée ou n'importe quel item payant.

Côté éditeur, la journée de l'enfant lui a permis potentiellement de connaître son adresse et celle de son école, ses horaires de levé et couché, les noms/pseudos de ses amis et, accessoirement, le contenu de leurs discussions, les coordonnées bancaires de ses parents et, pourquoi pas, une première analyse sociale du mode de vie des parents, au regard des horaires de leur enfant, de ses fréquences d'achats et bien évidemment, de leur adresse.

Et alors ?

Le fait que les éditeurs de jeux exploitent les données personnelles de leurs joueurs n'est un secret pour personne. Les données sont bien sûr nécessaires pour suivre l'inscription des joueurs et leurs transactions. Elles permettent également de définir des profils qui permettent d'améliorer la publicité en ligne. Elles permettent enfin, et par-dessus tout, d'étudier l'expérience de jeux et de l'adapter aux attentes et capacités des joueurs.

Pourquoi pas…mais des gens malintentionnés pourraient soutenir que les données collectées visent avant tout à augmenter la dépendance des joueurs aux jeux en les rendant plus addictifs. Qu'elles visent également à solliciter financièrement le joueur de manière plus efficace en lui proposant des achats mieux adaptés à son profil et enfin, qu'elles permettent des campagnes publicitaires plus intelligentes voire, plus intrusives.

Vu sous cet angle, on comprend qu'une attention particulière ait été apportée par le législateur à la collecte des données des enfants. Un mineur est en effet considéré comme une personne dont les capacités de discernement la rendent plus vulnérable aux techniques de fidélisation et de vente, mises en place par les professionnels. En matière de jeux vidéo plusieurs dangers sont clairement identifiables :

• L'addiction au jeu ;
• L'achat non contrôlé (in-game ou publicité) ;
• La mise en relation avec des tiers malintentionnés sur les forums ;
• La fuite de données (détournements de profils, fuites de données bancaires, etc.).

Avec l'entrée en vigueur du RGPD, l'éditeur du jeu ne pourra collecter les données d'un enfant de moins de 16 ans "que si, et dans la mesure où, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l'égard de l'enfant".

Ce nouveau régime impose de vérifier "raisonnablement", que le consentement a été donné par les parents, "compte tenu des moyens technologiques disponibles".

Nul doute que le flou de ces critères donnera lieu à beaucoup de discussions.

Quoi qu'il en soit, les éditeurs seront confrontés à compter du 25 mai prochain à un double dilemme : d'une part conserver des modalités de jeu visant à fidéliser toujours un peu plus les jeunes joueurs et, d'autre part, s'assurer que ces modalités respectent la nouvelle règlementation.

Rappelons que les sanctions prévues par le RGPD sont particulièrement élevées (4% du chiffre d'affaires annuel) et que l'article 43 ter de la loi du 6 janvier 1978 autorise désormais les actions de groupe en matière de données personnelles.

Il faudra donc dans tous les cas résoudre ce dilemme en respectant la loi…

Henri Leben
Colbert Paris Avocats

Atelier GDPR et collecte des données des mineurs dans l'industrie vidéo-ludique

Pour toute information complémentaire, inscrivez-vous à l'Atelier GDPR et collecte des données des mineurs dans l'industrie vidéo-ludique.
Date de l'évènement : le vendredi 9 février 2018
Lieu : Paris (lieu précisé après inscription)
Inscription gratuite à contactvirtual-dpo.fr