La ricerca è disponibile anche in formato PDF scaricabile o consultabile a questo link. La ricerca è liberamente ridistribuibile, purché venga citato MMO.it come provenienza ed Asczor come autore.

Giocare online significa inevitabilmente lasciare dietro di sé informazioni: un indirizzo email, gli acquisti effettuati, le ore di gioco fruite, i messaggi inviati e le caratteristiche del dispositivo dal quale si accede. Una parte di questi dati è necessaria a far funzionare il servizio, e logicamente non può non essere inviata. Ma un’altra parte di queste informazioni, di gran lunga maggioritaria, non ha necessità direttamente pratiche. Sono questi i dati che possono essere usati per studiare il giocatore ed il suo comportamento, per proporgli pubblicità o riconoscerlo su piattaforme esterne. Sono dati suscettibili di enorme valutazione economica, e vengono raccolti a prescindere dalla natura del servizio cui accediamo: free-to-play, buy-to-play, o pay-to-play tutti concorrono alla raccolta di queste preziose informazioni.

Dal 2018, in Unione Europea è in vigore il noto GDPR: il General Data Protection Regulation. Questo atto normativo rappresenta una delle conquiste più importanti per i diritti degli utenti nella nostra società dell’informazione, anche se non è immune da legittime critiche e farraginosità.

In quanto cittadini europei, il GDPR ci tutela a prescindere da dove il trattamento dei nostri dati avvenga: qualsiasi impresa che desideri somministrare i suoi servizi a persone che si trovino nell’Unione Europea deve sottostare alle regole del GPDR, anche se materialmente e geograficamente si trova altrove. La pena è una multa che può arrivare fino al 4% del fatturato (non del guadagno, si badi bene: del fatturato) o fino a 20 milioni di euro. Se la multa eventualmente comminata non viene pagata, l’impresa non può più fornire i suoi servizi per i cittadini europei.

Tra i requisiti fondamentali del GDPR il principale è quello dell’informativa privacy, anche chiamata in inglese privacy policy. Essa è un documento che viene dato agli utenti affinché lo accettino che dovrebbe nei fatti permettere di capire dove passa il confine descritto prima: quello tra i dati fondamentali e quelli accessori, e quali scelte l’utente abbia per ottenere la migliore tutela delle informazioni che invia. Usando i servizi di internet, videogiochi compresi, avrete nella vostra vita accettato senz’altro decine e decine di informative privacy.

A seguito di una polemica che ho scatenato su Twitch per via del giudizio estremamente negativo che ritengo di dare all’informativa di NCsoft, la cui accettazione è necessaria per poter giocare ad Aion 2, e che pertanto mi ha fermato dal giocare a quel gioco, ho ritenuto opportuno estendere il discorso ad altre informative privacy. Ne ho selezionate tre, oltre a quella di NCsoft, delle quali parlerò in questo articolo, e che comparerò le une alle altre, nel tentativo di spiegarvi ciò che è bene e ciò che è male. Si tratta delle informative di Blizzard, di Arenanet (per Guild Wars 2) e di Steam.

Dando subito un TL;DR, sia chiaro fin d’ora che fra i quattro testi esaminati, quello di NCsoft riceve il giudizio decisamente più negativo. Le sue carenze riguardano aspetti fondamentali: il significato del consenso, gli usi dei dati da parte di altre società, i limiti della raccolta, i tempi di conservazione e i trasferimenti all’estero. Considerati insieme, questi problemi delineano un’informativa gravemente insoddisfacente, che lascia al giocatore troppo poco controllo e una quasi nulla comprensione sulla sorte dei propri dati.

Blizzard ha un’informativa decisamente più dettagliata e compatibile con i nostri valori europei in materia di privacy, ma dichiara di conservare per sempre le informazioni sulle sanzioni degli account: una scelta particolarmente problematica. Un vero marchio a fuoco che neppure il peggiore dei cheater, in quanto essere umano, si meriterebbe.

Steam se la cava bene. Offre strumenti utili e descrive meglio i limiti del trattamento, pur presentando criticità, che vedremo espressamente, sui diritti degli utenti e sui dati pubblici.

ArenaNet, che gestisce Guild Wars 2 ed è collegata al gruppo NCsoft, predispone un’informativa molto migliore di quella del suo gruppo, dichiarando meglio le informazioni, ma ricorre ampiamente all’interesse legittimo anche per localizzazione e monitoraggio.

Questo concetto che ho citato, dell’interesse legittimo, è fondamentale per capire alcune criticità che vedremo delle informative privacy. Perché si possano trattare dati personali, infatti, è necessario che ci sia una di tre possibilità:

1) che l’utente abbia dato il suo espresso e libero consenso

2) che sia necessario trattare alcuni dati per l’espletamento del servizio richiesto

3) che sia “interesse legittimo” dell’utente che i suoi dati personali siano trattati.

Ci sono poi altre possibilità, che riguardano gli obblighi di legge, la tutela di interessi vitali e lo svolgimento di compiti di interesse pubblico, ma delle quali non ci occupiamo qui perché sono molto meno rilevanti nel mondo dei videogiochi.

Tra quei tre requisiti, il più aperto è senz’altro l’interesse legittimo, che permette di trattare dati senza chiedere il consenso, ma semplicemente presumendo che, per qualche motivo, all’impresa risulti un “interesse” nel trattare i dati personali degli utenti. Per esempio, si può giustificare un interesse legittimo nel trattare dati al fine di prevenire frodi, o per proteggere gli account da intrusioni. Oppure per somministrare pubblicità personalizzate agli utenti (è stato tentato anche questo).

Ma qui l’azienda deve sempre dimostrare che quei controlli servano davvero, e che non sarebbero stati sufficienti strumenti meno invasivi. Deve dimostrare che il beneficio perseguito non comporti un sacrificio ingiustificato della privacy. Questo quasi mai accade.

GDPR — Articolo 6, paragrafo 1, lettera f)
«il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.»

È qui che nascono alcune delle criticità che vedremo: una ragione comprensibile, come proteggere il servizio, rischia di diventare una spiegazione generica per raccogliere sempre più informazioni.

Sicché, nel giudicare un’informativa privacy nel nostro mondo videoludico, si pone in primo luogo questa questione: quali dati servono davvero, per fare cosa e con quali conseguenze per il giocatore? E il giocatore è sufficientemente ben informato di ciò?

Altri elementi da tenere a mente

Il principio di minimizzazione
Si pensi a questo: conoscere un indirizzo postale è necessario quando si vuole spedire un oggetto fisico. Ma nel digitale è molto meno evidente perché dovrebbe servire: dovrebbe bastare l’indirizzo IP dell’acquirente, non anche il suo indirizzo fisico. È questo è il senso della minimizzazione: ogni informazione deve avere una necessità spiegabile, e si deve seguire il principio per cui è la minima necessità che serve quella che deve essere perseguita.

Lo stesso vale per il tempo. Alcune cose ha senso che siano conservate a lungo: ad esempio una ricevuta fiscale. Ma lo stesso non può dirsi per altro, come una preferenza pubblicitaria. Peraltro, tutte le informative devono garantire agli utenti di sapere esattamente quali dati hanno inviato e per quanto tempo essi sono conservati. Non importa se poi il tempo è enorme: chessò, cinque, dieci o vent’anni. Quello, al massimo, sarà irragionevole. Ma è obbligatorio almeno dichiarare un tempo preciso all’utente, o, quando è proprio impossibile farlo, almeno i criteri per individuarlo di volta in volta: criteri abbastanza concreti da permettere all’utente di comprendere quanto a lungo saranno conservate le informazioni che lo riguardano.

GDPR — Articolo 5, paragrafo 1, lettera c)
«adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);»

Il trasferimento dei dati presso paesi terzi
L’Unione europea riconosce ad alcuni paesi al di fuori dell’Unione stessa un livello di protezione dei dati personali “adeguato”. Attua ciò attraverso la cosiddetta decisione di adeguatezza, emanata dalla Commissione Europea. Un paese che abbia ricevuto una decisione di adeguatezza può avere liberamente i dati dei cittadini europei trasferiti, perché si dà per scontato che attui sufficiente tutele a loro protezione.

Per tutti i paesi che non hanno decisioni di adeguatezza, invece, il problema si pone caso per caso. Serve dimostrare che sono state impiegate garanzie differenti, per esempio contratti standard di protezione dei dati approvati a livello europeo. Ma queste garanzie devono essere esplicitate. Bisogna capire in che modo una certa impresa, nel concreto, garantisce che l’invio di dati di cittadini europei che ha raccolto presso paesi terzi sia tutelato. Quindi un paese privo di adeguatezza non è automaticamente vietato, ma l’azienda deve spiegare e rendere effettive le protezioni utilizzate.

GDPR — Articolo 46, paragrafo 1
«In mancanza di una decisione ai sensi dell’articolo 45, paragrafo 3, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.»

L’informativa di NCsoft

Il giudizio complessivo è molto negativo. Si tratta di un’informativa furbetta, con clausole confusionarie molto ampie, che nel complesso si rafforzano a vicenda e rendono difficile capire quanto l’azienda possa fare con i dati degli utenti, chi possa riceverli, dove possano essere trasferiti e quando il loro uso debba finire.

L’intento qui è evidente: massimizzare la raccolta di dati indipendentemente dalla natura dell’utente: che sia un free-to-player o un pay-to-winner, tutti i dati possibili e immaginabili sono raccolti per finalità esplicite di vendita. È l’informativa stessa che ripete più volte il termine “sell”, non facendo alcun mistero dell’obiettivo finale che questa enorme raccolta dei dati ha: vendere.

Il consenso si presume

Le sezioni 1 e 10 attribuiscono all’”uso del servizio” il significato di accettazione delle pratiche descritte e di consenso ai trasferimenti internazionali. La sezione 11 attribuisce un significato analogo alla prosecuzione dell’uso dopo una modifica dell’informativa.

Per un giocatore il messaggio è sostanzialmente questo: entrando nel servizio, o continuando a usarlo, accetti anche il trattamento dei dati descritto dall’azienda. E accetti anche, continuando a loggare, qualsiasi modifica che NCsoft attuerà sulla sua informativa privacy, non importa se in meglio o in peggio.

NCsoft — sezione 11 (estratto)
«Your continued use of our Service indicates your consent»

È un’impostazione gravemente problematica quando riguarda operazioni per le quali occorre una scelta libera e specifica, ed estremamente poco (per non dire nulla) garantista. È assurdo pensare che il semplice avvio di un videogioco esprima una scelta separata di essere seguito a fini pubblicitari o di autorizzare nuovi impieghi dei dati.

Non si vuole qui sostenere che bisognerebbe chiedere il consenso ad ogni singolo trattamento di dati: sarebbe irragionevole. Come si è detto prima, la critica è più precisa: NC mescola l’uso del servizio con autorizzazioni che richiedono condizioni diverse, e non permette all’utente di comprenderlo e di evitarlo.

GDPR — Articolo 4, punto 11
««consenso dell’interessato»: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento;»

GDPR — Considerando 32 (estratto)
«Il consenso dovrebbe essere prestato mediante un atto positivo inequivocabile con il quale l’interessato manifesta l’intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano, ad esempio mediante dichiarazione scritta, anche attraverso mezzi elettronici, o orale. Ciò potrebbe comprendere la selezione di un’apposita casella in un sito web, la scelta di impostazioni tecniche per servizi della società dell’informazione o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in tale contesto che l’interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il silenzio, l’inattività o la preselezione di caselle.»

Altre società possono usare i dati per scopi troppo vaghi

La sezione 4 consente alle società affiliate, cioè collegate al gruppo, di ricevere informazioni anche per le proprie finalità interne. La formula inglese è “for their own internal purposes”. Le sezioni 3 e 15 B elencano inoltre vari usi e ragioni giuridiche senza collegarli con sufficiente precisione fra loro.

“Finalità interne”, traduzione di “internal purposes” dice pochissimo. È fuffa. Non permette di distinguere l’assistenza al giocatore da una nuova analisi commerciale, né di capire quali società impieghino quali informazioni. Questa genericità è inaccettabile come spiegazione di usi autonomi dei dati che andrebbero invece esplicitati e descritti. Le regole europee richiedono scopi determinati e informazioni comprensibili. Il difetto è grosso: lascia incerti i limiti entro i quali altre società possono riutilizzare i dati. Che fine fanno, di fatto, questi dati? Nessuno può saperlo: si perdono nel mare di matrioske, di imprese e sottoimprese, fino chissà a quale punto.

GDPR — Articolo 5, paragrafo 1, lettera b)
«raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»);»

Il gioco si collega a un sistema pubblicitario più ampio

La sezione 6 descrive il riconoscimento degli utenti fra dispositivi e servizi (cioè, “teniamo traccia dei dispositivi dai quali si collega uno stesso account, anche se sono diversi”) e l’uso di elenchi di email per raggiungerli tramite partner pubblicitari, anche con Facebook Custom Audiences. Quest’ultimo è uno strumento che permette di cercare, su una piattaforma pubblicitaria, persone già presenti nell’elenco di clienti di un’azienda. È un elenco da call center mascherato.

Le email sono sottoposte a hashing, cioè trasformate in una sequenza di caratteri. Questo può ridurre alcuni rischi, ma non significa affatto anonimato. Se la sequenza serve proprio ad abbinare il giocatore a un account pubblicitario, l’operazione continua a riguardare quella persona, anche se il dato (comunque reversibile) figura come #15MR22 anziché “Mario Rossi da Milano”. E poi, comunque, il semplice atto di codificare un dato non elimina la necessità di giustificare i motivi per cui questo dato va in giro a caso.

Nei fatti, l’utente può quindi entrare nel gioco per divertirsi e diventare un destinatario riconoscibile della pubblicità anche presso altri servizi, gestiti da terze parti. Una cosa così grossa necessariamente dovrebbe essere comunicata con precisione all’utente e dovrebbe essere chiesto esplicitamente il suo consenso. E invece niente. La sezione 7 distribuisce le possibilità di rifiuto fra impostazioni del browser, dispositivo, programmi esterni e richieste via email. In altre parole, è l’utente stesso che deve premunirsi, accorgersi del problema e comunicare a NCsoft che le cose non gli stanno bene. È un sistema del tutto irragionevole.

Irragionevolezza nella quantità di dati trattati in modo inspiegabile

L’informativa contempla recapiti, dati demografici, comunicazioni, acquisti, preferenze e localizzazione anche precisa (si intende qui nello specifico l’uso del GPS in modalità “precisa” quando si utilizza un dispositivo mobile). Per un “regalo digitale” menziona come necessari e quindi come dati trattati e conservati il nome, il numero di telefono mobile e l’email. Non c’è alcuna spiegazione adeguatamente precisa sul perché siano necessari tutti questi dati per una cosa così semplice. Per consegnare un regalo dentro un servizio online, perché non basta solo il nome dell’account o un singolo recapito? E per offrire una funzione legata al territorio, perché potrebbe servire una posizione puntuale anziché il semplice paese o la regione?

La fine del trattamento rimane poco prevedibile

Le sezioni 7 A e 15 C consentono di mantenere informazioni anche dopo una richiesta dell’utente, richiamando obblighi legali, controversie, frodi e interessi dell’azienda. Qui il problema è grosso: non sono dichiarati tempi o criteri precisi. Il giocatore resta senza una risposta affidabile a una domanda essenziale: dopo la chiusura dell’account o una richiesta di cancellazione, quali mie informazioni rimangono e per quanto tempo?

Non basta dire “finché necessario”. È troppo generico, fino ad un punto di stupidità. Lascia la risposta interamente nella valutazione dell’azienda. L’utente qui ha zero poteri.

GDPR — Articolo 13, paragrafo 2, lettera a)
«In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente: a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;»

Inoltre, c’è una formulazione particolarmente inelegante nella sezione 7 B, la quale aggiunge che NC non prende in considerazione il “Do Not Track”, un segnale che il browser può inviare per esprimere la volontà di non essere tracciati. La scelta merita attenzione anche alla luce dell’art. 21, par. 5, GDPR, che riconosce la possibilità di esercitare il diritto di opposizione ai servizi online anche attraverso strumenti automatizzati. Ignorare il Do Not Track non è in sé e per sé una violazione del GPDR: non c’è un obbligo espresso di riconoscere quel particolare segnale del browser. Resta però una criticità concreta e reputazionale: NC decide coscientemente di scartare uno strumento semplice, con il quala l’utente potrebbe facilmente manifestare la propria preferenza circa il trattamento dei dati e lo obbliga invece ad orientarsi fra diverse procedure di rifiuto, tutte attive, che richiedono almeno l’invio di una mail. Nello spirito, è una disposizione completamente contraria ai nostri valori europei, per i quali il diritto di opporsi dovrebbe essere agevole da esercitare, non diventare un 3000 metri siepi.

GDPR — Articolo 21, paragrafo 5
«Nel contesto dell’utilizzo di servizi della società dell’informazione e fatta salva la direttiva 2002/58/CE, l’interessato può esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche tecniche.»

Trasferimenti in molte destinazioni con una spiegazione insufficiente

La sezione 10 elenca, senza esaurire le possibilità, Stati Uniti, Giappone, Corea, Singapore, Hong Kong, Thailandia, Filippine, Indonesia, Europa e Russia come paesi ai quali è possibile trasferire i dati personali. Per i dati europei promette garanzie come i contratti standard, ma nulla viene specificato.

Singapore, Hong Kong, Thailandia, Filippine, Indonesia e Russia non beneficiano di decisioni europee di adeguatezza. Per la Russia, l’organismo che riunisce le autorità europee della privacy ha richiamato specificamente la necessità di valutare l’accesso delle autorità pubbliche ai dati e l’efficacia delle protezioni. La destinazione richiede quindi particolare attenzione, specie a seguito della guerra.

L’informativa di Steam

Il giudizio complessivo è abbastanza positivo. Steam se la cava meglio di altre piattaforme: l’informativa è più concreta, descrive diversi limiti al trattamento e offre strumenti che permettono al giocatore di consultare i propri dati e gestire alcune preferenze. Le criticità ci sono, ma riguardano soprattutto l’esercizio dei diritti e la diffusione di determinate informazioni. Non emerge lo stesso accumulo di clausole vaghe e autorizzazioni generiche che abbiamo visto per NCsoft.

Alcune cose sono fatte molto bene

Valve non richiede il nome reale per creare un account. È una scelta sensate e molto positiva: per comprare un gioco, aggiungere amici e giocare online non dovrebbe essere necessario presentarsi pubblicamente con nome e cognome. Specialmente quando esiste una pletora di free-to-play che non richiedono neanche di essere acquistati ma soltanto scaricati.

Steam — sezione 3.1 (estratto)
«provide or use your real name»

Steam mette inoltre a disposizione una pagina per consultare i dati associati all’account e impostazioni per i cookie facoltativi. Descrive la condivisione con fornitori e sviluppatori e, per alcuni dati relativi alle transazioni, indica obblighi di conservazione fino a dieci anni. Un termine lungo, certamente, ma almeno esplicitato, collegato a una categoria di dati, e sottoposto ad una ragione dichiarata.

È un’impostazione più utile del precedente “conserviamo tutto finché ci serve”. Anche l’affermazione di non vendere dati è positiva, purché si tenga presente che i dati possono comunque essere comunicati ad altri soggetti: vendita e condivisione non sono sinonimi, ma è una ventata di aria fresca non leggere la parola “sell” ogni tre righe com’è stato con NCsoft.

Ma se perdi l’account, perdi anche i tuoi diritti

La sezione 8 presenta il login come unico modo per accedere, correggere o cancellare i propri dati. Il problema è immediato: e se non riesco più a entrare? Se mi hanno rubato l’account? Se ho perso le credenziali e il recupero non funziona?

Steam — sezione 8 (estratto)
«the only way to access, rectify or delete your data»

Questa è più una criticità tecnica che giuridica. Verificare l’identità di chi presenta una richiesta è sempre indispensabile: nessuno vorrebbe che un estraneo potesse ottenere o cancellare i propri dati scrivendo una semplice email.

Altrove l’informativa prevede contatti per i visitatori senza login e procedure alternative per gli utenti californiani. Quindi delle alternative esistono, almeno in alcuni casi. È proprio per questo che la formula dell’“unico modo” risulta poco convincente: dovrebbe essere chiarito come possa esercitare i suoi diritti anche un giocatore europeo rimasto fuori dal proprio account. Le eccezioni al diritto di accesso sono mescolate male.

GDPR — Articolo 12, paragrafo 2
«Il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22. Nei casi di cui all’articolo 11, paragrafo 2, il titolare del trattamento non può rifiutare di soddisfare la richiesta dell’interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a 22, salvo che il titolare del trattamento dimostri che non è in grado di identificare l’interessato.»

GDPR — Articolo 12, paragrafo 6
«Fatto salvo l’articolo 11, qualora il titolare del trattamento nutra ragionevoli dubbi circa l’identità della persona fisica che presenta la richiesta di cui agli articoli da 15 a 21, può richiedere ulteriori informazioni necessarie per confermare l’identità dell’interessato.»

Il marchio a fuoco del ban

La sezione 5.4 include lo stato di ban per cheating fra i dati accessibili attraverso un’API pubblica, cioè uno strumento con cui altri servizi possono recuperare informazioni dalla piattaforma.

Steam — sezione 5.4 (estratto)
«ban for cheating in a multiplayer game»

È comprensibile che Steam debba contrastare i cheater. Ma un conto è impedire a qualcuno di giocare; un altro è rendere la sua sanzione consultabile da altri, ad eterno marchio dell’infamia. La seconda situazione riguarda la reputazione della persona e c’è la possibilità che quell’informazione venga ripresa fuori dal contesto in cui è nata. Non bene.

Rifiutare le raccomandazioni deve avere un effetto sui dati

La sezione 3.7 collega il rifiuto delle raccomandazioni alla disattivazione del caricamento dello store e delle notifiche nel programma Steam.

La promessa è che questo permetta di impedire il relativo trattamento. Bene: deve però significare che i dati smettono di essere utilizzati per personalizzare quelle offerte. Non possiamo sapere con certezza se ciò avvenga o se venga semplicemente “nascosta” la vetrina dello store, ma rimanga lo studio del comportamento dell’utente. Anche qui, ci troviamo innanzi tutto di fronte ad un problema tecnico.

L’informativa di ArenaNet e Guild Wars 2

Il giudizio è sensibilmente migliore rispetto a NCsoft, ma restano criticità importanti. Essere parte dello stesso gruppo NCsoft non ha significato per ArenaNet l’obbligo di copiare la stessa informativa, ed il risultato è assai migliore: i trattamenti vengono descritti in modo più ordinato e il lettore riesce più facilmente a capire a quali attività si riferiscano.

Il problema è che, anche dentro una tabella ben fatta, si possono prevedere impieghi dei dati molto ampi. In particolare, l’interesse legittimo piace tanto e viene richiamato per localizzazione, conoscenza degli utenti e monitoraggio: attività per le quali, sostengo, un generico interesse dell’azienda non dovrebbe bastare.

Almeno si capisce meglio a che cosa servono i dati

L’informativa di per sé riguarda più società e servizi, non soltanto Guild Wars 2. Distingue diversi contesti: l’account di gioco, l’assistenza, gli eventi, le candidature lavorative e così via.

È una distinzione utile, anche se aumenta la lunghezza dell’informativa e pertanto ne diminuisce la comprensibilità, specie per un pubblico non avvezzo a questi documenti. Comunque, se un’azienda mi chiede determinati dati perché mi sto candidando per lavorare al suo interno, è una cosa. Se pretende gli stessi dati perché voglio fare un dungeon, è un’altra. Organizzare l’informativa per attività permette almeno di non buttare tutto nello stesso calderone formale.

ArenaNet dichiara inoltre di chiedere il consenso prima di comunicare dati per pubblicità mirata e di riconoscere Global Privacy Control nei casi previsti dalla legge. Quest’ultimo è un segnale automatico con cui l’utente può esprimere alcune preferenze sulla privacy. Sono elementi positivi, che meritano di essere riconosciuti, in totale opposizione alla privacy policy di NCsoft che invece dice esplicitamente di ignorare i sistemi automatizzati di preferenze sulla privacy.

Anche qui sono fissati con la geolocalizzazione. Ma perché?

La sezione V contempla informazioni di localizzazione ottenute tramite GPS, Wi-Fi e rete cellulare. Fra le ragioni richiamate compaiono sicurezza, conoscenza degli utenti e personalizzazione, associate all’interesse legittimo; in alcuni più limitati contesti viene invece previsto (finalmente) il consenso esplicito.

ArenaNet — sezione V, Distance Information (estratto)
«GPS, Wi-Fi, and/or cellular technology in your device»

Qui stiamo esagerando. In astratto può avere un minimo senso conoscere la geolocalizzazione di un dispositivo così da capire se all’account è acceduto qualcuno da un’altra parte del mondo che magari non aveva titolo di accedere (per esempio quando l’account viene scammato). Ma da qui a sapere dove si trova fisicamente il dispositivo, con una precisione molto maggiore, c’è una bella differenza. ArenaNet non è l’Interpol.

Non si capisce per quale motivo non potrebbero bastare il paese o la regione. Sarebbero già ben più che sufficienti per adempiere a tutte le questioni di sicurezza e di controllo possibili e immaginabili. Anche quando i dati personali vengono utilizzati per sistemi turpi, come la personalizzazione delle pubblicità o delle offerte (si immaginino sconti in un certo paese e non in un altro) basta al massimo, ma proprio al massimo, la posizione base – che sarebbe comunque in barba al principio di minimizzazione dei dati di cui all’art.5 GPDR.

ArenaNet dice di voler “conoscere gli utenti”. Ma gli utenti non vogliono farsi conoscere da ArenaNet. È una spiegazione troppo comoda se non vengono chiariti con precisione limiti e motivazioni. Un giocatore deve essere necessariamente riconosciuto dal server quando effettua il login, ma non è affatto detto che voglia essere contemporaneamente localizzato nel mondo reale.

La clausola riguarda comunque servizi diversi: non significa che il programma desktop di Guild Wars 2 stia raccogliendo la posizione GPS di tutti i giocatori. La critica rimane però perché riguarda ciò che l’informativa si riserva di fare e quanto poco spieghi perché una localizzazione così dettagliata possa essere necessaria.

I dati rimangono finché servono al business

La sezione VIII collega la conservazione dei dati a esigenze aziendali, operative e legali. Il problema è quello già incontrato altrove: una formula del genere è troppo generica. Serve un tempo preciso! Altrimenti si può giustificare la conservazione per durate molto diverse senza che l’utente sia in grado di prevederne nessuna.

ArenaNet — sezione VIII.A.1, Limited Retention (estratto)
«as long as we need it for business and operational needs»

E poi, che cosa rimane dopo la chiusura dell’account? Che cosa viene eliminato? Quali informazioni vengono conservate perché lo impone una legge e quali, invece, perché l’azienda ritiene utile tenerle? Non c’è alcuna specificazione in proposito.

Un nome collettivo non dovrebbe nascondere chi decide

C’è poi un po’ di confusione sui soggetti. Il termine ArenaNet viene utilizzato per indicare collettivamente una molteplicità di società. Può essere una semplificazione comoda per scrivere l’informativa, ma per il giocatore conta sapere quale tra queste decide gli usi dei dati e quale deve rispondere quando viene presentata una richiesta.

Non siamo qui nella Megaditta di Fantozzi: bisogna essere precisi, non basta dichiarare che tutti fanno parte dello stesso gruppo. L’utente deve poter individuare il proprio interlocutore senza che sia necessario preventivamente ricostruire l’organigramma aziendale.

L’informativa di Blizzard

Il giudizio complessivo è migliore rispetto a NCsoft, ma c’è una clausola particolarmente critica. Blizzard descrive con maggiore precisione molti trattamenti, distingue diverse attività e indica tempi di conservazione per varie categorie di dati. Il giocatore riesce quindi a capire meglio che cosa accada alle proprie informazioni.

Poi, però, arriva una dichiarazione inequivocabile: i dati relativi alle restrizioni e alle sanzioni degli account vengono conservati per sempre. Non “per un periodo lungo”, non “finché la sanzione produce effetti”. FOREVER.

Le spiegazioni sono più concrete

Blizzard distingue con precisione vari momenti nei quali sono richiesti dati personali: la creazione dell’account, i pagamenti, l’assistenza, le attività di gioco e la partecipazione a eventi. È molto positivo che non presenti tutto come un unico insieme di dati che potrebbero servire indistintamente per qualsiasi cosa.

Indica anche durate precise: per esempio, fino a sette anni per le transazioni e fino a tre anni per l’assistenza. Per i documenti di identità descrive la cancellazione dopo la verifica o entro trenta giorni nei casi indicati.

Sono informazioni utili. Si può discutere se una durata sia adeguata, ma almeno si sa di quale durata si stia parlando. È ben diverso dal chiedere all’utente di fidarsi di un generico “finché necessario”, o addirittura non specificare proprio alcun tempo.

Per i trasferimenti dei dati negli Stati Uniti (paese, diciamo, non del tutto adeguato a riceverli dall’Europa) viene inoltre prevista la possibilità di chiedere copia delle garanzie contrattuali al responsabile della protezione dei dati. Anche questo rende la spiegazione più concreta e permette di andare oltre una semplice promessa.

Il ban… forever

La sezione 2, alla voce Customer Service, dichiara: “Information related to account restrictions and penalties are kept forever”. Questa è una follia. È senz’altro la criticità più netta dell’informativa. La formula non distingue nulla. Vengono potenzialmente trattati allo stesso modo un avvertimento da una violazione grave, una sospensione di pochi giorni da un ban definitivo. Non chiarisce neppure se venga conservata soltanto un’informazione essenziale sulla sanzione oppure tutto il materiale collegato.

Blizzard — sezione 2, Customer Service, motivazione della conservazione (estratto)
«to protect our customers and business»

Il giocatore rimane così con una domanda piuttosto sgradevole: una scorrettezza commessa anni fa resterà per sempre nel mio fascicolo? E se la sanzione fosse stata poi contestata e annullata, o applicata per errore in prima battuta?

Ora è ovvio che nessuno pretende che un’azienda dimentichi immediatamente chi ha danneggiato gli altri giocatori o faccia passare tutto sotto silenzio e se ne dimentichi. Ma fra ricordare quanto serve a far rispettare un ban e conservare indefinitamente ogni informazione collegata c’è una differenza enorme.

Per impedire il rientro di un account espulso potrebbe bastare un’informazione limitata. L’IP, o i dati della carta di credito per gli abbonamenti, ad esempio. Il rischio di superare queste barriere vale bene la garanzia data a tutti che i propri dati non siano conservati in eterno solo perché a un certo punto è stata comminata una sanzione.

È proprio questo che rende la clausola così problematica: trasforma una categoria molto ampia di informazioni in un archivio senza scadenza, senza spiegare le differenze fra i casi. Come su Steam, siamo di fronte ad un marchio a fuoco permanente. Ma anche il giocatore che ha violato le regole… e su un videogioco, per di più, rimane una persona con diritti sui propri dati.

Blizzard dovrebbe spiegare che cosa conserva, perché e quando rivaluta la necessità di conservarlo. Scrivere semplicemente “per sempre” salta tutte queste domande. La formula è sicuramente contro lo spirito, ma probabilmente proprio illecita per come è costruito il GDPR oggi.

GDPR — Articolo 5, paragrafo 1, lettera e)
«conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato («limitazione della conservazione»);»

L’interesse legittimo si allarga fino alla pubblicità

Le sezioni 3 e 4 collegano all’interesse legittimo anche attività pubblicitarie e riconoscimento del pubblico tramite strumenti come le Custom Audience. In pratica, informazioni raccolte nel rapporto con il giocatore possono servire a raggiungerlo con annunci su altre piattaforme. È una criticità simile, anche se parzialmente meno grave, di quella già riscontrata con NCsoft a proposito di Facebook: io entro in un gioco, ma il mio rapporto con l’azienda continua anche fuori dal gioco, dentro un sistema pubblicitario più ampio. Non va bene.

Almeno, e non è poco, qui l’informativa precisa che i dati non cifrati non vengono condivisi con terzi senza consenso. Ma se il dato è cifrato, ma comunque riconducibile a me, che succede? Se quel dato permette comunque di riconoscermi e mostrarmi una pubblicità, il fatto che sia cifrato non fa scomparire di botto il trattamento malandrino.

Peraltro, alla sezione 5, si contempla l’ipotesi per cui Blizzard possa fornire ad altre società i dati, e si rimanda alle privacy policy delle singole società terze la tutela di questi dati così trasferiti. Sembra tanto un modo per pararsi il fondoschiena delegando agli altri il rispetto delle norme di privacy dopo aver venduto i dati. Questo è permesso, ma non è positivo. L’utente è costretto a scartabellare tra informative di società terze con le quali non desidera avere alcun rapporto: è irragionevole. Rispetto a NCsoft, qui la spiegazione è più precisa. Non abbiamo locuzioni assurde come “finalità interne”. E almeno viene nominato esplicitamente il marketing.

Restrizioni sulla portabilità dei dati

L’informativa descrive in termini restrittivi il diritto alla portabilità, cioè la possibilità di ottenere i propri dati in un formato riutilizzabile, per conoscerli e analizzarli personalmente. Promette invece informazioni basilari dell’account. Il punto qui è capire nel concreto quanto sia utile ciò che viene effettivamente restituito. Il nome dell’account e pochi dati anagrafici possono essere una parte molto piccola delle informazioni accumulate durante anni di utilizzo, e la loro utilità è limitata.

Blizzard — sezione 7, Portability (estratto)
«your most basic account information»

GDPR — Articolo 20, paragrafo 1
«L’interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora: a) il trattamento si basi sul consenso ai sensi dell’articolo 6, paragrafo 1, lettera a), o dell’articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell’articolo 6, paragrafo 1, lettera b); e b) il trattamento sia effettuato con mezzi automatizzati.»

È una criticità ulteriore, non gravissima, ma da considerare. Il problema principale, comunque, rimane la conservazione permanente dei dati sulle sanzioni. Blizzard spiega molte cose meglio di NCsoft; proprio per questo, quel “per sempre” lo dobbiamo far pesare ancora di più: l’informativa era molto vicina ad andare complessivamente bene, se non fosse stato per quel passaggio.

Conclusioni: perché i dati dei giocatori contano

Il primo e più importante elemento da considerare in fondo a questa analisi è che non tutte le informative sono uguali. È vero che su internet c’è un continuo e pedissequo interesse a estrapolarci dati e a venderli, ma non tutti lo fanno nello stesso modo.

Non c’è dubbio che NCsoft presenti il quadro più problematico, perché ha diffuse e pesanti carenze su vari argomenti: consenso, raccolta, condivisione e conservazione.

Steam, dalla sua, offre strumenti più utili al giocatore, pur lasciando questioni aperte sul controllo dei dati e soprattutto sulla visibilità delle sanzioni.

ArenaNet dimostra che si può spiegare meglio ciò che si fa anche appartenendo allo stesso gruppo di NCsoft (che dovrebbe imparare), ma mantiene margini troppo ampi su localizzazione e durata dei trattamenti.

Blizzard, infine, è più dettagliata, e proprio per questo quel “per sempre” riferito alle informazioni sulle sanzioni risulta ancora più difficile da accettare.

Ma perché dovrebbe importarci? Perché dietro i dati estrapolati dai vostri account non ci sono soltanto informazioni riguardanti un personaggio formato da pixel a schermo. C’è la potenziale analisi di una persona. Gli orari di accesso raccontano qualcosa delle nostre abitudini; gli acquisti mostrano le nostre preferenze e la nostra disponibilità a spendere (cosa importantissima, per lo sviluppo di ulteriori videogiochi consumisti come vanno di moda oggi). L’analisi delle conversazioni ci dice molto sui nostri rapporti con gli altri, ed è su questo genere di contenuti che si è sviluppata l’IA moderna. Prese singolarmente, queste informazioni possono sembrare insignificanti. Messe insieme, e collegate a servizi esterni, possono cambiare il mondo e l’industria, quasi mai in un senso favorevole al giocatore.

Come sempre in questi casi, la risposta “io non ho nulla da nascondere” è la più ignorante: si può non avere alcun segreto e voler comunque decidere chi deve conoscere le nostre abitudini, e sapere chi le utilizzi per venderci qualcosa e in che modo, e quanto a lungo una vecchia vicenda rimanga associata al nostro nome. Si può volere una possibilità di correggere un errore passato, senza che questo continui a seguirci e perseguitarci all’infinito.

Ci sono numerosi casi in cui è necessario, perché il servizio offertoci sia di qualità, trattare alcuni dati personali. Questo è indubbio: le imprese devono poter controllare i loro servizi, contrastare le frodi e proteggere le community. Ma ciascuna di queste esigenze deve avere dei confini espliciti e ben delineati, rispettando il principio di minimizzazione.

Queste pur comprensibili esigenze non possono diventare una giustificazione buona per qualsiasi raccolta, né il marketing opzionale dovrebbe confondersi con ciò che è strettamente necessario per giocare.

Peraltro, è assurdo pretendere che ogni giocatore diventi un giurista prima di installare un client. La responsabilità di farsi capire e offrire scelte utilizzabili spetta anzitutto a chi i servizi li somministra, proprio come vuole lo spirito del GDPR. La tesi qui su MMO.it è quella di non considerare le informative privacy una seccatura da saltare e di iniziare a includerle nel giudizio che diamo a un servizio, proprio come già avviene per altri elementi al di fuori dal gameplay in sé, ma che possono avere su di esso una profonda influenza, quali la monetizzazione o la gestione della community, della comunicazione, degli account, dei ban e degli eventuali reclami.

Versioni e fonti

Questa tabella indica la versione e la fonte di ogni documento consultato (ci siamo ausiliati con ChatGPT per realizzarla).

Fonte 1, Fonte 2, Fonte 3, Fonte 4

Giacomo "Asczor" Conti

Ad Asczor piace videogiocare e soprattutto videogiocare bene. I giochi per lui vanno fruiti sfruttandoli fino in fondo al meglio delle proprie capacità. È per questo che Asczor s’incazza, e non poco, quando i giochi non rispettano i suoi standard di qualità. Però ha sempre le sue buone ragioni per farlo e, al contrario, non manca mai di lodare i giochi meritevoli. Peccato che siano davvero pochi.