Мобильные приложения — одна из двух областей, охватываемых планом инспекции частного сектора, разработанным Президентом Управления по защите персональных данных на 2022 год. К сожалению, разработчики игр часто не осознают, какой объем персональных данных они обрабатывают, помимо данных сотрудников или подрядчиков, что приводит к игнорированию ими требований законодательства в этой области, прежде всего GDPR*.
Какие данные могут быть обработаны?
По определению, персональные данные означают любую информацию, относящуюся к идентифицированному или поддающемуся идентификации физическому лицу. Поддающееся идентификации лицо — это лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством ссылки на идентификатор, такой как имя, идентификационный номер, данные о местоположении, онлайн-идентификатор и т. д. Объем персональных данных, обрабатываемых в конкретной игре, может варьироваться, но можно выделить несколько основных категорий**:
a) Данные учетной записи пользователя – например, имя, фамилия, изображение, адрес.
b) Платежные данные – например, связанные с микроплатежами.
c) Данные о технических параметрах оборудования и программного обеспечения – например, технические характеристики оборудования, IP-адреса, MAC-адреса, UDID.
d) Данные об активности игрока в игре – например, наиболее распространенные настройки игрока, выбранные параметры
. e) Данные службы поддержки клиентов – например, жалобы и проблемы, о которых сообщают игроки, касающиеся ошибок, поведения других игроков, сообщений об ошибках и т. д.
f) Данные внутриигрового общения – например, из чатов.
g) Статистические данные игрока – например, для целей составления рейтингов.
Отдельные обязанности
Контролер персональных данных обязан соблюдать многочисленные обязательства и принципы, изложенные в GDPR. Некоторые из них перечислены ниже.
Законность обработки – любой процесс, связанный с обработкой персональных данных, должен основываться на надлежащем правовом основании. Неправильно чрезмерно запрашивать согласие, если в этом нет необходимости. Другие применимые основания включают необходимость исполнения договора или законный интерес контролера.
Информационная обязанность – каждый игрок или пользователь должен быть проинформирован о ряде вопросов, касающихся персональных данных. Эта информация должна быть предоставлена не позднее момента сбора данных. Поэтому способ и время отображения сообщения или политики конфиденциальности должны быть тщательно продуманы.
Использование детьми – При сборе персональных данных детей, что часто бывает в случае с играми, предъявляются дополнительные требования. К ним относятся использование простого и понятного языка, а иногда и проверка согласия родителя на обработку данных.
Подход, основанный на оценке рисков
Реализация любого проекта, связанного с обработкой персональных данных, должна основываться на оценке рисков. Эта оценка демонстрирует (как того требует принцип подотчетности), что были приняты соответствующие технические и организационные меры для обеспечения законной обработки. Общее требование мониторинга рисков для прав и свобод вытекает из статьи 24(1) GDPR.
Кроме того, статья 25 GDPR требует проведения оценки рисков на этапе проектирования конкретного процесса. Это предположение служит для проверки того, соответствуют ли запланированные меры по выполнению требований уровню выявленных рисков, которые могут быть связаны с обработкой данных. Такая предварительная оценка также позволяет определить, может ли данная ситуация потребовать оценки воздействия на защиту данных (DPIA), то есть так называемого «углубленного анализа рисков», предусмотренного статьей 35 GDPR.
Проведение анализа рисков и оценки воздействия на защиту данных следует рассматривать в первую очередь для того, чтобы помочь организациям выявить наиболее уязвимые к негативным последствиям чувствительные области. Это позволит им не только обеспечить соблюдение нормативных требований, но, прежде всего, определить приоритетность тех элементов процесса, которые требуют более эффективных мер безопасности и больших технических и организационных ресурсов. Кроме того, организация проверяет, могут ли пользователи эффективно осуществлять свои права и свободы (например, отзыв согласия, обновление или исправление данных, право на возражение, право на переносимость данных и т. д.).
Данное уведомление носит исключительно информационный характер и не является юридической консультацией.
* Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 г. о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, отменяющий Директиву 95/46/ЕС (Общий регламент по защите данных) (Официальный журнал ЕС, № 119, стр. 1, с изменениями).
** Э. Лейман-Видз, «Защита персональных данных в игровой индустрии. Что нужно помнить», Euro Info Bulletin 10 (213) 2021
