Мобільні додатки – це одна з двох сфер, що охоплюються планом інспекцій Президента Управління із захисту персональних даних на 2022 рік для приватного сектору. На жаль, розробники ігор часто не усвідомлюють, скільки персональних даних вони обробляють, окрім даних співробітників чи підрядників, що призводить до ігнорування ними вимог законодавства в цій сфері, насамперед GDPR*.
Які дані можна обробляти?
За визначенням, персональні дані означають будь-яку інформацію, що стосується ідентифікованої або ідентифікованої фізичної особи. Ідентифікована особа – це особа, яку можна ідентифікувати прямо чи опосередковано, зокрема, шляхом посилання на ідентифікатор, такий як ім'я, ідентифікаційний номер, дані про місцезнаходження, онлайн-ідентифікатор тощо. Обсяг персональних даних, що обробляються в певній грі, може відрізнятися, але можна виділити кілька основних категорій**:
a) Дані облікового запису користувача – наприклад, ім'я, прізвище, зображення, адреса
b) Платіжні дані – наприклад, пов'язані з мікроплатежами
c) Дані про технічні параметри апаратного та програмного забезпечення – наприклад, специфікації обладнання, IP-адреси, MAC-адреси, UDID
d) Дані про активність гравця в грі – наприклад, найпоширеніші налаштування гравця, вибрані опції
e) Дані служби підтримки клієнтів – наприклад, скарги та проблеми, про які повідомляють гравці щодо помилок, поведінки інших гравців, звіти про помилки тощо
f) Дані внутрішньоігрового спілкування – наприклад, з чатів
g) Статистичні дані гравця – наприклад, для цілей створення рейтингів
Вибрані обов'язки
Контролер персональних даних повинен дотримуватися численних зобов’язань і принципів, викладених у GDPR. Деякі з них перелічені нижче.
Законність обробки – кожен процес, пов’язаний з обробкою персональних даних, повинен ґрунтуватися на належній правовій основі. Надмірний збір згоди, коли в цьому немає потреби, є неправильним. Інші застосовні підстави включають необхідність виконання договору або законний інтерес контролера.
Зобов’язання щодо інформування – кожен гравець або користувач має бути проінформований про низку питань, пов’язаних з персональними даними. Ця інформація має бути надана не пізніше моменту збору даних. Тому спосіб і час відображення повідомлення або політики конфіденційності мають бути ретельно розроблені.
Використання дітьми – Під час збору персональних даних дітей, як це часто буває з іграми, застосовуються додаткові вимоги. До них належать використання простих і зрозумілих формулювань, а іноді й перевірка згоди батьків на обробку даних.
Підхід, що ґрунтується на ризиках
Реалізація будь-якого проекту, що передбачає обробку персональних даних, повинна базуватися на оцінці ризиків. Ця оцінка демонструє (як того вимагає принцип підзвітності), що для забезпечення законної обробки було вжито відповідних технічних та організаційних заходів. Загальна вимога щодо моніторингу ризиків для прав і свобод випливає зі статті 24(1) GDPR.
Крім того, стаття 25 GDPR вимагає проведення оцінки ризиків на етапі проектування певного процесу. Це припущення служить для перевірки того, чи є заплановані заходи для реалізації вимог адекватними рівню виявлених ризиків, які можуть бути пов'язані з обробкою даних. Така попередня оцінка також дозволяє оцінити, чи може певна ситуація вимагати оцінки впливу на захист даних (DPIA), тобто так званого «поглибленого аналізу ризиків», що регулюється статтею 35 GDPR.
Проведення аналізу ризиків та оцінки впливу на захист даних слід розглядати, перш за все, для того, щоб допомогти організаціям визначити чутливі області, найбільш вразливі до негативного впливу. Це дозволить їм не лише забезпечити дотримання нормативних актів, але й, перш за все, визначити пріоритети тих елементів процесу, які потребують ефективніших заходів безпеки та більших технічних та організаційних ресурсів. Крім того, організація перевіряє, чи можуть користувачі ефективно здійснювати свої права та свободи (наприклад, відкликати згоду, оновлювати або виправляти дані, право на заперечення, право на перенесення даних тощо).
Це сповіщення надано лише для ознайомлення та не є юридичною консультацією.
* Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб стосовно обробки персональних даних та про вільний рух таких даних, що скасовує Директиву 95/46/ЄС (Загальний регламент про захист даних) (OJ EU L. від 2016 року, № 119, с. 1, зі змінами).
** Е. Лейман-Відз, «Захист персональних даних в ігровій індустрії. Що потрібно пам’ятати», Euro Info Bulletin 10 (213) 2021
