L’autorità europea per la protezione dei dati noyb ha presentato un reclamo contro Ubisoft in Austria. Il motivo non è un bug o un acquisto in-game, bensì la necessità di una connessione Internet costante per giocare ai titoli per giocatore singolo. Il motivo era un’indagine su Far Cry Primal, che non ha funzionalità online ma richiede comunque una connessione a internet.

Il reclamo viene presentato ai sensi dell’articolo 6(1) del GDPR, che obbliga le aziende a raccogliere solo i dati necessari e solo con il consenso dell’utente. Secondo gli avvocati di noyb, Ubisoft viola il principio costringendo i giocatori a connettersi a Internet anche quando avviano giochi completamente offline.

Uno degli utenti citati nel reclamo ha scoperto che Far Cry Primal ha inviato 150 richieste DNS uniche in soli 10 minuti dall’avvio. L’analisi del traffico di rete ha mostrato che i dati non venivano inviati solo ai server di Ubisoft, ma anche ad Amazon, Google e alla società di analisi statunitense Datadog. Non era possibile decifrare il contenuto delle informazioni trasmesse: tutto era criptato. Tuttavia, il giocatore non ha mai dato il consenso a tale monitoraggio, il che rende la raccolta dei dati legalmente discutibile. A quanto pare, questa è una pratica comune per i progetti single-player di Ubisoft, tra cui serie come Assassin’s Creed e Prince of Persia.

Ubisoft ha affermato che il gioco avrebbe dovuto avere una modalità offline, ma le istruzioni fornite al giocatore si sono rivelate praticamente inutili. Secondo i rappresentanti di noyb, neanche un esperto di sicurezza informatica è riuscito a lanciare il gioco senza una connessione Internet. Ciò, secondo gli attivisti per i diritti umani, indica che tale modalità non funziona o che è troppo difficile da attivare.

Ubisoft sostiene che la connessione sia necessaria solo per verificare la proprietà del gioco. Ma l’azienda conferma anche nel suo contratto con l’utente e nell’informativa sulla privacy si spiega che l’azienda usa servizi di analisi di terze parti per monitorare il comportamento dei giocatori, raccogliere dati di gioco e di rete e inviarli ai suoi server.

Secondo gli avvocati di noyb, tale trattamento dei dati personali non può essere considerato necessario e pertanto viola l’articolo 6(1) del GDPR. Acquistando il gioco tramite Steam la proprietà viene già verificata e la presenza di una modalità offline nascosta indica che la connessione a Internet non è un requisito tecnico obbligatorio. Se un’azienda è realmente interessata a migliorare la qualità dei giochi, può chiedere direttamente ai giocatori il permesso di raccogliere informazioni o accettare segnalazioni volontarie di bug.

In caso di violazioni, l’azienda rischia una multa fino a 92 milioni di euro, pari al 4% del suo fatturato annuo (oltre 2 miliardi di euro). Noyb fa anche notare che questo probabilmente non sarà l’ultimo reclamo contro i produttori di giochi: è solo che, secondo il GDPR, ogni caso viene presentato per conto di uno specifico utente i cui diritti sono stati violati. Quindi dobbiamo agire a turno.

L'articolo Ubisoft nei guai: rischia 92 milioni di euro per violazione GDPR proviene da il blog della sicurezza informatica.