Le document Recommendations and best practices for data protection in video games, publié en juin 2026 par les autorités espagnole et belge de protection des données (https://www.aepd.es/en/guides/videogames-recommendations-industry.pdf) part du constat que le jeu vidéo est devenu un service numérique durable, souvent connecté et monétisé.

Fabricants de matériel, studios, fournisseurs de moteurs ou de SDK, éditeurs et boutiques en ligne peuvent tous traiter des données. Une même entreprise peut être responsable du traitement, responsable conjoint ou sous-traitant selon l’opération. La qualification doit donc être effectuée traitement par traitement, selon celui qui décide de la finalité et des moyens essentiels.

Le jeu traite les données nécessaires au compte — identité, âge, identifiants, paiement et sécurité — puis collecte une télémétrie détaillée sur les sessions, mouvements, choix, performances, communications, appareil et localisation. Ces éléments servent à inférer les aptitudes, émotions, traits de personnalité, habitudes de consommation, situation financière ou état de santé. Une donnée apparemment anonyme devient personnelle si elle permet de distinguer durablement un joueur, notamment par son style de jeu. Le RGPD couvre donc aussi les pseudonymes, métadonnées, profils et décisions individualisées.

Ces traitements créent des risques cumulatifs. Les données peuvent être reliées entre jeux, appareils, réseaux sociaux et plateformes publicitaires, puis permettre l’identification ou le doxing. Des données inexactes peuvent fausser un classement, provoquer une sanction anti-triche injustifiée ou entraîner une discrimination hors du jeu. Une violation peut exposer les identifiants, informations financières, conversations et profils psychologiques. Les capteurs de réalité virtuelle, les données physiologiques et les interfaces cerveau-ordinateur étendent encore la collecte à l’activité corporelle et mentale.

Le document insiste aussi sur la manipulation. Les interfaces trompeuses peuvent pousser le joueur à lier un réseau social, accepter un suivi, conserver un abonnement ou effectuer des achats. Les mécanismes addictifs combinent rareté, comparaison sociale, récompenses périodiques, offres limitées, microtransactions et loot boxes. Plus le joueur reste longtemps, plus le système collecte de données et affine les moyens de l’influencer. Or l’utilisateur ignore souvent l’étendue de cette surveillance : les informations sont enfouies dans des politiques longues et les réglages sont difficiles d’accès.

La première réponse doit intervenir avant le lancement. La protection des données doit être intégrée aux choix narratifs, commerciaux et techniques. Chaque projet ou nouvelle fonction devrait passer par un examen des rôles RGPD. Les acteurs doivent inventorier les comptes, flux de télémétrie et inférences, préciser les personnes, données, destinataires, transferts et durées de conservation, puis rattacher chaque traitement à une finalité précise et à une base légale. Le contrat peut couvrir les fonctions indispensables ; le consentement, la personnalisation ou la publicité comportementale ; l’intérêt légitime, certaines mesures proportionnées de sécurité ; l’obligation légale, notamment la conservation comptable. Des formules telles que « améliorer l’expérience » ne suffisent pas. Les accords contractuels, cartes de flux, registres et analyses de transferts doivent être prêts avant la mise en production.

La protection dès la conception implique de préférer le traitement local au transfert vers un serveur, de séparer les données de sécurité de celles utilisées pour le marketing, de désactiver par défaut les champs facultatifs, le partage avec des tiers et la personnalisation, et de limiter la durée des profils. Les fonctions fondées sur l’IA doivent reposer sur une base légale, limiter les données, permettre la correction des profils et faire l’objet d’audits. Les interfaces ne doivent pas rendre le refus plus difficile que l’acceptation ni exploiter la frustration ou la vulnérabilité financière. Une analyse d’impact est requise en cas de risque élevé, notamment pour le profilage étendu, la surveillance, les décisions automatisées significatives, la biométrie, la géolocalisation ou les traitements concernant des enfants.

La présence probable d’enfants impose une protection renforcée, sauf jeu réellement réservé aux adultes. L’autorisation parentale doit être vérifiable mais proportionnée. L’information doit être courte, visuelle et adaptée. Les communications publiques, recommandations d’amis, fonctions de localisation, avatars identifiables et achats aléatoires doivent être évalués selon l’intérêt supérieur de l’enfant. Le document recommande des communications restreintes, des filtres, des tableaux de bord parentaux, des limites de dépenses et d’horaires, des outils de signalement accessibles et la désactivation par défaut des fonctions sociales et du profilage publicitaire.

Au lancement, les engagements doivent devenir visibles dans l’expérience du joueur. L’information doit être progressive et contextuelle, par exemple avant l’usage du microphone, de la localisation ou d’une recommandation personnalisée. Des labels de confidentialité, un centre de gestion unique et des catalogues de télémétrie peuvent compléter les notices. Le consentement doit être libre, spécifique, éclairé, univoque et distinct pour chaque finalité ; le refus doit être aussi accessible que l’acceptation. La collecte en production doit respecter un schéma fermé et contrôlé, avec des durées différenciées pour données brutes, profils et agrégats. Les données recueillies pour la sécurité ou le débogage ne peuvent pas être réutilisées silencieusement pour le ciblage commercial.

Les droits doivent pouvoir être exercés directement depuis le jeu ou le compte. L’accès doit fournir des données structurées et compréhensibles, y compris la télémétrie, les classements, décisions de modération et profils. La rectification peut couvrir certaines classifications algorithmiques erronées. L’effacement doit être simple et expliquer ses effets sur la progression, les achats et les communications. La limitation doit permettre de suspendre une analyse ou une sanction contestée. La portabilité doit offrir des formats exploitables, tandis que l’opposition doit désactiver les traitements fondés sur l’intérêt légitime. Les sanctions anti-triche, suspensions ou décisions de modération produisant des effets importants doivent être expliquées et soumises à un recours avec intervention humaine réelle.

Après le lancement, la conformité devient continue. Chaque mise à jour, nouveau prestataire, changement de serveur, outil anti-triche ou expérience de monétisation exige un nouvel examen des finalités, bases légales, flux, transferts, durées et risques. Les données inutiles doivent être supprimées, y compris dans les environnements de test. La sécurité doit évoluer avec surveillance des anomalies, contrôle des accès, tests d’intrusion, audits du code, chiffrement et authentification renforcée. La gouvernance repose sur des audits, le contrôle des sous-traitants, un registre constamment actualisé et l’intervention précoce et indépendante du délégué à la protection des données. À la fermeture du jeu, les joueurs doivent être informés du sort de leurs comptes, achats et données ; les traitements doivent cesser et les données être supprimées ou anonymisées dans les systèmes de production, sauvegardes et outils des prestataires, sauf obligation légale de conservation.

Me Philippe Ehrenström, avocat, LLM, CAS en Droit et Intelligence artificielle, CAS en protection des données – Entreprise et administration