Le 24 avril, l’association NOYB (None of Your Business) a déposé plainte contre Ubisoft devant la CNIL autrichienne, ouvrant la voie à une possible sanction Ubisoft pour collecte illégale de données personnelles, même sur un jeu entièrement hors ligne comme Far Cry Primal.
Pourquoi Ubisoft risque une sanction ?
La plainte vise plusieurs pratiques susceptibles de conduire à une sanction Ubisoft :
- Collecte de données sans consentement clair.
- Transmission de données à des tiers comme Google, Amazon ou Datadog.
- Absence de transparence sur cette collecte, même pour un jeu hors ligne.
Le plaignant affirme n’avoir jamais consenti à cette collecte, soulignant que le simple fait de jouer ne justifie pas un traitement de données.
Ce que dit le RGPD
Base légale : Chaque traitement de données doit reposer sur une base légale définie par le RGPD :
- Le consentement explicite de l’utilisateur (exemple : une case à cocher « J’accepte que mes données soient collectées »).
- Un contrat (exemple : les informations nécessaires pour créer un compte joueur).
- L’intérêt légitime (exemple : collecter des données pour améliorer les performances du jeu, mais avec une évaluation préalable des impacts sur la vie privée).
Principe de minimisation des données : Ne collecter que les données strictement nécessaires à la finalité définie.
- Exemple : Pour un jeu hors ligne, les données de géolocalisation ou d’identifiant unique en ligne ne devraient pas être collectées.
Consentement libre, éclairé, spécifique et univoque :
- Libre : L’utilisateur doit pouvoir refuser sans conséquence (pas de blocage du jeu).
- Éclairé : Les finalités de la collecte doivent être clairement expliquées (pas de termes vagues).
- Spécifique : Chaque finalité doit être distinctement mentionnée (par exemple, collecte pour des statistiques et collecte pour du marketing).
- Univoque : Une action claire de l’utilisateur (comme cliquer sur « Accepter ») doit démontrer son accord.
Une sanction Ubisoft qui pourrait atteindre 92 millions d’euros
Si les faits sont avérés, la sanction Ubisoft pourrait atteindre 92 millions d’euros, une somme significative pour le géant du jeu vidéo.
Cette affaire rappelle une réalité cruciale : même une collecte « automatique » ou « technique » n’échappe pas aux exigences du RGPD.
Les entreprises doivent justifier, sécuriser et encadrer chaque traitement, même s’il s’effectue « en arrière-plan ».
Besoin d’un accompagnement pour
votre mise en conformité RGPD ?
