Španělský a belgický dozorový orgán vydali společný dokument „Recommendations and Best
Practices for Data Protection in Video Games“, zaměřený na správné praktiky ohledně GDPR
v sektoru videoher. Nutnost pro takovéto doporučení vychází z poznatku, že hraní videoher se
účastní celosvětově až 3 miliardy lidí, přičemž ochrana osobních údajů je často nedostačující.
Zároveň více než 95 % všech plateb v tomto sektoru probíhá online a osobní údaje zákazníků
mnohdy nebývají zabezpečeny. Doporučení je zaměřeno na profesionály v této oblasti, především
vývojáře, studia, vydavatele apod. a dodavatele jejich systémů (systémy cloud, analytické nástroje,
nástroje proti podvádění, či AI).
Zpracování údajů v této oblasti často přesahuje běžné identifikační údaje, jako jsou jména či emaily, ale zahrnuje také pseudoidentifikátory, jako je sledování chování během hraní a odvozování
chování pomocí pokročilé analytiky a umělé inteligence. Klíčovou roli v této oblasti hraje přesné
určení rolí správce či společného správce a zpracovatele ještě ve fázi vývoje. Správce totiž nese
plnou odpovědnost za zákonnost zpracování, plnění informačních povinností, respektování práv
subjektů údajů a řádné uzavření zpracovatelských smluv se všemi dodavateli technologií.
Prostředí videoher přináší specifické hrozby, mezi které patří například riziko odhalení identity
(doxing) nebo používání klamavých a závislostních herních prvků (tzv. dark patterns). Důležitou
zásadou je proto implementace a dodržování všech zásad ochrany osobních údajů. Výchozí
nastavení videoher musí vždy reflektovat maximální snahu o ochranu osobních údajů – například
automatické vypnutí personalizované reklamy či deaktivace sociálních funkcí u neaktivních hráčů.
Zcela zásadní oblastí je ochrana dětí a zranitelných hráčů. Pokud hra není výhradně určena pro
dospělé, je nutné předpokládat přítomnost dětí a přizpůsobit tomu celý herní systém. Správci musí
zavést mechanismy pro ověření věku a získání prokazatelného souhlasu rodičů. Informace o
zpracování osobních údajů musí být podávány jasně a srozumitelně s ohledem na věkovou
skupinu. Zpracování osobních dat dětí pro účely monetizačního profilování, cílené reklamy nebo
využívání náhodných odměn (tzv. loot boxů) je považováno za vysoce rizikové a vyžaduje
předchozí posouzení vlivu na ochranu osobních údajů (DPIA). Správci tak musí zajistit, aby
monetizační mechaniky nespoléhaly na psychologickou zranitelnost nejmladších hráčů.