Le Règlement général sur la protection des données (RGPD) s’applique depuis le 25 mai 2018, et le jeu vidéo reste un secteur où l’écart entre la règle et la pratique se mesure. En 2023, Usercentrics, éditeur d’une plateforme de gestion du consentement, a testé 269 jeux mobiles embarquant des traceurs tiers et comptant plus de 150 000 utilisateurs actifs par jour : 90 % ne proposaient aucun choix de consentement à leurs joueurs (94 % sur la zone Europe, Moyen-Orient et Afrique).
Le secteur n’échappe pas aux contrôles de la Commission nationale de l'informatique et des libertés (CNIL). Le 29 décembre 2022, sa formation restreinte a infligé à Voodoo, éditeur de jeux pour mobile, une amende de 3 millions d’euros pour avoir utilisé l’identifiant IDFV des iPhone à des fins publicitaires sans le consentement des joueurs (délibération SAN-2022-026). Le Conseil d’État a rejeté le recours de Voodoo le 14 mai 2024. Le 19 décembre 2024, la CNIL a sanctionné de 15 000 euros, en procédure simplifiée, une société éditant un site de jeux dématérialisés pour non-respect du droit d’accès (liste des sanctions de la CNIL).
Ce guide fait le point pour un éditeur de jeux, et pour le DPO qui l’accompagne :
- En quoi ce secteur est-il spécifique pour le traitement des données ?
- Quelles sont les priorités pour se mettre en conformité ?
Jeux vidéo : quelles sont les données concernées ?
Les données personnelles : de quoi parle-t-on au juste ?
Une donnée personnelle est définie comme toute information liée à une personne physique qui peut être identifiée directement ou indirectement.
Classiquement, une identification directe pourrait se produire si la personne utilise son vrai nom et prénom comme nom d'utilisateur pour jouer ou télécharger des fichiers.
Là où l’affaire devient compliquée, c’est lorsqu’on touche à l’identification indirecte. Ici, plusieurs faisceaux d’indices peuvent amener les éditeurs de jeux vidéo à cerner les individus au travers de leurs :
- comportements ;
- préférences de consommation ;
- profils sociologiques ;
- lieux géographiques ;
- voix lorsqu’il s’agit d’une plateforme multijoueurs ;
- statistiques de jeux.
Dans le feu de l’action, les joueurs ne se rendent pas compte de la quantité de données qu’ils sèment sur leur passage. Il appartient ainsi aux éditeurs de jeux de ne pas déraper !
La particularité du jeu vidéo : la jeunesse des utilisateurs
La spécificité du secteur tient à son public : on touche très vite des mineurs. Selon l’étude SELL/Médiamétrie « Les Français et le jeu vidéo » (septembre 2025, 4 001 personnes de 10 à 80 ans), 92 % des 10-17 ans jouent aux jeux vidéo, et 84 % des enfants joueurs partagent leurs sessions avec d’autres joueurs. Multijoueur, chat vocal, classements : chaque fonctionnalité sociale fait circuler des données d’enfants.
Le RGPD en tient compte. Son article 8 soumet le consentement d’un enfant à un service en ligne à l’accord du titulaire de l’autorité parentale en dessous d’un âge fixé par chaque État membre : 16 ans par défaut, 13 ans au minimum. En France, un mineur peut consentir seul à partir de 15 ans, et avec ses parents avant cet âge, comme le rappelle la CNIL dans ses recommandations du 1er juin 2021.
Le sujet des mineurs est l’un des plus surveillés par les autorités. Le 2 septembre 2022, l’autorité irlandaise (DPC) a infligé une amende de 405 millions d’euros à Meta Platforms Ireland pour Instagram : les adresses e-mail et numéros de téléphone d’utilisateurs mineurs étaient rendus publics via les comptes professionnels, et leurs comptes personnels étaient publics par défaut (décision annoncée le 15 septembre 2022).
Plus près du jeu, la CNIL a sanctionné le 10 novembre 2022 Discord, logiciel de voix sur IP et de messagerie instantanée, d’une amende de 800 000 euros (délibération SAN-2022-020). Les manquements retenus portent notamment sur les durées de conservation et la sécurité des données, mais aussi sur l’information des personnes, le droit d’opposition, la protection des données par défaut et l’absence d’analyse d’impact.
Éditeurs de jeux vidéo et RGPD : les étapes de mise en conformité
Conformité RGPD : les bases à mettre en place
Étape 1 - Audit et analyse des données récoltées
La première étape consiste à identifier toutes les données personnelles collectées par le jeu vidéo :
- les noms d'utilisateur ;
- les adresses e-mail ;
- les informations de paiement ;
- les adresses IP ;
- les informations sur le comportement du joueur ;
- les données de localisation, etc.
En somme, effectuez une cartographie des informations que vous avez dans votre base de données et conservez seulement celles qui sont absolument nécessaires pour le bon fonctionnement du jeu.
N’oubliez pas les kits de développement (SDK) tiers intégrés au jeu : mesure d’audience, attribution, monétisation publicitaire. Ce sont souvent eux qui accèdent aux identifiants de l’appareil ou déposent des traceurs, et l’article 82 de la loi Informatique et Libertés soumet ces accès au consentement du joueur : c’est sur ce fondement que Voodoo a été sanctionné de 3 millions d’euros en décembre 2022.
Étape 2 - Justification de la collecte
Il peut être tentant de récolter massivement des données d’autant plus que les joueurs seront moins méfiants concernant leur vie privée dans un contexte ludique.
Néanmoins, chaque information doit trouver une justification légale, aussi appelée “base légale” (article 6 RGPD), parmi lesquelles :
- le consentement ;
- le contrat ;
- l’obligation légale ;
- la sauvegarde des intérêts vitaux ;
- l’intérêt public ;
- les intérêts légitimes.
Dans un jeu en ligne, plusieurs bases légales coexistent presque toujours. C’est finalité par finalité qu’il faut les qualifier :
- Contrat : création du compte, sauvegarde de la progression, livraison des achats en jeu, soit tout ce qui est objectivement nécessaire pour fournir le jeu au joueur.
- Intérêt légitime : lutte contre la triche et la fraude, sécurité des serveurs et des comptes. La CNIL cite la sécurité du réseau et des informations et la prévention de la fraude parmi les traitements qui peuvent reposer sur cette base (fiche du 29 novembre 2019). L’article 6.1.f exige une mise en balance des intérêts, « notamment lorsque la personne concernée est un enfant ».
- Obligation légale : lorsqu’un texte impose le traitement, par exemple la transmission de données à l’administration fiscale au titre de son droit de communication, exemple donné par la CNIL dans sa fiche du 2 décembre 2019.
- Consentement : publicité ciblée, traceurs publicitaires et traitements facultatifs. Pour un joueur de moins de 15 ans, il doit être donné avec ses parents.
Cette étape est le moment propice pour documenter ces choix dans votre registre des traitements, avec une base légale justifiée par finalité. Pour approfondir le choix de chacune, voir notre guide sur les bases légales du RGPD.
Étape 3 - Information et consentement
Les éditeurs de jeux vidéo doivent réellement être proactives pour informer des joueurs passionnés enclins à donner un accord dont ils ne comprennent pas toujours la portée. Veillez à tenir à jour une Politique de confidentialité accessible, claire et transparente.
Obtenir un consentement libre, éclairé et sans ambiguïté nécessite une information claire et facile à comprendre (ce qui n’est pas toujours le cas lorsqu’on prend connaissance des CGU et de la politique de confidentialité des entreprises).
Étape 4 - Droits des personnes concernées
Les individus doivent rester maîtres de leurs données. À ce titre, vous devez donner la possibilité à chaque personne d’exercer leurs droits :
- le droit d’accès permet à un utilisateur de savoir où en est le traitement de ses données ;
- le droit de rectification permet la modification et la correction des données personnelles ;
- le droit d’opposition permet de s’opposer à l’utilisation de ses données pour un objectif précis ;
- le droit à l’effacement permet d’obtenir l’effacement de ses données ;
- le droit à la limitation permet d’arrêter temporairement l’utilisation des données ;
- le droit à la portabilité permet à la personne de récupérer une partie de ses données dans un format lisible pour son usage personnel ou pour les transmettre à un autre service (copie des données) ;
- le droit à l’intervention humaine face à un profilage.
La sanction de décembre 2024 contre un site de jeux dématérialisés le rappelle : une demande d’accès mal traitée suffit à déclencher une amende, même en procédure simplifiée.
Étape 5 - Sécurité des données
Le piratage de données bancaires est un des risques associés aux jeux vidéo en ligne. Les éditeurs de jeux vidéo doivent donc prendre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque.
Pour les traitements à risque élevé, la CNIL propose une méthode d’analyse d’impact (AIPD) en 4 étapes (guide PIA, édition février 2018) :
- Étude du contexte : décrire les traitements de données et leur importance.
- Étude des mesures : identifier les mesures de protection des données en place ou prévues.
- Étude des risques : estimer les risques liés à la sécurité des données et leur impact sur la vie privée.
- Validation : valider la manière dont il est prévu de traiter les risques, ou bien refaire une itération des étapes précédentes.
L’absence d’analyse d’impact figure d’ailleurs parmi les manquements retenus contre Discord en 2022.
Jeux mobiles : les recommandations de la CNIL sur les applications
Le 24 septembre 2024, à l’issue d’une consultation publique, la CNIL a publié ses recommandations sur les applications mobiles, mises à jour le 8 avril 2025. Elles visent toute la chaîne : éditeurs, développeurs, fournisseurs de SDK et fournisseurs de systèmes d’exploitation. La CNIL a annoncé qu’elle vérifierait leur prise en compte dès 2025, par une campagne de contrôles spécifique.
Pour un éditeur de jeux mobiles, le geste concret est de lister chaque SDK intégré, la finalité de chacun et le rôle de son fournisseur, puis de vérifier que les traceurs soumis au consentement ne se déclenchent pas avant le choix du joueur.
Jeux vidéo et mineurs : les 8 recommandations de la CNIL
Si vos jeux concernent aussi les mineurs, des précautions complémentaires s’imposent. La CNIL a publié le 1er juin 2021 8 recommandations pour protéger leur vie privée :
- encadrer la capacité d’agir des mineurs en ligne ;
- encourager les mineurs à exercer leurs droits ;
- accompagner les parents dans l’éducation au numérique ;
- rechercher le consentement d’un parent pour les mineurs de moins de 15 ans ;
- promouvoir des outils de contrôle parental respectueux de la vie privée et de l’intérêt de l’enfant ;
- renforcer l’information et les droits des mineurs par le design ;
- vérifier l’âge de l’enfant et l’accord des parents dans le respect de sa vie privée ;
- prévoir des garanties spécifiques pour protéger l’intérêt de l’enfant.
Jeux vidéo et RGPD : comment Leto peut-il vous aider ?
1- Cartographie des données personnelles et un mapping complet de votre conformité ;
2- Registre de traitement intelligent avec des informations pré-remplies ou suggérées en fonction des sources de données et des typologies de données (durée de conservation, transfert hors UE...) ;
3- Exercice des droits grâce à un espace personnalisé où vos utilisateurs peuvent faire leur demande d'exercice de droits avec en prime, le suivi de l’avancement du traitement ;
4- Audit IA des sous-traitants avec Hari, l’IA de Leto, pour passer en revue vos fournisseurs, fournisseurs de SDK compris.
Bonus : un onboarding personnalisé et un S.A.V réactif à la moindre question ! N'hésitez pas à réserver une démo du logiciel RGPD Leto !
Questions fréquemment posées
À partir de quel âge un joueur peut-il consentir seul au traitement de ses données en France ?
À partir de 15 ans. L’article 8 du RGPD fixe le seuil à 16 ans par défaut et permet aux États membres de l’abaisser jusqu’à 13 ans. En France, avant 15 ans, un traitement fondé sur le consentement suppose l’accord du mineur et de ses parents (recommandations CNIL du 1er juin 2021).
Sur quelle base légale fonder un système anti-triche ?
Le plus souvent sur l’intérêt légitime (article 6.1.f RGPD) : un anti-triche relève de la sécurité et de la prévention de la fraude, deux exemples cités par la CNIL pour cette base légale. La CNIL estime en revanche qu’un traitement de lutte contre la fraude ne peut pas être fondé sur l’exécution du contrat. La mise en balance doit tenir compte de la présence de mineurs parmi les joueurs.
Les SDK publicitaires d’un jeu mobile nécessitent-ils un consentement ?
Oui, pour les traceurs et identifiants utilisés à des fins publicitaires : le consentement du joueur doit être recueilli avant leur dépôt ou leur lecture. C’est pour avoir utilisé l’identifiant IDFV des iPhone à des fins publicitaires sans consentement que la CNIL a sanctionné Voodoo de 3 millions d’euros le 29 décembre 2022, sanction confirmée par le Conseil d’État le 14 mai 2024.
