El 18 de junio de 2026, la Agencia Española de Protección de Datos (AEPD) y la Autoridad Belga de Protección de Datos (APD-GBA) publicaron el documento titulado «Recomendaciones y mejores prácticas para la protección de datos personales en videojuegos». Son 109 páginas, redactadas primero en inglés y traducidas después, y se presentan como el primer texto elaborado conjuntamente por autoridades europeas de protección de datos para este sector concreto.

El destinatario no es el jugador, sino quien construye y explota el juego: estudios, desarrolladores, editores, fabricantes de consolas y plataformas de distribución (los storefronts), además de las empresas que les dan servicio —proveedores de nube, de herramientas de analítica, de sistemas antitrampa o de inteligencia artificial— y los equipos jurídicos que trabajan con todos ellos. El sector mueve cerca de 200.000 millones de dólares anuales, por encima del cine y la música juntos, con más de 3.000 millones de jugadores y un 95 % de ventas ya digitales. Sobre todo, trata muchos más datos personales de los que un nombre o un correo electrónico sugieren: telemetría capturada segundo a segundo e inferencias sobre el comportamiento de cada jugador.

El documento hace tres cosas. Describe las actividades de tratamiento más habituales —creación de cuentas, telemetría e inferencias conductuales—, identifica las amenazas y riesgos que conllevan, y ofrece recomendaciones organizadas por fase del ciclo de vida del juego y por tipo de actor, con listas de comprobación en los anexos.

El método: análisis estático y dinámico de juegos reales

Lo que distingue a este texto de la orientación habitual de un regulador es el origen de sus conclusiones. En lugar de recordar los principios del Reglamento General de Protección de Datos (RGPD) y dejar su aplicación a la interpretación de cada empresa, la AEPD y la autoridad belga partieron de un trabajo de campo. Según la nota de prensa de la propia Agencia, las recomendaciones se apoyan en evidencia recogida mediante análisis estáticos —políticas de privacidad, términos y condiciones, contratos y acuerdos de nivel de servicio— y análisis dinámicos: la ejecución de videojuegos reales, kits de desarrollo (SDK) y lanzadores para observar cómo fluyen los datos en la práctica.

Un regulador que lee la política de privacidad de un juego ve lo que la empresa dice que hace; quien ejecuta el juego y observa el tráfico ve lo que ocurre en realidad. De ahí que el documento descienda a un nivel técnico inusual en este tipo de guías: métodos concretos de telemetría, modelos de aprendizaje automático para inferir emociones o estilo de juego, cajas botín, interfaces cerebro-computador. Para ordenar todo ese material, la guía aplica además un marco propio de modelado de amenazas desarrollado por la Agencia (LIINE4DU), que sistematiza los riesgos antes de proponer soluciones.

El texto aclara su propia ambición: no pretende resumir las recomendaciones genéricas ya conocidas sobre el RGPD, sino reunir medidas específicas para los aspectos concretos de los videojuegos. Es la línea que la AEPD viene desarrollando desde su área de innovación, con análisis técnicos sobre patrones adictivos, neurotecnología o gobernanza algorítmica, donde la obligación legal se traduce a la realidad de la tecnología en lugar de quedarse en la cita normativa.

Las recomendaciones, fase por fase

Dos ideas recorren todo el documento antes de entrar en cada etapa. La primera es que cada actor debe determinar su papel conforme al RGPD —responsable, corresponsable o encargado del tratamiento— y hacerlo actividad por actividad, porque una misma empresa puede ser responsable de la creación de cuentas y encargada de la telemetría que recoge para un editor. La guía propone un control de roles con tres preguntas sencillas: quién decidió tratar los datos, quién definió la finalidad y los medios, y quién actúa siguiendo instrucciones ajenas. La segunda es la protección de datos desde el diseño y por defecto del artículo 25: procesar en el propio dispositivo siempre que sea posible, dejar desactivadas por defecto las funciones opcionales, sociales o de cesión a terceros, y separar de forma estricta la telemetría de seguridad y antifraude de la que alimenta el perfilado de monetización.

Preproducción y producción. Es la fase en la que se decide casi todo, porque cuando el juego llega al mercado, la arquitectura de datos ya está definida. Aquí se sitúa la evaluación de impacto (EIPD) del artículo 35, obligatoria para los tratamientos de alto riesgo: perfilado conductual extenso, moderación automatizada, decisiones de los sistemas antitrampa, datos de menores, biometría y neurodatos, o funciones basadas en la ubicación. La infancia recibe atención preferente. La guía recomienda asumir que habrá menores jugando salvo que el juego se dirija de forma demostrable solo a adultos, diseñar por defecto interfaces apropiadas para su edad y articular un consentimiento parental verificable pero proporcionado, sin exigir identificaciones intrusivas. Las cajas botín aparecen señaladas de forma expresa: funcionan con el mismo refuerzo de razón variable que las máquinas tragaperras, por lo que se aconseja prohibirlas para menores y, para el resto, hacerlas opcionales y transparentes en cuanto a sus probabilidades. Sobre el diseño engañoso y adictivo, la recomendación es nítida: la misma facilidad para aceptar que para rechazar, sin casillas premarcadas ni mensajes que avergüencen al usuario por decir que no, y prohibición de inferir o almacenar señales de vulnerabilidad —adicción, estrés financiero— para ajustar la captación, porque rozan las categorías especiales del artículo 9. Los personajes no jugadores movidos por inteligencia artificial se tratan como cualquier sistema de IA: base jurídica para cada función, auditorías de sesgo, minimización (resumir la intención de un chat en vez de guardar la transcripción) y datos sintéticos para el entrenamiento.

Lanzamiento. Aquí el diseño se convierte en realidad operativa para millones de personas. La transparencia debe integrarse en la propia experiencia de juego, de forma contextual y por capas, y el documento plantea etiquetas de privacidad estandarizadas que cumplan la función que PEGI cumple con el contenido: una señal visible en el momento de la decisión. El consentimiento válido de los artículos 4.11 y 7 ha de ser granular y equilibrado, con un «rechazar todo» tan accesible como el «aceptar» y sin que negarse bloquee las funciones esenciales, todo ello registrado en logs a prueba de manipulaciones. Durante la partida rigen la limitación de la finalidad y la minimización: una lista blanca de telemetría que rechace los eventos no documentados que lleguen en un parche, y plazos de conservación automatizados y diferenciados. La monetización debe alinearse con el RGPD, lo que implica separar los datos estrictamente necesarios de los que optimizan ingresos —estos, con consentimiento de adhesión voluntaria—, evitar el perfilado que rastrea la frustración o explota sesgos cognitivos, e incorporar medidas de bienestar como temporizadores de sesión o avisos de descanso. Los derechos del interesado deben ejercerse desde interfaces nativas del juego, no desde formularios web externos: un acceso estructurado y comprensible en lugar de un volcado de registros en bruto; una supresión tan sencilla como crear la cuenta, sin obligar a contactar con soporte ni a justificarse; una oposición (artículo 21) entendida como derecho con fuerza legal y no como una preferencia; y, para las decisiones automatizadas como los bloqueos antitrampa o el emparejamiento (artículo 22), explicación en términos comprensibles y revisión humana con plazos de apelación de 24 a 48 horas.

Posproducción. Una vez en marcha, el cumplimiento deja de ser anticipación y pasa a ser gestión continua. El riesgo principal es el desvío de finalidad: la telemetría recogida para depurar errores acaba, con el tiempo, alimentando ofertas personalizadas. Cualquier uso nuevo exige una prueba de compatibilidad del artículo 6.4 o una base jurídica distinta. La conservación se entiende como un proceso vivo: podar esquemas, archivar o borrar cuentas inactivas y limpiar los entornos de prueba, que acumulan datos obsoletos y se convierten en una vía de fuga habitual. La seguridad del artículo 32 es una obligación permanente: monitorización de anomalías, revisión de accesos, pruebas de penetración, autenticación multifactor y rotación de claves, junto con la notificación de brechas en un plazo de 72 horas, conforme a los artículos 33 y 34. La gobernanza madura con comités internos de privacidad, auditorías de encargados y subencargados, un registro de actividades (artículo 30) actualizado de forma continua y un delegado de protección de datos (artículos 37 a 39) implicado de manera sustantiva y temprana, no como mera firma final. El cierre del juego tiene, además, sus propias reglas: aviso claro y anticipado (artículos 12 a 14) sobre qué ocurrirá con las cuentas, el progreso y las compras, y supresión o anonimización de los datos (artículo 5.1.e), con confirmación por escrito de cada encargado.

Los anexos: cinco listas de comprobación

El valor más inmediato del documento para quien trabaja en el sector está al final. Los anexos recogen cinco listas de comprobación, una por cada actor de la cadena —proveedores de hardware y fabricantes de consolas, creadores y desarrolladores, proveedores de tecnología para el desarrollo, editores y storefronts—. Cada lista está ordenada por etapa del ciclo de vida y por aspecto (responsabilidad proactiva, protección desde el diseño, ejercicio de derechos, seguridad, lealtad y transparencia, consentimiento válido), con acciones concretas y verificables. La estructura por actor resuelve un problema real: como una misma empresa puede ser responsable de una actividad y encargada de otra, cada cual puede localizar sus propias obligaciones sin reconstruirlas a partir del texto corrido.

El propio documento añade dos advertencias importantes. Las listas no agotan el cumplimiento del RGPD: recogen solo lo específico de los videojuegos y deben completarse con una revisión jurídica, organizativa y técnica más amplia, adaptada a cada jurisdicción y producto. Y se trata de recomendaciones, no de una norma de obligado cumplimiento; el texto admite expresamente que los actores adopten enfoques alternativos si estos ofrecen un nivel de protección equivalente y se documentan con una justificación clara.

El documento completo está disponible en la web de la AEPD: https://www.aepd.es/guias/recomendaciones-industria-videojuego.pdf