Приватность игрового сервера: данные и GDPR

Игровой сервер собирает больше персональных данных, чем думает большинство владельцев: IP-адрес каждого игрока в логах, ID на платформах и ники, историю чата и всё, что добавляют ваши плагины, - записи о банах, привязанные аккаунты Discord, email для плагинов авторизации, ответы в заявках на белый список. Если вы держите сервер сообщества, открытый для людей из ЕС или Великобритании, к вам почти наверняка применяется GDPR (или его британская версия), а обязательства для типичного сервера скромные: знать, что вы собираете, собирать меньше, где это возможно, хранить только столько, сколько нужно, рассказать об этом игрокам в коротком уведомлении о приватности, отвечать на редкие просьбы показать или удалить данные и обеспечивать их безопасность. Сервер для нескольких друзей обычно подпадает под исключение для сугубо личной деятельности.

Эта статья - практические рекомендации для владельцев серверов, а не юридическая консультация. Если ваше сообщество большое, принимает платежи или ориентировано на детей, стоит оплатить час работы специалиста по защите данных.

Что ваш сервер собирает на самом деле#

Начните с инвентаризации. Вторая половина таблицы удивляет большинство владельцев.

Несколько конкретных примеров того, где это лежит на диске:

• Minecraft при каждом входе пишет в logs/latest.log строку вроде Steve[/203.0.113.5:51234] logged in with entity id 412 и по умолчанию бессрочно хранит рядом сжатые старые логи. usercache.json сопоставляет ники с UUID, а banned-ips.json хранит адреса. EssentialsX держит по файлу на игрока в plugins/Essentials/userdata/, и там есть его последний адрес.
• Игры на Source при включённом логировании записывают подключения с адресом, а SourceMod пишет действия администраторов со SteamID.
• FiveM с txAdmin записывает в свою базу данных все идентификаторы, с которыми подключается игрок, включая IP и аппаратные токены.
• Survival-игры обычно логируют входы с ID платформы, а многие - ещё и адреса.

А дальше - всё, что находится вне игрового сервера: сервер Discord, веб-карта с позициями и никами игроков, сайт статистики, бан-лист, которым вы делитесь с другими сообществами, таблицы с заявками в команду. Это тоже считается.

Применяется ли GDPR к вашему серверу?#

Это решают три вопроса.

1. Это сугубо личная или бытовая деятельность? GDPR не применяется к обработке данных физическим лицом «в ходе сугубо личной или бытовой деятельности». Закрытый сервер для вас и ваших друзей, который нигде не рекламируется и не открыт для незнакомцев, почти наверняка относится к этой категории.
2. Вы или ваши игроки находитесь в ЕС или Великобритании? GDPR применяется к любому, кто учреждён в ЕС, и к тем, кто вне его предлагает услуги людям в ЕС или наблюдает за ними. Публичный сервер, принимающий европейских игроков, на практике подпадает под регулирование, кто бы его ни держал. У Великобритании своя версия с почти идентичными правилами.
3. Это сообщество, клуб или бизнес? Как только сервер становится публичным, у него появляется команда, он принимает донаты или продаёт ранги, это уже не бытовая деятельность. То, что никто не получает прибыли, не выводит его из-под регулирования.

Для публичного сервера сообщества исходите из того, что GDPR применяется. Хорошая новость в том, что обязательства соразмерны тому, что вы делаете, а типичный игровой сервер делает не так уж много.

Почему вам разрешено это собирать#

GDPR требует законного основания для каждого использования персональных данных. Для игрового сервера почти всё покрывают три основания:

• Законные интересы - безопасная работа сервера, предотвращение читерства и злоупотреблений, применение банов, разбор жалоб. Логи IP и записи о банах подходят сюда, пока вы держите их соразмерными. На этом основании строится большая часть того, что делает сервер.
• Договор - предоставление того, за что игрок заплатил, например ранга. Платёжные данные платформа магазина обычно обрабатывает под свою ответственность.
• Согласие - всё необязательное: рассылка, привязка аккаунта Discord ради косметической роли, публичные страницы статистики с никами, запись голоса. Согласие должно быть добровольным, конкретным, и отозвать его должно быть так же легко, как дать.

Законные интересы - не карт-бланш. Это означает реальный интерес, данные, которые для него действительно нужны, и баланс с разумными ожиданиями игрока. Хранить все IP-адреса вечно «на всякий случай» - проверку не проходит; хранить их несколько недель для борьбы с обходом банов - проходит с запасом.

Сроки хранения: что и сколько держать#

Большинство серверов случайно хранят всё вечно, потому что логи никогда не удаляются. Короткая таблица сроков хранения, записанная и соблюдаемая по расписанию, - самый полезный шаг для приватности, который вы можете сделать.

Это разумные отправные точки, а не юридические ограничения. Выберите сроки, которые можете обосновать, укажите их в уведомлении о приватности и заставьте сервер их соблюдать.

На сервере под Linux часть с логами решает find по расписанию:

# Delete Minecraft logs older than 60 days$ find /srv/minecraft/logs -name '*.log.gz' -mtime +60 -delete# The same idea for Source game logs$ find /srv/tf2/tf/logs -name '*.log' -mtime +60 -delete

В хостинговой панели без доступа к shell то же самое можно делать вручную через файловый менеджер по напоминанию в календаре или с помощью плагина с настройкой срока хранения логов. Что вообще стоит хранить и как это ротировать, описано в статье логи, которые стоит хранить.

Про backup обычно забывают. Backup мира годичной давности содержит логи и данные игроков годичной давности. Хранить backup правильно; хранить их в неограниченном количестве бессрочно - нет. Пусть ротация делает свою работу, а блокируйте только те backup, для хранения которых у вас есть причина.

Собирайте меньше с самого начала#

Дешевле всего защищать данные, которые вы вообще не собирали.

• Не спрашивайте того, что вам не нужно. Заявкам в белый список редко нужны настоящее имя, точный возраст, место жительства или фото. Обычно достаточно «Вам есть 13 лет?» и «Как вы о нас узнали?».
• Отключите логирование, которое вы не читаете. Логирование чата в базу данных, отслеживание позиций, подробная статистика с никами - если никто этим не пользуется, выключите.
• Ограничьте круг тех, кто может читать логи. Модераторам нужны логи чата и действий; IP-адреса нужны очень немногим. В панели с субпользователями давайте модераторам доступ к консоли, а не к файлам - так сырые логи и базы данных плагинов остаются вне досягаемости.
• По умолчанию избегайте публичной статистики с идентификаторами. Таблица лидеров - нормально. Публичная страница со временем входа и последним адресом каждого игрока - нет.
• Не передавайте бан-листы шире, чем необходимо. Что разумно передавать, описано в статье глобальные бан-системы для сообществ.

Когда игрок просит показать или удалить его данные#

Игроки имеют право запросить копию своих персональных данных, их исправление и во многих случаях их удаление. На игровых серверах такие запросы редки, но случаются - обычно после того, как кто-то ушёл из сообщества со скандалом.

Ответить нужно в течение месяца с момента запроса; для сложных запросов срок можно продлить ещё на два месяца, если вы сообщите об этом человеку. Практический порядок действий:

1. Убедитесь, кто спрашивает. Попросите написать с того аккаунта платформы, о котором идёт речь, или зайти на сервер, чтобы не отправить чьи-то данные самозванцу.
2. Поищите везде, что вы перечислили при инвентаризации. Логи, файлы данных игроков, базы данных плагинов, бан-листы, мост с Discord, таблицы.
3. В ответ на запрос доступа отправьте найденное в читаемом виде: список категорий данных, выдержки, срок хранения каждой и кто ещё их получает.
4. В ответ на запрос удаления удалите то, что вам больше не нужно. Вы можете сохранить то, для чего у вас всё ещё есть законное основание, - чаще всего действующий бан и доказательства к нему. Скажите об этом в ответе.
5. Запишите, что вы сделали и когда.

Удаление игрока из мира зависит от игры: в Minecraft это его файл в world/playerdata/, названный по UUID, плюс данные плагинов; в большинстве survival-игр - сохранение игрока или строка в базе данных. Логи старше вашего срока хранения к этому моменту уже должны быть удалены, что сильно упрощает задачу, - ещё одна причина установить срок хранения.

Дети, платежи и команда#

Три области требуют особого внимания.

Дети. Во многих игровых сообществах есть юные игроки. Если законным основанием для онлайн-сервиса, предлагаемого непосредственно детям, служит согласие, GDPR требует согласия родителей для детей младше возраста, который каждая страна устанавливает в пределах от 13 до 16 лет. Самый простой подход для сервера - вообще не нуждаться в согласии: не собирать ничего необязательного, опираться на законные интересы в базовых вопросах безопасности и не спрашивать у детей личные данные в заявках или в Discord.

Платежи. Если вы продаёте ранги или привилегии, используйте платформу магазина и предоставьте ей обработку платёжных данных. Имена и адреса email в записях о покупках вы всё равно будете видеть; храните их только столько, сколько нужно для возвратов и споров. Игровые правила о том, что можно продавать, разобраны в статье монетизация игрового сервера в рамках правил.

Команда. Ваша команда каждый день видит персональные данные: адреса в логах, жалобы, доказательства. Скажите им, для чего эти данные можно использовать (только для модерации), что их нельзя передавать за пределы команды, и отзывайте доступ, когда человек уходит. Член команды, который доксит игрока с помощью ваших логов, - это ваша проблема так же, как и его.

Утечки, ваш хостер и другие сервисы#

Утечка персональных данных - это любая потеря, утечка или несанкционированный доступ: украденный backup базы данных, слитая база плагина с email, член команды, публично выложивший логи, взломанный сервер. Если утечка, вероятно, создаёт риск для людей, GDPR требует уведомить ваш надзорный орган по защите данных в течение 72 часов с момента, когда вы о ней узнали, а при высоком риске - напрямую сообщить пострадавшим. Утечка email и хешей паролей из плагина авторизации - классический пример, требующий и того и другого. Техническая реакция описана в статье что делать, если ваш сервер взломали; каким бы ни был исход, ведите краткую письменную запись того, что произошло и что вы решили.

Ваш хостинг-провайдер хранит и обрабатывает данные от вашего имени. RE:NODE держит свои серверы на оборудовании в Германии, внутри ЕС, а backup платформы копируются на отдельное оборудование. Другие подключённые сервисы - Discord, платформы магазинов, сайты-мониторинги серверов, RCON-сервисы вроде BattleMetrics - обрабатывают свою часть данных ваших игроков по собственным правилам. Упомяните их в уведомлении о приватности.

Уведомление о приватности простыми словами#

Вам нужно уведомление, которое игроки могут найти: на сайте, закреплённое в Discord или по ссылке из приветственного сообщения сервера. Длинным оно быть не обязано. Такая структура покрывает типичный сервер:

Who runs this server: [community name], contact [email or Discord].What we collect: your account ID and name, your IP address when youconnect, chat and commands, and in-game data such as builds andinventory. [Add: emails for login, Discord links, applications.]Why: to run the server, prevent cheating and abuse, and enforce bans.How long: connection and chat logs 60 days; ban records while the banis active plus 6 months; player data until the next wipe or a yearof inactivity.Who else sees it: our host (servers in Germany); [Discord, store,other services].Your rights: ask us for a copy, a correction or deletion at [contact].We answer within one month. You can also complain to your dataprotection authority.

Следите, чтобы оно было точным. Короткое уведомление, соответствующее тому, что вы делаете, лучше длинного шаблона, скопированного у компании, которая занимается чем-то другим.

FAQ#

Распространяется ли GDPR на закрытый сервер для друзей?

Обычно нет. Сервер, который закрыт, нигде не рекламируется и используется группой знакомых вам людей, подпадает под исключение для сугубо личной или бытовой деятельности. Как только он стал публичным или вокруг него сложилось сообщество, исходите из того, что GDPR применяется.

Можно ли хранить IP-адреса, чтобы бороться с обходом банов?

Да, в течение соразмерного срока. Борьба с обходом банов - законный интерес, и логи подключений за период от нескольких недель до нескольких месяцев легко обосновать. Хранить каждый адрес вечно - нет.

Обязан ли я удалить данные забаненного игрока по его просьбе?

Не те данные, которые нужны для применения действующего бана. Вы можете сохранить идентификатор и причину, удалить остальное и объяснить почему. Когда бан истекает или снимается, исчезает и причина его хранить.

Являются ли backup игрового сервера проблемой для приватности?

Они содержат персональные данные, как и всё остальное, поэтому их нужно защищать и ротировать. Хранить разумное число backup для восстановления сервера правомерно; хранить каждый backup вечно - нет.

Кто отвечает за данные игроков на арендованном сервере: я или хостер?

Вы решаете, что собирается и зачем, поэтому отвечаете за это вы. Хостер хранит данные от вашего имени и отвечает за безопасность платформы.