Epic Games Store raccoglierebbe dati privati degli utenti

Piccola precisazione: l'estrazione dei dati e l'invio ai server Epic avviene dopo che l'utente decide di effettuare il link a Steam, ma la copia e la cifratura del file localconfig.vfd è un'operazione automatica che avviene a monte e SENZA alcuna richiesta di consenso da parte dell'utente.

Post-installazione, il launcher cerca, copia e cifra qualsiasi file localconfig.vfd sia presente sul PC (più d'uno nel caso sulla macchina si usano, o sono stati usati in passato, altri account Steam), eseguendo l'operazione periodicamente, a prescindere da quale sia la scelta dell'utente.

Chiunque abbia l'Epic Launcher installato può controllare. Anche se non ha mai effettuato il link a Steam si troverà le copie cifrate (XOR con FF) dei propri localconfig.vfd in C:\ProgramData\Epic\SocialBackup\*.bak

E' proprio questo comportamento che ha fatto scoccare la scintilla, diciamo. Perché se un utente non ha alcuna intenzione di effettuare l'esportazione dei suoi amici da Steam verso Epic, si ritrova comunque un file personale (pensato per essere usato esclusivamente in localmente) stoccato tra i dati di un'altra piattaforma.

Adesso le statistiche e gli amici su Steam sono considerati dati privati ?
Quì e non solo quì bisognerebbe ridimensionarsi un po' e scendere dal piedistallo dell'esagerazione.

Fino a prova contraria, qualunque dato che mi riguarda personalmente (fossero i dati d'accesso al mio conto corrente o la mia lista amici su Steam) è, per definizione, privato. Per cui dovrei decidere io (il condizionale, purtroppo, è d'obbligo in queste situazioni) se renderlo pubblico o meno.

Il problema è che molti la reputano una cosa di poco conto perchè parliamo di una serie di dati comunemente ritenuti di bassissimo impatto. Ma quello che conta non è l'entità dei dati raccolti, bensì il gesto di per se. Quello che conta in queste cose è l'atto, non le potenziali conseguenze... anche perchè la stessa importanza delle conseguenze è puramente soggettiva e specifica per ogni persona.

Beh, sì, le statistiche e gli amici su Steam sono considerati dati privati se l'utente imposta il suo profilo come privato o visibile solo agli amici, inoltre Valve ha aggiunto una serie di impostazioni per adeguarsi al GDPR che fanno un'ulteriore scrematura dei dati del profilo Steam (esempio, dati di gioco e lista amici possono essere privati anche con profilo pubblico).

Ma attenzione a non mettere tutto nel medesimo calderone, la questione non è solo sulle statistiche o gli amici. Il polverone di questi ultimi giorni è dato da due questioni e solo una interessa Valve, l'altra riguarda gli utenti in generale.

La prima questione (che interessa Valve) è il metodo in cui gli hashed ids sono estrapolati dal launcher Epic: ignorando l'uso delle API, ma attraverso copia ed elaborazione di un file locale che non è pensato per essere condiviso o usato da altre piattaforme al di fuori del client Steam. Quel file non contiene solo statistiche d'uso e agire su di lui da accesso ai dati indipendentemente dalla configurazione della privacy impostata dall'utente su Steam (in pratica anche se si ha un profilo privato o visibile solo agli amici), ciò non può accadere se l'interfacciamento avvenisse attraverso le API.
Inoltre, la copia e la cifratura del file avviene in modo del tutto automatico, prima ancora che l'utente possa decidere se effettuare qualsiasi operazione di link degli account. I timestamp sui primi .bak in \programdata indicano il momento dell'installazione del launcher Epic, quindi la prima copia del localconfig.vdf avviene prima ancora di inserire le credenziali al primo login al launcher Epic e vengono copiati indistintamente tutti i files localconfig.vdf trovati sul PC.

Gli hashed ids sono dati privati? No, ma per avere quei dati non si utilizzano gli strumenti messi a disposizione dalla piattaforma per accedervi, bensì estrapolandoli da un file locale (privato) che contiene al suo interno oltre ad informazioni pubbliche anche altre che sono private (alcune delle quali tali anche con profilo Steam impostato interamente come pubblico).

Se vuoi dare all'utente modo di interfacciarsi con un'altra piattaforma usi gli strumenti messi a disposizione da quella (API), ma se non vuoi usare codice terzo, come ammesso da Sweeney, allora semplicemente non ti interfacci, punto.

La seconda questione (che è a livello generale e non centra con quella esposta sopra) riguarda invece la condivisione dei dati d'uso del sistema dell'utente e sul funzionamento del launcher. In pratica l'Epic launcher è uno "spifferone" e non viene fornita una casellina da checkare per la privacy, del tipo "Consenti di inviare dati tecnici bla, bla" oppure "Consenti di inviare segnalazioni bla, bla", ma si limita ad indicarlo nell'EULA che si accetta alla creazione dell'account. Questo comportamento verrà rivisto nei prossimi update del launcher.

Questi discorsi valgono solamente se Epic prendesse questi dati e li diffondesse pubblicamente, cosa che invece non accade ( fino ad oggi ).

Al di là della diffusione (per la quale ci si rifà alla loro EULA), l'estrazione impropria di dati, siano essi pubblici o privati è un'altra cosa. Di fatto il launcher preleva senza alcun consenso dell'utente un file privato (per intero) e se lo stocca (anzi più files nel caso siano presenti più profili sulla macchina).