Hur casinon skyddar dina personuppgifter

Genom en kombination av tekniska och juridiska krav. Trafiken mellan dig och sajten är krypterad, åtkomsten internt ska vara begränsad, och all behandling av personuppgifter måste ha en rättslig grund enligt dataskyddsförordningen. Ovanpå det ligger spellagens krav på identifiering, spelansvar och kontroll mot Spelpaus, som i sig förutsätter att casinot behandlar vissa uppgifter om dig.

Den viktigaste praktiska skillnaden mot annan e-handel är att en del av behandlingen inte är valfri. Casinot måste identifiera dig och kontrollera dig mot självavstängningsregistret, oavsett om du vill det eller inte.

Ett svensklicensierat casino behöver namn, adress och personnummer redan vid registreringen, eftersom identiteten ska kontrolleras på ett betryggande sätt. Därtill kommer bankkontouppgifter, eftersom casinot ska kunna säkerställa att kontot tillhör dig, samt spelhistorik, transaktioner och uppgifter kopplade till dina spelgränser.

Vid verifiering inför uttag kan ytterligare underlag begäras, och vid större belopp kan penningtvättsreglerna kräva dokumentation om var pengarna kommer ifrån. Det är alltså regelverket, inte casinots nyfikenhet, som avgör vad som samlas in.

Dataskyddsförordningen kräver att den som behandlar personuppgifter har en rättslig grund för det, dokumenterar sina behandlingar och kan visa upp dokumentationen för tillsynsmyndigheten. Casinot ska också informera dig om vad som samlas in, varför, hur länge det sparas och vem som får tillgång till det. Den informationen ska finnas i integritetspolicyn.

En vanlig missuppfattning är att samtycke är den enda grunden. För ett casino är samtycke sällan aktuellt för de centrala uppgifterna, eftersom behandlingen i stället följer av rättsliga förpliktelser i spellagen och penningtvättsregelverket. Du kan alltså inte återkalla ett samtycke till identitetskontrollen, av samma skäl som du inte kan spela anonymt under svensk licens.

Du har rätt att få veta vilka uppgifter som behandlas om dig och att få tillgång till dem. Du har rätt att få felaktiga uppgifter rättade, och i vissa fall raderade. Den sista rättigheten är begränsad hos ett casino, eftersom uppgifter som måste sparas enligt lag inte kan raderas på begäran.

Du har också rätt att klaga till tillsynsmyndigheten. Vilket för oss till den fråga som oftast ställs fel.

Det här är guidens viktigaste besked. Spelinspektionen ansvarar inte för tillsynen av hur licenshavare hanterar personuppgifter. Det gör Integritetsskyddsmyndigheten, IMY.

Har du problem med att få tillgång till dina speldata, eller misstänker du att uppgifterna hanterats felaktigt, är det alltså till IMY du vänder dig, inte till Spelinspektionen. IMY tar emot och utreder klagomål från enskilda och kan besluta om sanktionsavgifter mot den som bryter mot dataskyddsförordningen.

Ansvarsfördelningen är därmed tredelad: Spelinspektionen har tillsyn över spelverksamheten, Konsumentverket över marknadsföring och avtalsvillkor, och IMY över personuppgiftsbehandlingen.

Att sajten använder HTTPS betyder att trafiken mellan din enhet och casinot är krypterad. Det är ett grundskydd, men det säger ingenting om hur uppgifterna hanteras när de väl är framme: hur de lagras, vilka internt som kan se dem eller hur länge de sparas. Hur krypteringen fungerar tekniskt går vi igenom i guiden om SSL-kryptering på casino.

För dig som spelare är poängen att kryptering är nödvändig men inte tillräcklig. Ett casino kan ha felfri HTTPS och ändå brista i sin databehandling.

En del av behandlingen finns till för att skydda dig. Kontrollen mot Spelpaus förutsätter att casinot behandlar ditt personnummer varje gång du registrerar dig eller loggar in, och spelansvarsarbetet bygger på att bolaget följer ditt spelbeteende för att kunna ingripa vid tecken på överdrivet spelande.

Det innebär att en viss mängd övervakning är inbyggd i systemet. Den är avsiktlig och reglerad, och den är också skälet till att avstängning via Spelpaus får genomslag hos alla licensierade bolag samtidigt.

Personuppgifter kan i vissa fall behöva överföras till mottagare utanför EU och EES, exempelvis när ett licensierat bolag har sitt spelsystem i ett annat land. Sådana överföringar är tillåtna men kräver rättsligt stöd och ska framgå av informationen du får. Att uppgifter lämnar Sverige är alltså inte i sig ett problem, men det ska vara beskrivet.

Börja med licensen, eftersom hela ramverket ovan bara gäller bolag som står under svensk tillsyn. Läs sedan integritetspolicyn och se om den faktiskt beskriver vilka uppgifter som samlas in, varför och hur länge de sparas, eller om den bara innehåller allmänna formuleringar. Kontrollera att sajten använder HTTPS på alla sidor, inte bara i kassan, och att det framgår vem som är personuppgiftsansvarig med kontaktuppgifter. Finns ett dataskyddsombud ska det gå att nå.