När en person registrerar ett konto hos ett casino lämnas uppgifter som behövs för att skapa kontot, hantera betalningar och administrera spelandet. För utländska casinon kan dataskyddet omfatta flera delar av verksamheten: vilka uppgifter som samlas in, hur länge de sparas, vilka som får tillgång till dem och hur de används. GDPR ger en gemensam europeisk ram för hantering av personuppgifter, även när ett företag har sin bas utanför EU.
Vilka uppgifter behandlas?
Uppgifterna varierar beroende på tjänstens utformning och vilka regler som gäller för operatören. Vanliga kategorier är kontaktuppgifter, födelsedatum, adress och information som behövs för att bekräfta en kunds identitet. Vid betalningar kan uppgifter om transaktioner och valda betalningsmetoder också behandlas. Kontoaktivitet och kommunikation med kundtjänst kan ingå i administrationen av tjänsten.
Personuppgifter kan vara sådant som direkt identifierar en person, men också information som kan kopplas till en person genom ett konto eller andra uppgifter. GDPR skiljer mellan olika typer av uppgifter och anger att behandlingen ska ha ett tydligt ändamål. Ett casino behöver därför kunna beskriva varför information samlas in och vilka delar av verksamheten som använder den.
GDPR och utländska operatörer
GDPR gäller för organisationer inom EU och kan även omfatta företag utanför unionen som erbjuder tjänster till personer i EU eller följer deras beteende. För ett casino med kunder i Sverige är därför förordningens regler relevanta när behandlingen omfattas av dess territoriella tillämpning. Operatören behöver bland annat informera om ansvarig organisation, ändamål, rättslig grund och hur länge uppgifter sparas.
Informationen brukar finnas i en integritetspolicy eller ett dataskyddsmeddelande. Där kan det framgå om uppgifter behandlas för att tillhandahålla kontot, genomföra betalningar, uppfylla rättsliga skyldigheter eller kommunicera med kunden. I redaktionella jämförelser där uttrycket bästa utländska casino används kan dataskydd och information om personuppgifter ingå som delar av den bredare beskrivningen av spelmarknaden.
Lagring och gallring av uppgifter
GDPR anger att personuppgifter inte ska sparas längre än vad ändamålet kräver. Den praktiska lagringstiden kan ändå skilja mellan olika uppgiftstyper. Kontouppgifter kan behövas så länge ett konto används, medan vissa transaktionsuppgifter kan omfattas av lagstadgade krav på dokumentation. När uppgifterna inte längre behövs för det angivna ändamålet ska de normalt raderas eller göras anonyma, med hänsyn till andra tillämpliga skyldigheter.
En tydlig beskrivning av lagringstider hjälper kunder att förstå hur information hanteras över tid. Policyn kan ange tidsperioder eller förklara vilka kriterier som styr när uppgifter tas bort. Det är även relevant att skilja mellan information som finns i aktiva system och uppgifter som bevaras i arkiv för ett särskilt dokumentationsändamål.
Rättigheter och internationella överföringar
Personer vars uppgifter behandlas har enligt GDPR rättigheter som kan omfatta tillgång till information, rättelse av felaktiga uppgifter och, under vissa förutsättningar, radering eller begränsning av behandling. Det finns också rätt att invända mot viss behandling och att lämna klagomål till en dataskyddsmyndighet. En integritetspolicy bör förklara hur en begäran kan lämnas och hur den hanteras.
Om personuppgifter överförs till länder utanför EU och EES finns särskilda regler för överföringen. Företag kan behöva använda godkända rättsliga mekanismer och beskriva relevanta skyddsåtgärder i sin information till kunderna. Sammantaget ger kunskap om uppgiftstyper, ändamål, lagring och rättigheter en konkret bild av hur dataskyddet är organiserat hos ett utländskt casino.