RODO dla operatorów iGaming: dane graczy, KYC i retencja bez błędów

Operatorzy hazardu online przetwarzają jedne z najbardziej wrażliwych danych osobowych w biznesie konsumenckim: dokumenty tożsamości, dane finansowe, profile behawioralne, a w kontekście odpowiedzialnej gry – wskaźniki podatności. RODO stosuje się w pełni, a regulatorzy hazardowi coraz częściej współpracują z organami ochrony danych. Ten przewodnik obejmuje obszary, w których operatorzy najczęściej popełniają błędy.

Podstawy prawne przetwarzania

Weryfikacja tożsamości, screening AML i monitoring transakcji to czynności wymagane prawem, a właściwą podstawą jest obowiązek prawny, nie zgoda. Marketing wymaga zgody lub, w ograniczonych przypadkach, prawnie uzasadnionego interesu z możliwością sprzeciwu. Monitoring odpowiedzialnej gry opiera się zasadniczo na obowiązku prawnym lub prawnie uzasadnionym interesie, w zależności od jurysdykcji. Błędna podstawa podważa cały łańcuch przetwarzania i jest częstym ustaleniem audytów.

Dane szczególnych kategorii i wrażliwe

Interwencje z zakresu odpowiedzialnej gry mogą wiązać się z wnioskami o zdrowiu, uzależnieniu lub trudnościach finansowych. Gdy takie dane są przetwarzane, operator potrzebuje przesłanki z art. 9, zwykle ważnego interesu publicznego na podstawie prawa krajowego, oraz ścisłej kontroli dostępu. Dane biometryczne używane w KYC z rozpoznawaniem twarzy to dane szczególnych kategorii i wymagają wyraźnej zgody lub innej ważnej przesłanki oraz DPIA.

Retencja a obowiązki ewidencyjne

Przepisy hazardowe i AML wymagają przechowywania dokumentacji przez lata, często pięć lub więcej po zakończeniu relacji. RODO wymaga, by dane nie były przechowywane dłużej niż to konieczne. Pogodzenie tego to harmonogram retencji wiążący każdą kategorię danych z jej podstawą prawną i okresem przechowywania, usuwający lub anonimizujący dane po upływie okresu i dokumentujący uzasadnienie. Bezterminowe przechowywanie wszystkiego nie jest zgodne z prawem.

Dostawcy i transfery międzynarodowe

Operatorzy udostępniają dane graczy dostawcom platform, dostawcom KYC, procesorom płatności, studiom gier i afiliantom, z których wielu jest poza EOG. Każdy potrzebuje umowy powierzenia lub, gdy dostawca jest administratorem, mechanizmu transferu, np. standardowych klauzul umownych z oceną skutków transferu. Dostawcy w hubach hazardowych poza EOG, w tym na Wyspie Man i w Wielkiej Brytanii, korzystają z decyzji o adekwatności, ale inni nie.

DPIA i IOD

Profilowanie graczy na potrzeby odpowiedzialnej gry, przeciwdziałania oszustwom lub marketingu na dużą skalę wymaga oceny skutków dla ochrony danych. Większość operatorów hazardowych musi wyznaczyć inspektora ochrony danych ze względu na skalę i charakter monitoringu, a kilku regulatorów hazardowych i tak wymaga imiennie wskazanej osoby kluczowej ds. ochrony danych.

Prawa osób i samowykluczenie

Wnioski o dostęp są częste w sporach hazardowych, a operator musi odpowiedzieć w ciągu miesiąca. Wnioski o usunięcie kolidują z obowiązkami retencji regulacyjnej i samowykluczenia, a operator musi wyjaśnić podstawę prawną odmowy.

Nasz zespół compliance pomaga operatorom pogodzić RODO z obowiązkami hazardowymi i AML poprzez harmonogramy retencji, DPIA i umowy z dostawcami.