Att skapa ett spelkonto innebär ofta att lämna ifrån sig mer än namn och e-postadress. Operatören kan begära identitetshandlingar, adressuppgifter och information om betalningar, och registrera hur kontot används. För den som överväger ett casino utanför Sverige är det därför viktigt att förstå vem som hanterar uppgifterna, varför de samlas in och hur länge de sparas.
Ta reda på vem som är personuppgiftsansvarig
Börja med integritetspolicyn och villkoren. Där bör det framgå vilket bolag som driver tjänsten och är personuppgiftsansvarigt, var bolaget är etablerat och hur det kan kontaktas. Ett casinonamn eller en licenslogotyp räcker inte för att identifiera den juridiska motparten. Kontrollera även om webbplatsen drivs av samma bolag som står på licensen.
GDPR gäller bland annat för verksamheter etablerade inom EU och kan också gälla företag utanför EU som erbjuder tjänster till personer i unionen eller följer deras beteende där. Det betyder inte att varje utländsk webbplats automatiskt omfattas. Om bolaget befinner sig utanför EU kan det dessutom vara svårare att få rättigheter prövade i praktiken. Kontrollera vilken tillsynsmyndighet som anges och om det finns en representant inom EU när en sådan krävs.
Granska vilka uppgifter som samlas in
Policyn bör beskriva kategorier av uppgifter och ändamålen med behandlingen. Identitetskontroller kan behövas för att förebygga bedrägerier, verifiera ålder och uppfylla regler mot penningtvätt. Betalningsuppgifter kan hanteras av en extern betaltjänst, medan tekniska data som IP-adress, enhetsinformation och cookies kan användas för säkerhet eller analys.
Var uppmärksam på breda formuleringar om profilering, marknadsföring och personalisering. Kontrollera om uppgifterna används för att anpassa erbjudanden, hur du kan invända mot direktmarknadsföring och om vissa cookies går att välja bort. Speldata är inte automatiskt en särskild kategori av känsliga personuppgifter enligt GDPR, men uppgifter om spelvanor kan ändå vara integritetskänsliga och bör beskrivas tydligt.
Förstå lagring och delning
En seriös integritetspolicy anger hur länge olika uppgifter sparas eller vilka kriterier som styr gallringen. Kontouppgifter kan behöva bevaras längre än marknadsföringsdata, exempelvis på grund av bokföringsregler, tvister eller skyldigheter kopplade till penningtvätt. Tidsgränser varierar med land och situation, så se efter om policyn förklarar vad som händer när ett konto avslutas. Stängning innebär inte nödvändigtvis att alla uppgifter raderas omedelbart.
Policyn bör också redovisa mottagare eller mottagarkategorier, exempelvis betalningsleverantörer, identitetskontrollföretag och koncernbolag. Om uppgifter förs utanför EU/EES ska det framgå vilken överföringsmekanism som används, till exempel ett beslut om adekvat skyddsnivå eller standardavtalsklausuler. I en jämförelse kan uttrycket bästa utländska casino förekomma, men en sådan beteckning säger i sig inget om hur personuppgifter skyddas eller delas.
Bedöm dina möjligheter att agera
Enligt GDPR kan du, när reglerna är tillämpliga, begära tillgång till dina personuppgifter och i vissa fall rättelse, radering eller begränsning av behandlingen. Du kan också invända mot direktmarknadsföring. Rätten till radering är inte absolut: lagstadgade krav eller behovet av att hantera rättsliga anspråk kan motivera fortsatt lagring. Läs hur en begäran skickas in och vilken svarstid bolaget anger.
Gör en praktisk kontroll före registrering
Kontrollera att integritetspolicyn är aktuell, begriplig och förenlig med villkoren. Sök särskilt efter bolagsnamn, lagringstider, mottagare, internationella överföringar och kontaktvägar för dataskyddsfrågor. Om centrala uppgifter saknas eller beskrivs så vagt att du inte kan förstå hur informationen används, är det en anledning att avstå från att lämna känsliga dokument. En genomtänkt granskning kan inte garantera riskfri behandling, men gör det lättare att fatta ett informerat beslut.