GDPR – adatvédelem a kaszinóknál
A GDPR az Európai Unió általános adatvédelmi rendelete, hivatalos számán az (EU) 2016/679 rendelet, amely azt szabályozza, hogyan gyűjthet, tárolhat és adhat tovább személyes adatot egy cég. Online kaszinónál és fogadóirodánál ez a regisztrációkor megadott névtől a KYC során feltöltött okmányképen át a fizetési előzményekig mindenre kiterjed. A játékos oldaláról a rendelet jogokat ad, az üzemeltető oldaláról kötelezettségeket. Magyarországon a felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság, röviden NAIH.
Mit jelent a GDPR egy kaszinófióknál
A kaszinó a GDPR szóhasználatában adatkezelő, vagyis az a szervezet, amely eldönti, milyen célból és milyen eszközzel kezeli a játékos adatait. Az adatkezelési tájékoztató az a dokumentum, amelyben ezt le kell írnia: milyen adatot gyűjt, milyen jogalapon, meddig őrzi, és kinek továbbítja.
Ezt a tájékoztatót érdemes a regisztráció előtt elolvasni, és nem csak a láblécből linkelt cím alapján megítélni.
A szerencsejáték-oldalak adatkezelése több rétegből áll, és a rétegek jogalapja eltér egymástól. A fiók működtetéséhez szükséges adatokat a szerződés teljesítése indokolja, a KYC-okmányokat és a tranzakciós adatokat viszont jogszabályi kötelezettség, elsősorban a pénzmosás elleni szabályozás. A marketingcélú e-mailekhez és a sütik egy részéhez hozzájárulás kell, amelyet a játékos bármikor visszavonhat, és a visszavonás nem járhat hátránnyal a fiókjára nézve. Amit a szerkesztőség egy tájékoztatóban először keres, az az adatkezelő pontos cégneve és székhelye, mert ennek egyeznie kell az engedélyben szereplő engedélyessel.
Ha a két név eltér, az még nem szabálysértés, de a tájékoztatónak meg kell magyaráznia, melyik cég miért felel. Márkacsaládoknál gyakori, hogy egy közös üzemeltető több domaint kezel, ilyenkor a tájékoztatónak az összes érintett márkát fel kell sorolnia.
Érintetti jogok, határidők és bírságok
A rendelet III. fejezete sorolja fel az érintett, vagyis az adatai alapján azonosítható személy jogait. A játékos számára a hozzáférési jog (15. cikk) és a törléshez való jog (17. cikk) a két leggyakrabban használt eszköz.
A hozzáférési kérelemre az adatkezelő köteles másolatot adni a kezelt adatokról, a kezelés céljáról és az őrzési időről. A 12. cikk (3) bekezdése szerint a választ egy hónapon belül kell megadni, ami összetett kérelemnél további két hónappal meghosszabbítható. A hosszabbításról azonban már az első hónapon belül tájékoztatni kell a kérelmezőt, az indokokkal együtt.
Ha az üzemeltető nem válaszol, vagy a válasz hiányos, a játékos a NAIH-nál nyújthat be panaszt.
Az üzemeltető felől nézve a legszigorúbb határidő az adatvédelmi incidensé, vagyis az olyan eseményé, amelyben személyes adat illetéktelen kézbe kerül vagy megsemmisül. A 33. cikk szerint ezt indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül be kell jelenteni a felügyeleti hatóságnak, kivéve, ha az incidens nem jár kockázattal az érintettekre nézve. Késedelmes bejelentéshez indoklást kell csatolni. A bírság felső határa a súlyosabb jogsértéseknél 20 millió euró vagy az előző pénzügyi év teljes világpiaci forgalmának 4 százaléka, amelyik magasabb, az enyhébb kategóriában 10 millió euró, illetve 2 százalék. Ezek plafonok, nem tarifák: a tényleges összeget a hatóság a 83. cikkben felsorolt szempontok, például a jogsértés súlya és időtartama alapján állapítja meg.
Amivel a GDPR-t gyakran összekeverik
A leggyakoribb tévedés az, hogy a törléshez való jog mindent eltüntet. A 17. cikk (3) bekezdése kivételt tesz arra az esetre, ha az adatkezelést jogi kötelezettség teljesítése teszi szükségessé, és a pénzmosás elleni szabályok éppen ilyen kötelezettséget írnak elő.
A magyar pénzmosás elleni törvény, a 2017. évi LIII. törvény hatálya alá tartozó szolgáltatók az ügyfél-átvilágítás adatait főszabályként az üzleti kapcsolat megszűnésétől számított nyolc évig őrzik meg, hatósági megkeresésre ez legfeljebb tíz évre nyúlhat. Külföldi engedéllyel működő üzemeltetőnél az őrzési idő az ottani szabályoktól függ, ezért ezt mindig az adott tájékoztatóban kell megkeresni, nem érdemes egy általános számot feltételezni. A fiók bezárása tehát a marketingadatok törlését jelentheti, a KYC-okmányokét általában nem.
A második félreértés a felelős játékkal kapcsolatos.
Az önkizárás nyilvántartása szintén jogi kötelezettségen alapulhat, így a GDPR-kérelem nem alkalmas arra, hogy valaki egy korábbi kizárást ezen az úton töröltessen. A harmadik tévhit a böngésző címsorában látható lakat ikonhoz kötődik: az csak annyit jelez, hogy a kapcsolat titkosított, arról semmit nem mond, hogy a túloldalon ki és milyen célra kezeli az adatot. Ezt kívülről nem lehet ellenőrizni, csak az adatkezelési tájékoztatóból és az engedélyes nyilvános adataiból lehet következtetni rá.
