Ett online casino behandlar stora mängder **personuppgifter**: identitet, kontaktuppgifter, betalningar, spelhistorik, verifieringsdokument och ibland uppgifter som används i kundkännedom och spelansvar.
GDPR ger spelaren rättigheter kring dessa uppgifter. Men en vanlig missuppfattning är att ett stängt spelkonto automatiskt betyder att **alla data måste raderas direkt**. Så fungerar det inte alltid. Ett casino kan ha rättsliga skyldigheter som gör att vissa uppgifter måste sparas även efter att kontot avslutats.
Vilka personuppgifter kan ett casino behandla?
Exempel är:
- namn
- personnummer eller födelsedata
- adress
- e-post och telefon
- IP-adress och enhetsdata
- inloggningshistorik
- spelhistorik
- insättningar och uttag
- betalningsmetod
- KYC-dokument
- kundtjänstärenden
- uppgifter från source-of-funds-kontroller
Exakt behandling ska framgå av operatörens integritetspolicy.
Varför behandlar casinot uppgifterna?
Vanliga ändamål är:
- skapa och administrera spelkonto
- verifiera identitet och ålder
- hantera betalningar
- uppfylla spelregler
- motverka penningtvätt
- uppfylla spelansvar och omsorgsplikt
- hantera kundtjänst och tvister
- säkerhet och bedrägeribekämpning
- direktmarknadsföring när rättslig grund finns
Rätt till information
Du ska kunna få information om hur personuppgifter behandlas. Integritetspolicyn bör bland annat beskriva vilka uppgifter som används, varför de används och vilka rättigheter du har.
Om policyn är svår att förstå kan du fråga casinots dataskydds- eller supportfunktion om en konkret behandling.
Registerutdrag – rätt till tillgång
GDPR ger dig rätt att begära tillgång till personuppgifter som rör dig.
Ett registerutdrag kan vara relevant om du vill förstå:
- vilka uppgifter casinot har
- vilka kategorier av data som behandlas
- varför de behandlas
- om uppgifter har lämnats till mottagare
- vilka uppgifter som ligger bakom en viss kontohändelse
Registerutdrag är inte samma sak som spelhistorik
Spelhistorik i kontot visar normalt transaktioner och spelrundor. Ett GDPR-registerutdrag är bredare och kan omfatta fler personuppgifter och behandlingsuppgifter.
De två funktionerna kompletterar därför varandra.
Rätt till rättelse
Om personuppgifter är felaktiga har du rätt att begära rättelse.
Det kan exempelvis gälla:
- felaktig adress
- felstavad kontaktuppgift
- gammalt telefonnummer
- annan felaktig kontodata
Vissa identitetsfält kan kräva ny verifiering innan de ändras.
Rätt till radering
GDPR innehåller en rätt till radering, ibland kallad **rätten att bli bortglömd**.
Radering kan vara aktuell när exempelvis:
- uppgifterna inte längre behövs för ändamålet
- behandlingen bygger på samtycke som återkallas och ingen annan rättslig grund finns
- uppgifterna används för direktmarknadsföring och du invänder
Men rätten är inte absolut.
Varför kan casinot neka radering?
Ett företag kan behöva behålla uppgifter om behandlingen är nödvändig för exempelvis:
- rättslig förpliktelse
- rättsliga anspråk
- andra lagstadgade skyldigheter
För ett spelbolag kan detta vara särskilt relevant för regler om spel, bokföring, penningtvätt, säkerhet och tvister.
Stänga konto är inte samma sak som radera data
När du stänger casinokontot kan själva kontot sluta vara aktivt samtidigt som vissa uppgifter ligger kvar i operatörens system under en laglig lagringsperiod.
Be därför om två separata besked:
1. är spelkontot stängt? 2. vilka personuppgifter sparas fortfarande och med vilken rättslig grund?
Direktmarknadsföring
Om du inte längre vill ha marknadsföring kan du invända mot behandling för direktmarknadsföring.
Detta är separat från om casinot måste behålla vissa konto- eller transaktionsuppgifter av andra skäl.
Rätt till dataportabilitet
GDPR kan i vissa situationer ge rätt att få ut personuppgifter som du själv har lämnat i ett strukturerat och maskinläsbart format och överföra dem till en annan personuppgiftsansvarig.
Rätten gäller inte automatiskt för all data ett casino har skapat om dig.
KYC-dokument
KYC kan innehålla:
- ID-handling
- adressbevis
- betalningsunderlag
- bankdokument
Dessa dokument kan vara känsliga. Kontrollera därför:
- hur de laddas upp
- vem som har åtkomst
- vilket ändamål de används för
- hur länge de sparas
Source-of-funds-dokument
Source-of-funds-kontroller kan innebära ännu mer detaljerade ekonomiska uppgifter, exempelvis bankutdrag eller löneunderlag.
Begär att casinot tydligt förklarar vilka dokument som krävs och använd operatörens säkra uppladdningsfunktion.
Skicka inte känsliga uppgifter i onödan
Du bör aldrig skicka:
- BankID-koder
- banklösenord
- CVC/CVV
- fullständiga säkerhetsuppgifter
GDPR betyder inte att casinot får samla in vad som helst. Uppgifter ska vara relevanta för det aktuella ändamålet.
Spelhistorik och GDPR
Spelhistorik kan vara både en spelfunktion och personuppgifter enligt GDPR.
Den kan innehålla:
- spelrundor
- insatser
- vinster/förluster
- datum och tid
- transaktions-ID
Spara historik om du har en pågående tvist eller ett klagomål.
Betalningsdata
Casinot kan behandla uppgifter om:
- insättning
- uttag
- betalningsmetod
- verifiering av betalningsägarskap
- transaktionsreferenser
Det betyder inte att casinot behöver lagra fullständiga kortuppgifter i sin egen miljö. Betalningsleverantörer kan hantera delar av flödet separat.
Profilering och riskbedömning
Spelbolag kan använda data för exempelvis:
- bedrägerikontroll
- AML-risk
- spelansvar
- säkerhet
Om en automatiserad behandling får stor betydelse för dig kan det finnas särskilda GDPR-frågor om hur beslutet fattats.
Be om en förklaring om ett konto eller en transaktion påverkas av en process du inte förstår.
Kontosäkerhet och dataskydd
Skydda spelkontot med:
- starkt unikt lösenord
- 2FA där det finns
- uppdaterad e-post
- säkra enheter
- vaksamhet mot phishing
GDPR skyddar inte mot att du själv lämnar ut inloggningsuppgifter till en bedragare.
Phishing efter KYC
Var försiktig med mejl eller chattar som påstår att de behöver ny verifiering.
Kontrollera:
- avsändaradress
- att länken går till rätt domän
- att du är inloggad på den riktiga sajten
- att dokumentuppladdningen sker i rätt konto
Hur begär du registerutdrag?
En enkel begäran kan innehålla:
- ditt namn
- kontots e-post eller användar-ID
- att du begär tillgång enligt GDPR
- eventuell avgränsning om du söker en viss datatyp
Skicka begäran via operatörens angivna dataskyddskanal om sådan finns.
Hur begär du radering?
Skriv tydligt att du begär radering av personuppgifter och be operatören specificera:
- vilka uppgifter som raderas
- vilka som behålls
- varför de behålls
- vilken rättslig grund som används
Det ger ett mer användbart svar än att bara skriva ”radera mitt konto”.
Om casinot nekar din begäran
Be om ett skriftligt beslut med:
- vilken del som nekas
- varför
- vilken rättslig grund eller vilket undantag som används
- hur du kan gå vidare
IMY
Integritetsskyddsmyndigheten, IMY, är svensk tillsynsmyndighet för dataskydd.
Om du anser att ett företag behandlar dina personuppgifter felaktigt kan IMY:s information om GDPR-rättigheter och klagomål vara relevant.
Casino utan svensk licens
GDPR kan fortfarande vara relevant för företag inom EU/EES eller behandling som omfattas av förordningens territoriella regler, men du ska inte anta att varje utländskt casino står under svensk tillsyn.
Kontrollera vilket bolag som är personuppgiftsansvarigt och var det är etablerat.
GDPR och spelpaus
Spelpaus och casinots egna konto-/databaser är separata system. En begäran om radering hos ett casino innebär inte att en Spelpaus-avstängning upphör.
Checklista för spelardata
1. Läs integritetspolicyn. 2. Identifiera personuppgiftsansvarigt bolag. 3. Begär registerutdrag om du behöver överblick. 4. Begär rättelse av felaktiga uppgifter. 5. Skilj kontostängning från dataradering. 6. Be om skäl om radering nekas. 7. Invänd mot direktmarknadsföring separat. 8. Spara viktig spel- och transaktionshistorik inför tvister. 9. Skicka dokument via säker kanal. 10. Kontakta IMY-information om du behöver förstå dina GDPR-rättigheter.
Vanliga frågor
Kan jag kräva att casinot raderar allt när jag stänger kontot?
Inte alltid. Rätten till radering har undantag, exempelvis när uppgifter måste behandlas för en rättslig skyldighet eller rättsliga anspråk.
Kan jag få ett registerutdrag?
Ja, GDPR ger rätt till tillgång till personuppgifter som rör dig.
Kan jag rätta felaktiga uppgifter?
Ja, du har rätt att begära rättelse av felaktiga personuppgifter.
Kan casinot behålla KYC-dokument?
Det kan finnas rättsliga skyldigheter som kräver fortsatt lagring. Be operatören ange ändamål och rättslig grund.
Är spelhistorik personuppgifter?
När historiken kan kopplas till dig är den normalt personuppgifter och kan omfattas av dataskyddsregler.
Sammanfattning
GDPR ger casinospelare rättigheter till bland annat information, tillgång, rättelse och i vissa fall radering och dataportabilitet. Men dataradering är inte automatisk bara för att spelkontot stängs.
Spelbolag kan behöva behålla vissa uppgifter för rättsliga skyldigheter, AML, säkerhet eller rättsliga anspråk. Be därför alltid om ett tydligt besked om **vilka uppgifter som sparas, varför och hur länge principerna tillåter behandlingen**.