Nettikasinon tietosuojaselosteesta pitäisi käydä ilmi, mikä yritys päättää henkilötietojen käsittelyn tarkoituksista, miksi tietoja kerätään, kenelle niitä luovutetaan ja kuinka kauan niitä säilytetään. Pelaajan kannalta nämä tiedot ovat vähintään yhtä olennaisia kuin kasinon mainostama maksutapa tai pelivalikoima. Palvelu voi käyttää useita maksunvälittäjiä ja teknisiä alihankkijoita, mutta tämä ei automaattisesti siirrä rekisterinpitäjän vastuuta niille.
Tietosuojaselosteen puuttuminen tai epäselvyys ei yksin todista petosta. Se on kuitenkin konkreettinen merkki, jonka takia palvelun taustat kannattaa selvittää ennen henkilötietojen lähettämistä. Seuraava opas kuvaa etenkin EU:n yleisen tietosuoja-asetuksen eli GDPR:n soveltamisalaan kuuluvia tilanteita; kaikkia maailman kasinoita eivät koske samat velvoitteet.
Mitä rekisterinpitäjä tarkoittaa nettikasinolla?
Rekisterinpitäjä on taho, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Nettikasinolla tämä voi olla esimerkiksi pelaajasopimuksen tehnyt operaattoriyhtiö. Rekisterinpitäjä ei ole välttämättä sama yhtiö, jonka tuotemerkki näkyy sivuston logossa, eikä pelkkä palvelimen ylläpitäjä automaattisesti ole rekisterinpitäjä.
Henkilötietojen käsittelijä puolestaan käsittelee tietoja rekisterinpitäjän lukuun ja sen ohjeiden mukaisesti. Samalla konsernilla tai teknisellä palveluntarjoajalla voi eri toiminnoissa olla myös oma itsenäinen roolinsa. Siksi ei voi päätellä, että jokainen maksupalvelu tai henkilöllisyystarkastuksen toimittaja olisi kaikissa tilanteissa vain alihankkija.
Selvitä ensiksi yhtiön virallinen nimi ja yhteystiedot. Operaattorin ja lisenssinhaltijan vastuita käsitellään sivuston artikkelissa kuka vastaa pelaajan rahoista. Tietosuojavastuu on kuitenkin erillinen kysymys: samaan pelitiliin liittyvät maksutapahtumat, markkinointi ja tunnistautuminen voivat perustua eri oikeudellisiin perusteisiin.
Mitä henkilötietoja kasino voi kerätä?
Rekisteröinnin ja pelitilin käytön yhteydessä voidaan käsitellä esimerkiksi nimeä, yhteystietoja, syntymäaikaa, tilitunnistetta, pelihistoriaa, maksutapahtumia, kirjautumisajankohtia ja teknisiä tunnistetietoja. Henkilöllisyyden ja varojen alkuperän selvittämiseen voidaan tarvita lisäasiakirjoja. Kerättävien tietojen tarkka määrä riippuu palvelusta ja siitä, mitä lainsäädäntöä sen toimintaan sovelletaan.
Pankkitunnuksilla kirjautuminen ei tarkoita automaattisesti, että kasino saa käyttöönsä kaikki pankkitilin tapahtumat tai salasanaa. Tietojen kulku riippuu tunnistus- tai maksupalvelusta, annetusta suostumuksesta tai muusta oikeusperusteesta sekä sen omista käyttöehdoista. Pelaajan kannattaa erottaa tunnistamisen vaatimat tiedot varsinaisista maksun toteuttamiseen tarvittavista tiedoista.
| Tietoryhmä | Mahdollinen käyttötarkoitus | Mitä selosteesta pitäisi selvitä? |
|---|---|---|
| Henkilöllisyys ja yhteystiedot | Asiakastilin hallinta ja tunnistaminen | Rekisterinpitäjä, oikeusperuste ja säilytysaika |
| Maksu- ja nostohistoria | Tapahtumien käsittely ja valvonta | Vastaanottajat, oikeusperuste ja säilytys |
| Pelihistoria ja asetetut rajat | Tilin toiminta ja riskien seuranta | Käyttötarkoitukset ja mahdollinen profilointi |
| Laite- ja verkkotiedot | Tietoturva ja väärinkäytösten ehkäisy | Kerättävät tiedot ja säilytysperiaatteet |
| Markkinoinnin valinnat | Viestintä ja mahdollinen kohdentaminen | Suostumuksen tai muun oikeusperusteen käyttö |
Mitä GDPR edellyttää tietosuojaselosteelta?
EU:n yleisen tietosuoja-asetuksen 13 artikla edellyttää rekisterinpitäjältä useita tietoja silloin, kun henkilötietoja kerätään suoraan rekisteröidyltä. Niihin kuuluvat muun muassa rekisterinpitäjän yhteystiedot, käsittelyn tarkoitukset ja oikeusperusteet, tietojen vastaanottajat, mahdolliset siirrot kolmansiin maihin sekä säilytysaika tai sen määrityskriteerit.
Selosteessa pitää kertoa myös rekisteröidyn keskeisistä oikeuksista ja valitusmahdollisuudesta toimivaltaiselle tietosuojaviranomaiselle. Jos palvelu tekee henkilöön merkittävästi vaikuttavia yksinomaan automaattisia päätöksiä lain tarkoittamalla tavalla, myös tätä koskeva tieto voi kuulua annettaviin tietoihin.
Euroopan tietosuojaneuvoston ohjeistus tietosuojaselosteista korostaa ymmärrettävää, helposti löydettävää ja läpinäkyvää esitystapaa. Pitkä englanninkielinen teksti ei ole automaattisesti riittävä, jos kuluttaja ei pysty sen perusteella ymmärtämään, kuka käsittelee tietoja ja mihin niitä käytetään.
Kuinka kauan nettikasino saa säilyttää henkilötietoja?
Yhtä kaikille tiedoille ja kasinoille sopivaa säilytysaikaa ei ole. Tietosuojan yleinen periaate on, ettei henkilötietoja säilytetä pidempään kuin niiden käsittelytarkoitus edellyttää. Toisaalta esimerkiksi kirjanpitoon, rahanpesun torjuntaan tai oikeudellisiin vaateisiin liittyvät velvoitteet voivat perustella säilytystä myös asiakastilin sulkemisen jälkeen.
Selosteessa pitäisi ilmoittaa säilytysaika tai ainakin ymmärrettävät kriteerit sen määrittämiseen. Ilmaisu ”tietoja säilytetään niin kauan kuin tarpeen” jää helposti liian yleiseksi, jos tekstissä ei lainkaan avata eri tietoryhmiä tai käsittelyn tarkoituksia. Samoja määräaikoja ei pidä olettaa sovellettavan markkinointiviesteihin, tunnistamisasiakirjoihin ja taloustapahtumiin.
Jos palvelu sanoo poistavansa pelitilin välittömästi, se ei välttämättä tarkoita kaikkien henkilötietojen täydellistä hävittämistä samana päivänä. Tilin käytön lopettaminen, pääsyn sulkeminen ja lakisääteisten asiakirjojen säilyttäminen ovat eri toimenpiteitä.
Saako pelaaja pyytää omat tietonsa tai vaatia niiden poistamista?
GDPR:n soveltamisalaan kuuluvalla henkilöllä on lähtökohtaisesti oikeus saada tietää, käsitelläänkö hänen henkilötietojaan, ja pyytää pääsy niihin. Tietyin edellytyksin voi pyytää virheellisten tietojen oikaisua tai tietojen poistamista. Poistamisoikeus ei kuitenkaan ole ehdoton: tietoja voidaan joutua säilyttämään oikeudellisen velvoitteen tai muun lainmukaisen perusteen takia.
Euroopan tietosuojaneuvoston rekisteröidyn oikeuksia koskeva ohje selittää myös vastausaikoja. Pyyntöön on pääsääntöisesti vastattava kuukauden kuluessa, ja monimutkaisessa tapauksessa aikaa voidaan tietyin edellytyksin pidentää kahdella lisäkuukaudella, kun pidentämisestä ilmoitetaan ajoissa.
Pyynnössä kannattaa yksilöidä esimerkiksi pelitilin tiedot, maksuhistoria tai markkinointitiedot. Henkilöllisyyden varmistaminen voi olla tarpeen, mutta turvallisuussyistä asiakirjoja ei pidä lähettää tuntemattomaan osoitteeseen. Käytä virallista tietosuojayhteyshenkilöä tai suojattua asiakasportaalia.
Mihin tietoihin kolmannet osapuolet voivat päästä?
Kasino voi käyttää ulkopuolisia maksupalveluita, pilvipalveluja, petostentorjunnan ohjelmistoja, asiakaspalvelualustoja ja analytiikkatyökaluja. Tämä ei tarkoita, että jokaiselle kumppanille annettaisiin sama tietopaketti. Rekisterinpitäjän tulee kertoa tietojen vastaanottajista tai vastaanottajaryhmistä sekä mahdollisista siirroista EU:n tai ETA:n ulkopuolelle sovellettavien sääntöjen mukaisesti.
Jos seloste viittaa tietojen siirtämiseen ulkomaille, selvitä mihin alueisiin viittaus liittyy ja millaisia suojatoimia käytetään. EU:n ja ETA:n sisäinen käsittely on eri oikeudellinen kysymys kuin henkilötietojen siirtäminen alueen ulkopuolelle. Palvelimen sijainti ei yksin ratkaise kaikkia kysymyksiä, sillä myös pääsy tietoihin voi olla olennaista.
Mitä evästeistä ja markkinoinnista kannattaa lukea?
Evästeilmoituksessa voidaan selittää esimerkiksi välttämättömät toiminnalliset evästeet, tilastointi ja markkinointiin käytettävät tunnisteet. Evästeiden tallentamista ja lukemista koskevat lisäksi omat sähköisen viestinnän tietosuojasääntönsä. Pelkkä GDPR-maininta ei siis yksin kerro, miten kaikki evästeisiin liittyvät valinnat tulee toteuttaa.
Markkinointiin liittyvien lupien ja muun tietojenkäsittelyn perusteet on hyvä erottaa toisistaan. Esimerkiksi pyynnön olla vastaanottamatta mainosviestejä pitäisi olla mahdollista käsitellä erillään lakisääteisestä tapahtumatietojen säilyttämisestä. Tietosuojaseloste, evästekäytäntö ja asiakassopimus voivat täydentää toisiaan, mutta niiden olennaiset tiedot eivät saa olla keskenään ristiriitaisia.
Tarkistuslista ennen henkilötietojen luovuttamista
- Tarkista rekisterinpitäjän koko yritysnimi ja yhteystiedot.
- Selvitä, mitkä tiedot ovat pakollisia ja minkä oikeusperusteen nojalla niitä kerätään.
- Katso, kerrotaanko säilytysajoista tai niiden laskentaperusteista ymmärrettävästi.
- Tarkista tietojen vastaanottajat ja mahdolliset EU/ETA-alueen ulkopuoliset siirrot.
- Selvitä, miten voit käyttää tarkastus-, oikaisu- ja soveltuvin osin poisto-oikeutta.
- Varmista, että henkilöllisyysasiakirjojen lähetyskanava on palvelun virallinen.
Yleisiä arviointikriteerejä käsitellään myös sivuston suomalaisia nettikasinoita koskevassa artikkelissa. Tietosuojan osalta tärkein kysymys ei kuitenkaan ole brändin kotimaiselta kuulostava nimi vaan se, löytyvätkö tiedon käsittelyyn vastuussa olevat tahot ja selkeät toimintatavat.
Jos olennaisia tietoja ei löydy tai asiakaspalvelu ei pysty kertomaan, minne tietosuoja-asian voi lähettää, tunnistamisasiakirjojen toimittamista kannattaa lykätä. Oikein laadittu tietosuojaseloste ei yksin takaa, että palvelu noudattaa sitä käytännössä, mutta ilman selkeitä tietoja toiminnan arviointi on huomattavasti vaikeampaa.