Datatilsynet og pengespill

Tilsynet ble opprettet i 1980 og har to roller: det fører tilsyn med regelverket og fungerer samtidig som ombud for personvernet. Det er administrativt underlagt et departement, men departementet kan verken instruere tilsynet eller omgjøre vedtakene det fatter etter personopplysningsloven.

Klager på Datatilsynets vedtak går til Personvernnemnda, som avgjør dem etter personopplysningsloven § 22.

Overtredelsesgebyr

Datatilsynet kan ilegge overtredelsesgebyr med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav i, jf. artikkel 83. For de alvorligste bruddene er rammen inntil 20 millioner euro eller 4 prosent av global årsomsetning, det høyeste av de to beløpene. Etter personopplysningsloven § 26 kan også offentlige myndigheter og organer ilegges gebyr, og tilsynets publiserte vedtak mot kommuner og etater ligger på beløp fra noen hundre tusen kroner og oppover. Et slikt gebyr er noe annet enn overtredelsesgebyret Lotteritilsynet kan ilegge etter pengespilloven § 36, selv om ordet er det samme og begge ender i statskassen.

Pengespilloven § 16 gir enerettstilbyderne adgang til å behandle nødvendige personopplysninger, også særlige kategorier etter personvernforordningen artikkel 9, for å følge opp kundenes spilleatferd. Formålet som står i loven, er å forebygge negative konsekvenser av pengespill og sikre at spillet gjennomføres ansvarlig og trygt. Departementet kan gi forskrift om hvilke opplysninger som kan behandles, om lagringstid og om utlevering til forskning.

Under lovarbeidet mente Datatilsynet at spillere på forhånd burde få vite hvor lenge opplysninger om spillemønster blir lagret, og om de kan bli utlevert. Tilsynet kom med et beslektet innspill til forskriften om betalingsformidling for pengespill uten tillatelse, der det foreslo å presisere at Lotteritilsynet ikke vil spørre etter opplysninger om enkelttransaksjoner eller enkeltpersoner. I Lotteritilsynets innstilling til endringer i forskriften står det nå at tilsynet ikke kan kreve personopplysninger knyttet til enkelttransaksjoner, bare opplysninger om selskapene og transaksjonsvolumet.

Min vurdering, og ikke en regel: spenningen mellom ansvarlig spill og personvern er reell og forsvinner ikke med bedre formuleringer. Tapsgrenser og pauser etter pengespillforskriften § 9 forutsetter at tilbyderen følger spilleatferden tett, og jo tettere oppfølgingen er, desto mer sensitive blir dataene den sitter på.

Det er derfor Datatilsynets innspill handler om åpenhet og ikke om forbud.

Den vanligste forvekslingen er med Lotteri- og stiftelsestilsynet. Lotteritilsynet håndhever pengespilloven, fatter blant annet vedtak om DNS-blokkering etter § 32 a og har Lotterinemnda som klageinstans, mens Datatilsynet håndhever personvernregelverket og har Personvernnemnda over seg. En klage på en avvist utbetaling hører ikke hjemme hos Datatilsynet. En klage på at et spillselskap nekter å utlevere eller slette opplysninger om en spiller, gjør det.

Navnet skaper også forvirring over grensen, fordi Danmark har en egen myndighet som heter Datatilsynet og som bare fører tilsyn med dansk personvern.

Selskaper med tillatelse fra utlandet

Personvernforordningen artikkel 77 gir enhver registrert rett til å klage til en tilsynsmyndighet, særlig i landet der vedkommende har sitt vanlige bosted. En spiller bosatt i Norge kan derfor klage til Datatilsynet også når spillselskapet har tillatelse fra Malta. Har selskapet sin hovedvirksomhet i et annet EØS-land, er tilsynsmyndigheten der ledende tilsynsmyndighet etter artikkel 56, og det er den som i praksis behandler saken mot selskapet.

For selskaper med tillatelse fra Curaçao eller Anjouan og uten virksomhet i EØS er bildet mindre ryddig. Forordningen artikkel 3 nr. 2 omfatter også behandlingsansvarlige utenfor EØS som retter tjenester mot personer her, men i våre søk fant vi ikke publisert noen vedtak fra Datatilsynet mot et slikt spillselskap. Tillatelsen fra Curaçao eller Anjouan sier heller ingenting om hvilken personvernmyndighet spilleren kan få hjelp av.

Det er personopplysningene, ikke pengene, Datatilsynet kan hjelpe med.