Slik kreves innsyn hos et spillselskap
Et spillselskap sitter på langt mer enn navn og kontonummer: innskudd, uttak, spillhistorikk, KYC-dokumenter og ofte en egen vurdering av risikoen for problemspill. Personvernforordningen gir enhver kunde rett til en kopi av dette. Guiden forklarer hva et innsynskrav omfatter, hvordan det sendes og hvilke frister selskapet må holde. Den tar også for seg forskjellen mellom et selskap med norsk tillatelse og et selskap etablert utenfor EØS, og hva selskapet har lov til å holde tilbake. Teksten er skrevet for spillere i Norge som vil vite hva som faktisk er registrert om dem.
Hva innsynsretten gir en spiller
Personvernforordningen gjelder i Norge gjennom EØS-avtalen, og artikkel 15 gir enhver kunde rett til å få vite hvilke opplysninger et spillselskap har lagret om vedkommende. Datatilsynet beskriver retten slik at kopien skal omfatte alle personopplysninger, også elektroniske spor, metadata og hvilke personprofiler kunden er tildelt.
For en spillkonto er den siste delen den mest interessante. Spillselskaper bygger typisk opp risikoprofiler for hvitvasking og for spilleatferd, og slike vurderinger er personopplysninger på lik linje med navn og adresse.
Svaret skal i tillegg forklare formålet med behandlingen, hvem opplysningene er utlevert til og hvor lenge de lagres. Brukes automatiserte avgjørelser, for eksempel når et system stanser en konto eller flagger et uttak, skal selskapet forklare logikken bak og hvilke følger avgjørelsen kan få for kunden. Er opplysninger sendt ut av EU/EØS, kan kunden be om en redegjørelse for hvilke garantier som ivaretar personvernet der. Selskapet skal også opplyse om retten til retting, sletting, begrensning og protest.
Innsynet er gratis.
Først når kunden ber om flere kopier, kan selskapet kreve et rimelig administrasjonsgebyr basert på hva kopiene faktisk koster å lage, ifølge Datatilsynet.
Fem steg fra forespørsel til svar
Framgangsmåten bygger på Datatilsynets veiledning og fristene i personvernforordningen. Den fungerer på samme måte overfor et norsk spillselskap og et selskap etablert i et annet EØS-land.
- Steg 1
Finn selskapets kontaktpunkt for personvern
Personvernerklæringen skal oppgi hvem som er behandlingsansvarlig og hvordan rettighetene utøves. Norsk Tippings erklæring har et eget punkt om kundens rettigheter. Utenlandske selskaper oppgir i de fleste tilfeller en egen e-postadresse til personvernombudet. - Steg 2
Send kravet skriftlig og elektronisk
Datatilsynet har et innsynsskjema som kan lastes ned og brukes direkte. Et krav sendt på e-post gir rett til en elektronisk kopi i et vanlig filformat, og e-posten dokumenterer samtidig datoen fristen løper fra. - Steg 3
Bekreft identiteten når selskapet ber om det
Selskapet kan kreve at kunden identifiserer seg før opplysningene utleveres, slik at de ikke havner hos feil person. For en konto som allerede er KYC-verifisert, holder det som regel å sende kravet fra den registrerte e-postadressen. - Steg 4
Følg med på fristen på én måned
Svaret skal komme uten ugrunnet opphold og senest innen en måned. Artikkel 12 nr. 3 åpner for forlengelse med ytterligere to måneder i komplekse saker, men kunden skal da varsles om forlengelsen og årsaken innen den første måneden. - Steg 5
Gå gjennom svaret og klag ved behov
Mangler risikoprofiler, transaksjonslogg eller begrunnelse for et avslag, kan kunden be om et utfyllende svar. Kommer det ikke noe svar innen en måned, eller nektes innsyn uten skriftlig begrunnelse, kan det klages til Datatilsynet.
Norsk tillatelse eller utenlandsk selskap
Innsynsretten er den samme uansett hvem som tilbyr spillet, men hvor lett den lar seg håndheve, avhenger av hvor selskapet er etablert. Norsk Tipping og Norsk Rikstoto har tillatelse etter pengespilloven og er norske behandlingsansvarlige, så Datatilsynet er riktig tilsynsmyndighet uten omveier.
Et selskap med tillatelse fra Malta er etablert i EØS. En klage fra Norge behandles da i samarbeid med tilsynsmyndigheten i landet der selskapet har sin hovedvirksomhet.
Selskaper med tillatelse fra Curaçao eller Anjouan står utenfor EØS. Forordningen gjelder også for dem når tjenesten rettes mot spillere i Norge, og artikkel 27 krever i utgangspunktet at de skriftlig utpeker en representant i et land der kundene befinner seg. Om en slik representant faktisk er oppgitt, må sjekkes i den enkelte personvernerklæringen. Mangler den, er det i seg selv et funn som hører hjemme i en klage.
Lotterinemnda behandler klager på Lotteritilsynets vedtak etter pengespilloven og tar ikke personvernsaker.
Norsk selskap mot selskap utenfor EØS
Sammenstillingen setter en norsk tillatelsesinnehaver opp mot et selskap med tillatelse fra et land utenfor EØS. Den gjelder bare innsynsretten, ikke spilltilbudet eller klageretten på gevinster.
Norsk tillatelse | Tillatelse utenfor EØS |
|---|---|
| Forordningen gjelder fullt ut | Gjelder når tjenesten rettes mot Norge |
| Svarfrist på én måned | Samme frist etter forordningen |
| Klage direkte til Datatilsynet | Klage til Datatilsynet, svakere håndheving |
| Behandlingsansvarlig i Norge | Representant i EØS etter artikkel 27 |
| Første kopi gratis | Første kopi gratis |
| Lagring etter hvitvaskingsloven § 30 | Lagring etter regler i tillatelseslandet |
Hva selskapet kan holde tilbake
Innsynsretten har grenser, og Datatilsynet lister opp når en virksomhet kan nekte. Det gjelder blant annet når innsyn vil røpe opplysninger om andre personer eller forretningshemmeligheter, men da skal de aktuelle delene sladdes i stedet for at hele kopien holdes tilbake. Innsyn kan også nektes dersom det vil hindre politiets etterforskning av en straffesak.
For spillselskaper er det siste punktet mer enn teori. Et selskap som har rapportert mistenkelige transaksjoner til Enheten for finansiell etterretning i Økokrim, har ikke lov til å opplyse kunden om det, og slike opplysninger kan derfor mangle i svaret.
Et avslag skal alltid begrunnes skriftlig, med henvisning til bestemmelsen selskapet bygger på.
Hvor lenge opplysningene blir liggende
Hvitvaskingsloven § 30 krever at opplysninger fra kundetiltak og løpende oppfølging lagres i fem år etter at kundeforholdet ble avsluttet, og at personopplysningene deretter slettes. Lotteritilsynet viste til nettopp denne bestemmelsen i vedtaket om overtredelsesgebyr mot Norsk Rikstoto. En kunde som stenger kontoen, må derfor regne med at KYC-dokumentasjonen blir liggende i fem år, og et slettekrav endrer ikke det. Innsynssvaret skal likevel oppgi lagringstiden eller kriteriene som bestemmer den.
Registrerte opplysninger om utestenging, pause og tapsgrenser etter pengespillforskriften omfattes av innsynsretten på samme måte som spillhistorikken.
Relaterte begreper
Spørsmål om innsyn hos spillselskaper
Koster det noe å be om innsyn hos et spillselskap?
Nei, den første kopien skal være gratis. Ber kunden om flere kopier, kan selskapet kreve et rimelig administrasjonsgebyr som svarer til hva det faktisk koster å lage dem.
Hvor lang tid har selskapet på å svare?
Svaret skal gis uten ugrunnet opphold og senest innen en måned. I komplekse saker kan fristen forlenges med to måneder, men kunden skal da få beskjed innen den første måneden.
Kan spillselskapet kreve legitimasjon før det gir innsyn?
Ja. Virksomheten kan kreve at kunden identifiserer seg før opplysningene utleveres, slik at de ikke sendes til feil person. Datatilsynet nevner uklar identitet som en grunn til at innsyn kan nektes.
Gjelder innsynsretten selskaper uten norsk tillatelse?
Ja, når selskapet retter tjenesten mot spillere i Norge. Selskaper utenfor EØS skal i utgangspunktet ha en representant i et EØS-land, men håndhevingen er vanskeligere enn overfor et norsk selskap.
Kan en avsluttet spillkonto fortsatt ha lagrede opplysninger?
Ja. Hvitvaskingsloven § 30 krever at opplysninger fra kundetiltak lagres i fem år etter at kundeforholdet ble avsluttet, og innsynsretten gjelder også i den perioden.
Hvor klager en spiller som ikke får svar?
Til Datatilsynet. Det kan klages både når innsyn nektes og når selskapet ikke har svart innen en måned. Lotterinemnda behandler klager etter pengespilloven og tar ikke personvernsaker.
Mer om nettcasinoer
Det vi ser etter først i et innsynssvar, er om risikoprofilene er med. En ren eksport av innskudd og uttak oppfyller ikke kravet dersom selskapet også har klassifisert kunden etter spilleatferd eller hvitvaskingsrisiko. Slike vurderinger er personopplysninger, og kopien skal omfatte dem.