Slik krever spillere sletting av personopplysninger
Denne veiledningen forklarer hvordan en spiller i Norge ber et spillselskap om å slette personopplysningene sine, og hva selskapet har lov til å beholde etter at kontoen er lukket. Den er skrevet for lesere som har avsluttet et kundeforhold hos Norsk Tipping, Norsk Rikstoto eller et utenlandsk nettcasino og vil vite hva som skjer med dataene. Vi har gått gjennom Datatilsynets veiledning om retten til sletting, lagringsplikten i hvitvaskingsloven § 30 og Norsk Tippings egne sider om avslutning av konto. Der vi ikke fant noe publisert, står det rett ut i teksten.
Hva retten til sletting faktisk omfatter
Retten til sletting står i personvernforordningen artikkel 17, som gjelder i Norge gjennom personopplysningsloven. Datatilsynet kaller den også «retten til å bli glemt», men understreker at den ikke er absolutt: den registrerte kan be om sletting, men virksomheten må ikke alltid etterkomme kravet.
Kravet står sterkest når formålet med behandlingen er oppnådd, når et samtykke er trukket tilbake, når en protest har fått gjennomslag, eller når opplysningene er behandlet ulovlig. For en spiller er samtykket til markedsføring det klareste eksempelet, fordi en tilbaketrekning betyr at e-postadressen skal ut av utsendelseslistene.
Selskapet skal svare uten ugrunnet opphold og senest innen én måned etter at kravet kom inn.
Den fristen har et forbehold som ofte blir oversett. Etter artikkel 12 nr. 3 kan den forlenges med inntil to måneder dersom saken er kompleks eller selskapet har mange anmodninger, men da skal spilleren varsles om forlengelsen og få en begrunnelse innen den første måneden. Samtidig er det viktig å skille mellom to handlinger som ofte blandes sammen: Norsk Tipping lar kunden avslutte kontoen i appen under Profil og Personlig informasjon, eller via kundeservice på telefon 625 07770, men en avsluttet konto er ikke det samme som et innfridd slettekrav.
Avslutte kontoen eller kreve sletting
Mange regner en lukket konto som en slettet konto. Sammenstillingen under viser hva hver av de to handlingene utløser, basert på Datatilsynets veiledning, hvitvaskingsloven og Norsk Tippings sider om avslutning av kundeforhold.
Avslutte spillerkontoen | Kreve sletting etter artikkel 17 |
|---|---|
| Gjøres direkte i appen eller på nettsiden | Krever skriftlig henvendelse til personvernkontakten |
| Ingen lovfestet frist for hva som slettes | Svarfrist på én måned etter artikkel 12 |
| Stanser ikke nødvendigvis markedsføring | Fjerner kontaktdata når samtykket trekkes tilbake |
| KYC-data lagres videre i fem år | Samme lagringsplikt gjelder, kravet overstyrer den ikke |
| Kan gjøres uten å oppgi grunn | Kan avventes til identiteten er bekreftet |
Hva spillselskapet har lov til å beholde
Et slettekrav kan ikke overstyre en lovpålagt lagringsplikt. Personvernforordningen artikkel 17 nr. 3 bokstav b gjør unntak når lagringen er nødvendig for å oppfylle en rettslig forpliktelse, og for spillselskaper er hvitvaskingsloven den viktigste av dem.
Etter hvitvaskingsloven § 30 skal opplysninger og dokumenter fra kundetiltakene lagres i fem år etter at kundeforholdet ble avsluttet. Det omfatter KYC-dokumentasjonen, altså kopien av legitimasjon og eventuell dokumentasjon av midlenes opprinnelse. Når femårsfristen er ute, skal personopplysningene slettes, og samlet lagringstid kan ikke overstige ti år.
Regelen er ikke teoretisk for norske aktører: i vedtaket om overtredelsesgebyr mot Norsk Rikstoto gjengir Lotteri- og stiftelsestilsynet nettopp lagringsplikten i § 30.
Et selskap kan i tillegg beholde opplysninger som trengs for å fastsette, gjøre gjeldende eller forsvare rettskrav, for eksempel mens en klage om en utbetaling fortsatt er åpen. Norsk Tippings personvernerklæring har et eget punkt om lagring og sletting, men noen detaljert oversikt over hvilke opplysninger som slettes når, fant vi ikke publisert i den delen vi gikk gjennom.
Slik sender spilleren et slettekrav
Fremgangsmåten under bygger på Datatilsynets beskrivelse av retten til sletting og kan brukes overfor både norske og utenlandske selskaper som behandler opplysninger om spillere i Norge.
- Steg 1
Finn den behandlingsansvarlige i personvernerklæringen
Personvernerklæringen skal oppgi hvem som er behandlingsansvarlig og hvordan personvernkontakten nås. Hos utenlandske nettcasinoer er selskapet bak nettstedet ofte et annet enn merkevarenavnet, så selskapsnavn og adresse bør noteres før kravet sendes. - Steg 2
Send kravet skriftlig med henvisning til artikkel 17
En e-post til personvernkontakten er tilstrekkelig. Kravet bør vise til personvernforordningen artikkel 17, oppgi brukernavn eller registrert e-postadresse og be om skriftlig bekreftelse på hva som slettes og hva som beholdes med lovhjemmel. - Steg 3
Bekreft identiteten når selskapet ber om det
Datatilsynet peker på at virksomheten kan kreve identifisering før den sletter noe, slik at ingen får slettet andres opplysninger. Spilleren bør likevel bare sende det selskapet faktisk ber om, og helst gjennom kontoen eller en sikker kanal. - Steg 4
Følg opp fristen og klag ved behov
Svaret skal komme senest innen én måned. Uteblir det, eller er avslaget uten begrunnelse, kan det klages til Datatilsynet med det digitale skjemaet eller per post til Postboks 458 Sentrum, 0105 Oslo, med kopi av korrespondansen.
Når svaret uteblir eller blir et avslag
Datatilsynet tar imot klager fra personer som selv har opplevd manglende innsyn, retting eller sletting. Klagen sendes digitalt med BankID eller skriftlig til tilsynets postadresse i Oslo, og den bør inneholde hvem det klages på, hva saken gjelder, kontaktopplysninger og kopi av korrespondansen med selskapet.
For utenlandske selskaper blir klageveien lengre. Et selskap etablert på Malta hører under maltesiske Information and Data Protection Commissioner (IDPC), som har behandlet klager mot nettspillselskaper, men klagen kan likevel leveres til Datatilsynet, som etter samarbeidsreglene i personvernforordningen videreformidler den. Er selskapet etablert utenfor EØS, for eksempel på Curaçao eller Anjouan, er håndhevelsen langt svakere, fordi ingen europeisk personvernmyndighet har tilsyn der.
Personvernklager hører hjemme hos Datatilsynet, ikke hos Lotteri- og stiftelsestilsynet eller Lotterinemnda.
Forfatterens vurdering, og ikke en regel: en spiller som har utestengt seg selv, bør tenke seg nøye om før sletting kreves. Utestengingen virker bare så lenge selskapet kan kjenne igjen personen, og et innfridd slettekrav kan i verste fall gjøre det lettere å opprette en ny konto senere. Hvordan hvert selskap håndterer denne konflikten, fant vi ikke publisert.
Relaterte begreper
Spørsmål om sletting av spillerdata
Er det nok å avslutte spillerkontoen?
Nei. En lukket konto stanser spillet, men sier ikke i seg selv hva som slettes. Sletting etter personvernforordningen artikkel 17 må kreves særskilt, helst skriftlig, slik at fristen kan dokumenteres.
Hvor lang tid har selskapet på å svare?
Svaret skal komme uten ugrunnet opphold og senest innen én måned. Fristen kan forlenges med inntil to måneder i komplekse saker, men da skal spilleren varsles med begrunnelse innen den første måneden.
Hvorfor beholder selskapet kopien av legitimasjonen?
Hvitvaskingsloven § 30 pålegger lagring av opplysninger fra kundetiltakene i fem år etter at kundeforholdet ble avsluttet. Deretter skal personopplysningene slettes, og samlet lagringstid kan ikke overstige ti år.
Koster det noe å kreve sletting?
Som hovedregel ikke. Datatilsynet skriver at virksomheter skal legge til rette for at registrerte får oppfylt rettighetene sine uten kostnad og innen en måned.
Hvor klages det hvis selskapet ikke svarer?
Til Datatilsynet, digitalt med BankID eller skriftlig til Postboks 458 Sentrum, 0105 Oslo. Klagen bør vise hvem den gjelder og hva som har skjedd, med korrespondansen med selskapet vedlagt.
Gjelder retten også utenlandske nettcasinoer?
Personvernforordningen gjelder selskaper i EØS, blant annet på Malta, og klagen kan sendes via Datatilsynet. Overfor selskaper etablert utenfor EØS, som på Curaçao, er kravet langt vanskeligere å få håndhevet.
Mer om nettcasinoer
Det vi ser etter først i en personvernerklæring, er om lukking av konto og sletting omtales som to ulike ting. Når erklæringen blander dem sammen, anbefaler vi å sende slettekravet separat og skriftlig, slik at fristen på én måned begynner å løpe fra en dato som kan dokumenteres.