Personvernforordningen (GDPR)
Personvernforordningen er EUs regelverk for behandling av personopplysninger, forordning (EU) 2016/679, bedre kjent som GDPR, og den gjelder som norsk lov gjennom personopplysningsloven, som trådte i kraft 20. juli 2018. For en spiller betyr det at et spillselskap må ha et rettslig grunnlag for hver opplysning det lagrer, fra KYC-dokumenter til spillhistorikk. Forordningen gir spilleren samtidig konkrete rettigheter overfor selskapet. Den sier derimot ingenting om hvilke selskaper som har lov til å tilby pengespill i Norge, for det er pengespillovens område.
Hva personvernforordningen regulerer i Norge
Personopplysningsloven § 1 gjør forordningen til norsk lov, slik at en leser i Norge har de samme rettighetene som en borger i et EU-land. Reglene gjelder enhver opplysning som kan knyttes til en bestemt person, og det omfatter mer enn navn og fødselsnummer: også IP-adresse, innskuddsmønster og lengden på en spilløkt regnes med.
Datatilsynet er tilsynsmyndighet etter personopplysningsloven § 20, og vedtak derfra kan påklages til Personvernnemnda etter § 22. Klagefristen er tre uker fra vedtaket er mottatt, og nemndas avgjørelse kan ikke påklages videre som forvaltningsklage.
Det som skiller forordningen fra den gamle loven fra 2000, er sanksjonene.
For de alvorligste bruddene, blant annet på grunnprinsippene for behandling og vilkårene for samtykke, kan overtredelsesgebyret etter artikkel 83 nr. 5 bli 20 millioner euro eller 4 prosent av foretakets samlede globale årsomsetning i forrige regnskapsår, og det høyeste av de to beløpene er taket. For brudd på blant annet reglene om informasjonssikkerhet går taket ved 10 millioner euro eller 2 prosent. Dette er øvre grenser og ikke satser, fordi gebyret etter artikkel 83 nr. 1 skal stå i et rimelig forhold til selve overtredelsen.
Rettighetene en spiller kan kreve oppfylt
Tabellen viser de seks rettighetene som oftest blir aktuelle overfor en spilltilbyder, med artikkelen i forordningen og begrensningen som følger av regelverket selv. Svarfristen står i artikkel 12 nr. 3 og er lik for alle seks: senest én måned, med mulighet for to måneders forlengelse dersom selskapet begrunner forsinkelsen innen den første fristen.
| Rettighet | Artikkel | Hva kan kreves | Svarfrist | Viktigste begrensning |
|---|---|---|---|---|
| Innsyn | Art. 15 | Kopi av lagrede opplysninger, formål og lagringstid | 1 måned, +2 ved behov | Andres rettigheter kan begrense kopien |
| Retting | Art. 16 | Korrigering av uriktige opplysninger | 1 måned, +2 ved behov | Gjelder uriktige eller ufullstendige opplysninger |
| Sletting | Art. 17 | At opplysninger fjernes | 1 måned, +2 ved behov | KYC-data lagres fem år etter hvitvaskingsloven § 30 |
| Begrensning | Art. 18 | At data lagres, men ikke brukes | 1 måned, +2 ved behov | Bare i bestemte tilfeller, som mens riktighet prøves |
| Dataportabilitet | Art. 20 | Egne data i maskinlesbart format | 1 måned, +2 ved behov | Bare data spilleren selv har gitt, ved samtykke eller avtale |
| Protest | Art. 21 | Stans i bruk, blant annet til markedsføring | 1 måned, +2 ved behov | Protest mot direkte markedsføring kan ikke avslås |
Når retten til sletting møter hvitvaskingsloven
Den vanligste misforståelsen er at artikkel 17 gir en spiller krav på å få hele kontoen visket ut. Det gjør den ikke.
Spilltilbydere er rapporteringspliktige etter hvitvaskingsloven § 4 annet ledd bokstav g, og Lotteritilsynet fører tilsyn med dem, enten det gjelder enerettsaktørene Norsk Tipping og Norsk Rikstoto eller det private lotterimarkedet. Etter hvitvaskingsloven § 30 skal opplysninger og dokumenter fra kundetiltakene lagres i fem år etter at kundeforholdet ble avsluttet. Artikkel 17 nr. 3 bokstav b unntar behandling som er nødvendig for å oppfylle en rettslig forpliktelse, og derfor stopper en sletteanmodning ikke denne lagringen.
Fristen virker i begge retninger, for når de fem årene er gått, skal personopplysningene fra kundetiltakene slettes. Markedsføringsprofiler og preferanser har ikke dette lagringsgrunnlaget, og hvor lenge spillhistorikk utover KYC-materialet oppbevares, varierer mellom tilbyderne; vi fant ikke en felles bransjestandard publisert.
Klagevei når tilbyderen holder til i utlandet
Forordningen gjelder også for selskaper utenfor EØS når de tilbyr tjenester til personer i EØS-området, jf. artikkel 3 nr. 2. En spillside med tillatelse fra Curaçao eller Anjouan er dermed formelt bundet av de samme reglene som en tilbyder med tillatelse fra Malta Gaming Authority.
Forskjellen ligger i håndhevingen. Har tilbyderen hovedvirksomhet på Malta, leder den maltesiske tilsynsmyndigheten normalt saken etter artikkel 56, mens en leser i Norge kan sende klagen til Datatilsynet og få den videreformidlet. Selskaper uten etablering i EØS skal etter artikkel 27 som hovedregel utpeke en representant her, men om en bestemt side har gjort det, framgår bare av personvernerklæringen.
Min vurdering, og ikke en regel: mot en tilbyder uten fotfeste i EØS er en personvernklage i praksis vanskelig å få gjennomslag for, selv om retten på papiret er den samme.
De to regelverkene må også holdes fra hverandre. Lotteritilsynet håndhever pengespilloven og hvitvaskingsloven overfor spilltilbyderne, mens spørsmål om innsyn, retting og sletting hører hjemme hos Datatilsynet.
