Leyes de protección de datos de la UE (RGPD) y privacidad del cliente

1) Breve sobre el principal

El RGPD es una ley básica de la UE para la protección de datos personales. Se aplica a todos aquellos que:

procesa datos de personas procedentes de la UE/EEE, incluso si el operador se encuentra fuera de la UE;
les ofrece servicios (incluidos los casinos en línea) o supervisa su comportamiento.

Por infracción, una multa de hasta 20 millones de euros o el 4% de la facturación global (que es mayor), más prohibiciones de tramitación y pérdidas reputacionales.

2) Principios clave (art. 5 del RGPD)

1. Legalidad, justicia, transparencia. Políticas comprensibles, notificaciones honestas.

2. Limitación de objetivos. Utilizar los datos sólo para las tareas declaradas (KYC/AML, Juego responsable, pagos, soporte, análisis, etc.).

3. Minimización. Recoger solo lo que necesite (por ejemplo, no guardar «selfies con tarjeta» si hay suficiente 3-DS y extracto bancario).

4. Precisión. Actualizar la dirección/documentos, evitar duplicados.

5. Restricción de almacenamiento. Plazos claros de la retención (generalmente 5-7 años para los documentos financieros; en corto - para telemetría).

6. Integridad y privacidad. Cifrado, control de acceso, registro.

7. Responsabilidad. Probar la conformidad (políticas, DPIA, registros de tratamientos).

3) Bases legales para el procesamiento (art. 6) - que es adecuado para el casino

Obligación legal: KYC/AML/cribado sancionador, reportes fiscales, mantenimiento de registros de pagos.

Contrato: creación y mantenimiento de una cuenta de juego, depósito/retiro, sapport.

Interés legítimo: antifraude, seguridad, analítica básica del producto, señales de juego responsables (si no contraviene las regulaciones locales).

Consentimiento: marketing por correo electrónico/SMS, cookies publicitarias, perfiles no estándar.

Intereses vitales/tarea pública: raro, puntual.

💡 Las categorías especiales (salud, religión, etc.) en iGaming casi no son necesarias - evite recogerlas. Biometría para liveness → utilizar estrictamente como identificación con DPIA y minimización.

4) Roles y límites de responsabilidad

Controlador: Operador de casino - Determina los objetivos/fondos.

Procesador: proveedores de KYC, PSP, nubes, antifraude, análisis de cadena, plataformas de marketing.

Se necesitan DPA (contratos de procesamiento) con instrucciones claras, subprocesadores, medidas de seguridad, derechos de auditoría y notificaciones de infracción.

5) DPIA, DPO y registros de tratamientos

La DPIA (Evaluación de Impacto de Protección de Datos) es obligatoria en situaciones de alto riesgo: CUS/biometría, monitoreo conductual de RG, gran profilaxis, transferencias transfronterizas.

Asigne un DPO (Oficial de Protección de Datos) si la escala de procesamiento es grande o si hay un monitoreo sistemático.

Mantener un registro de operaciones de procesamiento (RoPA): categorías de datos, objetivos, bases legales, plazos de almacenamiento, destinatarios, medidas de seguridad.

6) Derechos del interesado y SLA de las respuestas

El jugador tiene derecho a: acceso, corrección, eliminación («right to be forgotten»), restricciones, portabilidad, objeciones, así como a la explicación en soluciones/perfiles automatizados (por ejemplo, bloque antifraude).

El plazo de respuesta es generalmente hasta 1 mes (se puede extender por 2 más cuando es difícil).

Se necesitan procesos en sapport/CRM, verificación de la identidad del solicitante y registros WORM de soluciones.

7) Cookies, ePrivacy y marketing en línea

Banner de consentimiento: opt-in explícito para análisis/publicidad, interruptores individuales «igual en importancia» botones (aceptar/rechazar).

Cookies estrictamente necesarias - sin consentimiento, pero con una descripción en la política.

E-mail/SMS marketing: sólo con el consentimiento (o «opt-in suave» para los clientes existentes en algunos países) + opt-out fácil.

Remarketing y look-alike - sólo con consentimiento válido; Elimine las listas de grupos excluidos y vulnerables.

8) Transferencias internacionales de datos (cap. V)

La transferencia fuera del EEZ es posible cuando:

Adequacy (país considerado adecuado), o
SCCs (cláusulas contractuales estándar) + TIA (evaluación del impacto de la transmisión), o
Binding Corporate Rules para grupos de empresas.
Compruebe las nubes, antifraud, análisis en cadena, helpdesk - donde se almacenan y procesan físicamente los datos.

9) Seguridad (art. 32) e incidentes (art. 33/34)

Mínimo de «hormigón armado»:

Cifrado «en reposo» y «en tránsito», control de claves.
RBAC/ABAC, MFA para administradores, nula separación de cuentas.
Segregación de entornos, registro de actividades (administración/soporte), monitoreo de anomalías.
Tokenization/Pseudonymization para telemetría y análisis.
Plan de respuesta a incidentes, ejercicios, bagbounty.

Violación de seguridad: notificar a la autoridad supervisora en un plazo de 72 horas y a los sujetos si existe un riesgo alto de daño. Mantener un registro de incidentes.

10) Lugares sutiles de iGaming y cómo cerrarlos

1. Biometría y liveness. DPIA, almacenamiento local de plantillas (o su ausencia después de la verificación), plazos de eliminación transparentes.

2. Los datos de la cadena. La dirección cripto puede convertirse en datos personales si nos asociamos con una persona para realizar TIA, no publicar las direcciones del jugador, almacenar los informes con minimización.

3. Responsible Gambling y perfilado. Modelos explicables (XAI), «human-in-the-loop» para medidas duras, derecho a impugnación.

4. VIP и SoF/SoW. Recoger sólo lo necesario, eliminar por tiempo, proteger los estados de cuenta bancarios.

5. Afiliados y píxeles. ¿Control conjunto? Fijar en los contratos, proporcionar un ban sincronizado de auto-excluidos, recogida legítima de los consentimientos.

6. Solicitudes de reguladores/LEA. Procedimientos documentados de divulgación, minimización, marco jurídico (art. 6 (1) c )/e)).

11) Retencia: cómo establecer plazos «inteligentes»

CUS/documentos financieros: 5-7 años (Finnoms nacionales).

Registros de sesiones/dispositivos: 12-24 meses (sin identificadores - más tiempo).

Señales y casos RG: mientras esté vigente el límite + plazo de auditoría.

Datos de marketing: antes de la revocación del consentimiento o 24 meses sin actividad.

Biometría: eliminar inmediatamente después de la verificación, a menos que la ley exija lo contrario.

12) Lista de verificación práctica de conformidad (corta)

Marco jurídico y documentación

Política de privacidad y cookies, en un lenguaje sencillo.
Registro de tratamientos (RoPA), DPIA por KYC/biometría/RG/onchain.
DPO asignado/subcontratado, contacto publicado.
DPA con todos los procesadores, lista de subprocesadores.

Derechos de las entidades

Procedimientos y SLA (≤1 mes), plantillas de respuesta, verificación de identidad.
Mecanismos fáciles de opt-out/remoción/corrección.

Tecnología y seguridad

Cifrado, MFA, segregación, registros WORM.
Pseudonimización de la analítica, minimización de las exportaciones en BI.
Plan de incidentes, «72 horas», ejercicios.

Marketing/ePrivacy

Una pancarta de acuerdo con los tumbadores individuales; el registro de consents.
Bases separadas de marketing y usuarios en auto-exclusión.

Transferencia de datos

SCCs/BCR/TIA para todos los flujos transfronterizos.
Mapa de datos de proveedores (KYC, PSP, nubes, antifraude).

13) Errores frecuentes y cómo evitarlos

Recoger «sobre el stock». Documentos/capturas de pantalla adicionales → riesgo de fuga. Solución: minimizar + lista blanca de artefactos permitidos.

Pancarta de cookies con «patrones oscuros». Haga lo mismo que los botones Aceptar/Rechazar.

Ausencia de DPIA y DPA. Sin ellos, es difícil justificar la creación de perfiles y la transferencia de datos a los socios.

Acceso único «superadmine». Comparta los roles, conecte el acceso JIT.

Sin TIA por nubes/análisis. Evaluar la ubicación de los servidores y la aplicabilidad de la legislación de terceros países.

14) Mini preguntas frecuentes

No estamos en la UE. ¿Estamos cubiertos por el RGPD?

Sí, si ofrece servicios a personas de la UE/EEE o realiza un seguimiento de su comportamiento (cookies/análisis).

¿Es necesario siempre el consentimiento para el antifraude y el RG?

No siempre: normalmente un interés legítimo/obligación legal. Pero se requiere DPIA y transparencia + posibilidad de objeción, si corresponde.

¿Es posible almacenar los documentos KYC indefinidamente?

No. Fije plazos justificados y elimine/anonimice después de su vencimiento.

¿La unidad de salida automática es «auto-aceptación de soluciones»?

Sí, potencialmente. Proporcione «human-in-the-loop», una explicación y un derecho de revisión.

¿La dirección de la cartera es información personal?

Puede llegar a serlo si está relacionado con una persona identificada. Trata como PII cuando te pongas al día.

15) Resultado

El GDPR no exige una «marca de papel», sino un sistema de gestión de datos: objetivos claros y bases legales, minimización, arquitectura segura, control de los vendedores y respeto a los derechos de los jugadores. El operador que construye privacy-by-design y realiza informes (RoPA, DPIA, DPA, DPO, incidente-plan) reduce los riesgos legales y de pago, acelera la auditoría y aumenta la confianza de los clientes, lo que significa que gana mucho tiempo.