Lois de l'UE sur la protection des données (RGPD) et la vie privée des clients

1) Bref sur l'essentiel

Le RGPD est la loi de base de l'UE sur la protection des données à caractère personnel. Il s'applique à tous ceux qui :

traite les données des personnes de l'UE/EEE, même si l'opérateur est situé en dehors de l'UE ;
leur offre des services (y compris les casinos en ligne) ou surveille leur comportement.

Pour violation - une amende jusqu'à 20 millions € ou 4 % du chiffre d'affaires mondial (ce qui est plus), plus des interdictions de traitement et des pertes de réputation.

2) Principes clés (art. 5 du RGPD)

1. Légalité, équité, transparence. Des politiques compréhensibles, des avis honnêtes.

2. Limitation des objectifs. Utiliser les données uniquement pour les tâches déclarées (KYC/AML, Responsible Gambling, paiements, support, analytique, etc.).

3. Minimisation. Collecter uniquement ce dont vous avez besoin (par exemple, ne pas stocker de « selfie avec carte » si vous avez assez de 3-DS et de relevés bancaires).

4. Précision. Mettre à jour l'adresse/les documents, éviter les doublons.

5. Limitation du stockage. Délais de rétractation clairs (généralement de 5 à 7 ans pour les documents financiers ; bref - pour la télémétrie).

6. Intégrité et confidentialité. Cryptage, contrôle d'accès, journal.

7. La responsabilité. Prouver la conformité (politiques, DPIA, dossiers de traitement).

3) Bases légales du traitement (art. 6) - ce qui convient au casino

Obligation juridique : KYC/AML/examen des sanctions, rapport fiscal, tenue de registres de paiement.

Contrat : création et maintenance d'un compte de jeu, reconstitution/retrait, sapport.

Intérêt légitime : antifrod, sécurité, analyse de produits de base, signaux de jeu responsibles (sauf si contraire aux réglementations locales).

Consentement : e-mail/SMS marketing, cookies pour la publicité, profilage non standard.

Intérêts vitaux/tâche publique : rarement, ponctuellement.

💡 Les catégories spéciales (santé, religion, etc.) dans iGaming sont presque inutiles - évitez de les collecter. La biométrie pour le liveness → est utilisée strictement comme identification avec DPIA et minimisation.

4) Rôles et limites des responsabilités

Contrôleur (controller) : l'opérateur du casino - détermine les objectifs/moyens.

Processeur : Fournisseurs KYC, PSP, cloud, antifrod, analyse onchane, plates-formes marketing.

Nous avons besoin de DPA (contrats de traitement) avec des instructions claires, des sous-processeurs, des mesures de sécurité, des droits d'audit et des notifications de violation.

5) DPIA, DPO et enregistrements de traitements

La DPIA (Data Protection Impact Assessment) est obligatoire en cas de risque élevé : CUS/biométrie, surveillance comportementale RG, profilage majeur, transferts transfrontaliers.

Assignez un DPO (Data Protection Officer) si l'échelle de traitement est grande ou s'il existe une surveillance systématique.

Tenir un registre des opérations de traitement (RoPA) : catégories de données, objectifs, fondements juridiques, délais de conservation, destinataires, mesures de sécurité.

6) Droits de la personne concernée et SLA des réponses

Le joueur a le droit : d'accès, de rectification, de suppression (« right to be forgotten »), de limitation, de portabilité, d'opposition, ainsi que d'explication dans les décisions automatisées/profilage (par exemple, bloc antifrod).

Le délai de réponse est généralement jusqu'à 1 mois (vous pouvez prolonger de 2 mois en cas de difficulté).

Vous avez besoin des processus de saphport/CRM, de la vérification de l'identité du demandeur et des journaux de solutions WORM.

7) Cookies, ePrivacy et marketing en ligne

Bannière de consentement : opt-in explicite pour l'analyse/publicité, commutateurs individuels, boutons « égaux en importance » (accepter/rejeter).

Cookies strictement nécessaires - sans consentement, mais avec une description dans la politique.

E-mail/SMS marketing : seulement avec le consentement (ou « opt-in soft » pour les clients existants dans certains pays) + opt-out léger.

Remarketing et look-alike - seulement avec le consentement validé ; exclure les listes de groupes auto-détenus et vulnérables.

8) Transferts internationaux de données (ch. V)

Transmission hors EES possible avec :

Adequacy (pays jugé adéquat), ou
SCCs (clauses contractuelles types) + TIA (évaluation de l'impact du transfert), ou
Binding Corporate Rules pour les groupes d'entreprises.
Vérifiez les nuages, anti-fraud, analyse en ligne, helpdesk - où les données sont physiquement stockées et traitées.

9) Sécurité (art. 32) et incidents (art. 33/34)

Minimum de « béton armé » :

Cryptage « au repos » et « en transit », gestion des clés.
RBAC/ABAC, MFA pour les admins, zéro déchirure des comptes.
Ségrégation des environnements, journal des actions (admin/support), surveillance des anomalies.
Tokenization/Pseudonymisation pour la télémétrie et l'analyse.
Plan d'intervention en cas d'incident, exercice, bagbounti.

Atteinte à la sécurité : informer l'autorité de surveillance dans les 72 heures et les sujets si le risque de préjudice est élevé. Tenir un registre des incidents.

10) Les endroits subtils iGaming et comment les fermer

1. Biométrie et liveness. DPIA, stockage local des modèles (ou leur absence après vérification), délais de suppression transparents.

2. Données d'Onchane. L'adresse cryptée peut devenir des données personnelles si nous contactons une personne - effectuer TIA, ne pas publier les adresses du joueur, stocker les rapports avec un minimum.

3. Jeu responsable et profilage. Modèles explicables (XAI), « humain-in-the-loop » pour des mesures sévères, droit de contestation.

4. VIP и SoF/SoW. Collecter seulement le nécessaire, supprimer dans le temps, protéger les relevés bancaires.

5. Affiliations et pixels. Contrôle conjoint ? Ancrer dans les traités, fournir un ban synchronisé des auto-prisonniers, une collecte légale des consentements.

6. Demandes des régulateurs/LEA. Procédures documentées de divulgation, minimisation, cadre juridique [art. 6 1) c )/e)].

11) Rétention : Comment fixer des délais « intelligents »

CUS/documents financiers : 5-7 ans (finnormes nationaux).

Logs de session/appareils : 12-24 mois (pas d'identifiants - plus longtemps).

Signaux RG et cas : Jusqu'à présent, il y a une limite + durée d'audit.

Données marketing : avant le retrait du consentement ou 24 mois sans activité.

Biométrie : supprimer immédiatement après vérification, sauf si la loi l'exige autrement.

12) Chèque de conformité pratique (court)

Bases juridiques et documentation

Politique de confidentialité et cookies, en langage clair.
Registre des traitements (RoPA), DPIA sur KYC/biométrie/RG/onchane.
DPO désigné/externalisé, contact publié.
DPA avec tous les processeurs, liste des sous-processeurs.

Droits des sujets

Procédures et SLA (≤1 mes), modèles de réponses, vérification de l'identité.
Mécanismes légers opt-out/suppression/correction.

Technologie et sécurité

Cryptage, MFA, ségrégation, logs WORM.
Pseudonymisation de l'analyse, minimisation des exportations en BI.
Plan d'incident, « 72 heures », exercice.

Marketing/ePrivacy

Bannière d'accord avec des interrupteurs individuels ; le magazine consents.
Des bases de commercialisation et d'utilisateurs séparées en auto-exclusion.

Transferts de données

SCCs/BCR/TIA pour tous les flux transfrontières.
Carte de données par fournisseur (KYC, PSP, cloud, antifrod).

13) Erreurs fréquentes et comment les éviter

Collecter « sur le stock ». Documents supplémentaires/captures d'écran → risque de fuite. Solution : minimisation + liste blanche des artefacts admissibles.

Bannière de cookie avec « motifs sombres ». Faites des boutons équivalents « Accepter/Rejeter ».

Absence de DPIA et DPA. Sans eux, il est difficile de justifier le profilage et la transmission des données aux partenaires.

Accès unique « superadmine ». Partagez les rôles, connectez l'accès JIT.

Pas de TIA sur les nuages/analyse. Évaluer l'emplacement des serveurs et l'applicabilité des lois des pays tiers.

14) Mini-FAQ

Nous ne sommes pas dans l'UE. Nous sommes couverts par le RGPD ?

Oui, si vous offrez des services à des personnes de l'UE/EEE ou si vous surveillez leur comportement (cookies/analytiques).

Ai-je toujours besoin d'un consentement pour l'antifrod et le RG ?

Pas toujours : généralement un intérêt légitime/obligation légale. Mais la DPIA et la transparence + possibilité d'opposition, le cas échéant, sont nécessaires.

Les documents KYC peuvent-ils être conservés indéfiniment ?

Non. Fixez des délais raisonnables et supprimez/anonymisez à leur expiration.

L'unité de sortie automatique est-elle une « solution automatique » ?

Oui, potentiellement. Assurez-vous que le « human-in-the-loop », l'explication et le droit de révision.

L'adresse du portefeuille est-elle des données personnelles ?

Peut le devenir si elle est associée à une personne identifiée. Traitez-vous comme un PII lors de l'onbording.

15) Résultat

Le RGPD n'exige pas une « case à cocher », mais un système de gestion des données : objectifs clairs et bases juridiques, minimisation, architecture sûre, contrôle des fournisseurs et respect des droits des joueurs. L'opérateur qui construit privacy-by-design et est responsable (RoPA, DPIA, DPA, DPO, plan d'incident) réduit les risques juridiques et de paiement, accélère l'audit et améliore la confiance des clients - ce qui signifie qu'il gagne en long.