Leggi UE per la protezione dei dati (GDPR) e la privacy dei clienti

1) Breve sull'essenziale

GDPR è la legge di base dell'UE sulla protezione dei dati personali. Si applica a chiunque:

elabora i dati delle persone dell'UE/EEA anche se l'operatore è fuori dall'UE;
offre loro servizi (ad esempio casinò online) o monitora il loro comportamento.

Per la violazione, una multa fino a 20 milioni di euro o il 4% del fatturato globale (più), oltre ai divieti di lavorazione e alla perdita di reputazione.

2) Principi chiave (articolo 5 GDPR)

1. Legalità, giustizia, trasparenza. Politici comprensivi, notifiche oneste.

2. Limitare gli obiettivi. Utilizzare i dati solo per le attività dichiarate (KYC/AML, Responciabile Gambling, pagamenti, supporto, analisi, ecc.).

3. Minimizzazione. Raccogli solo ciò che è necessario (ad esempio, non conservare «selfie con carta» se è sufficiente 3-DS e estratto conto bancario).

4. Precisione. Aggiorna indirizzo/documento, evita duplicati.

5. Limitazione dello storage. Tempi di reticenza precisi (solitamente 5-7 anni per i documenti finanziari; breve - per la telemetria).

6. Integrità e riservatezza. Crittografia, controllo degli accessi, registrazione.

7. La responsabilità. Prova corrispondenza (criteri, DPIA, record di guadagno).

3) Motivi legali di elaborazione (articolo 6) - Che cosa è adatto al casinò

Obbligo legale: KYC/AML/screening sanzionatorio, rendicontazione fiscale, registrazione dei pagamenti.

Contratto: creazione e manutenzione di un account di gioco, ricambio/ritiro, zapport.

L'interesse legittimo è l'antifrode, la sicurezza, l'analista di base del prodotto, i segnali respontibili Gambling (se non in contrasto con le norme locali).

Consenso: e-mail/SMS marketing, cookies pubblicitari, profili non convenzionali.

Interessi vitali/attività pubblica, raramente, puntualmente.

💡 Le categorie speciali (salute, religione, ecc.) sono quasi inesistenti nel iGaming - evitare di raccoglierle. Utilizzare la biometria per liveness → come identificazione con DPIA e minimizzazione.

4) Ruoli e limiti di responsabilità

Controllore - Operatore casinò - Definisce obiettivi/strumenti.

Processore: provider KYC, PSP, cloud, antifrode, onchain analyst, piattaforme di marketing.

È necessario un DPA con istruzioni, sottoprocessori, misure di sicurezza, verifiche e notifiche di violazione.

5) DPIA, DPO e record di guadagno

DPIA (valutazione dell'impatto sulla protezione dei dati) è obbligatorio a rischio elevato: CUS/biometria, monitoraggio comportamentale RG, grande profilassi, trasferimenti transfrontalieri.

Assegnare un DPO (ufficiale di protezione dei dati) se la scala di elaborazione è grande o se esiste un monitoraggio sistematico.

Tenere traccia delle operazioni di elaborazione (RoPA): categorie di dati, obiettivi, basi legali, conservazione, destinatari, misure di sicurezza.

6) Diritti del soggetto dei dati e delle risposte SLA

Il giocatore ha il diritto di accedere, correggere, rimuovere («right to be forgotten»), limitare, trasportare, obiettare e spiegare le soluzioni automatizzate/profilate (ad esempio un blocco antifrode).

Il termine di risposta è di solito fino a 1 mese (può essere esteso di altri 2 in caso di difficoltà).

È necessario eseguire processi con zapport/CRM, verificare l'identità del richiedente e i registri WORM delle soluzioni.

7) Cookies, ePrivacy e marketing online

Striscione di consenso: opt-in esplicito per analisti/pubblicità, singoli interruttori, pulsanti «uguali per importanza» (accettare/rifiutare).

Cookie strettamente necessari - senza consenso, ma con una descrizione della politica.

E-mail/SMS marketing: solo con il consenso (o «morbido opt-in» per i clienti esistenti in alcuni paesi) + opt-out leggero.

Remarketing e look-alike, solo in caso di accettazione valida; Escludete le liste dei gruppi auto-esclusi e vulnerabili.

8) Trasmissioni internazionali di dati (g. V)

Il trasferimento fuori EESE è possibile quando:

Adequacy (paese giudicato adeguato), o
SCCS (clausole contrattuali standard) + TIA (valutazione dell'impatto del trasferimento), o
Binding Corporate Rule per gruppi di aziende.
Controllare le nuvole, anti-fraud, on-chain analista, helpdesk - dove i dati vengono memorizzati e elaborati fisicamente.

9) Sicurezza (articolo 32) e incidenti (articolo 33/34)

Minimo «ferro»:

Crittografia «in pace» e «in transito», gestione delle chiavi.
RBAC/ABAC, MFA per gli Ammiragli, zero accuratezza degli account.
Segregazione degli ambienti, registro delle attività (admine/supporto), monitoraggio delle anomalie.
Tokenization/pseudonymization per la telemetria e gli analisti.
Piano di risposta per incidenti, esercitazioni, bagbount.

Violazione della sicurezza: notifica all'autorità di vigilanza entro 72 ore e ai soggetti se il rischio di danni è elevato. Tenere il registro degli incidenti.

10) Sottili posti e come chiuderli

1. Biometria e liveness. DPIA, conservazione locale dei modelli (o assenza dopo la convalida), tempi di eliminazione trasparenti.

2. Dati onchain. L'indirizzo cripto può diventare dati personali se collegato a una persona - effettuare TIA, non pubblicare gli indirizzi del giocatore, conservare i rapporti con minimizzazione.

3. Responciabile Gambling e profilassi. Modelli spiegabili (XAI), «human-in-the-loop» per misure severe, diritto di contestazione.

4. VIP и SoF/SoW. Raccogliere solo ciò che serve, cancellare entro il termine, proteggere gli estratti conto bancari.

5. Affiliati e pixel. Controllo congiunto? Fissare i contratti, garantire un ban sincronizzato di esclusi, raccogliere consenso legittimamente.

6. Richieste di controllo/LEA. Procedure di divulgazione documentate, minimizzazione, base legale (articolo 6, paragrafo 1, lettera c )/e)).

11) Retenza: come impostare i tempi «intelligenti»

CUS/documenti finanziari: 5-7 anni (finnorm nazionali).

Orari di sessione/dispositivo: 12-24 mes (senza ID, più a lungo).

Segnali RG e valigette: per ora è in vigore un limite + periodo di verifica.

Prima del ritiro del consenso o 24 ms senza attività.

Biometria - Rimuovi subito dopo il controllo, a meno che non sia richiesto dalla legge.

12) Foglio di abbonamento pratico (breve)

Fondamenti legali e documentazione

La politica sulla privacy e i cookies, in modo semplice.
Registro dei guadagni (RoPA), DPIA su KYC/biometria/RG/onchain.
DPO assegnato/output, contatto pubblicato.
DPA con tutti i processori, elenco dei sottoprocessori.

Diritti dei soggetti

Procedure e SLA (≤1 mes), modelli di risposta, verifica della personalità.
Meccanismi leggeri opt-out/rimozione/correzione.

Tecnologia e sicurezza

Crittografia, MFA, segregazione, login WORM.
Alias degli analisti, minimizzazione delle esportazioni in BI.
Piano incidenti, 72 ore, esercitazione.

Marketing/ePrivacy

Banner di consenso con singoli tumbler; registro consents.
Database di marketing separati e utenti in auto-esclusione.

Trasferimenti dati

SCCS/BCR/TIA per tutti i flussi transfrontalieri.
Mappa dei dati dei provider (KYC, PSP, cloud, antifrode).

13) Errori frequenti e come evitarli

Collezionare «scorta». Documenti/screenshot in eccesso per il rischio di fuga. La soluzione è ridurre al minimo l'elenco bianco dei manufatti validi.

Cookie-striscione con «pattern oscuri». Fare clic su Accetta/Rifiuta.

Nessun DPIA e DPA. Senza di loro, è difficile giustificare la profilassi e la trasmissione dei dati ai partner.

Accesso unico «superadmine». Condividere i ruoli, collegare l'accesso JIT.

Niente TIA su nuvole o analisi. Valutare la posizione dei server e l'effettività del diritto dei paesi terzi.

14) Mini FAQ

Non siamo nell'UE. Siamo coperti da GDPR?

Sì, se offri servizi a persone dell'UE/EEA o segui il loro comportamento (cookie/analisi).

Serve sempre il consenso per l'antifrode e l'RG?

Non sempre, di solito legittimo interesse/obbligo legale. Ma è necessario DPIA e trasparenza + possibilità di obiezione, se applicabile.

È possibile conservare i documenti KYC a tempo indeterminato?

No, no. Fissare i tempi giustificati e rimuovere/anonimizzare al termine.

Un blocco di output automatico è una soluzione automatizzata?

Sì, potenzialmente. Assicuratevi «human-in-the-loop», spiegazione e diritto di revisione.

L'indirizzo del portafoglio è personale?

Potrebbe esserlo se è collegato a una persona identificata. Trattarsi come un PII quando si tratta di onboarding.

15) Totale

Il GDPR non richiede un segno di spunta, ma un sistema di gestione dei dati: obiettivi e basi legali chiari, minimizzazione, architettura sicura, controllo dei venditori e rispetto dei diritti dei giocatori. Un operatore che costruisce privacy-by-design e gestisce la responsabilità (RoPA, DPIA, DPA, DPO, piano di emergenza) riduce i rischi legali e di pagamento, accelera l'ispezione e aumenta la fiducia dei clienti - e quindi vince a lungo.