Ევროკავშირის კანონები მონაცემთა დაცვის შესახებ (GDPR) და კლიენტების კონფიდენციალურობა

1) მოკლედ მთავარი

GDPR არის ევროკავშირის ძირითადი კანონი პერსონალური მონაცემების დაცვის შესახებ. ის ეხება ყველას, ვინც:

ამუშავებს ევროკავშირის/EEZ ადამიანების მონაცემებს, თუნდაც ოპერატორი ევროკავშირის გარეთ იყოს;
მათ სთავაზობს მომსახურებას (ონლაინ კაზინოს ჩათვლით) ან აკონტროლებს მათ ქცევას.

დარღვევისთვის - ჯარიმა 20 მილიონ ევრომდე ან გლობალური ბრუნვის 4% (რაც უფრო მეტია), გარდა ამისა, გადამუშავების აკრძალვები და რეპუტაციის ზარალი.

2) ძირითადი პრინციპები (ქ. 5 GDPR)

1. კანონიერება, სამართლიანობა, გამჭვირვალეობა. გასაგები პოლიტიკოსები, გულწრფელი შეტყობინებები.

2. მიზნების შეზღუდვა. გამოიყენეთ მონაცემები მხოლოდ დეკლარირებული დავალებებისთვის (KYC/AML, Responsible Gambling, გადახდები, მხარდაჭერა, ანალიტიკა და ა.შ.).

3. მინიმიზაცია. შეაგროვეთ მხოლოდ ის, რაც გჭირდებათ (მაგალითად, არ შეინახოთ „სელფი ბარათით“, თუ საკმარისია 3-DS და საბანკო ამონაწერები).

4. სიზუსტე. განაახლეთ მისამართი/დოკუმენტები, თავიდან აიცილეთ დუბლიკატები.

5. შენახვის შეზღუდვა. გადაკეთების მკაფიო ვადები (ჩვეულებრივ, 5-7 წელი ფინანსური დოკუმენტებისთვის; მოკლედ - ტელემეტრიისთვის).

6. მთლიანობა და კონფიდენციალურობა. დაშიფვრა, წვდომის კონტროლი, ჟურნალები.

7. ქვესათაური. კორესპონდენციის დამტკიცება (პოლიტიკოსები, DPIA, დამუშავების ჩანაწერები).

3) დამუშავების სამართლებრივი საფუძვლები (მუხლი 6) - რაც შესაფერისია კაზინოებისთვის

იურიდიული მოვალეობა: KYC/AML/სანქციების სკრინინგი, ფისკალური მოხსენება, გადახდის ჟურნალების შენარჩუნება.

ხელშეკრულება: თამაშის ანგარიშის შექმნა და შენარჩუნება, შევსება/გამომავალი, საფოსტო პორტი.

ლეგალური ინტერესი: ანტიფროდი, უსაფრთხოება, პროდუქტის ძირითადი ანალიტიკა, რეპონსირებული გამბლინგის სიგნალები (თუ ეს არ ეწინააღმდეგება ადგილობრივ სტანდარტებს).

თანხმობა: ელექტრონული ფოსტის/SMS მარკეტინგი, რეკლამირების ქუქი-ფაილები, არასტანდარტული პროფილები.

სასიცოცხლო ინტერესები/საზოგადოებრივი ამოცანა: იშვიათად, წერტილოვანი.

💡 iGaming- ში სპეციალური კატეგორიები (ჯანმრთელობა, რელიგია და ა.შ.) თითქმის არ არის საჭირო - თავიდან აიცილეთ მათი შეგროვება. Liveness- ის ბიომეტრია გამოიყენეთ მკაცრად, როგორც DPIA- ს იდენტიფიკაცია და მინიმიზაცია.

4) პასუხისმგებლობის როლი და საზღვრები

მაკონტროლებელი (კონტროლერი): კაზინოს ოპერატორი - განსაზღვრავს მიზნებს/საშუალებებს.

დამუშავება (processor): KYC პროვაიდერები, PSP, ღრუბლები, ანტიფროდი, ონჩეინის ანალიტიკა, მარკეტინგის პლატფორმები.

ჩვენ გვჭირდება DPA (დამუშავების ხელშეკრულებები) მკაფიო ინსტრუქციებით, ქვე-პროცესორებით, უსაფრთხოების ზომებით, აუდიტის უფლებებით და დარღვევების შეტყობინებებით.

5) DPIA, DPO და დამუშავების ჩანაწერები

DPIA (მონაცემთა დაცვაზე ზემოქმედების შეფასება) სავალდებულოა მაღალი სარისკო: KUS/ბიომეტრია, RG ქცევითი მონიტორინგი, დიდი პროფილიზაცია, ტრანსსასაზღვრო ტრანსფერები.

დანიშნეთ DPO (მონაცემთა დაცვის ოფიცერი), თუ დამუშავების მასშტაბები დიდია ან არსებობს სისტემატური მონიტორინგი.

შეინარჩუნეთ დამუშავების ოპერაციების რეესტრი (RoPA): მონაცემთა კატეგორიები, მიზნები, სამართლებრივი საფუძვლები, შენახვის დრო, მიმღები, უსაფრთხოების ზომები.

6) მონაცემთა საგნის უფლებები და SLA პასუხები

მოთამაშეს აქვს უფლება: წვდომა, კორექტირება, წაშლა („პირდაპირ forgotten“), შეზღუდვები, ტოლერანტობა, წინააღმდეგობა, აგრეთვე ავტომატიზირებული გადაწყვეტილებების/პროფილირების ახსნა (მაგალითად, ანტიფროდიული ბლოკი).

პასუხის ვადა ჩვეულებრივ 1 თვემდეა (შესაძლებელია კიდევ 2-ით გახანგრძლივება სირთულის შემთხვევაში).

ჩვენ გვჭირდება პროცესები საფორტეპიანო/CRM, მოთხოვნის და WORM ჟურნალების პიროვნების გადამოწმება.

7) Cookies, ePrivacy და ონლაინ მარკეტინგი

თანხმობის ბანერი: აშკარა opt-in ანალიტიკისთვის/რეკლამისთვის, ინდივიდუალური კონცენტრატორები, ღილაკების „თანაბარი მნიშვნელობით“ (მიღება/უარყოფა).

მკაცრად საჭირო ქუქი-ფაილები - თანხმობის გარეშე, მაგრამ პოლიტიკაში აღწერილი.

E-mail/SMS მარკეტინგი: მხოლოდ თანხმობით (ან ზოგიერთ ქვეყანაში არსებული მომხმარებლებისთვის „რბილი opt-in“) + მსუბუქი opt-out.

Remarketing და look-alike - მხოლოდ ნამდვილი თანხმობით; გამორიცხეთ თვითდასაქმებული და დაუცველი ჯგუფების სიები.

8) მონაცემთა საერთაშორისო გადაცემები (გ. V)

EEZ- ის გარეთ გადაცემა შესაძლებელია:

Adequacy (ქვეყანა აღიარებულია, როგორც ადეკვატური), ან
SCCs (სტანდარტული სახელშეკრულებო დებულებები) + TIA (გადაცემის გავლენის შეფასება), ან
Binding Corporate Rules კომპანიების ჯგუფებისთვის.
შეამოწმეთ ღრუბლები, ანტი-ფრაუდი, ანალიტიკა, helpdesk - სადაც მონაცემები ფიზიკურად ინახება და დამუშავებულია.

9) უსაფრთხოება (32) და ინციდენტები (მუხლი 33/34)

მინიმალური რკინაბეტონი:

დაშიფვრა „მარტო“ და „ტრანზიტში“, კლავიშების კონტროლი.
RBAC/ABAC, MFA admins- ისთვის, ანგარიშების ნულოვანი შეფუთვა.
მედიის სეგრეგაცია, სამოქმედო ჟურნალი (admin/მხარდაჭერა), ანომალიების მონიტორინგი.
Tokenization/Pseudonymization ტელემეტრიისა და ანალიტიკოსებისთვის.
ინციდენტებზე რეაგირების გეგმა, სავარჯიშოები, ბაგა-ბაღები.

უსაფრთხოების დარღვევა: აცნობეთ ზედამხედველს 72 საათის განმავლობაში, ხოლო სუბიექტებს - თუ ზიანის მაღალი რისკი არსებობს. შეინარჩუნეთ ინციდენტების რეესტრი.

10) თხელი iGaming ადგილები და როგორ დავხუროთ ისინი

1. ბიომეტრია და ცხოვრება. DPIA, შაბლონების ადგილობრივი შენახვა (ან გადამოწმების შემდეგ მათი არარსებობა), მოხსნის გამჭვირვალე დრო.

2. ონჩეინის მონაცემები. კრიპტო მისამართი შეიძლება გახდეს პირადი მონაცემები, თუ პირთან დააკავშირებთ - ჩაატარეთ TIA, არ გამოაქვეყნოთ მოთამაშის მისამართები, შეინახეთ მოხსენებები მინიმიზაციით.

3. Responsible Gambling და პროფილირება. ახსნილი მოდელები (XAI), „human-in-loop“ მკაცრი ზომებისთვის, სადავო უფლება.

4. VIP и SoF/SoW. შეაგროვეთ მხოლოდ საჭირო, ამოიღეთ დრო, დაიცავით საბანკო ამონაწერები.

5. აფილატები და პიქსელები. ერთობლივი კონტროლი? ხელშეკრულებებში კონსოლიდაცია, თვითდასაქმებულთა სინქრონიზებული აკრძალვის უზრუნველყოფა, თანხმობის კანონიერი შეგროვება.

6. რეგულატორების მოთხოვნები/LEA. დოკუმენტირებული გამჟღავნების პროცედურები, მინიმიზაცია, იურიდიული ბაზა (ხელოვნება. 6 (1) (გ )/( ე)).

11) რეპეტიცია: როგორ დავადგინოთ „ჭკვიანი“ ვადები

KUS/ფინანსური დოკუმენტები: 5-7 წელი (ეროვნული ფინორმები).

სესიების/მოწყობილობების ლოგოები: 12-24 თვე (იდენტიფიკატორის გარეშე - უფრო მეტხანს).

RG სიგნალები და შემთხვევები: ჯერჯერობით, არსებობს შეზღუდვა + აუდიტის ვადა.

მარკეტინგის მონაცემები: თანხმობის გაუქმებამდე ან 24 თვის განმავლობაში საქმიანობის გარეშე.

ბიომეტრია: ამოიღეთ შემოწმებისთანავე, თუ კანონით სხვა რამ არ არის საჭირო.

12) შესაბამისობის პრაქტიკული შემოწმება (მოკლედ)

იურიდიული საფუძვლები და დოკუმენტაცია

კონფიდენციალურობის პოლიტიკა და ქუქი-ფაილები, მარტივი ენა.
დამუშავების რეესტრი (RoPA), DPIA KYC/ბიომეტრიაში/RG/ონჩეინი.
DPO დაინიშნა/აუტსორსი, გამოქვეყნდა კონტაქტი.
DPA ყველა პროცესორით, სუბპროცესორების სია.

სუბიექტების უფლებები

პროცედურები და SLA (1 თვე), პასუხის შაბლონები, პიროვნების გადამოწმება.
მსუბუქი opt-out/მოცილება/შესწორება.

ტექნოლოგია და უსაფრთხოება

დაშიფვრა, MFA, სეგრეგაცია, WORM ლოგოები.
ანალიტიკოსების ფსევდონიმიზაცია, ექსპორტის მინიმიზაცია BI- ში.
ინციდენტების გეგმა, „72 საათი“, სავარჯიშოები.

მარკეტინგი/ePrivacy

ბანერი ცალკეული ნისლეულებით; ჟურნალი consents.
მარკეტინგის ცალკეული ბაზები და მომხმარებლები თვითგამორკვევაში.

მონაცემთა გადაცემა

SCC/BCR/TIA ყველა ტრანსსასაზღვრო ნაკადისთვის.
პროვაიდერების მონაცემთა რუკა (KYC, PSP, ღრუბლები, ანტიფროდი).

13) ხშირი შეცდომები და როგორ მოვერიდოთ მათ

შეაგროვეთ „რეზერვზე“. დამატებითი დოკუმენტები/ეკრანის კადრები გაჟონვის რისკს წარმოადგენს. გამოსავალი: დასაშვები არტეფაქტების + თეთრი ჩამონათვალის შემცირება.

Cookie ბანერი „მუქი ნიმუშებით“. გააკეთეთ ეკვივალენტური ღილაკები „მიიღეთ/გადახრა“.

DPIA და DPA- ს არარსებობა. მათ გარეშე რთულია პროფილის გამართლება და მონაცემების გადაცემა პარტნიორებზე.

ერთი წვდომა „სუპერ ადმინი“. გაუზიარეთ როლები, დააკავშირეთ JIT წვდომა.

TIA არ არის ღრუბლები/ანალიტიკა. შეაფასეთ სერვერების ადგილმდებარეობა და მესამე ქვეყნების კანონის გამოყენება.

14) მინი-FAQ

ჩვენ ევროკავშირში არ ვართ. GDPR ვრცელდება ჩვენზე?

დიახ, თუ თქვენ გთავაზობთ მომსახურებას ევროკავშირის/EEZ ადამიანებისთვის, ან აკონტროლებთ მათ ქცევას (ქუქი-ფაილები/ანალიტიკა).

აუცილებელია ყოველთვის თანხმობა ანტიფროდისა და RG- სთვის?

არა ყოველთვის: ჩვეულებრივ, იურიდიული ინტერესი/იურიდიული მოვალეობა. მაგრამ საჭიროა DPIA და გამჭვირვალობა + წინააღმდეგობის შესაძლებლობა, თუ გამოიყენება.

შესაძლებელია თუ არა KYC დოკუმენტების შეუზღუდავად შენახვა?

არა. შეადგინეთ გამართლებული დრო და ამოიღეთ/ანონიმიზაცია მათი ამოწურვის შემდეგ.

ავტომატური გამომავალი ბლოკია „გადაწყვეტილებების ავტომატური მიღება“?

დიახ, პოტენციურად. უზრუნველყეთ „ადამიანის უფლებები“, ახსნა და გადასინჯვის უფლება.

საფულის მისამართი - პირადი მონაცემები?

ეს შეიძლება გახდეს ასეთი, თუ ეს დაკავშირებულია იდენტიფიცირებულ ადამიანთან. მიაქციეთ onboarding PII- ს.

15) შედეგი

GDPR მოითხოვს არა „ქაღალდის ფურცელს“, არამედ მონაცემთა მართვის სისტემებს: მკაფიო მიზნები და სამართლებრივი საფუძვლები, მინიმიზაცია, უსაფრთხო არქიტექტურა, მოვაჭრეების კონტროლი და მოთამაშეთა უფლებების პატივისცემა. ოპერატორი, რომელიც აშენებს კერძო და კერძო დიზაინს და ახორციელებს ანგარიშსწორებას (RoPA, DPIA, DPA, DPO, ინციდენტის გეგმა), ამცირებს იურიდიულ და გადახდის რისკებს, აჩქარებს აუდიტს და ზრდის მომხმარებელთა ნდობას - რაც იმას ნიშნავს, რომ ის იმარჯვებს გრძელი.