ЕБ маалыматтарды коргоо мыйзамдары (GDPR) жана кардарлардын купуялуулугу

1) негизги жөнүндө кыскача

GDPR - жеке маалыматтарды коргоо боюнча ЕБ негизги мыйзам. Бул ар бир адам үчүн колдонулат:

оператор ЕБден тышкары болсо да, ЕБ/ЕЭАдан адамдардын маалыматтарын иштеп чыгат;
аларга кызматтарды (анын ичинде онлайн казинолорду) сунуштайт же алардын жүрүм-турумуна көз салат.

бузуу үчүн - чейин айып 20 млн € же 4% дүйнөлүк жүгүртүү (бул көп), плюс иштетүү жана кадыр-баркын жоготууга тыюу салуу.

2) Негизги принциптер (ст. 5 GDPR)

1. Мыйзамдуулук, адилеттүүлүк, ачык-айкындуулук. Түшүнүктүү саясатчылар, чынчыл билдирүүлөр.

2. Максаттарды чектөө. Билдирилген тапшырмалар үчүн гана маалыматтарды колдонуу (KYC/AML, Responsible Gambling, төлөмдөр, колдоо, аналитика ж.б.).

3. Минималдаштыруу. Зарыл болгон нерселерди гана чогултуу (мисалы, 3-DS жана банктык көчүрмө жетиштүү болсо, "карта менен селфи" сактабоо).

4. тактык. Дарегин/документтерин жаңыртуу, дубликаттардан качуу.

5. сактоо чектөө. Retension так мөөнөтү (адатта, каржылык документтер үчүн 5-7 жыл; кыскасы - телеметрия үчүн).

6. Бүтүндүк жана купуялуулук. Шифрлөө, жеткиликтүүлүктү көзөмөлдөө, журналдаштыруу.

7. Отчеттуулук. Шайкештикти далилдөө (саясат, DPIA, иштеп чыгуу жазуулары).

3) Укуктук иштетүү негиздери (6-берене) - Casino ылайыктуу

Юридикалык милдет: KYC/AML/санкциялык скрининг, фискалдык отчеттуулук, төлөм журналдарын жүргүзүү.

Келишим: оюн эсебин түзүү жана тейлөө, толуктоо/чыгаруу, саппорт.

Мыйзамдуу кызыкчылык: анти-тир, коопсуздук, продукт негизги талдоо, жооп оюн сигналдары (жергиликтүү нормаларга карама-каршы келбесе).

макулдук: электрондук почта/SMS-маркетинг, жарнама үчүн кукилер, стандарттуу эмес профилдер.

Маанилүү кызыкчылыктар/коомдук милдет: сейрек, так.

💡 Атайын категориялар (ден соолук, дин ж.б.) iGaming дээрлик кереги жок - аларды чогултуу алыс. жашоо → үчүн Biometrics DPIA жана минималдаштыруу менен так аныктоо катары колдонулат.

4) Жоопкерчилик ролдору жана чектери

Контролер: казино оператору - максаттарды/каражаттарды аныктайт.

Иштеп чыгуучу (processor): KYC-провайдерлер, PSP, булуттар, антифрод, ончейн-аналитика, маркетинг платформалары.

Так көрсөтмөлөр, субпроцессорлор, коопсуздук чаралары, аудит-укуктар жана мыйзам бузуулар жөнүндө билдирүүлөр менен DPA (иштетүү келишимдери) керек.

5) DPIA, DPO жана Records иштеп чыгуу

DPIA (маалыматтарды коргоого тийгизген таасирди баалоо) жогорку тобокелчиликте милдеттүү болуп саналат: КБК/биометрия, RG жүрүм-турум мониторинги, ири профилдештирүү, трансчек аралык которуулар.

Эгерде иштетүү масштабы чоң же системалуу мониторинг бар болсо, DPO (маалыматтарды коргоо кызматкери) дайындоо.

Иштетүү операцияларынын реестрин (RoPA) жүргүзүңүз: маалыматтардын категориялары, максаттары, укуктук негиздери, сактоо мөөнөттөрү, алуучулар, коопсуздук чаралары.

6) Маалымат субъектисинин укуктары жана SLA жооптор

Оюнчу төмөнкүлөргө укуктуу: кирүү, оңдоо, алып салуу ("right to be forgotten"), чектөөлөр, чыдамкайлык, каршы пикирлер, ошондой эле автоматташтырылган чечимдер/профилдер боюнча түшүндүрмө берүү (мисалы, антифрод блогу).

Жооп берүү мөөнөтү - адатта 1 айга чейин (дагы 2 кыйынчылык менен узартылышы мүмкүн).

Саппорт/CRM процесстери, суроо-талаптын инсандыгын текшерүү жана WORM-журналдар чечимдери керек.

7) Cookies, ePrivacy жана онлайн маркетинг

Макулдук баннери: аналитика/жарнама үчүн ачык opt-in, жеке ачкычтар, "мааниси боюнча бирдей" баскычтары (кабыл алуу/четке кагуу).

Катуу зарыл кукилер - макулдугу жок, бирок саясатта сүрөттөлүшү менен.

E-mail/SMS-маркетинг: макулдугу менен гана (же кээ бир өлкөлөрдө иштеп жаткан кардарлар үчүн "жумшак opt-in") + жеңил opt-out.

Ремаркетинг жана look-alike - валиддик макулдук менен гана; өзүн-өзү жокко чыгарган жана аялуу топтордун тизмесин жокко чыгарыңыз.

8) Эл аралык маалыматтарды берүү (V-топ)

ЕЭБден тышкары берүү төмөнкү учурларда мүмкүн болот:

Adequacy (өлкө адекваттуу деп таанылган), же
SCCs (стандарттык келишимдик жоболор) + ТИА (берүү таасирин баалоо), же
Binding Corporate Rules компаниялар тобу үчүн.
булуттарды текшерүү, anti-fraud, on-chain аналитика, helpdesk - кайда физикалык сакталат жана маалыматтарды иштеп чыгуу.

9) Коопсуздук (32-берене) жана инциденттер (33/34-берене)

Минималдуу "темир-бетон":

Шифрлөө "тынч" жана "транзитте", ачкычтарды башкаруу.
RBAC/ABAC, администраторлор үчүн MFA, нөлдүк эсептер.
Айлана-чөйрөнү сегрегациялоо, иш-аракеттер журналы (админ/колдоо), аномалияларды көзөмөлдөө.
Телеметрия жана аналитика үчүн Tokenization/Pseudonymization.
Инциденттерге, машыгууларга, багбаунттарга жооп берүү планы.

Коопсуздукту бузуу: көзөмөл органына 72 сааттын ичинде, ал эми субъекттерге зыян келтирүү коркунучу жогору болсо маалымдоо. Инциденттердин реестрин жүргүзүү.

10) ичке жерлер iGaming жана аларды жабуу үчүн кантип

1. Биометрия жана жашоо. DPIA, шаблондорду жергиликтүү сактоо (же текшерүүдөн кийин алардын жоктугу), ачык-айкын алып салуу мөөнөтү.

2. Ончейн-маалыматтар. Крипто дареги адам менен байланышта болсо, жеке маалыматтар болуп калышы мүмкүн - TIA өткөрүү, оюнчунун дарегин жарыялабоо, минималдаштыруу менен отчетторду сактоо.

3. Responsible Gambling жана кароо. Түшүндүрүлүүчү моделдер (XAI), катаал чаралар үчүн "human-in-the-loop", талаш укугу.

4. VIP и SoF/SoW. Зарыл нерселерди гана чогултуу, мөөнөтүнө жараша алып салуу, банктык көчүрмөлөрдү коргоо.

5. Аффилиаттар жана пикселдер. Биргелешкен контролдоо? Келишимдерде бекитүү, өзүн-өзү жокко чыгарган синхрондуу тыюу салууну камсыз кылуу, макулдуктарды мыйзамдуу чогултуу.

6. жөнгө салуучу суроо/LEA. Документтештирилген ачыкка чыгаруу жол-жоболору, минималдаштыруу, укуктук база (ст. 6 (1) (с )/( е)).

11) Retence: кантип "акылдуу" мөөнөттөрдү берүү керек

КБК/финансылык документтер: 5-7 жыл (улуттук каржы нормалары).

Сессия/түзмөк Логи: 12-24 ай (ID жок - узак).

RG сигналдар жана учурларда: чектөө + аудит мөөнөтү жарактуу чейин.

Маркетинг маалыматтары: макулдук алынганга чейин же активдүүлүгү жок 24 ай.

Биометрия: эгерде мыйзамда башкасы талап кылынбаса, текшерүүдөн кийин дароо алып салуу.

12) Практикалык шайкештик чек тизмеси (кыска)

Укуктук негиздер жана документтер

Купуялык саясаты жана кукилер, жөнөкөй тил.
кайра иштетүү реестри (RoPA), DPIA боюнча KYC/биометрика/RG/onchain.
DPO дайындалган/аутсорс, байланыш жарыяланган.
Бардык процессорлор менен DPA, субпроцессорлордун тизмеси.

Субъекттердин укуктары

жол-жоболору жана SLA (≤ 1 ай), жооп үлгүлөрү, жеке текшерүү.
Жарык механизмдери opt-out/алып салуу/оңдоо.

Технология жана коопсуздук

Шифрлөө, MFA, сегрегация, WORM Логи.
Псевдонимизация аналитика, BI экспортту азайтуу.
Окуя планы, "72 саат", машыгуу.

Маркетинг/ePrivacy

Өзүнчө тумблерлер менен макулдук баннери; consents журналы.
Өзүнчө маркетинг базасы жана өзүн-өзү жоюу колдонуучулар.

Маалыматтарды берүү

Бардык чек ара агымдары үчүн SCCs/BCR/TIA.
Маалымат картасы (KYC, PSP, булуттар, антифрод).

13) Көп каталар жана аларды алдын алуу үчүн кантип

"Запастагы" чогултуу. Кошумча документтер/скриншоттор → агып кетүү коркунучу. Чечим: минималдаштыруу + уруксат берилген экспонаттардын ак тизмеси.

"Кара үлгүлөр" менен куки баннер. "Кабыл алуу/четке кагуу" барабар баскычтарын жасаңыз.

DPIA жана DPA жок. Аларсыз профилдөөнү жана маалыматтарды өнөктөштөргө берүүнү актоо кыйын.

Бирдиктүү мүмкүнчүлүк "superadmin". Ролдорду бөлүшүү, JIT мүмкүнчүлүгүн туташтыруу.

булут/аналитика боюнча эч кандай ТИА. Серверлердин жайгашкан жерин жана үчүнчү өлкөлөрдүн укуктарынын колдонулушун баалаңыз.

14) Mini-FAQ

Биз ЕБ эмес. Бизге GDPR тиешелүү?

Ооба, эгер сиз ЕБ/ЕЭАдан келген адамдарга кызматтарды сунуштасаңыз же алардын жүрүм-турумуна көз салсаңыз (cookies/аналитика).

Антифрод жана RG үчүн ар дайым макулдук керекпи?

Дайыма эмес: адатта мыйзамдуу кызыкчылык/укуктук милдет. Бирок DPIA жана ачык-айкындуулук + колдонулса, каршылык көрсөтүү мүмкүнчүлүгү талап кылынат.

KYC документтерин түбөлүккө сактоо мүмкүнбү?

Жок. Негиздүү мөөнөттөрдү жазыңыз жана алар аяктагандан кийин алып салыңыз/анонимизациялаңыз.

Автоматтык чыгаруу блогу - бул "өз алдынча чечим кабыл алуу"?

Ооба, мүмкүн. "human-in-the-loop", түшүндүрмө жана кайра карап чыгуу укугун камсыз кылуу.

Капчыктын дареги - жеке маалыматтар?

Эгер аныкталган адам менен байланышта болсо, ушундай болушу мүмкүн. Онбординг учурунда PII катары мамиле.

15) Жыйынтык

GDPR "кагаз" эмес, маалыматтарды башкаруу системасын талап кылат: так максаттар жана укуктук негиздер, минималдаштыруу, коопсуз архитектура, сатуучуларды көзөмөлдөө жана оюнчулардын укуктарын урматтоо. privacy-by-design куруп, жоопкерчиликти (RoPA, DPIA, DPA, DPO, инцидент-план) жүргүзгөн оператор юридикалык жана төлөм тобокелдиктерин азайтат, аудитти тездетет жана кардарлардын ишенимин жогорулатат - демек, узак убакытта утат.