Закони ЄС про захист даних (GDPR) та казино

Казино обробляють одні з найчутливіших даних: платежі, документи KYC, ігрову історію, поведінкову аналітику, запити по Responsible Gaming (RG). У ЄС та ЄЕЗ така обробка регулюється GDPR (General Data Protection Regulation). Для оператора це - чіткі обов'язки і штрафні ризики; для гравця - сильний набір прав і прозорість.

Хто є хто: ролі та відповідальність

Контролер (controller): найчастіше B2C-оператор казино. Він визначає цілі і засоби обробки, несе основну відповідальність.

Процесор (processor): KYC-провайдер, PSP, хмарний хостинг, антифрод, e-mail-сервіс - діють від імені контролера за договором обробки (DPA).

Спільні контролери (joint controllers): можливі при загальних цілях (наприклад, спільна акція з партнером) - потрібен прозорий розподіл ролей та інформування гравців.

Правові підстави обробки (Art. 6 GDPR)

1. Договір (Contract): створення акаунту, проведення ставок/виплат, підтримка.

2. Юридичний обов'язок (Legal obligation): KYC/AML, бухгалтерія, RG-вимоги, податкові правила.

3. Легітимний інтерес (Legitimate interests): базова антифрод-аналітика, безпека, боротьба зі зловживаннями - при обов'язковій оцінці інтересів (LIA) і прав гравців.

4. Згода (Consent): e-mail/SMS-маркетинг, необов'язкові куки, деякі види персоналізованої реклами і поведінкового профайлінгу.

5. Життєво важливі інтереси/суспільне завдання - застосовуються рідко.

💡 Важливо: згода повинна бути вільною, конкретною, поінформованою і однозначною, з легкою можливістю відкликання. «Типова згода» неприпустима.

Спеціальні категорії та чутливі контексти

Спецкатегорії (ст. 9): здоров'я, біометрія тощо - зазвичай не потрібні. Якщо використовується біометрія для «liveness», вона повинна оброблятися мінімально і за суворою основою/процедурами.

Дані неповнолітніх: жорсткий віковий контроль; маркетинг дітям - під забороною.

RG/affordability: обробка сигналів проблемної гри вимагає мінімізації, прозорості та DPIA.

Права гравця (суб'єкта даних)

Доступ (Art. 15): копія даних та опис обробки.

Виправлення (Art. 16) і видалення (Art. 17) там, де це можливо і не конфліктує з AML/бухгалтерськими термінами зберігання.

Обмеження (Art. 18) і заперечення (Art. 21) - наприклад, проти маркетингу на «легітимному інтересі».

Переносимість (Art. 20): профільні дані в машиночитаному вигляді.

Не бути об'єктом рішення, заснованого тільки на автоматизованій обробці (Art. 22): якщо є профайлінг з юридичними наслідками - потрібні пояснення і право на людське втручання.

Оператор зобов'язаний надати простий канал запитів DSAR і відповісти без необґрунтованих затримок (зазвичай до 1 місяця).

Кукі, трекінг і маркетинг

Строго необхідні куки: без згоди.

Аналітика/реклама/персоналізація: за згодою (банер/панель управління перевагами; «увімкнути/вимкнути» за категоріями).

E-mail/SMS-маркетинг: згода (opt-in) + можливість відписки в кожному повідомленні.

Ретаргетинг і look-alike-аудиторії: вимагають явного повідомлення і зазвичай - згоди.

Self-exclusion/RG: ніяких промо на відключені і самовиключені акаунти.

Терміни зберігання (retention)

Зберігати «не довше, ніж це необхідно» для цілей:

KYC/AML: роки (за законом, залежно від юрисдикції).
Ігрові логи та транзакції: за ліцензійними правилами та аудитами.
Маркетингові профілі: до відкликання згоди або закінчення терміну активності; при відкликанні - припинити обробку і видалити/анонімізувати.

Потрібні політики ретенції, автоматичні завдання з видалення/анонімізації та реєстр операцій (RoPA).

Міжнародні передачі даних

Якщо дані йдуть за межі ЄЕЗ:

Використовуються SCC (стандартні договірні положення) і проводиться Transfer Impact Assessment (TIA); перевіряються закони країни одержувача і технічні заходи (шифрування, псевдонімізація).
Альтернативи: адекватність країни-одержувача, Binding Corporate Rules тощо.
Оператор зобов'язаний прозоро інформувати гравця, хто отримує дані і на якій підставі.

Безпека обробки (Art. 32)

TLS/HTTPS скрізь, шифрування «на диску» (at rest), токенізація платежів, сегрегація доступів, журнали (audit trail), DLP.

Управління інцидентами: моніторинг, плани реагування, регулярні тести.

Оцінка впливу (DPIA): для високоризикових сценаріїв (наприклад, велика поведінкова аналітика, нові біометричні перевірки).

Офіцер із захисту даних (DPO): обов'язковий, якщо масштаб/тип обробки цього вимагають (часто - так для ліцензованого оператора).

Порушення та сповіщення (breach)

При витоку або інциденті безпеки оператор:

1. оцінює ризик для прав і свобод, 2. повідомляє наглядовий орган протягом 72 годин, 3. при високому ризику - інформує гравців зрозумілою мовою, 4. документує все і реалізує заходи ремедіації.

Практичні приклади

KYC и AML:

Підстави: юридичний обов'язок + загальноцікаве завдання по ПІД/ФТ.
Мінімізація: не зберігати CVV; документи - тільки в захищеному сховищі, доступ за ролями.
Терміни: за законом; після їх закінчення - видалення/анонімізація.

Anti-fraud и RG:

Підстава: легітимний інтерес та/або юридичний обов'язок; LIA + DPIA при розширеному профайлінгу.
Прозорість: описати типи сигналів (velocity, device, скасування висновків), логіку втручань і права гравця.

Маркетинг:

Тільки за згодою; детальний центр переваг; миттєва відписка; виключення самовиключених/VIP з обмеженнями.

Типові помилки операторів

Змішують правові підстави (наприклад, маркетинг під виглядом «легітимного інтересу» без LIA).

Тримають дані «назавжди», немає політики retention.

«Глухий» cookie-банер без реальної відмови.

Немає RoPA, DPIA, DPO або вони «для галочки».

Передачі за межі ЄЕЗ без TIA і технічних заходів.

Гравці не знаходять, куди відправляти DSAR, відповіді затягуються.

Що важливо знати гравцеві (права на практиці)

Ви можете запросити копію своїх даних та історію обробки.

Можна заперечити проти маркетингу і відкликати згоди - промо зобов'язані зупинити.

Можна виправити неточності, зажадати видалення (якщо немає юридичних зобов'язань зберігати).

При витоку з високим ризиком вас повинні повідомити зрозумілим чином.

Шукайте на сайті: політику приватності, контакти DPO, центр cookie-налаштувань.

Чек-лист оператора (коротко)

Юридична та документація

RoPA (реєстр операцій), LIA, DPIA, DPA з процесорами.
Призначено DPO; канали DSAR працюють і задокументовані (SLA).
Прозора політика приватності, окрема сторінка RG/AML-обґрунтувань.

Техпроцеси та безпека

TLS 1. 2/1. 3, шифрування at rest, токенізація PAN, доступ за ролями, журнали.
Політики retention і автоматичне видалення/анонімізація.
Плани інцидентів, тести, 72-годинне повідомлення.

Кукі/маркетинг

Справжній CMP: згода/відмова за категоріями, логіка «opt-out» виконується.
Opt-in на e-mail/SMS, миттєва відписка; виключення самовиключених.

Міжнародні передачі

SCC + TIA, технічні заходи; реєстр третіх країн і процесорів.

Чек-лист гравця

Прочитав політику приватності; розумію, які дані, навіщо і скільки зберігають.
Налаштував cookie-уподобання, відписався від зайвого маркетингу.
Знаю, як подати DSAR і зв'язатися з DPO.
Включив 2FA/Passkeys і повідомлення про входи/зміни (захист аккаунта - теж захист даних).
Використовую лише https://на офіційному домені; документи KYC завантажую через вбудований портал.

FAQ (коротко)

Чи може оператор відмовити у видаленні даних?

Так, якщо є юридичний обов'язок зберігати (наприклад, AML/бухгалтерія). Після закінчення термінів - видалення/анонімізація обов'язкові.

Чи потрібен окремий consent для базової антифрод-аналітики?

Зазвичай - ні (легітимний інтерес/обов'язок безпеки), але потрібно LIA, прозорість і можливість заперечення, якщо це не підриває безпеку.

Маркетинг по e-mail без згоди - можна?

В ЄС, як правило, потрібен opt-in (є нюанси «м'якого» opt-in для клієнтів - дійте за локальним законом і пропорційною практикою).

Куди скаржитися, якщо права порушені?

На підтримку/до DPO, потім - в національний наглядовий орган із захисту даних (DPA).

GDPR в гемблінгу - не паперова формальність. Це про мінімізацію, прозорість, безпеку, терміни зберігання і права гравців. Оператор, який грамотно оформив правові підстави, вибудував процеси (DPIA, DPO, DSAR, TIA) і технічно захищає дані, отримує стійку ліцензію і довіру платіжних партнерів. Гравець - контролює свої дані і отримує передбачуваний, безпечний досвід.