Att granska ett white label-casinos GDPR-ansvar är lite som att läsa det finstilta i ett avtal du aldrig bad om att skriva under. Du loggar in, får en bonus, klickar runt bland spelen och tänker inte på var personuppgifterna tar vägen. Men bakom den blanka designen sitter ofta samma tekniska infrastruktur som hos ett dussin andra varumärken, och samma data kan flöda mellan parter du aldrig hört talas om. Den här checklistan hjälper dig att se efter själv, steg för steg, utan att du behöver vara jurist.
Förstå vem som egentligen är personuppgiftsansvarig bakom varumärket
När du registrerar dig hos ett nytt casino utan svensk licens är det lätt att tro att varumärket i webbläsaren också är den part som bestämmer över dina uppgifter. Verkligheten är mer sammansatt. Många av dessa sajter drivs via white label-lösningar, vilket i praktiken innebär ny design och nytt namn på samma tekniska infrastruktur. Licensen kan sitta hos en maltesisk eller curaçaosk koncern, medan marknadsföringen och kundtjänsten sköts av ett systerbolag eller en extern partner.
Det första du ska leta efter är integritetspolicyn och den så kallade personuppgiftsansvarige. Där ska det framgå vilket juridiskt bolag som ansvarar för behandlingen, inte bara vilket varumärke du ser. Hittar du bara ett varumärkesnamn utan bolagsform och adress är det ett varningstecken. Ett seriöst upplägg namnger den utländska speloperatören med registreringsnummer och anger vilken tillsynsmyndighet som gäller. Att operatören saknar svensk licens betyder inte automatiskt att GDPR inte gäller, men det betyder att du inte har Spelinspektionen som backar upp dig om något går snett.
Notera också om sajten är ett casino utan Spelinspektionens tillsyn men ändå riktar sig till svenska spelare med svenskt språk och svenska betalmetoder. Då triggar GDPR ofta ändå eftersom behandlingen riktar sig till personer i EU. Det ger dig rättigheter, men det ger dig också en motpart som sitter långt bort och sällan svarar snabbt.
Checklista punkt ett: begär ut personuppgiftsbiträdesavtalet
Det här är den enskilt viktigaste åtgärden, och den de flesta hoppar över. Ett personuppgiftsbiträdesavtal, ofta kallat biträdesavtal eller DPA, reglerar hur en leverantör får behandla personuppgifter för den ansvariges räkning. Hos ett white label-casino finns nästan alltid ett sådant avtal mellan varumärket och den underliggande spelplattformen, och ofta ytterligare ett mellan plattformen och tredjepartsleverantörer som betalningsförmedlare, bedrägerikontroll och CRM-system.
Skicka ett kort mejl till kundtjänst och begär en kopia av personuppgiftsbiträdesavtalet, eller åtminstone en sammanfattning av vilka biträden som behandlar dina uppgifter. Du har rätt att få information om mottagare av dina personuppgifter enligt GDPR, så frågan är legitim. Ett bolag som värnar ansvarsfullt spelande och spelskydd brukar kunna svara inom rimlig tid. Får du ingen respons, eller bara en hänvisning tillbaka till integritetspolicyn, säger det en hel del om hur de hanterar sina åtaganden.
Läs särskilt efter om avtalet nämner underbiträden och om varumärket har godkänt dessa i förväg. White label-upplägget bygger på att många parter delar på samma infrastruktur, och varje lager av underbiträden är en ny plats där dina uppgifter kan hamna. Fråga också om det finns ett systerbolag inom koncernen som får ta del av spelhistorik för marknadsföringsändamål. Det är precis den typen av intern dataöverföring som sällan syns i policyn men som påverkar dig direkt genom riktade erbjudanden.
Checklista punkt två: kontrollera överföringen till Curaçao och stödet i SCC
Många casinon utan svensk licens har sin licens hos Curaçao, en jurisdiktion utanför EU och EES. Det betyder att dina personuppgifter sannolikt överförs till ett tredjeland, och då krävs en giltig överföringsmekanism enligt GDPR. Den vanligaste är standardavtalsklausuler, SCC, som är EU-kommissionens färdiga avtalsmallar för överföring till länder utan adekvat skyddsnivå. Curaçao har inget sådant beslut om adekvat skydd, så SCC är i praktiken det enda som håller.
Leta i integritetspolicyn efter formuleringar om internationella överföringar och standardavtalsklausuler. Står det bara att uppgifter “kan komma att delas inom koncernen” utan att nämna vilken mekanism som används, är det en lucka. Be kundtjänst om en kopia av de relevanta SCC-avsnitten, eller åtminstone en bekräftelse på att överföringen sker med stöd av SCC och vilka kompletterande skyddsåtgärder som vidtagits. Du behöver inte kunna tolka varje klausul, men du kan avgöra om de har svar på frågan.
En intressant detalj är att själva varumärkeslanseringen ofta sker från ett annat bolag än det som sitter på Curaçao-licensen. Operatörer lanserar nya varumärken för att attrahera spelare igen, ibland efter att ha tappat spelare i ett annat varumärke, och varje nyregistrering innebär en ny datainsamling. Fråga därför vilket bolag som är mottagare av överföringen och om det är samma part som står bakom licensen. Ju fler led, desto svårare blir det för dig att utkräva rättelse eller radering om något går fel.
Var särskilt uppmärksam på berättigat intresse för marknadsföring
Här kommer den punkt som oftast faller mellan stolarna. White label-operatörer åberopar nästan alltid berättigat intresse som rättslig grund för marknadsföring, och det är den vanligaste grunden som de använder utan att du kan invända mot den i efterhand på ett meningsfullt sätt. Skillnaden mot samtycke är avgörande: vid samtycke kan du dra tillbaka det, men vid berättigat intresse måste du aktivt invända, och du måste göra det mot rätt part, på rätt sätt, och ofta utan att veta att behandlingen pågår.
Läs integritetspolicyn och leta efter formuleringar om berättigat intresse kopplat till marknadsföring, profilering eller “anpassade erbjudanden”. Om de använder berättigat intresse för att skicka riktade bonusar baserat på din spelhistorik, har du rätt att invända enligt artikel 21 i GDPR. Skicka en tydlig invändning skriftligt till både varumärket och, om möjligt, den utländska speloperatören. Spara mejlet. Utan dokumentation är det svårt att visa att du faktiskt invänt.
Här finns en koppling till bonusjakt och spelproblem som är värd att tänka på. När marknadsföringen bygger på berättigat intresse snarare än samtycke kan den fortsätta tills du invänder, och den kan riktas mot dig just för att du tidigare spelat mycket. Det är en affärsmodell som gynnar operatören men sällan spelaren. Ett casino utan svensk licens saknar dessutom de obligatoriska insättningsgränser som svenska licensvillkor kräver, så det finns ingen inbyggd broms i systemet.
Sätt checklistan i arbete innan du registrerar dig
Du behöver inte vara paranoid för att göra den här granskningen. Du behöver bara vara systematisk. Börja med att läsa integritetspolicyn och leta efter den personuppgiftsansvariges namn, överföringar till tredjeland och vilka rättsliga grunder som anges. Skicka sedan tre konkreta frågor till kundtjänst: en kopia av biträdesavtalet, bekräftelse på SCC vid överföring till Curaçao, och en förklaring till om berättigat intresse används för marknadsföring. Dokumentera svaren.
Kom ihåg att Spelpaus enbart omfattar bolag med svensk licens. Cirka 137 700 personer är avstängda från licensierat spel i Sverige, och den siffran skyddar dig bara hos operatörer som faktiskt kontrollerar avstängningsregistret. Ett casino utan spelpaus kontrollerar inte det registret, vilket betyder att självexkluderingen inte gäller där. Om du har ett spelproblem är det en avgörande skillnad, och då bör du hålla dig till licensierade sajter där spelskyddet är reglerat i lag.
Asino publicerar granskning av nya casinon utan svensk licens och går igenom just de här frågorna, så du kan använda deras genomgångar som ett komplement till din egen checklista. Men ytterst är det du som äger dina personuppgifter, och det är du som måste ställa frågorna. Ett svar du får svart på vitt är värt mer än tio vackra formuleringar i en policy. Ta för vana att göra den här kontrollen varje gång du överväger ett nytt varumärke, särskilt när du misstänker att det är samma spelplattform bakom ett nytt namn.
Avslutningsvis: behandla din registrering som ett litet avtal, inte som ett klick. Begär biträdesavtalet, kontrollera SCC-spåret till Curaçao och invänd skriftligt mot berättigat intresse om du inte vill ha riktad marknadsföring. Tre enkla steg, men de skiljer den påkostade fasaden från den faktiska hanteringen av dina uppgifter.