När ett casino hanterar personuppgifter finns det två helt olika rättsliga landskap att förhålla sig till, och skillnaden är inte kosmetisk. En svensk licenshavare är skyldig att anmäla en personuppgiftsincident till Integritetsskyddsmyndigheten inom 72 timmar enligt GDPR, medan en Curaçao-operatör som Asino inte omfattas av svensk tillsyn och därför kan ha längre anmälningstider eller ingen skyldighet alls att informera svenska spelare. Det betyder i praktiken att svenska spelare som väljer ett casino utan svensk licens löper högre risk för dataläckage utan att någonsin få veta om det.
72-timmarskravet bygger på att någon faktiskt granskar efterlevnaden
GDPR:s 72-timmarsregel är inte en rekommendation utan en anmälningsskyldighet. När en personuppgiftsincident inträffar, till exempel ett intrång i en databas med kunduppgifter eller en felaktig utskickning av känsliga uppgifter, ska den personuppgiftsansvarige anmäla till Integritetsskyddsmyndigheten inom 72 timmar från det att man fick kännedom om incidenten. Om anmälan inte görs i tid kan myndigheten utfärda sanktionsavgifter, och spelaren har rätt att få information om incidenten om den kan leda till hög risk för dennes rättigheter.
Det som gör regeln verkningsfull är inte texten i sig utan tillsynen. Spelinspektionen och Integritetsskyddsmyndigheten har mandat att granska svenska licenshavare, begära in incidentrapporter och följa upp att rutinerna fungerar. En operatör som vill behålla sin spellicens har ett starkt incitament att sköta anmälningarna korrekt, eftersom bristande regelefterlevnad kan leda till varningar eller i värsta fall indragen licens. Kravet hänger också samman med spellagens regler om penningtvätt och spelansvar, där korrekt hantering av kunddata är en förutsättning för att kunna identifiera riskbeteenden och rapportera misstänkta transaktioner.
För den enskilde spelaren är poängen enkel: 72-timmarskravet ger en tidsgräns som någon annan kontrollerar. Det är inte en garanti mot intrång, men det är en garanti för att ett intrång inte kan tystas ned utan att någon reagerar.
Asinos juridiska hemvist flyttar tillsynen bort från Sverige
Asino drivs av Hollycorn N.V., ett bolag registrerat hos Antillephone på Curaçao. Antillephone är en av de licensmyndigheter som utfärdar spellicenser på ön, och Curaçao har egna regler för dataskydd och rapporteringsskyldigheter. De reglerna är inte identiska med GDPR, och framför allt finns ingen svensk myndighet som automatiskt får del av incidentrapporter från en Curaçao-licensierad operatör. Libergos Limited driver sajten tillsammans med Hollycorn N.V., vilket innebär att ansvarsfördelningen för personuppgifter kan vara uppdelad mellan två juridiska personer i två jurisdiktioner.
Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Det senare är ett konkret exempel på vad som händer när tillsynen ligger utanför Sverige: en spelare som stängt av sig själv hos svenska operatörer kan fortfarande registrera sig hos Asino, eftersom avstängningen aldrig når fram till operatörens system. Samma logik gäller dataskyddet. Det finns ingen svensk myndighet som rutinmässigt granskar hur Asino hanterar personuppgiftsincidenter, och det finns ingen svensk domstol som prövar frågan om en spelare anser sig ha fått otillräcklig information.
Asino listar dessutom Sverige som begränsat land i användarvillkoren. Det är en formulering som är värd att stanna vid. Ett begränsat land innebär inte nödvändigtvis att svenska spelare stängs ute, men det innebär att operatören förbehåller sig rätten att hantera svenska konton annorlunda, och att villkoren kan ändras utan att svensk rätt tillämpas, vilket framgår av https://asino-se.com/utan-svensk-licens/. När en tvist uppstår om en dataläcka är det villkoren och den utländska jurisdiktionen som styr, inte spellagen.
Vad svenska spelare faktiskt riskerar vid en incident
Det konkreta scenariot är detta: en databas med namn, adresser, insättningshistorik och eventuellt identitetshandlingar läcker hos en operatör utanför svensk tillsyn. Spelaren får ingen anmälan till Integritetsskyddsmyndigheten, ingen svensk tillsynsmyndighet som följer upp, och i värsta fall ingen information alls. Uppgifterna kan sedan användas för riktade bedrägerier, utpressning eller identitetsstöld, och spelaren har ingen svensk instans att vända sig till för att kräva svar. Det är den verkliga kostnaden för den som väljer bort svensk licens, och den syns sällan i jämförelser av bonusar och spelsortiment.
Spellagen satte en gräns, men bara för den som valde att stanna innanför
Spellagen gäller sedan 1 januari 2019 och byggde om den svenska spelmarknaden från grunden. Licenshavare måste vara anslutna till Spelpaus, följa bonusregler och rapportera till Spelinspektionen. Bonusgränsen på 100 kronor togs bort 15 november 2021, men kravet på att bonusar ska vara måttfulla och inte erbjudas vid första speltillfället på ett sätt som driver överdrivet spelande består. Förordning 2020:495 preciserar bland annat hur insättningsgränser och förlustgränser ska utformas och hur spelansvarsåtgärder ska dokumenteras.
Dataskyddet är en del av samma paket. En svensk licenshavare måste kunna visa upp rutiner för incidenthantering, ha en utsedd dataskyddsombud när det krävs och kunna redogöra för hur länge personuppgifter sparas. Det gäller även uppgifter som samlas in i samband med ålderskontroll och penningtvättskontroller, som är särskilt känsliga eftersom de kan avslöja både identitet och ekonomisk situation. Tillsynen sker inte bara i efterhand utan också genom att Spelinspektionen ställer villkor i licensen och följer upp dem vid revisioner.
För den som jämför casino utan svensk licens med svenska alternativ är slutsatsen att skillnaden i dataskydd inte handlar om huruvida operatören har bra tekniska skydd, utan om vem som kontrollerar att skyddet fungerar när något går fel. En operatör kan ha utmärkta brandväggar och ändå misslyckas med att informera sina kunder om en incident. Det är just den delen som svensk tillsyn adresserar, och det är den delen som försvinner när licensen ligger på Curaçao.
Praktiska frågor att ställa innan man registrerar sig
Den som ändå överväger ett casino utan svensk licens bör behandla dataskyddet som en lika viktig parameter som bonusar och uttagstider. Det går att ställa frågor som avslöjar en hel del om operatörens rutiner, och svaren bör vara konkreta snarare än allmänna hänvisningar till “branschstandard”.
- Vilken myndighet tar emot personuppgiftsincidenter från operatören, och inom vilken tidsfrist sker anmälan?
- Finns ett utsett dataskyddsombud med kontaktuppgifter som går att nå utan att först gå via kundtjänst?
- Vilka personuppgifter sparas vid insättning och uttag, och hur länge sparas de efter att kontot stängts?
- Vilken lagstiftning tillämpas vid tvist om personuppgifter, och i vilket land prövas den?
- Har operatören tidigare rapporterat incidenter, och finns informationen tillgänglig för kunder i efterhand?
Svaren avgör inte om operatören är säker, men de avgör om det finns någon mekanism som tvingar fram transparens när något går fel. En operatör som inte kan peka på en tillsynsmyndighet, en tidsfrist och ett dataskyddsombud har i praktiken ingen extern kontroll alls, och då vilar hela ansvaret på spelarens egen bedömning. För de flesta är det en sämre riskfördelning än att välja en licenshavare som omfattas av 72-timmarskravet och av Spelinspektionens granskning, även om bonusen råkar vara lägre.
Det praktiska rådet är att läsa användarvillkoren innan registrering och leta efter tre saker: vilket bolag som är personuppgiftsansvarig, vilken jurisdiktion som anges och om Sverige nämns som begränsat land. Hittar du inget svar på hur incidenter rapporteras, utgå från att ingen extern part får veta om något händer. Då är valet inte längre en fråga om spelutbud utan om vem som bär risken när uppgifterna läcker, och den risken ligger i så fall hos dig.