GDPR nel gioco online
Il GDPR è il Regolamento (UE) 2016/679, la norma europea che stabilisce come un operatore di gioco online può raccogliere, usare e conservare i dati personali dei propri iscritti. È direttamente applicabile in tutta l’Unione dal 25 maggio 2018. In Italia lo integra il Codice privacy (D.Lgs. 196/2003, modificato dal D.Lgs. 101/2018), che all’art. 2-bis affida il controllo al Garante per la protezione dei dati personali.
Dove il giocatore incontra il GDPR
Alla registrazione l’operatore deve fornire l’informativa prevista dall’art. 13 e chiedere un consenso distinto per le comunicazioni promozionali.
Quel consenso si revoca con la stessa facilità con cui è stato dato, come stabilisce l’art. 7, par. 3.
Accesso (art. 15), rettifica (art. 16), cancellazione (art. 17) e portabilità (art. 20) si chiedono al titolare, che risponde entro un mese, prorogabile di due nei casi complessi secondo l’art. 12, par. 3. Se la risposta non arriva, puoi presentare reclamo al Garante.
Privacy e obblighi antiriciclaggio a confronto
Il GDPR viene spesso confuso con il D.Lgs. 231/2007, che obbliga anche i prestatori di servizi di gioco a identificare il cliente. Per ogni riga indichiamo quale norma decide il caso concreto.
GDPR (Reg. UE 2016/679) | Antiriciclaggio (D.Lgs. 231/2007) |
|---|---|
| Dati conservati solo per il tempo necessario alla finalità | Documenti KYC conservati 10 anni dalla chiusura del rapporto (art. 31, c. 3) |
| Cancellazione su richiesta dell'interessato (art. 17) | L'obbligo di legge esclude la cancellazione (art. 17, par. 3, lett. b GDPR) |
| Consenso al marketing revocabile in ogni momento | Non disciplina le comunicazioni promozionali |
| Riguarda ogni dato personale del giocatore | Riguarda i dati utili a prevenire il riciclaggio |
Perché il conto chiuso lascia dati archiviati
Molti giocatori si aspettano che una richiesta ai sensi dell’art. 17 cancelli documento d’identità e storico dei prelievi.
Non succede.
L’art. 17, par. 3, lett. b), esclude la cancellazione quando serve ad adempiere un obbligo di legge, e l’art. 31, comma 3, del D.Lgs. 231/2007 impone di conservare per dieci anni dalla cessazione del rapporto i dati dell’adeguata verifica. Quando chiedi la cancellazione, domanda anche quali dati restano archiviati e su quale base giuridica.
