Wie een account aanmaakt bij een online kansspelaanbieder, laat gegevens achter: een naam, een geboortedatum, een rekeningnummer. Dit stuk beschrijft welke gegevens een speelaccount doorgaans vastlegt, welke rechten de Europese privacywet, de AVG, daaraan koppelt, hoe gegevens worden beveiligd en waarom de identiteit van spelers moet worden vastgesteld. Ook de ontwikkeling van de Europese privacywetgeving komt kort aan bod.
Cookies en tracking op kansspelsites
Een website plaatst kleine bestanden in de browser, de zogeheten cookies. Functionele cookies zijn nodig om de site te laten werken, bijvoorbeeld om ingelogd te blijven of een taalkeuze te onthouden. Analytische cookies meten hoe een site wordt gebruikt, en tracking- of marketingcookies volgen bezoekers over meerdere sites heen. Voor die laatste twee soorten is volgens de Europese regels toestemming nodig, en die toestemming moet vrij en specifiek zijn. Een bezoeker kan dus kiezen wat wel en niet wordt vastgelegd.
Welke gegevens een speelaccount doorgaans vastlegt
Een speelaccount hoort bij een persoon en vraagt daarom om gegevens die identiteit en leeftijd vaststellen. Daarnaast zijn betaalgegevens nodig, omdat alle stortingen en uitbetalingen via de speelrekening lopen, en de aanbieder legt vast hoe het account wordt gebruikt. Dat laatste is nodig voor onder meer limieten en meldingen over speelduur. De gegevens dienen dus verschillende doelen, die van elkaar zijn te onderscheiden. Hoe een online casino zijn accountpagina’s aan bezoekers presenteert, is bijvoorbeeld te zien bij Pirate Spins Casino.
Een Nederlandse vergunninghouder moet bovendien kunnen controleren of een speler is uitgesloten via het Centraal Register Uitsluiting Kansspelen (CRUKS). Ook daarvoor zijn gegevens nodig, die na de controle alleen worden gebruikt voor het doel waarvoor ze zijn verzameld. Zo beperkt de wet de verwerking tot wat noodzakelijk is, en moet een aanbieder kunnen uitleggen waarom een gegeven wordt gevraagd. Een bijkomend gegeven mag daarom niet zonder reden worden opgevraagd. Voor de speler betekent dit dat vragen naar het doel van een gegeven gerechtvaardigd is. Wie een privacyverklaring leest, ziet doorgaans per categorie gegevens wat het doel is, hoe lang ze worden bewaard en met wie ze eventueel worden gedeeld.
Gegevens die doorgaans nodig zijn bij registratie:
- Naam en geboortedatum, om identiteit en leeftijd vast te stellen.
- Adresgegevens en contactgegevens.
- Een eigen betaalrekening voor stortingen en uitbetalingen.
- Gegevens over het gebruik van het account, zoals limieten en speelduur.
Rechten van betrokkenen: inzage, correctie en verwijdering
De AVG geeft iedere persoon van wie gegevens worden verwerkt een aantal rechten. Het recht op inzage betekent dat iemand kan opvragen welke gegevens een organisatie over hem of haar heeft vastgelegd en waarvoor ze worden gebruikt. Het recht op correctie geldt wanneer gegevens onjuist of onvolledig blijken. Het recht op verwijdering, ook wel het recht om vergeten te worden genoemd, geeft de mogelijkheid om gegevens te laten wissen. Dat recht is niet onbeperkt, omdat een aanbieder sommige gegevens op grond van andere wetten moet bewaren, bijvoorbeeld omdat een administratie of een controle dat vereist. Wat wel kan, is vragen welke gegevens blijven staan en om welke reden.
Tip: bewaar een kopie van de privacyverklaring zoals die gold bij registratie. Een verzoek gaat naar de organisatie zelf, doorgaans via het contactpunt in de privacyverklaring; bij problemen kan een betrokkene de toezichthouder op gegevensbescherming inschakelen.
Beveiliging van gegevens achter de schermen
Gegevens worden op twee manieren beschermd. Tijdens het versturen zorgt versleuteling ervoor dat een onderschepte verbinding niets leesbaars oplevert; dat is te herkennen aan het slotje in de browser. Bij opslag bepaalt toegangsbeheer wie welke gegevens kan inzien, zodat alleen medewerkers met een taak toegang hebben. Betaalgegevens vragen daarbij een extra zorgvuldige behandeling, en sterke authenticatie bij betalingen is een vast onderdeel geworden van de Europese regels. Aanbieders moeten bovendien kunnen aantonen welke maatregelen zijn genomen en regelmatig nagaan of ze nog voldoen.
Waarom identiteit en leeftijd worden vastgesteld
Voordat een speler toegang krijgt, moet de aanbieder de identiteit en de leeftijd vaststellen. Deelname is voorbehouden aan personen van 18 jaar en ouder. Deze controle is een kwaliteitsstandaard van de gereguleerde markt: ze zorgt ervoor dat alleen volwassenen toegang krijgen en dat elk account aan een bekende persoon is gekoppeld. De controle gebeurt vooraf en vormt de basis voor andere maatregelen. Zonder vaststaande identiteit zou het bijvoorbeeld niet mogelijk zijn om uitsluiting of limieten betrouwbaar toe te passen.
Hoe privacywetgeving in Europa zich ontwikkelde
Privacy is in Europa lange tijd een nationale aangelegenheid geweest, met per land eigen regels. Doordat gegevens steeds vaker over de grens worden verwerkt, ontstond de behoefte aan een gezamenlijk kader. De AVG, in andere landen vaak aangeduid als GDPR, vervangt de verschillende nationale regels door een Europese basis. Daarmee gelden dezelfde rechten en plichten in alle lidstaten.
Samengevat legt een speelaccount in Nederland gegevens vast die nodig zijn voor identiteit, leeftijd, betalingen en gebruik. De AVG geeft de betrokkene rechten op inzage, correctie en verwijdering, en de aanbieder moet gegevens beveiligen en alleen voor een duidelijk doel gebruiken. Cookies vragen om toestemming zodra ze meer doen dan de site laten functioneren. Wie weet welke gegevens waarom worden verwerkt en welke keuzes daarbij mogelijk zijn, kan privacyverklaringen beter lezen en vragen gerichter stellen.
