Integritetspolicy

En integritetspolicy (även kallad sekretesspolicy eller personuppgiftspolicy) är ett juridiskt dokument som beskriver hur ett företag samlar in, behandlar, lagrar och skyddar användarnas personuppgifter. Svenska nätcasinon med licens från Spelinspektionen och Malta Gaming Authority (MGA) måste följa strikta dataskyddslagar – inklusive den europeiska dataskyddsförordningen (GDPR) och svenska dataskyddslagen.

Integritetspolicyn på ett nätcasino ger dig som spelare insyn i vilka uppgifter som samlas in när du registrerar ett konto, gör insättningar och spelar. Dokumentet specificerar också dina rättigheter enligt dataskyddslagarna, hur länge uppgifterna sparas och vilka tredje parter som eventuellt får tillgång till informationen.

Varför har nätcasinon en integritetspolicy?

Nätcasinon hanterar känsliga personuppgifter dagligen – från personnummer och betaluppgifter till spelhistorik och insättningsbelopp. Integritetspolicyn fyller flera viktiga funktioner för både spelaren och operatören.

Enligt GDPR (General Data Protection Regulation), som trädde i kraft den 25 maj 2018, måste alla företag som behandlar personuppgifter tillhörande EU-medborgare informera om hur uppgifterna används. Svenska nätcasinon med licens från Spelinspektionen omfattas dessutom av den svenska dataskyddslagen och spellagen (2018:1138). Casinon licensierade på Malta följer den maltesiska dataskyddslagen (Data Protection Act – kapitel 586 i Maltas lagar).

Integritetspolicyn fungerar som ett kontrakt mellan dig och casinot. Genom att acceptera policyn ger du ditt samtycke till den datainsamling och behandling som beskrivs. Utan ett sådant samtycke skulle casinot inte kunna erbjuda sina tjänster lagligt.

Vilka personuppgifter samlar nätcasinon in?

Nätcasinon samlar in olika typer av personuppgifter beroende på vilka tjänster du använder. Uppgifterna delas vanligtvis in i kategorier baserat på hur de samlas in och vad de används till.

Personuppgifter du lämnar själv

Vid registrering och under användningen av casinots tjänster lämnar du aktivt vissa uppgifter. Följande tabell visar typiska exempel på sådana uppgifter och deras syfte:

Uppgiftstyp	Exempel	Syfte
Identitetsuppgifter	Namn, personnummer, födelsedatum	Verifiering av identitet och ålder (KYC)
Kontaktuppgifter	E-postadress, telefonnummer, adress	Kommunikation och verifiering
Betalningsuppgifter	Bankkontonummer, kortuppgifter	Insättningar och uttag
Inloggningsuppgifter	Användarnamn, lösenord	Åtkomst till spelkontot
Spelbegränsningar	Insättningsgränser, tidsgränser	Ansvarsfullt spelande

Personuppgifter som samlas in automatiskt

Utöver uppgifter du aktivt lämnar samlar nätcasinon in teknisk data automatiskt via cookies, webbläsarinformation och serverloggar. Denna data kallas användningsdata och inkluderar IP-adresser, enhetstyp (dator, mobil eller surfplatta), operativsystem, webbläsarversion, besökstid och navigeringsmönster på webbplatsen.

Cookies är små textfiler som lagras på din enhet för att förbättra användarupplevelsen och möjliggöra analys av trafiken. Nätcasinon använder både förstapartscookies (satta av casinot självt) och tredjepartscookies (satta av analysverktyg och marknadsföringsplattformar).

Rättslig grund för behandling av personuppgifter

GDPR kräver att all behandling av personuppgifter grundar sig på en laglig basis. Nätcasinon förlitar sig vanligtvis på flera olika rättsliga grunder beroende på syftet med behandlingen.

Samtycke

Samtycke används när casinot behöver ditt tillstånd för en specifik typ av behandling – exempelvis för att skicka marknadsföringsmaterial via e-post eller SMS. Du har rätt att återkalla ditt samtycke när som helst utan att det påverkar lagligheten av behandling som skett före återkallelsen.

Avtalsförpliktelse

När du registrerar ett spelkonto ingår du ett avtal med casinot. Behandling av personuppgifter som krävs för att uppfylla detta avtal – exempelvis för att processa insättningar och uttag eller verifiera din identitet – grundar sig på avtalsförpliktelse.

Rättslig förpliktelse

Nätcasinon omfattas av omfattande lagkrav från licensmyndigheter, skattemyndigheter och organ för bekämpning av penningtvätt. Behandling av personuppgifter för att uppfylla dessa krav grundar sig på rättslig förpliktelse.

Berättigat intresse

Casinot kan behandla personuppgifter baserat på sitt berättigade intresse när det finns ett affärsmässigt skäl som inte väger tyngre än dina rättigheter och friheter. Typiska exempel inkluderar bedrägeribekämpning, förbättring av tjänster och intern analys.

Följande tabell visar vanliga behandlingsaktiviteter och deras rättsliga grund:

Behandlingsaktivitet	Rättslig grund
Kontoregistrering och identitetsverifiering	Avtalsförpliktelse
Nyhetsbrev och marknadsföring	Samtycke
Transaktionshistorik och bokföring	Rättslig förpliktelse
Bedrägeribekämpning och säkerhet	Berättigat intresse
Kontaktformulär och kundsupport	Berättigat intresse och samtycke
Rapportering till licensmyndigheter	Rättslig förpliktelse
Cookieanalys och trafikmätning	Samtycke (för icke-nödvändiga cookies)

Dina rättigheter enligt GDPR

GDPR ger dig som registrerad en rad rättigheter i förhållande till dina personuppgifter. Nätcasinon är skyldiga att underlätta utövandet av dessa rättigheter och svara på förfrågningar inom en månad (med möjlighet till förlängning vid komplexa ärenden).

Rätt till tillgång

Du har rätt att begära en kopia av alla personuppgifter som casinot lagrar om dig. Denna kopia ska tillhandahållas kostnadsfritt i ett strukturerat och maskinläsbart format. Casinot måste också informera om behandlingens syfte, vilka kategorier av uppgifter som behandlas och vilka mottagare som fått del av uppgifterna.

Rätt till rättelse

Felaktiga eller ofullständiga personuppgifter ska korrigeras på din begäran. Casinot ska genomföra rättelsen utan onödigt dröjsmål och informera eventuella tredje parter som tagit del av de felaktiga uppgifterna.

Rätt till radering

Rätten till radering – även kallad rätten att bli glömd – innebär att du kan begära att casinot raderar dina personuppgifter under vissa förutsättningar. Dessa förutsättningar inkluderar att uppgifterna inte längre behövs för det ursprungliga syftet, att du återkallar ditt samtycke eller att behandlingen varit olaglig.

Casinot kan avslå begäran om radering när uppgifterna behövs för att uppfylla rättsliga förpliktelser – exempelvis arkiveringskrav från licensmyndigheter eller skattelagstiftning.

Rätt till begränsning

Du kan begära att casinot begränsar behandlingen av dina personuppgifter medan en tvist utreds – exempelvis om du ifrågasätter uppgifternas korrekthet eller invänder mot behandlingen.

Rätt till dataportabilitet

Dataportabilitet innebär att du kan begära att få dina personuppgifter överförda till en annan tjänsteleverantör i ett strukturerat och maskinläsbart format. Denna rätt gäller uppgifter som du själv lämnat och som behandlas automatiserat baserat på samtycke eller avtal.

Rätt att invända

Du har rätt att invända mot behandling som grundar sig på berättigat intresse. Casinot måste då upphöra med behandlingen såvida det inte kan visa att dess intressen väger tyngre än dina.

Rätt att klaga till tillsynsmyndighet

Om du anser att casinot bryter mot dataskyddslagarna har du rätt att lämna klagomål till relevant tillsynsmyndighet. I Sverige är det Integritetsskyddsmyndigheten (IMY), på Malta är det Information and Data Protection Commissioner (IDPC).

Hur länge sparas personuppgifter?

GDPR anger inga specifika lagringstider – istället kräver förordningen att personuppgifter inte sparas längre än nödvändigt för det ursprungliga syftet. Nätcasinon tillämpar olika lagringstider beroende på uppgiftstyp och juridiska krav.

Licensvillkor från Spelinspektionen och MGA kräver att vissa uppgifter sparas under specifika perioder för tillsynsändamål. Skattelagstiftning kan kräva att transaktionshistorik bevaras i sju år eller längre. Anti-penningtvättsregler (AML) föreskriver att kundkännedomsdokumentation (KYC) sparas i minst fem år efter avslutad kundrelation.

När lagringstiden löpt ut ska personuppgifterna raderas oåterkalleligt och säkert alternativt anonymiseras så att de inte längre kan kopplas till en identifierad person.

Vilka tredje parter får tillgång till personuppgifter?

Nätcasinon delar personuppgifter med olika kategorier av tredje parter för att kunna erbjuda sina tjänster och uppfylla lagkrav. Integritetspolicyn ska specificera vilka dessa mottagare är.

Tjänsteleverantörer och databehandlare

Databehandlare är företag som behandlar personuppgifter på casinots uppdrag och enligt dess instruktioner. Typiska exempel inkluderar betalningsleverantörer, molntjänstleverantörer, e-postmarknadsföringsplattformar och analysverktyg.

Kategori	Typiska leverantörer	Behandlingsaktivitet
Webbanalys	Google Analytics, Xtremepush	Trafikmätning och beteendeanalys
Betalningar	Trustly, Zimpler, kortprocessorer	Transaktionshantering
Molnlagring	AWS, Google Cloud, Azure	Datalagring och säkerhetskopiering
Marknadsföring	E-postplattformar, push-notifikationer	Kampanjer och kunkkommunikation
Spelplattform	Spelutvecklare och aggregatorer	Spelleverans och spelhistorik

Koncernbolag och samarbetspartners

Personuppgifter kan delas med andra bolag inom samma koncern för gemensam administration, marknadsanalys och tjänsteutveckling. Casinooperatörer som tillhör större koncerner specificerar detta i sina integritetspolicyer.

Myndigheter och regulatorer

Licensmyndigheter som Spelinspektionen och MGA har rätt att begära ut personuppgifter för tillsynsändamål. Skattemyndigheter kan begära transaktionsdata och brottsbekämpande myndigheter kan begära ut uppgifter vid misstanke om penningtvätt eller annat brott.

Internationella överföringar av personuppgifter

GDPR ställer särskilda krav på överföring av personuppgifter till länder utanför Europeiska ekonomiska samarbetsområdet (EES). Sådana överföringar får endast ske till länder som EU-kommissionen bedömt ha adekvat skyddsnivå – eller om lämpliga skyddsåtgärder finns på plats.

Godkända länder

EU-kommissionen har fastställt att vissa länder utanför EES har en dataskyddsnivå som motsvarar EES-standarden. Exempel inkluderar Schweiz, Kanada (för kommersiella organisationer), Japan och Storbritannien (efter Brexit).

Standardavtalsklausuler

För överföringar till länder utan adekvat skyddsnivå använder nätcasinon standardavtalsklausuler (Standard Contractual Clauses – SCC) som godkänts av EU-kommissionen. Dessa klausuler skapar ett avtalsmässigt ramverk som säkerställer att mottagaren tillämpar samma skyddsnivå som krävs inom EES.

EU-U.S. Data Privacy Framework

Överföringar till USA kan ske om mottagaren är certifierad under EU-U.S. Data Privacy Framework (DPF). Detta ramverk ersatte det tidigare Privacy Shield-avtalet och säkerställer att amerikanska företag uppfyller europeiska dataskyddskrav.

Cookies och spårningstekniker

Nätcasinon använder cookies och liknande spårningstekniker för att förbättra användarupplevelsen, analysera trafik och leverera riktad marknadsföring. Enligt ePrivacy-direktivet (cookie-lagen) och GDPR krävs ditt samtycke för icke-nödvändiga cookies.

Kategorier av cookies

Cookietyp	Syfte	Samtycke krävs
Nödvändiga cookies	Grundläggande funktionalitet (inloggning, säkerhet)	Nej
Funktionella cookies	Sparade inställningar och preferenser	Ja
Analytiska cookies	Trafikmätning och beteendeanalys	Ja
Marknadsföringscookies	Riktade annonser och kampanjspårning	Ja

De flesta nätcasinon använder cookie-banners eller pop-ups där du aktivt väljer vilka kategorier av cookies du accepterar. Du kan också hantera cookies via webbläsarinställningar och blockera tredjepartscookies helt.

Säkerhet och skydd av personuppgifter

GDPR kräver att personuppgifter skyddas med lämpliga tekniska och organisatoriska åtgärder. Nätcasinon implementerar flera säkerhetslager för att förhindra obehörig åtkomst, dataläckage och andra säkerhetsincidenter.

Tekniska skyddsåtgärder inkluderar SSL/TLS-kryptering för all datatrafik, kryptering av lagrad data på servrar och hårddiskar, tvåfaktorsautentisering för kontoinloggning och åtkomstbegränsningar baserade på roller. Organisatoriska åtgärder inkluderar personalsekretessavtal, utbildning i dataskydd och regelbundna säkerhetsrevisioner.

Vid en personuppgiftsincident – exempelvis ett dataintrång – är casinot skyldigt att anmäla detta till tillsynsmyndigheten inom 72 timmar. Om incidenten medför hög risk för dina rättigheter ska du också informeras direkt.

Hur kontaktar du dataskyddsombudet?

Nätcasinon som hanterar stora mängder personuppgifter är skyldiga att utse ett dataskyddsombud (Data Protection Officer – DPO). Dataskyddsombudet ansvarar för att övervaka efterlevnaden av dataskyddslagarna och fungerar som kontaktpunkt för både registrerade och tillsynsmyndigheter.

Kontaktuppgifter till dataskyddsombudet ska framgå tydligt i integritetspolicyn. Vanligtvis anges en dedikerad e-postadress (exempelvis dpo@casinot.se) och ibland även postadress.

Uppdateringar av integritetspolicyn

Nätcasinon förbehåller sig rätten att uppdatera integritetspolicyn vid behov – exempelvis vid ändringar i lagstiftning, nya tjänster eller ändrade affärsprocesser. Uppdateringsdatum ska framgå tydligt i dokumentet.

Väsentliga ändringar som påverkar dina rättigheter eller hur personuppgifter behandlas kommuniceras vanligtvis via e-post eller meddelande på webbplatsen. Vid ändringar som kräver nytt samtycke måste casinot inhämta detta innan behandlingen fortsätter.

Ansvarsfullt spelande och integritetspolicyn

Nätcasinon behandlar också uppgifter relaterade till ansvarsfullt spelande – inklusive spelbegränsningar, självavstängningar och eventuella varningssignaler för problematiskt spelande. Dessa uppgifter skyddas av samma dataskyddsregler men kan också delas med Spelpaus (i Sverige) och andra nationella avstängningsregister enligt licensvillkoren.

Så läser du och förstår en integritetspolicy

En välskriven integritetspolicy ska vara tydlig och lättförståelig. Undvik att acceptera en policy utan att läsa igenom nyckelavsnitten. Följande punkter är särskilt viktiga att granska:

• Vilka personuppgifter samlas in och för vilket syfte
• Vilka tredje parter som får tillgång till uppgifterna
• Hur länge uppgifterna sparas
• Hur du utövar dina rättigheter (tillgång, rättelse, radering)
• Hur du kontaktar dataskyddsombudet vid frågor eller klagomål
• Vilka cookies och spårningstekniker som används

Genom att förstå integritetspolicyn kan du fatta ett informerat beslut innan du registrerar ett spelkonto och delar dina personuppgifter med casinot.