RODO i ochrona danych graczy w branży hazardowej

Dlaczego RODO i ochrona danych to kluczowy temat w branży hazardowej

Branża hazardowa w Czechach działa na podstawie zezwoleń wydawanych przez Ministerstwo Finansów Republiki Czeskiej (Ministerstvo financí). Zezwolenie to jest uzależnione od spełnienia szeregu rygorystycznych wymogów regulacyjnych, a ochrona danych osobowych graczy stanowi jeden z kluczowych filarów.

Połączenie tych poziomów regulacji tworzy specyficzne otoczenie prawne. Z jednej strony stoją ogólne obowiązki wynikające z RODO, z drugiej szczególne obowiązki wynikające z czeskiej ustawy o grach hazardowych (dalej „ustawa o grach hazardowych”) oraz czeskiej ustawy AML (ustawa nr 253/2008 Sb., dalej „ustawa AML”).

Czego operatorzy obawiają się najczęściej? Kar i ryzyka utraty reputacji. Czeski Urząd Ochrony Danych Osobowych (ÚOOÚ) systematycznie sankcjonuje naruszenia RODO, biorąc pod uwagę obrót całej grupy. Kara za poważne naruszenie, na przykład za wyciek danych graczy, sięga zgodnie z art. 83 RODO do 20 milionów EUR lub 4 % całkowitego rocznego światowego obrotu. Przy organizacji procesów wewnętrznych i dokumentacji (np. rejestrów czynności przetwarzania, DPIA i umów powierzenia) pomocne może być wsparcie w zakresie RODO.

Które dane w branży hazardowej są najbardziej wrażliwe i dlaczego

Operator gier hazardowych gromadzi i przetwarza dane trzech podstawowych typów. Pierwszym typem są dane identyfikacyjne i weryfikacyjne (KYC). Chodzi o imię i nazwisko, numer identyfikacyjny (rodné číslo), datę urodzenia, adres lub dane rachunku bankowego.

Dane te są niezbędne do rejestracji gracza, weryfikacji tożsamości i wieku oraz do przeciwdziałania praniu pieniędzy.

Drugim typem są dane finansowe i behawioralne. Należą do nich wysokość wpłat, historia zakładów, rodzaje preferowanych gier czy adresy IP. Choć nie stanowią one automatycznie szczególnej kategorii danych w rozumieniu RODO, ich połączenie tworzy szczegółowy profil osobowości i sytuacji finansowej gracza.

Jeżeli operator przechowuje dane, z których można wywnioskować patologiczny hazard, są to dane dotyczące zdrowia, czyli szczególna kategoria danych osobowych.

Przetwarzanie takich danych o ryzyku problemowego grania jest co do zasady zakazane, chyba że istnieje wyjątek. Wyjątkiem takim może być wypełnienie obowiązku prawnego w dziedzinie ochrony socjalnej lub ważny interes publiczny.

Podstawa prawna i zgoda

Gdzie operatorzy najczęściej popełniają błędy? Wielu z nich nie docenia konieczności prawidłowego określenia podstawy prawnej dla poszczególnych operacji na danych.

Wielu operatorów błędnie zakłada, że gromadzenie i przetwarzanie danych graczy jest w pełni uzasadnione samym zezwoleniem na prowadzenie działalności.

RODO wymaga dla każdego celu przetwarzania określonej podstawy prawnej. W przypadku danych identyfikacyjnych i kontroli AML jest nią wypełnienie obowiązku prawnego. Operator gromadzi imię i nazwisko oraz numer identyfikacyjny na podstawie ustawy.

W takim przypadku nie mogą Państwo wymagać zgody gracza, ponieważ byłaby ona nieważna.

W przypadku danych behawioralnych wykorzystywanych w marketingu sytuacja jest inna. Jeżeli analizują Państwo zachowanie gracza w celu personalizacji oferty, prawo zazwyczaj tego nie nakazuje. Podstawą prawną jest tu albo prawnie uzasadniony interes w przypadku podstawowych analiz, albo zgoda w przypadku zaawansowanego profilowania. Praktyczne spojrzenie na to, jak w środowisku online uregulować OWU, zgody i postanowienia licencyjne (w tym dotyczące wyników AI), przedstawia także artykuł Platforma SaaS w UE: prawne uregulowanie OWU, RODO i postanowień licencyjnych dla wyników AI.

Weryfikacja, czy gracz jest wpisany do Rejestru Osób Wykluczonych (Rejstřík vyloučených osob, RVO), stanowi wypełnienie obowiązku prawnego.

Operator musi zwrócić się z zapytaniem do Ministerstwa Finansów w drodze dostępu zdalnego. Samo wewnętrzne wykrywanie ryzykownych zachowań wykraczające poza wymogi ustawy może jednak wymagać starannej oceny.

Typowe ryzyko powstaje, gdy operator gromadzi o „ryzykownych” graczach dane znacznie wykraczające poza to, co niezbędne, na przykład poprzez sprawdzanie ich w mediach społecznościowych. ÚOOÚ może to zakwalifikować jako naruszenie zasady minimalizacji danych. Oprócz RODO kluczowe jest u operatorów hazardowych także prawidłowe wdrożenie obowiązków AML, co omawia artykuł Obowiązki operatorów gier hazardowych w zakresie AML i finansowania terroryzmu.

Bezpieczeństwo, przekazywanie danych i ryzyka związane z podmiotami trzecimi

Operator gier hazardowych udostępnia dane wielu podmiotom, takim jak dostawcy usług płatniczych, dostawcy platform gier czy agencje marketingowe.

Relacja z partnerami handlowymi jest relacją administrator – podmiot przetwarzający, a prawo nakazuje zawarcie pisemnej umowy powierzenia przetwarzania.

Umowa ta musi zawierać obowiązek zachowania poufności, gwarancję środków bezpieczeństwa oraz obowiązek zgłaszania incydentów. Administrator musi w niej również zastrzec sobie prawo do przeprowadzenia audytu u podmiotu przetwarzającego.

Jeżeli nie są spełnione warunki przekazywania danych do państw trzecich, mamy do czynienia z nielegalnym transferem danych.

Dotyczy to na przykład korzystania z usług chmurowych lub narzędzi analitycznych z serwerami poza UE/EOG. Operatorzy muszą dbać o to, aby stosowane mechanizmy, takie jak Data Privacy Framework, były ważne.

NIS2 i cyberbezpieczeństwo

Od lat 2025/2026 wielu większych operatorów gier hazardowych dotyczy także nowa czeska ustawa o cyberbezpieczeństwie, która implementuje dyrektywę NIS2.

Operatorzy mogą należeć do kategorii podmiotów „ważnych” lub „kluczowych”. Oznacza to obowiązek zgłaszania incydentów cyberbezpieczeństwa nie tylko do ÚOOÚ, ale także do czeskiego Narodowego Urzędu ds. Cyberbezpieczeństwa i Bezpieczeństwa Informacji (NÚKIB), oraz wdrożenia zaawansowanych środków technicznych.

Prawa osób, których dane dotyczą, a specyfika hazardu

Gracze mają na gruncie RODO silne prawa, których wykonywanie w branży hazardowej napotyka ograniczenia wynikające z ustawy. Częstym punktem sporu jest prawo do usunięcia danych (bycia zapomnianym) w zestawieniu z obowiązkami AML.

Dane identyfikacyjne i dane o transakcjach muszą być zgodnie z ustawą AML przechowywane przez 10 lat od zakończenia stosunku gospodarczego.

Operator nie może więc usunąć wszystkiego. Kluczowa jest prawidłowa odpowiedź udzielona graczowi: „Usuniemy dane marketingowe, ale historię transakcji musimy z mocy prawa zachować.” Gracz ma również prawo dostępu, co w praktyce oznacza obowiązek wyeksportowania historii zakładów i wpłat.

Jeżeli decyzja opiera się wyłącznie na zautomatyzowanym przetwarzaniu i wywołuje wobec gracza skutki prawne, gracz ma prawo do weryfikacji przez człowieka.

To prawo do sprzeciwu wobec profilowania znajdzie zastosowanie na przykład wtedy, gdy zautomatyzowany system zablokuje konto lub oceni gracza jako ryzykownego bez udziału człowieka.

RVO i samoograniczenie: obowiązki szczególne

Ustawa o grach hazardowych wprowadziła Rejestr Osób Wykluczonych (RVO). Jest to niepubliczny system informacyjny administracji publicznej prowadzony przez Ministerstwo Finansów.

Operator ma obowiązek przy rejestracji, a następnie przy każdym logowaniu sprawdzić, czy gracz nie figuruje w RVO. Jeżeli gracz jest w nim wpisany, operator nie może dopuścić go do udziału w grze.

Z punktu widzenia RODO kluczowe jest, że operator nie dokonuje wpisów do RVO bezpośrednio, lecz jedynie odczytuje jego stan.

Wpisu dokonuje Ministerstwo Finansów na wniosek gracza lub z urzędu. Istnieje jednak także samoograniczenie u operatora, gdy gracz sam ustala limity zakładów lub przegranych. Operator musi chronić te dane i nie może wykorzystywać ich do celów marketingowych.

Perspektywa regulacyjna: co kontrolują ÚOOÚ i Ministerstwo Finansów

Nadzór w Republice Czeskiej jest podzielony między kilka instytucji. Czeski Urząd Ochrony Danych Osobowych (ÚOOÚ) kontroluje przede wszystkim przestrzeganie RODO.

Koncentruje się na bezpieczeństwie danych, legalności przetwarzania, banerach cookies i rozpatrywaniu wniosków graczy.

Ministerstwo Finansów i czeska Służba Celna (Celní správa) kontrolują przestrzeganie ustawy o grach hazardowych. Skupiają się na prawidłowym działaniu weryfikacji w RVO, wdrożeniu środków samoograniczających oraz przestrzeganiu zakazu gry przez osoby niepełnoletnie.

Czeski Urząd Analiz Finansowych (Finanční analytický úřad) kontroluje przestrzeganie ustawy AML, w szczególności identyfikację i weryfikację klienta.

Urząd ten, znany jako FAÚ, dba także o prawidłową archiwizację danych przez 10 lat. Wszystkie te kontrole ściśle dotyczą pracy z danymi i ich zabezpieczenia.

Praktyczne kroki: jak bezpiecznie wdrożyć zasady

Aby osiągnąć zgodność w 2026 roku, zalecamy podjęcie następujących kroków:

• Audyt danych: Zmapuj przepływy danych. Czy wiedzą Państwo dokładnie, gdzie trafiają dane graczy i czy mają Państwo przegląd wszystkich usług chmurowych?
• Rewizja umów DPA: Upewnij się, że z każdym dostawcą IT i usług marketingowych mają Państwo ważną umowę powierzenia przetwarzania.
• Aktualizacja obowiązku informacyjnego: Sprawdź, czy Państwa Polityka prywatności (Privacy Policy) zawiera informacje o RVO, terminach AML i zautomatyzowanym podejmowaniu decyzji.
• Szkolenie pracowników: Pracownicy obsługi klienta muszą wiedzieć, jak reagować na żądanie usunięcia danych, i nie mogą obiecywać usunięcia danych podlegających archiwizacji AML.
• Incident Response Plan: Miej przygotowany scenariusz na wypadek wycieku danych, w tym informację, do kogo dzwonić i kto zgłasza incydent do ÚOOÚ lub NÚKIB.