Det dyker upp ett mejl från casinot: “Vi har bytt ägare, vänligen bekräfta att du godkänner överföringen av dina personuppgifter.” Många spelare klickar instinktivt på nej, eller struntar i mejlet i tron att kontot då fryses. Så fungerar det inte. Enligt GDPR behöver du inte godkänna ett ägarbyte alls, och du kan inte stoppa överföringen genom att tiga. Det är däremot inte samma sak som att du står rättslös. Du har en invändningsrätt, men den gäller i efterhand och den har villkor.
Vad som faktiskt händer med dina uppgifter vid ett ägarbyte
När ett casino byter ägare sker det nästan alltid genom en fusion, ett företagsförvärv eller en överlåtelse av verksamheten. Då är personuppgiftsbehandlingen en del av det som flyttas, inte ett separat avtal som du ska signera. GDPR artikel 6.1 f ger den nya ägaren en rättslig grund som kallas berättigat intresse: man har ett legitimt skäl att fortsätta driva en pågående kundrelation och att fullgöra sina skyldigheter enligt spellagen, till exempel kundkännedom och penningtvättskontroll. Överföringen sker alltså med stöd i lagen, inte i ditt samtycke.
Det är just här myten uppstår. Operatörer skickar ofta ett informationsmeddelande som är formulerat som en förfrågan, med en knapp som ser ut som ett godkännande. Rent juridiskt är det en underrättelse enligt artiklarna 13 och 14, inte ett samtyckesavtal. Du behöver inte svara. Du kan inte heller tvinga fram ett nej i förväg, eftersom samtycke inte är den rättsliga grunden för behandlingen. Den enda åtgärd som faktiskt har verkan är en invändning enligt artikel 21, och den lämnas in när överföringen redan har skett eller är på väg att ske.
Vad du däremot har rätt till är information: vilken enhet som blir ny personuppgiftsansvarig, vilka kategorier av uppgifter som flyttas, om uppgifterna lämnas vidare till ett tredjeland och vilken laglig grund som åberopas. Saknas den informationen i mejlet har du fog för att klaga. Att svara “jag godkänner inte” leder ingenstans, men att begära ut uppgifterna och invända mot en specifik behandling är en reell handling.
Så skiljer du ett seriöst ägarbyte från ett varumärkestrick
Här blir det intressant för den som rör sig bland https://asino-se.com/nya-casinon-utan-svensk-licens/. En stor del av de sajter som dyker upp med jämna mellanrum är inte nya bolag alls, utan nya varumärken på en befintlig spelplattform. White label-lösningar innebär i praktiken ny design och nytt namn på samma tekniska infrastruktur, samma betalningsleverantörer och ofta samma ägare bakom licensen. När operatörer lanserar nya varumärken för att attrahera spelare igen är det sällan ett ägarbyte i GDPR:s mening, utan en varumärkeslansering inom samma koncern. Då flyttas inga uppgifter mellan olika personuppgiftsansvariga, och hela diskussionen om godkännande blir irrelevant.
Det gör också att begreppet casino utan spelpaus kan se lockande ut av fel anledning. Spelpaus är Spelinspektionens nationella verktyg för självexkludering, och det omfattar enbart bolag med svensk licens. Ett casino utan svensk licens finns inte i avstängningsregistret och kan därför inte kontrollera din status där. Runt 137 700 personer är avstängda från licensierat spel i Sverige, och för den gruppen är skillnaden mellan en licensierad sajt och en utländsk speloperatör hela poängen. Men det skyddet har ingenting med GDPR att göra, och det är viktigt att inte blanda ihop de två systemen.
Praktiskt kan du hålla isär dem så här:
- Spelpaus gäller bara bolag med svensk licens. Ett casino utan Spelinspektionen kontrollerar aldrig registret, oavsett hur proffsig sajten ser ut.
- Ägarbytet regleras av GDPR och sker med stöd i berättigat intresse, inte i ditt samtycke. Du informeras, du godkänner inte.
- Invändningen enligt artikel 21 lämnas in i efterhand. Den kan stoppa behandling för marknadsföring direkt, medan behandling som krävs enligt spellagen kan fortsätta.
- White label betyder ofta samma tekniska plattform under nytt namn. Kolla licensnummer och ägare innan du registrerar ett konto, inte efter.
- Utländska operatörer som Curaçao-licensierade bolag saknar obligatoriska insättningsgränser enligt svensk spellag, vilket är en större risk än själva ägarbytet.
En sak som förvånar många: även om du invänder mot behandlingen kan casinot fortsätta behandla de uppgifter som krävs för att uppfylla licensvillkor, bokföring och penningtvättskrav. Invändningen träffar marknadsföring, profilering och annan behandling som vilar på berättigat intresse. Vill du bort från sajten helt är den effektiva vägen att avsluta kontot och begära radering enligt artikel 17, inte att försöka stoppa ägarbytet i förväg.
Om du spelar hos en sajt som saknar svensk licens är det klokt att läsa igenom dataskyddsinformationen innan du registrerar dig, särskilt vilket land uppgifterna lagras i och om det finns ett systerbolag som kan komma att ta över. Asino publicerar granskning av nya casinon utan svensk licens där just ägarstruktur, licens och dataskyddsvillkor granskas, vilket ger dig underlag att bedöma risken innan ett ägarbyte blir aktuellt. Ett mejl om ny ägare är sällan något du behöver svara på, men det är alltid ett bra tillfälle att kontrollera vem som faktiskt sitter på dina uppgifter.