Ett casino utan svensk licens kan se proffsigt ut på ytan och ändå lämna dig utan de dataskyddsrättigheter du tar för givna inom EU. Den här checklistan handlar om att skilja på marknadsföring och faktiska rättigheter. Du ska kunna svara på tre saker innan du sätter in pengar: vem som är personuppgiftsansvarig, var bolaget är etablerat och vilken tillsynsmyndighet du kan vända dig till om något går fel.
Börja med att identifiera den personuppgiftsansvarige och dennes etablering
Första steget är att hitta bolaget bakom varumärket. På Asino listas Hollycorn N.V. som operatör, och enligt sajten drivs Asino av just Hollycorn N.V. med registrering hos Antillephone på Curaçao. Libergos Limited anges som ett bolag som driver sajten tillsammans med Hollycorn N.V. Det ger dig två namn att hålla reda på, och du bör kontrollera att båda framgår av integritetspolicyn, inte bara av sidfoten.
Etableringen avgör vilket regelverk som gäller i praktiken. Curaçao är inte EU, och ett bolag registrerat där omfattas inte automatiskt av GDPR på samma sätt som en aktör inom unionen. Asino saknar svensk licens från Spelinspektionen, vilket i sig inte är ett dataskyddsproblem, men det betyder att du inte kan använda Spelinspektionen som klagoväg för personuppgiftsfrågor. Två olika tillsynsspår får inte blandas ihop.
Notera också om sajten listar Sverige som begränsat land i användarvillkoren. Asino gör det. Ett begränsat land kan innebära att du som svensk spelare nekas konto eller att villkoren tolkas annorlunda vid tvist. Läs den raden innan du accepterar något.
Kontrollera EU-representanten enligt artikel 27 GDPR
Här ligger den viktigaste punkten på hela listan. Ett bolag utanför EU som riktar sig till personer i unionen ska enligt artikel 27 GDPR utse en representant inom EU. Representanten är inte en juridisk mellanhand som tar över ansvaret, men det är den adress du kan kontakta och som ska svara på dina begäranden. Saknas en sådan uppgift i integritetspolicyn är det ett rött flagg.
Leta efter ett företagsnamn, en fysisk adress och en e-postadress i ett EU-land. Det räcker inte med en generisk supportadress till ett callcenter utanför unionen. Om representanten finns i Cypern, Irland eller något annat EU-land ska det framgå tydligt vilken roll personen har och vilka ärenden som kan skickas dit. Utan den informationen saknar du reell möjlighet att utkräva dataskyddsrättigheter, hur snygg integritetspolicyn än ser ut.
Granska vilka rättigheter som faktiskt beskrivs och hur de kan utövas
En integritetspolicy som rabblar rättigheter är inte samma sak som en policy som förklarar hur du använder dem. Du ska kunna hitta svar på hur du begär registerutdrag, hur du invänder mot profilering och inom vilken tid du får svar. Enligt GDPR ska svar komma inom en månad, med möjlighet till förlängning i vissa fall. Står det inget om tidsfristen är det ett tecken på att texten är kopierad och inte anpassad.
Profilering är särskilt relevant för casinon. Operatörer analyserar spelbeteende för att upptäcka penningtvätt och spelproblem, och den behandlingen kan vara berättigad. Men du har rätt att få veta vilka kategorier av uppgifter som används och om besluten fattas automatiskt. Om policyn bara säger att uppgifter används för «säkerhet och regelefterlevnad» utan närmare detaljer bör du vara skeptisk.
Rätten till radering är ofta begränsad hos spellbolag eftersom penningtvättslagstiftningen kräver att uppgifter sparas i flera år. Det är legitimt, men policyn ska säga det rakt ut och ange en ungefärlig lagringstid. Om texten är vag kring lagring kan du räkna med att svaret på en raderingsbegäran också blir vagt.
Kontrollera vilken tillsynsmyndighet som anges som behörig
Nästa punkt på checklistan är att se om casinot anger vilken dataskyddsmyndighet som är behörig. Inom EU finns en tydlig struktur där du vänder dig till myndigheten i det land där du bor, och den kan sedan föra ärendet vidare. För ett bolag på Curaçao finns ingen sådan självklar mottagare, och då blir det avgörande att operatören själv pekar ut en myndighet eller åtminstone en representant som tar emot klagomål.
Om ingen behörig myndighet anges, och ingen EU-representant heller, står du i praktiken utan en fungerande klagoväg. Du kan alltid kontakta Integritetsskyddsmyndigheten i Sverige, men den kan bara agera inom sitt mandat. Att lämna in ett klagomål som aldrig kan leda till tillsyn är slöseri med tid, och det är precis den situationen checklistan ska hjälpa dig att undvika.
Jämför operatörstyper och vad de ger dig för faktisk trygghet
Det finns en tendens att behandla alla casinon utan svensk licens som en enda grupp. I praktiken skiljer de sig kraftigt i dataskyddsfrågor beroende på var moderbolaget sitter och vilka avtal som finns, och det gäller även när man tittar på nya casino utan svensk licens. Tabellen nedan jämför de vanligaste konfigurationerna du stöter på när du granskar villkor och integritetspolicyer.
| Konfiguration | Typisk etablering | EU-representant enligt artikel 27 | Vad det betyder för dig |
|---|---|---|---|
| Ren EU-licensierad operatör | Malta, Cypern eller annat EU-land | Kravet gäller inte på samma sätt eftersom bolaget redan är inom EU | Tydlig klagoväg till nationell dataskyddsmyndighet, men svensk spellicens saknas ofta |
| Bolag på Curaçao med EU-representant | Curaçao, med representant i EU | Ska finnas och anges med adress | Du har en adress att skicka begäranden till, men tillsynen är svagare |
| Bolag på Curaçao utan EU-representant | Curaçao, ingen EU-adress | Saknas eller anges inte | Ingen reell möjlighet att utkräva dina rättigheter i praktiken |
| Koncerstruktur med flera bolag | Curaçao och Cypern i kombination | Varierar, måste kontrolleras per bolag | Du kan behöva rikta begäran till rätt juridisk person, annars avvisas den |
Asino hamnar i kategorin med bolag på Curaçao. Hollycorn N.V. är registrerat hos Antillephone, och Libergos Limited driver sajten tillsammans med Hollycorn N.V. Det gör att du måste läsa integritetspolicyn noga för att se vilket av bolagen som är personuppgiftsansvarig för just din behandling. Ofta är svaret båda, med olika ansvar för olika delar.
En EU-licensierad operatör ger dig starkare dataskyddsrättigheter, men saknar fortfarande svensk licens om den inte är ansluten till Spelinspektionen. Sedan spellagen gäller från 1 januari 2019 måste licenshavare vara anslutna till Spelpaus, och bonusreglerna har skärpts över tid. Bonusgränsen på 100 kronor togs bort 15 november 2021, vilket gör att villkoren för första speltillfället ser olika ut beroende på operatör. Inget av detta löser dataskyddsfrågan, men det visar varför du måste hålla isär spellicens och GDPR.
Praktiska kontroller innan du accepterar villkoren
Gå igenom integritetspolicyn med fyra konkreta sökningar: «personuppgiftsansvarig», «representant», «tillsynsmyndighet» och «lagringstid». Hittar du inte alla fyra inom rimlig tid är dokumentet antingen ofullständigt eller avsiktligt vagt. Båda är skäl att tveka.
Kontrollera också åldersgränsen och om villkoren kräver att du bekräftar att du inte omfattas av ett begränsat land. Asino listar Sverige som begränsat land, vilket kan påverka allt från kontoverifiering till vilka kampanjer du får ta del av. Läs avsnittet om penningtvätt och identifiering, för det är där de flesta tvister om personuppgifter uppstår i praktiken.
Skicka ett testärende till den adress som anges för dataskyddsfrågor innan du sätter in pengar. Fråga vilken rättslig grund som gäller för behandlingen av spelhistorik och vilken tillsynsmyndighet som är behörig. Får du inget svar, eller ett svar som hänvisar till supporten utan att besvara frågan, har du fått din bedömning gratis. Skattefrihet på spelvinster gäller för övrigt bara under vissa förutsättningar, och den frågan bör du ställa separat till Skatteverket snarare än till casinot.
Checklistan i korthet: identifiera den personuppgiftsansvarige, verifiera EU-representanten enligt artikel 27, kontrollera att en behörig tillsynsmyndighet anges, läs lagringstiderna och testa kommunikationen innan du spelar. Uppfyller casinot inte de första tre punkterna är resten av granskningen i praktiken meningslös, eftersom du inte har någon att utkräva rättigheterna hos. Välj operatör utifrån det, inte utifrån bonusens storlek.
