När ett casino byter ägare är det sällan spelarna som märker något först. Inloggningen fungerar, saldot finns kvar, och bonusmejlen fortsätter trilla in som vanligt. Men bakom kulisserna kan personuppgifterna ha flyttat till en helt annan juridisk person, i ett annat land, med ett annat syfte. I ett granskat fall där ett casino såldes till ett bolag registrerat på Curaçao fortsatte spelarnas konton att vara aktiva utan ny registrering, men deras personuppgifter hade kopierats till köparens marknadsföringsdatabas. Det bröt mot ändamålsprincipen i GDPR, och det är ett mönster som återkommer hos aktörer som riktar sig till svenska spelare utan licens här.
Vad som faktiskt hände i caset med försäljningen till Curaçao
Utgångsläget var en sajt som vände sig till nordiska spelare, drevs via en europeisk mellanhand och hade samlat in personuppgifter med ett tydligt angivet ändamål: att tillhandahålla spelkonton, hantera insättningar och uttag samt uppfylla kundkännedomskrav. När verksamheten såldes fördes kundstocken över till ett bolag med registrering på Curaçao. Det formella ägarbytet såg på papperet ut som en tillgångsöverlåtelse, men det som i praktiken flyttades var en databas med namn, adresser, e-postadresser, IP-adresser, transaktionshistorik och i vissa fall identifieringsdokument.
Spelarna informerades inte om att deras uppgifter bytt ändamål. Kontona förblev aktiva, inloggningsuppgifterna fungerade som förut, och ingen ny registrering krävdes. Samtidigt dök uppgifterna upp i köparens marknadsföringssystem, kopplade till kampanjer för andra varumärken i samma portfölj. Det är precis den typen av sekundär användning som ändamålsprincipen i GDPR artikel 5.1 b är till för att stoppa: uppgifter som samlats in för att driva ett spelkonto får inte utan vidare återanvändas för marknadsföring av en annan tjänst, av en annan personuppgiftsansvarig, i ett annat jurisdiktionssammanhang.
Det som gör caset särskilt belysande är kombinationen av två faktorer. Dels skedde ingen nyregistrering, vilket innebär att spelaren aldrig gavs tillfälle att samtycka till det nya ändamålet. Dels skedde överföringen till ett bolag utanför EU/EES, vilket lägger ytterligare ett lager av krav på rättslig grund för överföringen. Båda dessa lager fallerade.
Så känner du igen mönstret när ett casino byter ägare
Försäljningar av den här typen sker oftare än de flesta tror, särskilt inom segmentet https://asino-se.com/nya-casinon-utan-svensk-licens/. Strukturen är nästan alltid densamma: ett varumärke säljs, driften flyttas till en ny operatör, och kunddatabasen följer med som en tillgång i affären. För spelaren är det avgörande att förstå skillnaden mellan att varumärket byter ägare och att den juridiska personen bakom kontot byts ut.
Signaler i villkoren och i mejlboxen
Det första tecknet är oftast en uppdatering av användarvillkoren som dimper ner utan större förklaring. Läs den inte bara, utan leta efter vilken juridisk person som anges som personuppgiftsansvarig. Om namnet ändras från ett europeiskt bolag till något registrerat på Curaçao, Malta utanför EU eller liknande, har du flyttats till en ny databehandlare. Andra signaler är att supporten plötsligt svarar från en annan domän, att betalningslösningarna byts ut, eller att du börjar få erbjudanden från varumärken du aldrig registrerat dig hos.
Ett tredje tecken är att inloggningen fungerar men lösenordsåterställningen skickar dig till en annan sajt. Det betyder att kontot tekniskt lever vidare i en ny infrastruktur, vilket i sig inte är olagligt, men det innebär att dina uppgifter nu behandlas av en annan aktör med en annan integritetspolicy. Om den nya policyn är tunn på detaljer kring ändamål, lagringsperioder och tredjelandsöverföringar är det en varningsflagga.
Så gör du en konkret kontroll
Börja med att begära ut ett registerutdrag enligt GDPR artikel 15. Det ska visa vilka kategorier av uppgifter som behandlas, för vilka ändamål, vilka mottagare som finns och vilken lagringsperiod som gäller. Om svaret är svävande, dröjer mer än en månad eller hänvisar till « interna system » utan närmare specifikation har du en indikation på att efterlevnaden är svag. Jämför sedan med den integritetspolicy som gällde när du registrerade dig. Har ändamålen utökats utan att du informerats och utan ny rättslig grund, är det ett brott mot ändamålsprincipen.
En praktisk detalj: spara skärmdumpar av villkoren vid registrering och av de mejl du får om ändringar. Vid en tvist är det din enda bevisning om vad du faktiskt samtyckte till. Operatörer som lanserar nya varumärken för att attrahera spelare igen räknar ofta med att ingen orkar jämföra versioner av villkor över tid.
Varför Spelpaus och den svenska licensmodellen inte skyddar dig här
Här ligger den viktigaste strukturella förklaringen till varför caset kunde inträffa. Spelpaus är Spelinspektionens nationella verktyg för självexkludering, och det omfattar enbart bolag med svensk licens. Cirka 137 700 personer är i skrivande stund avstängda från licensierat spel i Sverige. Den siffran säger något om hur många som aktivt försöker begränsa sitt spelande, men den säger ingenting om vad som händer när samma personer söker sig till en sajt som står utanför systemet.
Ett casino utan svensk licens saknar obligatoriska insättningsgränser, saknar koppling till Spelpaus och saknar det konsumentskydd som licensvillkoren annars tvingar fram. För den som är avstängd via Spelpaus är lockelsen att registrera sig hos en utländsk speloperatör uppenbar, men det innebär också att självexkluderingen kringgås och att spelskyddet försvinner i samma steg. När en sådan sajt sedan säljs vidare till ett bolag på Curaçao finns ingen svensk tillsynsmyndighet som fångar upp ändamålsglidningen i efterhand.
Många av dessa sajter drivs dessutom via white label-lösningar. Det innebär i praktiken ny design och nytt namn på samma tekniska infrastruktur. Spelaren upplever att hen byter till ett nytt casino, men under huven är det samma plattform, samma betalningsleverantörer och ofta samma databas som redan har uppgifterna. Det är den mekanismen som gör att en försäljning kan se ut som en nystart medan den i själva verket är en vidareförsäljning av redan insamlade personuppgifter.
Vad du kan kräva och hur du agerar när uppgifterna redan flyttat
Har du hamnat i situationen att dina uppgifter kopierats till en köpares marknadsföringssystem utan att du informerats finns det konkreta steg att ta. Du behöver inte vara jurist för att utnyttja rättigheterna, men du behöver vara specifik i din kommunikation och hålla koll på tidsfristerna.
- Begär radering enligt artikel 17 hos både säljaren och köparen, och ange uttryckligen att du inte lämnat samtycke till det nya ändamålet.
- Invänd mot behandling för marknadsföringsändamål enligt artikel 21, vilket är en absolut rättighet som operatören måste följa utan bedömning.
- Kräv information om vilken rättslig grund som åberopas för överföringen till tredjeland, inklusive eventuella standardavtalsklausuler.
- Anmäl till Integritetsskyddsmyndigheten om du inte fått svar inom en månad eller om svaret är uppenbart ofullständigt.
- Dokumentera allt: skärmdumpar, mejl, datum och vilka varumärken som dykt upp i din inkorg efter ägarbytet.
Det finns en viktig begränsning att känna till. Om operatören saknar etablering i EU kan tillsynsmyndighetens möjligheter att driva ärendet vara begränsade i praktiken, även om GDPR formellt gäller så snart tjänsten riktas mot personer i unionen. Därför är den förebyggande delen viktigare än den efterföljande. Granska vilken juridisk person som anges som personuppgiftsansvarig innan du registrerar dig, och undvik sajter där svaret är otydligt.
Asino publicerar granskning av nya casinon utan svensk licens där just de här frågorna ingår: vem som äger varumärket, vilken plattform som används, var personuppgifterna lagras och vilka ändamål som anges i integritetspolicyn. Det är ett sätt att se strukturen innan pengarna och uppgifterna är inne. För den som redan är Spelpaus-registrerad är den viktigaste åtgärden att inte låta bonusjakt och nyregistrering på okända sajter ersätta det skydd som exkluderingen var tänkt att ge. Ett konto hos en operatör utanför den svenska licensmodellen innebär att du själv bär hela risken, både för spelproblem och för hur dina uppgifter hanteras när sajten byter ägare nästa gång.