L’Autorità regolatrice del gioco in Francia (ANJ) ha diffuso una guida dedicata al trattamento dei dati personali da parte degli operatori del gioco attivi in Francia.
Realizzato in collaborazione con l’Autorità garante per la protezione dei dati personali (CNIL), il documento nasce dalle richieste degli stessi operatori e punta a chiarire come si combinino le regole europee sulla protezione dei dati (GDPR) con le norme specifiche del diritto del gioco. La guida non introduce nuovi obblighi: le regole illustrate, sottolinea l’ANJ, devono essere applicate dagli operatori già dal 2018, anno di entrata in vigore del regolamento europeo.
Il testo si rivolge a tutti gli operatori legalmente autorizzati a offrire i propri servizi in Francia. Rientrano nel perimetro i titolari di diritti esclusivi, ossia la Française des Jeux per lotterie e gratta e vinci e il GIE PMU per le scommesse ippiche, gli operatori online autorizzati dall’ANJ per scommesse sportive, ippiche e poker, oltre a casinò e circoli di gioco. Il documento può interessare anche i fornitori di servizi che assistono gli operatori, come società di marketing e hosting provider. Restano invece fuori dal campo di applicazione i trattamenti relativi a soggetti diversi dai giocatori, come la gestione delle risorse umane.
I principi generali del GDPR
La prima parte della guida richiama i principi cardine del regolamento europeo, tra cui la definizione di dato personale e di trattamento, il concetto di finalità determinata ed esplicita, la distinzione tra responsabile del trattamento e responsabile esterno. La guida ricorda che per gli operatori di gioco la designazione di un Responsabile della protezione dei dati (RPD) appare in linea di principio necessaria, dato che questi soggetti effettuano un monitoraggio regolare e sistematico su larga scala oppure trattano su larga scala dati sensibili.
L’ANJ illustra anche le sei basi giuridiche previste dal GDPR e precisa che gli operatori di gioco non possono fondarsi sulla missione di interesse pubblico, non perseguendo essi una missione di tale natura. Il documento affronta poi i temi della minimizzazione dei dati, della durata di conservazione e della sicurezza, oltre ai diritti delle persone e alle regole sui trasferimenti fuori dall’Unione europea. In caso di violazione dei dati, la notifica alla CNIL deve avvenire entro 72 ore dalla presa di conoscenza dell’incidente.
Gestione dei clienti e prospezione commerciale
La prima delle tre finalità analizzate riguarda la gestione dei clienti e la prospezione commerciale. Per la maggior parte dei trattamenti legati all’apertura e al funzionamento del conto di gioco la base giuridica è il rispetto di un obbligo legale. Per la prospezione commerciale, invece, sia verso i clienti sia verso i prospect, la CNIL individua nel consenso la base giuridica appropriata, qualunque sia il canale utilizzato. La guida precisa che lo stesso principio vale per la trasmissione dei dati a partner commerciali che intendano riutilizzarli a fini di marketing.
Prevenzione del gioco eccessivo o patologico
La seconda finalità è la prevenzione del gioco eccessivo o patologico. La guida qualifica come dato sanitario il risultato del trattamento che porta a identificare un giocatore come eccessivo o patologico, con le conseguenze che ne derivano in termini di sicurezza, registro dei trattamenti e analisi d’impatto. Il documento chiarisce che l’identificazione non equivale a una diagnosi medica, di competenza esclusiva dei professionisti sanitari. Sul piano dei trattamenti automatizzati, ogni decisione restrittiva sulla possibilità di giocare deve passare da una verifica umana, in coerenza con il quadro di riferimento francese.
Lotta al riciclaggio e al finanziamento del terrorismo
La terza finalità è la lotta al riciclaggio e al finanziamento del terrorismo (LCB-FT). La guida ricorda che gli operatori di gioco rientrano tra i soggetti obbligati e che i relativi trattamenti hanno come base giuridica il rispetto di un obbligo legale. L’ANJ richiama il principio di minimizzazione, sottolineando che la raccolta di informazioni più intrusive, come l’avviso di imposizione, deve restare circoscritta ai casi in cui i documenti meno invasivi si siano rivelati insufficienti. La guida integrale è consultabile QUI. fp/AGIMEG