Agencija za zaštitu osobnih podataka (AZOP) izrekla je priređivaču igara na sreću kaznu od čak 2,59 milijuna eura zbog višestrukog kršenja Opće uredbe o zaštiti podataka (GDPR). Nadzorom je, među ostalim, utvrđeno da je društvo za biometrijsku identifikaciju igrača prikupljalo otiske čak četiriju prstiju, iako nije dokazalo da je toliki opseg osjetljivih podataka uopće potreban. Privola za obradu biometrijskih podataka bila je evidentirana za 34.933 igrača, piše Tportal.
AZOP nije objavio naziv kažnjenog društva, navodeći tek da je riječ o tvrtki koja se bavi priređivanjem igara na sreću.
Postupak je Agencija pokrenula po službenoj dužnosti, a utvrđeno je više kršenja pravila o zaštiti osobnih podataka.
Uzimali otiske četiriju prstiju
Jedan od ključnih problema odnosio se na način identifikacije igrača.
Uz klasičnu identifikaciju osobnom iskaznicom, priređivač je svojim korisnicima omogućio identifikaciju putem RFID čipa ili otiska prsta kako bi prilikom sljedećih dolazaka mogli brže proći postupak provjere identiteta. Tvrtka je tvrdila da prikuplja otiske dvaju prstiju.
Međutim, nadzor AZOP-a pokazao je nešto drugo – igračima su uzimani otisci četiriju prstiju, po dva sa svake ruke.
Priređivač je to opravdavao mogućnošću da se koža na pojedinom prstu ošteti, zbog čega očitanje može biti pogrešno ili neuspješno. Dodatni otisci tako su trebali služiti kao svojevrsna rezerva.
AZOP takvo obrazloženje nije prihvatio.
‘Rezervni’ otisci nisu dovoljno opravdanje
Agencija navodi da samo pozivanje na potrebu za „rezervnim“ otiscima nije dovoljno da bi se opravdalo prikupljanje dodatnih biometrijskih podataka.
Tvrtka je morala dokazati zašto su za identifikaciju potrebna baš četiri otiska i može li se isti cilj ostvariti prikupljanjem manjeg broja, uz neki dodatni način provjere identiteta.
Posebno je važno to što su biometrijski podaci zbog svoje prirode izrazito osjetljivi.
AZOP upozorava da obrada većeg broja osobnih podataka nego što je potrebno ne postaje zakonita samo zato što je korisnik na nju pristao.
Privola za obradu biometrijskih podataka u ovom je slučaju bila evidentirana za čak 34.933 igrača.
Agencija je zaključila da su njihovi biometrijski podaci obrađivani bez valjane privole i u opsegu većem od onoga koji je bio nužan za identifikaciju.
Problematične i same privole
Nadzor je otkrio probleme i u načinu na koji je priređivač od igrača tražio privolu.
Tijekom registracije u casinu korisnicima su se na ekranu prikazivala četiri interaktivna polja za davanje privole.
AZOP je utvrdio da prva dva teksta nisu ispunjavala zahtjeve GDPR-a prema kojima privola mora biti dobrovoljna, posebna, informirana i nedvosmislena.
U jednoj su privoli bile spojene različite svrhe obrade podataka, pa korisnik nije imao stvarnu mogućnost zasebno odlučiti na što pristaje, a što želi odbiti.
Primjerice, u privoli za prikupljanje otisaka prstiju zajedno su se navodili pružanje usluga, utvrđivanje identiteta, statističke svrhe, profiliranje, personalizacija usluge, zaštita imovine i sprečavanje maloljetnika da sudjeluju u igrama na sreću.
Prema AZOP-u, takav pristup stvara i dojam da se sve obrade tijekom registracije temelje na privoli korisnika, iako je dio identifikacijskih podataka priređivač dužan obrađivati temeljem zakona.
Nejasno i što rade s fotografijama igrača
Sličan problem utvrđen je kod fotografija igrača.
U izjavi o privoli istodobno su navedene različite svrhe obrade, zbog čega korisnik nije mogao jasno zaključiti koristi li se njegova fotografija samo za utvrđivanje identiteta ili i u druge svrhe.
Nije mu bilo omogućeno ni da o pojedinim svrhama odlučuje zasebno.
AZOP je zato zaključio da zahtjevi za privolu nisu bili prikazani dovoljno jasno i razumljivo.
Igrači dobivali kontradiktorne informacije
Treća skupina utvrđenih nepravilnosti odnosi se na informacije koje su korisnici dobivali o obradi svojih podataka.
Prilikom registracije u casinu igračima je prikazivan veći broj dokumenata, ali su oni, prema nalazu Agencije, sadržavali nepotpune, netočne i međusobno neusklađene informacije.
U pojedinim slučajevima nisu bile jasno navedene svrhe obrade, a pravne osnove nisu bile povezane s konkretnim načinima korištenja podataka.
Primjerice, u Općim pravilima navedeno je da se otisak prsta koristi ne samo za identifikaciju pri ulasku u casino, nego i za kontrolu i praćenje ulazaka, zaštitu maloljetnika, sudjelovanje u igrama na sreću, bonus-program i druge svrhe.
AZOP je zaključio da zbog takvog načina informiranja igrači nisu mogli na jasan i razumljiv način saznati zašto se njihovi osobni podaci obrađuju i na kojoj pravnoj osnovi.
Zbog svih utvrđenih povreda Opće uredbe o zaštiti podataka Agencija je priređivaču igara na sreću izrekla upravnu novčanu kaznu od ukupno 2.590.000 eura.
