Почему данные игроков — центральный риск оператора
Игорный оператор почти каждое отношение начинает с данных: регистрация игрока, идентификация и верификация, история депозитов и выводов, поведенческий профиль игры, проверки по спискам самоисключения и запрещенных лиц — все это обработка персональных данных. Статья 2 Закона Грузии о защите персональных данных определяет сферу действия закона: он распространяется на обработку данных автоматическими и полуавтоматическими средствами, на неавтоматическую обработку данных, входящих в картотеку или предназначенных для ее пополнения, а также на обработку, осуществляемую зарегистрированным за пределами Грузии управляющим с использованием технических средств, находящихся в Грузии, — кроме случая, когда средства используются только для транзита данных.
Это значит, что даже оператор, работающий через иностранную структуру, но использующий грузинские серверы или иные технические средства, попадает в эффективную зону грузинского закона. Вместе с тем закон не распространяется на обработку в личных или семейных целях, в целях государственной безопасности, обороны и разведки, на судебное разбирательство и деятельность СМИ — но коммерческая игорная деятельность под эти исключения не подпадает.
Принципы обработки
Статья 4 устанавливает принципы, которые должны соблюдаться при каждой операции. Данные должны обрабатываться законно, справедливо и прозрачно для субъекта, без нарушения его достоинства; собираться только для конкретных, четко определенных и законных целей, а дальнейшая обработка с несовместимой целью запрещена; обрабатываться лишь в объеме, необходимом для достижения законной цели, — данные должны быть соразмерны цели.
Данные должны быть достоверными и, при необходимости, актуализированными, а неточные данные должны исправляться, удаляться или уничтожаться без неоправданной задержки. Хранение допустимо только на срок, необходимый для достижения цели: после ее достижения данные удаляются, уничтожаются или деперсонифицируются. И наконец, безопасность: должны приниматься такие технические и организационные меры, которые должным образом защищают данные от неправомерной или незаконной обработки, случайной утраты, уничтожения или повреждения. При оценке дальнейшей обработки закон сопоставляет связь между первоначальной и новой целью, разумные ожидания субъекта и возможные последствия — а управляющий обязан уметь подтвердить соблюдение этих принципов.
Основания обработки
Статья 5 устанавливает правило: обработка допустима, только если существует одно из оснований. В контексте игрока чаще всего используются: согласие субъекта на обработку для одной или нескольких конкретных целей; исполнение обязательства по договору с субъектом или заключение договора по его запросу; обработка, предусмотренная законом, — в игорной сфере особенно актуально, поскольку требования идентификации исходят именно отсюда; обработка, необходимая для рассмотрения заявления; а также законные интересы, если нет преобладающего интереса защиты прав субъекта.
Важно: обязанность обоснования правомерного основания обработки лежит на управляющем — ошибка в выборе основания ставит всю обработку под сомнение. Поэтому для каждого потока данных — маркетинг, бонусы, аналитика, комплаенс — должны быть отдельно определены основание и цель.
Особые категории данных
Статья 6 вводит строгий режим для особых категорий данных: их обработка допустима, только если управляющий обеспечивает предусмотренные законом гарантии защиты прав и интересов субъекта и существует одно из установленных законом оснований. Первый и самый требовательный путь — письменное согласие: обычного согласия для особых категорий недостаточно. Среди иных оснований — прямо урегулированная законом обработка, жизненные интересы, социальное обеспечение.
В призме игорного бизнеса это критично: поведенческий профиль игры и оценки, связанные с зависимостью, касаются здоровья и поведения человека, поэтому их обработка должна выстраиваться с особой осторожностью именно через призму этой статьи. Обязанность обоснования правомерного основания обработки особых категорий также лежит на управляющем.
Архитектура комплаенса для оператора
На практике защита данных игроков состоит из трех слоев: карта целей, где для каждого потока зафиксированы цель, основание и срок хранения; механизм управления согласием, фиксирующий дачу, изменение и отзыв согласия; и меры безопасности — технические и организационные, — защищающие данные от несанкционированного доступа.
Особого внимания требуют потоки, исходящие из закона — идентификация, проверки по спискам, информация финансового мониторинга: там основанием является закон, а не согласие, и это различие должно быть четко видно в документации, чтобы по запросу оператор мог обосновать каждый шаг.
Часто задаваемые вопросы
Распространяется ли закон на иностранного оператора?
Да, если зарегистрированный за пределами Грузии управляющий обрабатывает данные с использованием технических средств, находящихся в Грузии, — кроме случая, когда они используются только для транзита.
В чем разница между согласием и законной обязанностью?
Согласие — свободное решение субъекта по конкретной цели, а предусмотренная законом обработка имеет основанием закон — например, требования идентификации. В обоих случаях обоснование — обязанность оператора.
Какой принцип нарушается чаще всего?
Ограничение цели и минимизация: сбор данных в режиме «всего, что может пригодиться». Закон требует только конкретных, четко определенных и законных целей и необходимого для цели объема.
Как работает письменное согласие на особые данные?
Особые категории могут обрабатываться на основании письменного согласия или прямо предусмотренных законом оснований при обеспечении гарантий защиты прав субъекта.
Как мы помогаем на Legal.ge
Мы выстроим полный каркас защиты данных игроков: карту целей и оснований, формы согласий, порядок обработки особых категорий данных и описание мер безопасности. Свяжитесь с нами на Legal.ge — комплаенс, построенный сегодня, без проблем примет завтрашний запрос.