Общий регламент по защите данных (GDPR) — закон Европейского союза о защите данных, действующий с 2018 года, регулирующий, как организации собирают, используют, хранят и передают персональные данные о людях в ЕС и ЕЭЗ.
Определение
Общий регламент по защите данных (GDPR) — закон Европейского союза о защите данных, действующий с 2018 года, регулирующий, как организации собирают, используют, хранят и передают персональные данные о людях в ЕС и ЕЭЗ. Он применяется к любому бизнесу, который таргетирует или мониторит резидентов ЕС/ЕЭЗ независимо от того, где бизнес расположен, что вводит большинство iGaming-операторов и многих аффилиатов в его сферу.
У Великобритании своя почти идентичная версия (UK GDPR) после выхода из ЕС.
GDPR построен на принципах: обрабатывай данные законно, справедливо и прозрачно; собирай их для определённых целей и не более; храни только необходимое и только столько, сколько нужно; держи их точными и защищёнными; и будь подотчётным, то есть способным продемонстрировать соответствие. Он также даёт лицам обеспечиваемые права над их данными — доступ, исправление, удаление, переносимость, возражение и ограничение обработки.
В контексте
Для iGaming GDPR затрагивает весь жизненный цикл данных. Каждая активность обработки нуждается в законном основании: договор (ведение аккаунта игрока), юридическое обязательство (хранение записей KYC и AML), законные интересы (предотвращение фрода, часть аналитики) или согласие (маркетинговые куки, часть профилирования).
Согласие должно быть свободно данным, конкретным, информированным и таким же лёгким для отзыва, как для дачи — поэтому предустановленные галочки и «стены согласия», связывающие маркетинг с доступом к сервису, не квалифицируются. Особая осторожность применяется к профилированию, затрагивающему игроков, а мониторинг ответственной игры надо обосновывать тщательно, так как он обрабатывает поведенческие данные в масштабе.
Операционно операторы и аффилиаты должны вести записи обработки, подписывать соглашения об обработке данных с вендорами (трекеры, CRM, аналитика, PSP), проводить оценки воздействия на защиту данных для высокорисковой обработки, исполнять запросы субъектов данных в течение месяца, сообщать о квалифицирующихся нарушениях регулятору в течение 72 часов и назначать сотрудника по защите данных где требуется. Международные передачи данных из ЕЭЗ нуждаются в действительном механизме передачи.
Для аффилиатов частые точки отказа — установка трекинговых и рекламных кук до согласия, передача данных игроков или лидов без надлежащего соглашения и законного основания и email-маркетинг по спискам без демонстрируемого opt-in. Штрафы достигают десятков миллионов евро или процента от глобального оборота, и регуляторы в секторе показали готовность их применять.
Разобранный пример
Оператор проводит аудит данных и обнаруживает, что его аналитические и аффилиат-трекинговые куки срабатывают при загрузке страницы до ответа на баннер согласия. Он переделывает баннер, чтобы блокировать все неессенциальные куки до opt-in пользователя, добавляет соглашение об обработке данных с вендором трекера и документирует законное основание для каждой цели обработки.
Аффилиат, рассылающий купленный список без доказательства opt-in, отключается от программы.
Связанные термины
Частые вопросы
Смотрите полный глоссарий iGaming и арбитража — сотни терминов EN/RU с примерами.
← Назад к глоссарию