GDPR

GDPR вступил в силу 25 мая 2018 года. Он применяется к любой организации, которая обрабатывает персональные данные резидентов ЕС и ЕЭЗ, если предлагает им товары или услуги либо отслеживает их поведение (статья 3). Место регистрации компании на КюрасаоЛицензия КюрасаоЛицензия Кюрасао — разрешение на онлайн-гемблинг и беттинг, которое выдаёт регулятор острова Кюрасао. Это одна из самых доступных по требованиям юрисдикций для операторов азартных игр. или в другой юрисдикции значения не имеет, если аудитория European.

Как это работает

Персональными данными считается любая информация, по которой можно идентифицировать человека: email, телефон, IP-адрес, cookie-идентификаторы, ID устройства, история ставок или депозитовДепозитДепозит — перевод денег от игрока или клиента на его счёт у оператора казино, букмекера или биржи, после которого средства доступны для ставок и торговли.. Обработка требует законного основания из статьи 6: согласие, исполнение договора, юридическая обязанность, законный интерес и др. Пользователь получает права на доступ, исправление, удаление, ограничение обработки, переносимость данных и возражение против обработки.

Где встречается в рисковых вертикалях

Гемблинг и беттинг: профили игроков, история ставок и депозитов, данные для KYCKYCПроверка личности клиента: документы, адрес, иногда селфи. и AMLAMLПравила и проверки против отмывания денег.. Обязанности по хранению из AML могут противоречить требованию удалить данные, поэтому нужна документированная политика сроков хранения. Крипто: блокчейнБлокчейнБлокчейн — распределённая база данных в виде цепочки блоков, где каждая запись связана криптографически с предыдущей, а копии хранятся у множества участников сети. не позволяет менять записи, что усложняет удаление данных; адреса кошельков часто считаются персональными данными. НутраНутраНутра (nutraceuticals) — товары для здоровья и БАДы, которые продаются в перфоманс-маркетинге через арбитраж трафика и партнёрские программы.: сведения о здоровье относятся к особой категории (статья 9) и требуют явного согласия или иного исключения. Дейтинг: данные о сексуальной ориентации и интимных предпочтениях тоже особая категория. Финтех и платежи: переводы, карточные данные и идентификация клиента требуют согласованности с PSD2PSD2PSD2 — директива ЕС 2015/2366, которая регулирует платёжные услуги в Европейской экономической зоне, вводит сильную аутентификацию клиента (SCA) и открывает доступ к банковским данным через API. и правилами PCI DSSPCI DSSPCI DSS — стандарт безопасности данных индустрии платежных карт, обязательный по договорам с банками и платежными системами для всех, кто хранит, обрабатывает или передает данные карт..

Частые ошибки

Считать, что согласие нужно на всё: для строго необходимых cookie согласие не требуется, а для аналитики и маркетинга обычно требуется. Передавать данные партнёрам и трекерам без договора обработки (DPA). Передавать данные в третьи страны без правового механизма переноса. Собирать лиды с формы без понятной информации о целях обработки.

Штрафы

Статья 83 предусматривает штрафы до 20 миллионов евро или 4% мирового годового оборота, в зависимости от того, что больше, для наиболее серьёзных нарушений. Фактические решения надзорных органов зависят от конкретных обстоятельств дела.