AZOP kaznio kockarnicu sa 2,6 milijuna eura zbog kršenja GDPR-a

Agencija za zaštitu osobnih podataka (AZOP) izrekla je neimenovanoj kockarnici upravnu novčanu kaznu od ukupno 2,59 milijuna eura zbog više povreda Opće uredbe o zaštiti podataka (GDPR), objavljeno je u petak. Nadzorom su, među ostalim, utvrđene nepravilnosti pri obradi biometrijskih podataka gotovo 35 tisuća igrača, nedostaci u pribavljanju privola te netransparentno informiranje korisnika o obradi njihovih osobnih podataka.

Prema pisanju Kristijana Kuveždića iz Jutarnjeg lista, neslužbeno se doznaje da je riječ o kockarnici Admiral. Postupak je Agencija pokrenula po službenoj dužnosti, a među najvažnijim utvrđenim nepravilnostima je obrada otisaka prstiju igrača u opsegu koji, prema ocjeni AZOP-a, nije bio nužan za njihovu identifikaciju.

Prikupljali otiske četiriju prstiju

Uz identifikaciju igrača osobnom iskaznicom, kockarnica je omogućavala i identifikaciju putem RFID čipa ili otiska prsta kako bi se ubrzao postupak prilikom sljedećih dolazaka u casino. Iako je priređivač tvrdio da prikuplja otiske dvaju prstiju, nadzorom je utvrđeno da se prikupljaju otisci četiriju prstiju – po dva sa svake ruke.

Dodatni otisci opravdavani su mogućnošću oštećenja kože na prstima, zbog čega bi očitanje pojedinog otiska moglo biti otežano ili neuspješno. AZOP je, međutim, zaključio da takvo obrazloženje nije dovoljno da bi se dokazala nužnost prikupljanja četiri otiska.

Prema pravilima zaštite osobnih podataka, voditelj obrade mora moći dokazati zašto je za određenu svrhu potreban upravo takav opseg podataka te može li se isti cilj postići obradom manjeg broja podataka ili dodatnim načinima provjere identiteta. Agencija pritom naglašava da se obrada biometrijskih podataka radi sigurnog identificiranja korisnika može temeljiti na izričitoj privoli, ali sama privola ne može opravdati prikupljanje većeg broja podataka nego što je potrebno.

U ovom slučaju, privola za obradu biometrijskih podataka bila je evidentirana za 34.933 igrača. AZOP je utvrdio da su njihovi biometrijski podaci obrađivani bez valjane privole i u opsegu koji nije bio nužan za ostvarenje navedene svrhe. Igrači nisu mogli zasebno birati na što pristaju.

Nepravilnosti i u pribavljanju privola

Tijekom registracije u casinu igračima su se na ekranu prikazivala četiri interaktivna polja za davanje privole. AZOP je utvrdio da prva dva teksta nisu ispunjavala zahtjeve GDPR-a prema kojima privola mora biti dobrovoljna, posebna, informirana i nedvosmislena.

U izjavi koja se odnosila na prikupljanje i obradu otisaka prstiju bilo je objedinjeno više različitih svrha obrade. Prema Agenciji, igračima nije bilo dovoljno jasno objašnjeno koje se obrade provode zato što su propisane zakonom, a koje ovise o njihovoj dobrovoljnoj odluci. Zbog toga igrači nisu mogli zasebno odlučiti na koje obrade pristaju, a na koje ne.

Sličan problem AZOP je utvrdio i kod privole za prikupljanje i obradu fotografija. U istoj izjavi bile su navedene različite svrhe, pa ispitanici nisu mogli jasno utvrditi koristi li se fotografija samo za provjeru identiteta ili i za druge namjene. Agencija je zaključila da je priređivač objedinjavanjem različitih svrha bez mogućnosti zasebnog izbora prekršio pravila GDPR-a koja uređuju uvjete za valjanu privolu.

Dokumenti davali različite informacije

Treća skupina nepravilnosti odnosila se na informacije koje su igrači dobivali o obradi svojih osobnih podataka. Prilikom registracije predočen im je veći broj dokumenata, ali su oni, prema nalazu AZOP-a, sadržavali međusobno neusklađene i nepotpune informacije o svrhama i pravnim osnovama obrade. U pojedinim slučajevima svrha obrade uopće nije bila navedena, dok pravna osnova nije bila jasno povezana s konkretnom vrstom obrade.

Primjerice, u Općim pravilima korištenje otiska prsta nije bilo povezano samo s identifikacijom igrača pri ulasku u casino. Kao moguće svrhe navodili su se i kontrola i praćenje ulaska u poslovnice, zaštita maloljetnika, sudjelovanje u igrama na sreću te korištenje bonusnog sustava nagrađivanja.

AZOP je zaključio da informacije koje su pružane igračima nisu bile dovoljno jasne, potpune ni međusobno usklađene. Zbog toga korisnici nisu mogli jednostavno utvrditi u koju se svrhu njihovi osobni podaci obrađuju i na kojoj pravnoj osnovi. Zbog utvrđenih povreda pravila o zakonitosti, minimizaciji podataka, privoli i transparentnosti obrade osobnih podataka, Agencija je priređivaču igara na sreću izrekla ukupnu kaznu od 2,59 milijuna eura, stoji u priopćenju.