Προσωπικά δεδομένα στο online καζίνο
Προσωπικά δεδομένα είναι, κατά το άρθρο 4 σημείο 1 του Κανονισμού (ΕΕ) 2016/679 (ΓΚΠΔ), κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Στα τυχερά παίγνια ο όρος καλύπτει όσα δίνει ο παίκτης στην εγγραφή και στο KYC, καθώς και όσα παράγει ο ίδιος ο λογαριασμός του: συναλλαγές, στοιχήματα, διευθύνσεις IP. Στην Ελλάδα τα μέτρα εφαρμογής του ΓΚΠΔ ορίζει ο ν. 4624/2019, και την εποπτεία ασκεί η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Τι καλύπτει ο νομικός ορισμός
Ο ορισμός του άρθρου 4 δεν περιορίζεται στο όνομα. Ταυτοποιήσιμο είναι το πρόσωπο που μπορεί να εντοπιστεί άμεσα ή έμμεσα, μέσω αναγνωριστικού όπως αριθμός ταυτότητας, δεδομένα θέσης ή επιγραμμικό αναγνωριστικό. Γι’ αυτό ένα username, μια διεύθυνση IP ή ένα ιστορικό στοιχημάτων συνδεδεμένο με λογαριασμό είναι προσωπικά δεδομένα, ακόμη κι αν δεν αναγράφουν πουθενά το επώνυμο του παίκτη.
Ο κανόνας είναι απλός: αν η πληροφορία οδηγεί σε συγκεκριμένο άνθρωπο, εμπίπτει στον ΓΚΠΔ.
Ο Κανονισμός ξεχωρίζει επίσης τις ειδικές κατηγορίες του άρθρου 9, όπως τα δεδομένα υγείας και τα βιομετρικά δεδομένα που χρησιμοποιούνται για την αδιαμφισβήτητη ταυτοποίηση προσώπου. Η επεξεργασία τους απαγορεύεται καταρχήν και επιτρέπεται μόνο με μία από τις εξαιρέσεις της παραγράφου 2, για παράδειγμα με ρητή συγκατάθεση. Αν η σύγκριση selfie με έγγραφο ταυτότητας στο KYC ενός παρόχου ανήκει εδώ εξαρτάται από τον σκοπό και τον τρόπο της επεξεργασίας, και οι πάροχοι δεν την περιγράφουν με ενιαίο τρόπο στις πολιτικές απορρήτου τους.
Απλά δεδομένα και ειδικές κατηγορίες
Η σύγκριση δείχνει πού αλλάζει το καθεστώς όταν ένα στοιχείο του παίκτη περνά από τη γενική κατηγορία στις ειδικές κατηγορίες. Η επισήμανση σε κάθε γραμμή δείχνει ποια πλευρά προστατεύεται αυστηρότερα, με βάση το κείμενο του ΓΚΠΔ.
Προσωπικά δεδομένα (άρθρο 4) | Ειδικές κατηγορίες (άρθρο 9) |
|---|---|
| Νομική βάση από το άρθρο 6, π.χ. σύμβαση ή νομική υποχρέωση | Καταρχήν απαγόρευση, με εξαιρέσεις του άρθρου 9 παρ. 2 |
| Ονοματεπώνυμο, ΑΦΜ, IBAN, IP, ιστορικό στοιχημάτων | Δεδομένα υγείας, βιομετρικά για αδιαμφισβήτητη ταυτοποίηση |
| Αρχείο δραστηριοτήτων: εξαίρεση για φορείς κάτω των 250 ατόμων | Η εξαίρεση δεν ισχύει όταν υπάρχουν ειδικές κατηγορίες |
| Δικαίωμα πρόσβασης και διαγραφής (άρθρα 15 και 17) | Τα ίδια δικαιώματα, χωρίς διαφορά |
Πού τα συναντά ο παίκτης στην Ελλάδα
Η πρώτη επαφή είναι η εγγραφή σε πάροχο με άδεια της Επιτροπής Εποπτείας και Ελέγχου Παιγνίων (ΕΕΕΠ). Εκεί ο παίκτης δίνει ονοματεπώνυμο, ημερομηνία γέννησης, διεύθυνση και ΑΦΜ, και ο λογαριασμός του συνδέεται μόνιμα με αυτά τα στοιχεία. Σε απόφαση κυρώσεων της ΕΕΕΠ του Ιουλίου 2026 ο έλεγχος στηρίχθηκε ακριβώς εκεί, αφού δύο λογαριασμοί είχαν ταυτόσημα επώνυμο, διεύθυνση, ημερομηνία γέννησης και ΑΦΜ.
Στην ίδια ταυτοποίηση στηρίζεται ο αποκλεισμός, που κατά την ΕΕΕΠ αφορά μόνο παίγνια όπου απαιτείται ταυτοποίηση, όπως ο ηλεκτρονικός λογαριασμός για online παιχνίδια.
Το δεύτερο σημείο όπου ο παίκτης συναντά τον όρο είναι η διατήρηση των στοιχείων μετά το κλείσιμο του λογαριασμού. Ο ν. 4557/2018 για την πρόληψη της νομιμοποίησης εσόδων από εγκληματικές δραστηριότητες ορίζει ότι τα στοιχεία ταυτοποίησης και συναλλαγών φυλάσσονται για πέντε έτη μετά το τέλος της επιχειρηματικής σχέσης, και έπειτα τα προσωπικά δεδομένα διαγράφονται. Άλλη διάταξη νόμου ή κανονιστική απόφαση μπορεί να επιβάλει μακρύτερη φύλαξη, η οποία πάντως δεν υπερβαίνει τη δεκαετία. Αυτό εξηγεί γιατί το κλείσιμο λογαριασμού δεν σβήνει αμέσως τα έγγραφα που ανέβηκαν στο KYC.
Με τι συγχέεται και ποια δικαιώματα ισχύουν
Η συχνότερη σύγχυση είναι με την «ασφάλεια λογαριασμού». Η κρυπτογράφηση και ο κωδικός πρόσβασης είναι μέτρα προστασίας, ενώ τα προσωπικά δεδομένα είναι το αντικείμενο που προστατεύεται, και η νομιμότητα της επεξεργασίας κρίνεται χωριστά από την ασφάλειά της.
Με το άρθρο 15 του ΓΚΠΔ ζητά επιβεβαίωση και πρόσβαση σε όσα τηρούνται για εκείνον, ενώ με το άρθρο 17 ζητά διαγραφή, η οποία υποχωρεί όταν η φύλαξη επιβάλλεται από νόμο, όπως ο ν. 4557/2018. Ο υπεύθυνος επεξεργασίας απαντά κατά κανόνα εντός ενός μηνός, με δυνατότητα παράτασης σε σύνθετα αιτήματα κατά το άρθρο 12 παρ. 3.
Εδώ μετράει ποιος εξέδωσε την άδεια.
Καταγγελία για τη χρήση δεδομένων απευθύνεται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ενώ καταγγελία για τη διεξαγωγή του παιγνίου απευθύνεται στην ΕΕΕΠ, που διαθέτει δική της ηλεκτρονική εφαρμογή. Ένας ιστότοπος με άδεια Μάλτας ή Κουρασάο δεν γίνεται νόμιμος στην Ελλάδα επειδή ανοίγει από ελληνική σύνδεση, αφού η ΕΕΕΠ δέχεται ως νόμιμους μόνο τους φορείς με δική της άδεια. Για πάροχο εγκατεστημένο εκτός ΕΕ ο ΓΚΠΔ μπορεί να εφαρμόζεται τυπικά όταν απευθύνεται σε κατοίκους της Ένωσης, όμως η επιβολή του απέναντι σε τέτοιο πάροχο είναι στην πράξη πολύ δυσκολότερη.
