Αίτημα διαγραφής προσωπικών δεδομένων σε online καζίνο

Το άρθρο 17 του ΓΚΠΔ δίνει στο υποκείμενο των δεδομένων το δικαίωμα να ζητήσει τη διαγραφή όσων στοιχείων το αφορούν και υποχρεώνει τον υπεύθυνο επεξεργασίας να τα διαγράψει χωρίς αδικαιολόγητη καθυστέρηση. Η υποχρέωση ενεργοποιείται όταν ισχύει ένας από τους λόγους της παραγράφου 1, για παράδειγμα όταν τα δεδομένα δεν χρειάζονται πια για τον σκοπό που συλλέχθηκαν ή όταν ο παίκτης ανακαλεί τη συγκατάθεσή του και δεν υπάρχει άλλη νομική βάση.

Το δικαίωμα δεν είναι απόλυτο.

Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) το γράφει ρητά στη σελίδα της για το δικαίωμα στη λήθη: η διατήρηση δεδομένων παραμένει σύννομη όταν είναι αναγκαία για συμμόρφωση με νομική υποχρέωση ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων. Στην ελληνική έννομη τάξη προστίθενται οι περιορισμοί του άρθρου 34 του ν. 4624/2019. Η ίδια η Αρχή, με τη γνωμοδότηση 1/2020, χαρακτήρισε τους περιορισμούς αυτούς εκτεταμένους και επιφυλάχθηκε να κρίνει τη συμβατότητά τους με τον ΓΚΠΔ σε κάθε υπόθεση χωριστά.

Για έναν πάροχο με άδεια της Επιτροπής Εποπτείας και Ελέγχου Παιγνίων (ΕΕΕΠ), αυτό σημαίνει ότι ένα μέρος του φακέλου σβήνεται μόλις ζητηθεί και ένα άλλο μένει κλειδωμένο για χρόνια. Ένας ιστότοπος που απλώς ανοίγει από την Ελλάδα δεν είναι γι’ αυτό νόμιμος, και σε τέτοιους ιστοτόπους ο παίκτης συχνά δεν γνωρίζει καν ποια εταιρεία κρατά τα στοιχεία του.

Ο βασικός λόγος για τον οποίο ένα αδειοδοτημένο καζίνο αρνείται την πλήρη διαγραφή είναι η νομοθεσία για το ξέπλυμα χρήματος. Οι πάροχοι τυχερών παιγνίων είναι υπόχρεα πρόσωπα του ν. 4557/2018, και το άρθρο 30 του νόμου ορίζει ότι τα στοιχεία ταυτοποίησης και οι συναλλαγές φυλάσσονται για πέντε έτη μετά το τέλος της επιχειρηματικής σχέσης.

Η ίδια διάταξη προβλέπει ότι, μόλις λήξει η πενταετία, τα υπόχρεα πρόσωπα διαγράφουν τα δεδομένα προσωπικού χαρακτήρα. Εξαίρεση υπάρχει μόνο όταν άλλη διάταξη νόμου ή κανονιστική απόφαση επιτρέπει ή επιβάλλει αιτιολογημένα μακρύτερη φύλαξη, η οποία πάντως δεν μπορεί να ξεπεράσει τη δεκαετία. Η πενταετία μετρά από τη λήξη της σχέσης με τον πελάτη και όχι από την εγγραφή, σημείο που συχνά παρερμηνεύεται.

Δεύτερη πηγή υποχρεώσεων είναι ο Κανονισμός Παιγνίων μέσω Διαδικτύου, που θεσπίστηκε με την ΥΑ 79835 ΕΞ/2020 (ΦΕΚ Β΄ 3265/2020) και ισχύει όπως έχει τροποποιηθεί. Ο κάτοχος άδειας οφείλει να πιστοποιεί την ταυτότητα του παίκτη και να διασφαλίζει ότι κανείς δεν διατηρεί περισσότερους από έναν Ηλεκτρονικούς Λογαριασμούς Παίκτη. Καμία από τις δύο υποχρεώσεις δεν εκπληρώνεται αν ο πάροχος έχει σβήσει ποιος ήταν ο πελάτης του.

Στις πηγές της ΕΕΕΠ που εξετάσαμε δεν εντοπίσαμε ενιαίο πίνακα με τη διάρκεια φύλαξης ανά κατηγορία δεδομένων.

Ό,τι δεν καλύπτεται από τέτοια υποχρέωση, όπως οι προτιμήσεις επικοινωνίας και τα προφίλ για διαφημιστικούς σκοπούς, στηρίζεται κατά κανόνα στη συγκατάθεση ή στο έννομο συμφέρον του παρόχου, και εκεί το αίτημα διαγραφής έχει άμεσο αποτέλεσμα.

Το αίτημα απευθύνεται στον υπεύθυνο επεξεργασίας, δηλαδή στη νομική οντότητα που εκμεταλλεύεται την άδεια, και όχι στο εμπορικό σήμα του καζίνο. Η εταιρεία αυτή αναφέρεται στην πολιτική απορρήτου και στους όρους χρήσης, συνήθως μαζί με τα στοιχεία του Υπευθύνου Προστασίας Δεδομένων (DPO), όπου έχει οριστεί.

Ένα ελληνικό σήμα μπορεί να ανήκει σε εταιρεία με έδρα σε άλλο κράτος.

Για τους κατόχους άδειας της ΕΕΕΠ, ο παίκτης συγκρίνει την επωνυμία της πολιτικής απορρήτου με τον κατάλογο αδειοδοτημένων παρόχων που δημοσιεύει η Επιτροπή, ώστε να βεβαιωθεί ότι απευθύνεται στον πραγματικό κάτοχο. Όταν ο ιστότοπος λειτουργεί χωρίς ελληνική άδεια, ο ΓΚΠΔ εξακολουθεί να εφαρμόζεται βάσει του άρθρου 3 παρ. 2 εφόσον ο πάροχος στοχεύει κατοίκους της Ένωσης. Η άσκηση του δικαιώματος απέναντι σε εταιρεία εκτός ΕΕ είναι ωστόσο στην πράξη πολύ δυσκολότερη, γιατί καμία ευρωπαϊκή αρχή δεν έχει άμεση πρόσβαση στα συστήματά της.

Πριν από το αίτημα, ο παίκτης αποσύρει το υπόλοιπο του λογαριασμού και αποθηκεύει το ιστορικό συναλλαγών του, αφού μετά τη διαγραφή η πρόσβαση στο προφίλ χάνεται. Η ΑΠΔΠΧ διαθέτει στο eservices.dpa.gr σύστημα υποβοήθησης που παράγει έτοιμη αίτηση άσκησης δικαιώματος για εκτύπωση ή μεταφόρτωση.

Αν ο πάροχος δεν απαντήσει μέσα στην προθεσμία ή αρνηθεί χωρίς επαρκή αιτιολογία, ο παίκτης μπορεί να υποβάλει καταγγελία στην ΑΠΔΠΧ. Η Αρχή ορίζει ως υποχρεωτική προϋπόθεση για καταγγελία παραβίασης δικαιώματος την προηγούμενη απεύθυνση στον υπεύθυνο επεξεργασίας.

Χωρίς το αρχικό αίτημα, η καταγγελία δεν προχωρά.

Η καταγγελία υποβάλλεται ηλεκτρονικά μέσω της ιστοσελίδας της Αρχής, και ο οδηγός υποβοήθησης στο eservices.dpa.gr υποδεικνύει ποια στοιχεία χρειάζονται για την τεκμηρίωση. Στον φάκελο μπαίνουν το αίτημα, η απόδειξη αποστολής και κάθε απάντηση του παρόχου. Η ΑΠΔΠΧ διευκρινίζει ότι όποιος επιδιώκει αποζημίωση πρέπει να ασκήσει τα δικαιώματά του δικαστικά.

Όταν η κύρια εγκατάσταση του παρόχου βρίσκεται σε άλλο κράτος μέλος, την υπόθεση χειρίζεται κατά κανόνα η επικεφαλής εποπτική αρχή εκείνου του κράτους, μέσω του μηχανισμού μίας στάσης του ΓΚΠΔ. Ο παίκτης διατηρεί πάντως το δικαίωμα του άρθρου 77 να καταθέσει την καταγγελία στην Ελλάδα, όπου έχει τη συνήθη διαμονή του, και για τις διασυνοριακές υποθέσεις ο Κανονισμός (ΕΕ) 2025/2518 θεσπίζει πρόσθετους διαδικαστικούς κανόνες. Η απεύθυνση στην ΕΕΕΠ αποτελεί ξεχωριστή οδό, που αφορά την τήρηση των όρων της άδειας και όχι την προστασία των δεδομένων.