Πώς υποβάλλεται αίτημα πρόσβασης σε online καζίνο

Το δικαίωμα πρόσβασης προβλέπεται στο άρθρο 15 του Κανονισμού (ΕΕ) 2016/679 και ισχύει απευθείας στην Ελλάδα, με τις συμπληρωματικές διατάξεις του ν. 4624/2019. Ο παίκτης μπορεί να μάθει αν ο πάροχος επεξεργάζεται δεδομένα που τον αφορούν και, αν συμβαίνει αυτό, να λάβει τα ίδια τα δεδομένα.

Μαζί με τα δεδομένα ο πάροχος οφείλει να δώσει τις πληροφορίες της παραγράφου 1 του άρθρου 15. Σε αυτές ανήκουν οι σκοποί της επεξεργασίας, οι κατηγορίες δεδομένων, οι αποδέκτες, το διάστημα αποθήκευσης και η προέλευση όσων στοιχείων δεν δόθηκαν από τον ίδιο τον παίκτη. Για ένα online καζίνο το πιο ουσιαστικό σημείο είναι η ύπαρξη αυτοματοποιημένης λήψης αποφάσεων ή κατάρτισης προφίλ. Εκεί εμπίπτουν τα συστήματα που βαθμολογούν τον κίνδυνο απάτης ή εντοπίζουν ενδείξεις προβληματικού παιχνιδιού, και που μπορούν να οδηγήσουν σε περιορισμό ή κλείσιμο λογαριασμού. Η παράγραφος 3 του ίδιου άρθρου προσθέτει το δικαίωμα σε αντίγραφο των δεδομένων που υποβάλλονται σε επεξεργασία.

Το δικαίωμα δεν εξαρτάται από τον λόγο του αιτήματος.

Οι κατευθυντήριες γραμμές 01/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ) διαβάζουν το άρθρο 15 ευρέως. Κατά την ερμηνεία τους, το αίτημα καλύπτει όλα τα δεδομένα που αφορούν τον αιτούντα, εκτός αν ο ίδιος το περιορίσει ρητά. Όποιος χρειάζεται μόνο το ιστορικό συναλλαγών μπορεί να το δηλώσει, ώστε η απάντηση να είναι στοχευμένη και να μη χαθεί σε εκατοντάδες σελίδες.

Το αίτημα απευθύνεται στον υπεύθυνο επεξεργασίας, δηλαδή στην εταιρεία που αποφασίζει γιατί και πώς επεξεργάζονται τα δεδομένα. Αυτή δεν ταυτίζεται πάντα με το εμπορικό σήμα που εμφανίζεται στην οθόνη. Η επωνυμία της αναγράφεται κατά κανόνα στην πολιτική απορρήτου, μαζί με τα στοιχεία του υπευθύνου προστασίας δεδομένων (DPO), όπου έχει οριστεί.

Για πάροχο με ελληνική άδεια, η επωνυμία διασταυρώνεται στο Μητρώο Κατόχων Άδειας της Επιτροπής Εποπτείας και Ελέγχου Παιγνίων (ΕΕΕΠ), που δημοσιεύεται στον ιστότοπό της. Η ΕΕΕΠ είναι η αρχή που εκδίδει τις άδειες τυχερών παιγνίων στην Ελλάδα και τηρεί παράλληλα κατάλογο μη αδειοδοτημένων παρόχων με χιλιάδες εγγραφές.

Το ότι ένας ιστότοπος ανοίγει από την Ελλάδα δεν σημαίνει ότι έχει ελληνική άδεια.

Ο ΓΚΠΔ καλύπτει και εταιρείες εκτός Ένωσης που προσφέρουν υπηρεσίες σε πρόσωπα εντός της, σύμφωνα με το άρθρο 3 παράγραφος 2. Οι εταιρείες αυτές οφείλουν, κατά το άρθρο 27, να ορίσουν εκπρόσωπο μέσα στην Ένωση, και σε αυτόν μπορεί να σταλεί το αίτημα. Στην πράξη η επιβολή του δικαιώματος απέναντι σε ιστότοπο που βρίσκεται στη μαύρη λίστα της ΕΕΕΠ είναι δύσκολη, επειδή η εταιρεία συχνά δεν δηλώνει ούτε έδρα ούτε εκπρόσωπο. Όταν η πολιτική απορρήτου δεν κατονομάζει καθόλου υπεύθυνο επεξεργασίας, η παράλειψη αυτή καταγράφεται και αναφέρεται σε μια μεταγενέστερη καταγγελία.

Κατά το άρθρο 12 παράγραφος 3 του ΓΚΠΔ, ο πάροχος απαντά χωρίς καθυστέρηση και σε κάθε περίπτωση εντός ενός μηνός από την παραλαβή του αιτήματος. Η προθεσμία παρατείνεται κατά δύο ακόμη μήνες μόνο όταν το δικαιολογεί η πολυπλοκότητα ή ο αριθμός των αιτημάτων. Για την παράταση και τους λόγους της ο πάροχος ενημερώνει μέσα στον πρώτο μήνα.

Το ανώτατο όριο είναι επομένως τρεις μήνες από την παραλαβή, όχι τρεις μήνες επιπλέον.

Το πρώτο αντίγραφο παρέχεται δωρεάν. Για επιπλέον αντίγραφα το άρθρο 15 παράγραφος 3 επιτρέπει εύλογο τέλος με βάση το διοικητικό κόστος. Το άρθρο 12 παράγραφος 5 επιτρέπει χρέωση ή άρνηση μόνο για αιτήματα προδήλως αβάσιμα ή υπερβολικά, και το βάρος απόδειξης το φέρει ο πάροχος.

Ταυτοποίηση του αιτούντα

Όταν υπάρχουν εύλογες αμφιβολίες για την ταυτότητα του αιτούντα, το άρθρο 12 παράγραφος 6 επιτρέπει στον πάροχο να ζητήσει πρόσθετες πληροφορίες. Ένα αίτημα από το email που είναι δηλωμένο στον λογαριασμό αρκεί συνήθως, και ένα καζίνο που έχει ήδη ολοκληρώσει KYC σπάνια έχει λόγο να ζητήσει ξανά όλα τα έγγραφα. Αν πάντως ζητηθεί νέο αντίγραφο ταυτότητας, είναι θεμιτό να ερωτηθεί γιατί δεν επαρκούν τα στοιχεία που ο πάροχος ήδη κατέχει. Η ερώτηση αυτή δεν αναστέλλει την προθεσμία, η οποία κατά την ερμηνεία του ΕΣΠΔ μετρά από τη στιγμή που ο πάροχος λαμβάνει τα στοιχεία ταυτοποίησης που ζήτησε.

Το αίτημα δεν χρειάζεται νομική διατύπωση, πρέπει όμως να αναγνωρίζεται ως αίτημα του άρθρου 15. Ένας σαφής τίτλος, όπως «Αίτημα πρόσβασης βάσει άρθρου 15 ΓΚΠΔ», βοηθά την υποστήριξη να το προωθήσει στο αρμόδιο τμήμα αντί να το χειριστεί ως γενική ερώτηση.

Στο κείμενο αναφέρονται το ονοματεπώνυμο, το email ή το username του λογαριασμού και, αν είναι γνωστός, ο αριθμός πελάτη. Ακολουθεί το ίδιο το αίτημα: επιβεβαίωση ότι γίνεται επεξεργασία, αντίγραφο των δεδομένων και οι πληροφορίες του άρθρου 15 παράγραφος 1. Όποιος θέλει συγκεκριμένη περίοδο ή κατηγορία, για παράδειγμα το ιστορικό συναλλαγών ενός λογαριασμού που έκλεισε, το γράφει ρητά. Έτσι δεν μένει περιθώριο παρερμηνείας για το εύρος της απάντησης.

Η μορφή της απάντησης μπορεί επίσης να οριστεί στο αίτημα.

Το άρθρο 15 παράγραφος 3 προβλέπει ότι, όταν το αίτημα υποβάλλεται ηλεκτρονικά, οι πληροφορίες δίνονται σε κοινώς χρησιμοποιούμενη ηλεκτρονική μορφή, εκτός αν ζητηθεί διαφορετικά. Ξεχωριστό είναι το δικαίωμα φορητότητας του άρθρου 20, που αφορά δομημένη μορφή αναγνώσιμη από μηχανή και καλύπτει μόνο όσα δεδομένα παρείχε ο ίδιος ο παίκτης. Αν αυτό είναι το ζητούμενο, αναφέρεται στο ίδιο μήνυμα ως χωριστό αίτημα.

Αν περάσει η προθεσμία χωρίς απάντηση ή η απάντηση είναι ελλιπής, το πρώτο βήμα είναι μια γραπτή υπενθύμιση με παραπομπή στο αρχικό αίτημα. Αν ούτε αυτή αποδώσει, ο παίκτης μπορεί να υποβάλει καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), σύμφωνα με το άρθρο 77 του ΓΚΠΔ.

Η Αρχή δέχεται καταγγελίες μέσω της ηλεκτρονικής φόρμας στο dpa.gr ή με email στο [email protected]. Δέχεται επίσης ταχυδρομική αποστολή στη Λεωφόρο Κηφισίας 1-3 στην Αθήνα, ενώ υπάρχει και υπηρεσία υποβολής στο gov.gr με κωδικούς Taxisnet. Στην καταγγελία επισυνάπτονται το αρχικό αίτημα, η απόδειξη αποστολής και ό,τι απάντησε ο πάροχος.

Για αιτήματα πρόσβασης αρμόδια είναι η ΑΠΔΠΧ, όχι η ΕΕΕΠ.

Όταν ο πάροχος είναι εγκατεστημένος σε άλλο κράτος μέλος, η καταγγελία υποβάλλεται κανονικά στην ελληνική Αρχή. Εκείνη τη διαβιβάζει στην επικεφαλής εποπτική αρχή του κράτους εγκατάστασης, μέσω του μηχανισμού συνεργασίας των άρθρων 56 και 60 του ΓΚΠΔ. Η υπόθεση ενός καζίνο με εταιρική έδρα στη Μάλτα, για παράδειγμα, εξετάζεται στην ουσία της από τη μαλτέζικη αρχή προστασίας δεδομένων. Η διαδικασία αυτή αφορά αποκλειστικά την προστασία δεδομένων και δεν κρίνει τη νομιμότητα του παρόχου στην Ελλάδα, που εξαρτάται μόνο από άδεια της ΕΕΕΠ.