Kroatiens databeskyttelsesmyndighed har idømt en unavngiven spiloperatør en bøde på næsten 2,6 mio. euro for at indsamle fire fingeraftryk fra hver casinospiller. Bøden for casinoets fingeraftryksdata under GDPR, rapporteret...

Kroatiens databeskyttelsesmyndighed har idømt en unavngiven spiloperatør en bøde på næsten 2,6 mio. euro for at indsamle fire fingeraftryk fra hver casinospiller. Bøden for casinoets fingeraftryksdata under GDPR, rapporteret af MLex, drejer sig om et enkelt punkt: Operatøren godtgjorde ikke, at optagelsen af alle fire fingeraftryk var nødvendig for at identificere spillere. Myndigheden fandt også, at den biometriske behandling manglede gyldigt samtykke under GDPR.

Det resumé, vi har til rådighed, er kort, så dette indlæg holder sig til det, der er rapporteret, og forklarer de bredere retsprincipper, der er involveret.

Hvad Kroatiens myndighed fandt

Ifølge MLex-resuméet indsamlede operatøren fire fingeraftryk pr. spiller til identifikationsformål. Myndighedens bekymringer, som rapporteret, var todelte:

• Nødvendigheden blev ikke godtgjort. Operatøren godtgjorde ikke, at alle fire fingeraftryk var påkrævet for at identificere en spiller.
• Samtykket var ikke gyldigt. Den biometriske behandling manglede gyldigt samtykke under GDPR.

Bøden beløb sig til næsten 2,6 mio. euro. Operatøren er ikke blevet navngivet i den rapportering, vi har set, og vi har ikke yderligere detaljer om, hvordan spillere blev tilmeldt, eller hvordan dataene blev opbevaret. Vi vil ikke spekulere i disse punkter.

Sagen er bemærkelsesværdig, fordi myndigheden ikke blot sagde, at fingeraftryk er forbudte. Kritikken handlede om proportionalitet: at indsamle mere biometriske data, end operatøren kunne retfærdiggøre.

Hvorfor biometrisk samtykke under GDPR er svært at opfylde

Under GDPR behandles biometriske data, der bruges til entydigt at identificere en person, som særlige kategorier af personoplysninger. Det betyder, at behandlingen heraf møder en højere tærskel end almindelige personoplysninger som en e-mailadresse eller et navn. Organisationer har generelt brug for et gyldigt retsgrundlag og en yderligere betingelse for at håndtere denne type oplysninger.

Samtykke er den vej, mange virksomheder griber efter, men det er krævende. I generelle vendinger skal samtykke være frivilligt, specifikt, informeret og utvetydigt. Flere ting kan underminere det:

• Pres eller mangel på alternativer. Hvis en spiller skal afgive fingeraftryk for at komme ind eller spille, er valget måske ikke reelt frit.
• Vage forklaringer. Folk har brug for at forstå, hvad der indsamles, hvorfor og hvor længe.
• Overdreven indsamling. Selv med samtykke gælder dataminimering stadig. At indsamle fire fingeraftryk, når færre ville gøre, inviterer til den slags udfordring, man ser i Kroatien.

Nødvendighedspunktet er værd at understrege. Myndigheder forventer, at organisationer retfærdiggør hvert dataelement, de indsamler. Hvis en lettere metode kan opnå det samme mål, er en tungere svær at forsvare.

Hvad dette betyder for dig

Fingeraftryk er anderledes end adgangskoder. Du kan ændre en kompromitteret adgangskode, men du kan ikke ændre dine fingre. Denne permanenthed er grunden til, at myndigheder behandler biometri som højrisiko, og hvorfor en spilplatform, der beder om dem, fortjener granskning.

Hvis du spiller personligt eller online, kan du overveje følgende:

• Spørg hvorfor. Hvis et spillested eller en platform anmoder om biometri, så spørg, hvad der præcist indsamles, hvorfor det er nødvendigt, og hvem der kan få adgang til det.
• Led efter alternativer. Under GDPR-principper bør der eksistere et reelt valg. Spørg, om en anden form for identifikation accepteres.
• Tjek opbevaring. Spørg, hvor længe dataene opbevares, og hvordan du kan anmode om sletning.
• Kend dine rettigheder. I EU kan du generelt anmode om indsigt i dine data, bede om sletning under visse omstændigheder og klage til din nationale databeskyttelsesmyndighed.

Denne sag viser også, at myndigheder er villige til at pålægge betydelige sanktioner for biometrisk indsamling, hvilket kan tilskynde operatører til at gennemgå deres egne praksisser.

Hvad en VPN kan og ikke kan beskytte

Det er fristende at tro, at en VPN løser privatlivsproblemer omkring gambling. I dette scenarie gør den det mest ikke. En VPN krypterer trafikken mellem din enhed og VPN-serveren, hvilket kan begrænse, hvad din internetudbyder eller nogen på offentligt Wi-Fi ser. Valg af protokol betyder noget her; for eksempel indpakker SSTP trafik i SSL/TLS-kryptering, hvilket kan hjælpe det med at passere restriktive firewalls.

Men en VPN kan ikke nå data, du giver direkte til en virksomhed. Hvis du scanner dit fingeraftryk ved en casinoterminal eller indsender en biometrisk kontrol til en platform, går den information direkte til operatøren. Ingen tunnel ændrer, hvad operatøren besidder, eller hvordan den behandler det. Den kroatiske sag involverede netop den slags direkte indsamling.

En VPN er et lag af beskyttelse for netværkstrafik. Det er ikke en erstatning for at granske, hvilke personoplysninger du overhovedet afgiver. Hvis du bruger en, viser vores Surfshark-opsætningsguide, hvad konfiguration af en klient indebærer, selvom dette er en gennemgang og ikke en anbefaling.

Vigtige pointer

Bøden for casinoets fingeraftryksdata under GDPR i Kroatien sender et klart budskab: Biometriske data kræver en stærk begrundelse, et gyldigt retsgrundlag og ikke mere indsamling end nødvendigt. For spillere er det praktiske svar at stille spørgsmålstegn ved enhver biometrisk anmodning fra en spilplatform, før man accepterer.

• Spørg, hvad der indsamles og hvorfor, og om der findes en ikke-biometrisk mulighed.
• Husk, at fingeraftryk ikke kan ændres, hvis de blotlægges.
• Brug en VPN til det, den er god til, nemlig at beskytte netværkstrafik, men forvent ikke, at den beskytter data, du afgiver direkte.
• Hvis du mener, dine data er blevet behandlet ulovligt, kontakt din nationale databeskyttelsesmyndighed.

FAQ: Q1: Hvor meget blev casinooperatøren idømt i bøde? A1: Kroatiens databeskyttelsesmyndighed idømte den unavngivne spiloperatør en bøde på næsten 2,6 mio. euro. Q2: Hvorfor blev casinooperatøren idømt en bøde? A2: Myndigheden fandt, at operatøren ikke godtgjorde, at indsamlingen af alle fire fingeraftryk pr. spiller var nødvendig for identifikation, og at den biometriske behandling manglede gyldigt samtykke under GDPR. Q3: Hvordan behandles biometriske data under GDPR? A3: Biometriske data, der bruges til entydigt at identificere en person, behandles som særlige kategorier af personoplysninger, hvilket betyder, at de møder en højere tærskel end almindelige personoplysninger og generelt kræver et gyldigt retsgrundlag plus en yderligere betingelse. Q4: Hvilke krav skal samtykke opfylde under GDPR? A4: Samtykke skal generelt være frivilligt, specifikt, informeret og utvetydigt, og det kan undermineres af pres eller mangel på alternativer, vage forklaringer eller overdreven indsamling af data. Q5: Hvorfor behandler myndigheder fingeraftryk som højrisiko? A5: I modsætning til adgangskoder kan fingeraftryk ikke ændres, hvis de kompromitteres, og denne permanenthed er grunden til, at myndigheder behandler biometri som højrisiko.

---END---