Les opérateurs de jeux d’argent et de hasard doivent concilier les exigences du RGPD avec leurs obligations sectorielles. Pour accompagner les acteurs dans cette démarche, l’ANJ a élaboré, en concertation avec la CNIL, un guide apportant des repères pratiques.
Les opérateurs de jeux d’argent et de hasard (opérateurs titulaires de droits exclusifs, opérateurs de jeux en ligne, casinos et clubs de jeux) traitent quotidiennement un volume important de données personnelles concernant les joueurs : identité, coordonnées, données bancaires et opérations financières, activité de jeux, etc.
Ces traitements doivent respecter le RGPD tout en répondant à des obligations sectorielles spécifiques, notamment en matière de prévention du jeu excessif ou de lutte contre le blanchiment de capitaux et le financement du terrorisme.
Pour les accompagner, l’Autorité nationale des jeux (ANJ) a publié, en concertation étroite avec la CNIL, un guide destiné à clarifier l’application des règles de protection des données dans ce secteur particulier. Il n’a pas de visée prescriptive mais apporte des recommandations pour aider les acteurs à se mettre en conformité.
À noter : le guide couvre uniquement les traitements de données personnelles mis en œuvre dans le cadre des activités de jeux d’argent et de hasard relevant de la compétence de l’ANJ. Les traitements liés à la gestion générale de l’entreprise (ressources humaines, comptabilité, gestion financière etc.) n’entrent pas dans son périmètre.
Une expertise croisée au service des opérateurs
Élaboré par l’ANJ avec la contribution active de la CNIL, le Guide relatif aux traitements des données personnelles pour le secteur des jeux d’argent et de hasard est le fruit d’une collaboration entre les deux autorités.
Il vise à apporter aux opérateurs des repères pratiques tenant compte à la fois :
Cette approche conjointe permet de proposer des recommandations adaptées aux spécificités du secteur tout en garantissant un haut niveau de protection des personnes concernées.
Après un rappel des principes fondamentaux du RGPD, le guide propose des repères opérationnels pour aider les opérateurs à les appliquer.
Il apporte notamment des précisions sur trois thématiques centrales :
Pour chacune de ces thématiques, le guide précise bases légales appropriées, les droits des personnes concernées et les conditions permettant de garantir que les traitements sont proportionnés par rapport aux finalités poursuivies.
Le guide apporte aux opérateurs des repères pratiques pour identifier la base juridique appropriée à chaque traitement mis en œuvre dans le cadre de la gestion de la relation avec les joueurs. Il précise notamment les fondements juridiques applicables à l’ouverture et à la gestion des comptes joueurs, au traitement des réclamations, aux programmes de fidélité, aux statistiques ou encore à la gestion des contentieux.
Le guide propose des durées de conservation adaptées aux différentes finalités de traitement mises en œuvre par les opérateurs. Il rappelle notamment que certaines données doivent être conservées pendant 6 ans à compter de la clôture du compte joueur correspondant, en application de la réglementation sectorielle.
Il précise également les durées recommandées pour d'autres traitements, tels que la prospection commerciale, les programmes de fidélité, les contentieux ou encore les traitements statistiques, conformément à la doctrine de la CNIL en matière de gestion des activités commerciales.
Les opérateurs de jeux d’argent et de hasard sont légalement tenus de mettre en œuvre des dispositifs destinés à prévenir le jeu excessif ou pathologique. Le guide précise les traitements de données pouvant être réalisés à cette fin, notamment pour identifier les situations à risque, accompagner les joueurs concernés ou mettre en œuvre les dispositifs d’auto-exclusion et d’autolimitation.
Le guide apporte des repères sur les données susceptibles d’être utilisées pour détecter les comportements de jeu à risque, tout en rappelant l’importance du respect des principes de nécessité, de proportionnalité et de minimisation des données.
Le guide recommande, par exemple, que :
Le guide précise en outre que l’identification d’un joueur présentant un risque de jeu excessif ou pathologique constitue un traitement de données de santé, au sens du RGPD. Des garanties renforcées doivent ainsi être mises en œuvre, notamment en matière de sécurité et de réalisation d’une analyse d’impact sur la protection des données.
Enfin, le guide encadre le recours aux outils algorithmiques utilisés pour détecter les situations à risque.
L’article 22 du RGPD encadre les processus de prise de décision entièrement automatisés, lorsqu’elles produisent des effets juridiques ou significatifs. Le RGPD prévoit des garanties dans ces cas pour éviter que les personnes concernées ne subissent des décisions émanant uniquement « de machines ».
Le guide souligne que les opérateurs de jeux qui ont recours à des outils algorithmiques pour identifier les joueurs excessifs ou pathologiques n’y sont pas soumis lorsque :
Le guide précise les traitements de données que les opérateurs peuvent mettre en œuvre pour satisfaire à leurs obligations de lutte contre le blanchiment des capitaux et le financement du terrorisme (LCB-FT). Il rappelle que les principaux traitements mis en œuvre dans le cadre de la LCB-FT (mesures de vigilance à l’égard de la clientèle, détection des opérations atypiques, déclarations de soupçon ou encore mise en œuvre des mesures de gel des avoirs) reposent sur le respect d'une obligation légale.
Le guide souligne également que les objectifs du RGPD et ceux de la règlementation LCB-FT peuvent se coordonner autour d’une logique commune d’analyse des risques et de proportionnalité.
Les opérateurs doivent ainsi collecter uniquement les données nécessaires à l’évaluation du risque présenté par chaque joueur, et ne collecter que les données strictement nécessaires à cette évaluation. Le guide apporte, à ce titre, des précisions sur les catégories de données pouvant être collectées dans le cadre des obligations de vigilance renforcée. Il rappelle à cet égard que ces collectes ne peuvent être systématiques et doivent respecter le principe de minimisation.
Enfin, le document met en avant les garanties particulières qui doivent entourer ces traitements : limitation des accès aux personnes habilitées, interdiction de réutiliser les données à d’autres fins (sauf exceptions prévues par la loi), durées de conservation encadrées, obligation de réaliser une analyse d’impact relative à la protection des données, etc.
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。