Agencija za zaštitu osobnih podataka (AZOP) provela je po službenoj dužnosti nadzorno postupanje nad društvom koje obavlja djelatnost priređivanja igara na sreću. Zbog utvrđenih kršenja odredbi Opće uredbe o zaštiti podataka (GDPR), Agencija je voditelju obrade izrekla ukupnu upravnu novčanu kaznu u vrlo visokom iznosu od čak 2.590.000 eura.

Nezakonita biometrija

Istragom je utvrđeno da je casino, uz standardnu identifikaciju posjetitelja putem osobne iskaznice, uveo mogućnost brže identifikacije igrača prilikom narednih dolazaka pomoću RFID čipa ili otisaka prstiju. Iako je priređivač tvrdio da prikuplja otiske dvaju prstiju, nadzorom je utvrđeno da su se za biometrijsku identifikaciju prikupljali otisci ukupno četiriju prstiju, odnosno po dva prsta svake ruke.

Prikupljanje otisaka četiriju prstiju ocjenjeno je kao obrada većeg opsega osobnih podataka nego što je to nužno za ostvarenje same svrhe identifikacije. Opravdanje voditelja obrade, koji tvrdi da su dodatni otisci služili kao rezervna opcija u slučaju oštećenja kože, nadzorno tijelo nije prihvatilo, naglasivši da se nužnost takve obrade mora konkretno dokazati. Nadzor je potvrdio da su se biometrijski podaci obrađivali bez valjane privole i izvan opsega nužnog za ostvarenje svrhe za ukupno 34.933 igrača.

Problemi i s dokumentacijom

Pored prekomjerne obrade biometrije, utvrđeni su i ozbiljni propusti u načinu prikupljanja privole igrača. Prilikom registracije u casinu, na ekranu su se prikazivala interaktivna polja za davanje privola u kojima su bile objedinjene različite svrhe obrade. Na taj način posjetiteljima nije pružena stvarna mogućnost da zasebno odluče o svakoj pojedinoj svrsi, čime su prekršeni zahtjevi koji nalažu da privola mora biti dobrovoljna, posebna, informirana i nedvosmislena, kaže AZOP.

Predočeni dokumenti sadržavali su međusobno neusklađene i nepotpune informacije o svrhama i pravnim osnovama obrade osobnih podataka. U pojedinim aktima otisak prsta povezivao se sa svrhama koje daleko nadilaze samu identifikaciju na ulazu, poput kontrole ulaska u poslovnice, zaštite maloljetnika, sudjelovanja u igrama na sreću te programa nagrađivanja.

Zbog pružanja kontradiktornih informacija, igrači nisu mogli na jasan način saznati u koje se točno svrhe i na kojoj pravnoj osnovi obrađuju njihovi podaci. Ovakvim postupanjem priređivač igara na sreću povrijedio je načelo transparentnosti te više članaka Opće uredbe o zaštiti podataka, što je u konačnici rezultiralo izricanjem višemilijunske novčane kazne.