När ett svenskt spelbolag drabbas av ett dataintrång finns det en klocka som tickar: 72 timmar att anmäla till Integritetsskyddsmyndigheten, och i praktiken lika bråttom att informera de registrerade. När samma sak händer en Curaçao-operatör som Asino ser klockan annorlunda ut. Bolaget drivs av Hollycorn N.V., är registrerat hos Antillephone på Curaçao och saknar svensk licens från Spelinspektionen. Det betyder inte att spelarna är skyddade av någon annan ordning. Det betyder att de står utanför den ordning som faktiskt skulle ge dem besked.
72-timmarsregeln gäller bara den som står under svensk tillsyn
För en licenshavare under spellagen, som gäller sedan 1 januari 2019, är personuppgiftsincidenter inte en fråga om goodwill. GDPR:s artikel 33 kräver anmälan till Integritetsskyddsmyndigheten inom 72 timmar från det att incidenten upptäckts, och artikel 34 kräver att de drabbade informeras utan onödigt dröjsmål när läckan kan leda till hög risk för deras rättigheter. En svensk licenshavare måste dessutom vara ansluten till Spelpaus, vilket innebär att bolaget redan hanterar känsliga personuppgifter om spelberoende i en struktur som tillsynsmyndigheten kan granska.
Asino befinner sig i ett annat regelverk. Bolaget listar Sverige som begränsat land i användarvillkoren, vilket i praktiken är ett sätt att tala om för svenska spelare att de är välkomna men att svensk rätt inte gäller. Registreringen hos Antillephone på Curaçao ger en spellicens, men den licensen är inte knuten till svensk dataskyddslagstiftning på det sätt en svensk licens är. Libergos Limited, som driver sajten tillsammans med Hollycorn N.V., omfattas i sin tur av cypriotisk bolagsrätt, inte av svenska tillsynskrav.
Konsekvensen är konkret. En svensk spelare som lämnat namn, adress, personnummer och kontoutdrag till Asino har ingen garanterad rätt till besked inom 72 timmar. Bolaget kan ha längre anmälningstider enligt den lokala ordningen, eller ingen skyldighet att informera svenska spelare alls, eftersom de inte är registrerade i Sverige som bolagets kunder i dataskyddsrättslig mening, vilket framgår av https://asino-se.com/utan-svensk-licens/. Du kanske aldrig får veta.
Vad som faktiskt läcker och varför det spelar roll här
Ett casino är inte en vanlig e-handelssajt. Det samlar in uppgifter som är ovanligt känsliga i kombination: identitet, ekonomi och beteende. Insättningsgränser, förlustgränser och historik över första speltillfället och bonusutnyttjande säger något om en persons ekonomi och vanor som få andra branscher rör. Lägg till penningtvättskontroll, som kräver kopior av legitimation och ibland kontoutdrag, och du har en datamängd som är attraktiv för bedragare.
Hos en svensk licenshavare är den här hanteringen reglerad i detalj. Bonusregler, insättningsgränser och spelansvarsverktyg är inte bara konsumentskydd, de är också strukturer som begränsar hur mycket data som samlas in och hur länge den får sparas. Bonusgränsen på 100 kronor togs bort 15 november 2021, vilket ökade utrymmet för marknadsföringserbjudanden, men grundskyddet ligger kvar. Förordning 2020:495 preciserar dessutom vilka krav som gäller för licenshavare, inklusive åldersgräns och ansvar för spelmarknaden.
Hos en utländsk operatör utan svensk licens är motsvarande struktur frivillig. Det innebär inte automatiskt att data hanteras slarvigt, men det innebär att ingen svensk myndighet har insyn i hur länge uppgifterna sparas, vem som har åtkomst eller vad som händer vid en incident. När ett dataläckage väl sker finns ingen svensk instans som kan kräva svar av bolaget.
Så här ser en rimlig kontroll ut innan du registrerar dig
Frågan är inte om du ska lita på ett casino utan svensk licens, utan vilka uppgifter du är beredd att lämna ifrån dig utan att kunna kräva besked om de försvinner. Skillnaden mellan en reglerad och en oreglerad operatör syns tydligast i vilka rättigheter du har efteråt, inte i vilka erbjudanden som ligger på startsidan.
- Läs dataskyddsavsnittet i användarvillkoren och leta efter vilken tillsynsmyndighet som anges. Står det inget om EU:s dataskyddsförordning eller en namngiven myndighet är anmälningsskyldigheten oklar.
- Kontrollera om bolaget anger en tidsgräns för att informera drabbade kunder vid incident. En svensk licenshavare måste agera utan onödigt dröjsmål. En Curaçao-operatör kan ha längre frister eller ingen alls.
- Undvik att lämna kontoutdrag och personnummer till operatörer som listar Sverige som begränsat land. Då är du inte kund i den jurisdiktion som skulle ge dig rätt till besked.
- Håll isär skattefrihet och dataskydd. Spelvinster kan vara skattefria även hos en utländsk operatör, men skattefriheten säger ingenting om hur dina uppgifter hanteras vid ett intrång.
- Spara all korrespondens och skärmdumpar av villkor vid registrering. Om ett läckage inträffar är det enda beviset du har det du själv dokumenterat.
Det finns ingen genväg runt det här. Spelinspektionen kan inte utreda en operatör som saknar svensk licens, och Integritetsskyddsmyndighetens 72-timmarsregel gäller bara den som står under svensk tillsyn. Vill du veta om dina uppgifter har läckt måste du i praktiken lita på att bolaget självmant berättar. För en Curaçao-operatör med begränsat svenskt ansvar är incitamentet att göra det svagt. Det är den verkliga risken, inte själva intrånget.
