Datatilsynet har ingen igangværende undersøgelse af bookmakerne på det danske marked og deres logning af IP-adresser til at undersøge bonusmisbrug og limitere vindende kunder, oplyser tilsynsmyndigheden til BetXpert. 

Den danske bookmaker Bet25 kontaktede tidligere på året Datatilsynet for af få afklaret, om der var behov for, at spilubyderne skulle ændre procedurer omkring logning af ip-adresser. Ifølge Bet25 logger de deres kunders IP-adresser med henblik på at bekæmpe hvidvaskning og opdage bonusmisbrug. Henvendelsen fra Bet25 til Datatilsynet kom på baggrund af en artikelserie, som Jyllands-Posten skrev om limitering af vindende spillere hos bookmakere i Danmark.

"Der er ingen igangværende undersøgelse af spiludbydere i Danmark hos Datatilsynet," siger Astrid Mavrogenis, kontorchef i Datatilsynet.

Hun pointerer, at Datatilsynet blandt andet har mange opgaver i forbindelse med persondataforordningen fra EU, som træder i kraft den 25. maj 2018, og at tilsynet derfor må prioritere deres ressourcer. 

"Bet25s henvendelse gav ikke umiddelbart anledning til yderligere undersøgelse," fortæller Astrid Mavrogenis.

I besvarelsen til Bet25 skriver Datatilsynet blandt andet, at de "som udgangspunkt anser en IP-adresse som værende en almindelig, ikke-følsom personoplysning omfattet af persondatalovens §6."

Det betyder, at en spiludbyder godt må logge brugernes IP-adresser, hvis der er en hjemmel til behandlingen i persondataloven, og hvis behandlingen har et relevant og sagligt formål og ikke omfatter flere oplysninger end nødvendigt.

IP-adresserne må også behandles efter registreringen, hvis det lever op til bestemte krav. Det fremgår både af persondatalovens §6 og af Datatilsynets besvarelse til Bet25.

"[…] eller hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse og hensynet til den registrerede ikke overstiger denne interesse, jf. §6 stk. 1, nr. 7," skriver Datatilsynet til Bet25.

Behandlingen af data kan også ske, hvis brugeren har givet udtrykkeligt samtykke hertil, eller hvis behandlingen er et krav for at overholde en retlig forpligtelse – for eksempel bekæmpelse af hvidvask.

Et forventeligt svar

Hos Bet25, der startede sagen hos Datatilsynet med deres henvendelse, er man ikke overrasket over besvarelsen fra Datatilsynet. Ifølge bookmakerens oddschef, Morten Olsen, bruger de registreringen og behandlingen af kundernes IP-adresser til at bekæmpe hvidvask og cyberkriminalitet eller til systematisk udnyttelse/svindel med bonusser. 

"Vi er nødt til at kunne reagere, hvis eksempelvis en persons identitet bliver misbrugt af en anden på vores site. For at kunne komme problemer som det til livs, er det en nødvendighed for os kunne registrere en IP-adresse," siger Morten Olsen og tilføjer: 

"Svaret er (Datatilsynets besvarelse, red.), som vi havde forventet. Ligesom andre brancher skal vi bekæmpe hvidvaskning og cyberkriminalitet og hvert kvartal indrapportere så detaljeret som muligt om disse sager. Det arbejde kan ikke lade sig gøre, hvis ikke vi må anvende vores viden om kunderne."

Besvarelsen fra Datatilsynet fører ikke til, at Bet25 ændrer procedurer. Det gør de først, hvis de bliver bedt om det af for eksempel Spillemyndigheden, men ifølge Morten Olsen har Spillemyndigheden ikke haft noget at anmærke over for den danske bookmaker i forhold til deres procedurer. 

Man har ret til indsigt i oplysninger 

BetXpert har vist Datatilsynets besvarelse til Jan Trzaskowski, der er professor i markedsførings- og persondataret ved Copenhagen Business School. Han har tidligere fortalt til Jyllands-Posten, at han umiddelbart vurderer, at en behandling af følsomme personoplysninger og ip-adresser til at udelukke vindende kunder, kan være et brud på persondataloven. Men det tager Datatilsynet ikke stilling til i besvarelsen til Bet25. 

"Jeg vurderer umiddelbart, at hvis behandling af personoplysinger er med udgangspunkt i at filtrere folk, der er dygtige til at spille, så vil det kræve et samtykke fra brugeren. Hvis formålet med behandlingen er at sikre, at der ikke er nogen, der snyder eller bruger spiludbyderen til for eksempel hvidvask, så behøver du ikke samtykke," fortæller Jan Trzaskowski. 

"Der står ikke noget overraskende i Datatilsynets besvarelse. De tager ikke stilling til andet end kategoriseringen af en ip-adresse," tilføjer juraprofessoren. 

Jan Trzaskowski gør opmærksom på, at man som bruger hos en spilubyder har ret til indsigt i de oplysninger, der er registreret om en ifølge persondataloven. 

"Man har som udgangspunkt krav på at få indsigt i de oplysninger en given virksomhed registrerer og behandler om én, og også med hvilket formål de oplysninger bliver brugt til," siger Jan Trzaskowski. 

Retten til egenindsigt i personoplysninger er nedfældet i persondatalovens kapitel 9, §31.