GDPR en kansspelen: de ANJ en de CNIL fluiten het einde van de speeltijd op het vlak van spelersgegevens

De ANJ en de CNIL publiceren een ultr_strikte GDPR-gids die het beheer van spelersgegevens radicaal verandert, met een directe impact op de Belgische markt.

De Autorité nationale des jeux (ANJ) heeft, in nauwe samenwerking met de CNIL, zopas haar officiële praktische gids gepubliceerd die gewijd is aan de verwerking van persoonsgegevens van spelers. Hoewel de tekst eraan herinnert dat hij geen nieuwe wetten creëert, legt hij een uiterst strikt interpretatiekader vast voor de toepassing van de GDPR op online weddenschappen, casino’s en speelkringen.

Voor operatoren zal het beheer van databanken niet langer als een louter technisch onderwerp kunnen worden behandeld. Ze zullen de officiële gids strikt moeten naleven, op straffe van zware sancties (tot 20 miljoen euro of 4 % van de wereldwijde omzet).

Affiliate marketing en prospectie onder het vergrootglas

Het commerciële en publicitaire luik is ongetwijfeld het onderdeel dat de meeste operationele veranderingen zal opleggen. Gedaan met het automatisch opnemen van nieuwe ingeschreven spelers in nieuwsbrieflijsten of promotionele sms-lijsten.

De gids herinnert er met klem aan dat expliciete toestemming (opt-in) de enige geldige wettelijke basis is voor elke commerciële prospectie

Deze toestemming moet absoluut:

• Afzonderlijk zijn: de aanvaarding van de algemene gebruiksvoorwaarden (AGV) of het spelreglement geldt niet langer als marketingtoestemming.
• Actief zijn: vooraf aangevinkte vakjes bij inschrijving zijn definitief buiten de wet.
• Transparant zijn over affiliatie: als de operator zijn spelersbestanden wil doorverkopen of doorgeven aan commerciële partners, moet hij een volledige en aanklikbare lijst van deze partners tonen voordat de speler het vakje aanvinkt.

De kalender wordt deze zomer trouwens strenger. Vanaf 11 augustus 2026 zal de Franse wet de verplichte toestemming van consumenten opleggen voor elke telefonische benadering. Kansspeloperatoren zullen zich daar zonder uitzondering aan moeten houden.

Profilering van “excessief speelgedrag”

Dit is het sterkste standpunt van de CNIL in dit document. Het kruisen van gedragsgegevens (frequentie van stortingen, inzetpieken, gedrag tegenover verliezen, uiting van nood bij de klantendienst) om een excessieve of pathologische speler te identificeren, wordt voortaan officieel gekwalificeerd als verwerking van gezondheidsgegevens.

Deze juridische omslag brengt deze bestanden binnen in de categorie van “gevoelige gegevens” van artikel 9 van de GDPR. De technische verplichtingen voor platformen nemen enorm toe:

• verplichting om een gegevensbeschermingseffectbeoordeling (GEB) uit te voeren
• versterkte versleuteling
• strikte logging van personeelstoegang
• verplichting van een dubbele menselijke verificatie (een algoritme kan een speler niet alleen blokkeren zonder dat een adviseur het profiel analyseert).

De gids voert ook een absolute scheiding van gegevens in. Het is strikt verboden om het bestand voor de detectie van excessief speelgedrag te gebruiken om een speler te targeten of, omgekeerd, uit te sluiten van een standaard marketingcampagne.

België: een duidelijke convergentie, sancties die al zeer reëel zijn

Voor de spelers op de Belgische markt klinken de richtlijnen van deze Frans-Franse gids als een zeer vertrouwde echo. De Kansspelcommissie (KSC) in België past al een vergelijkbare filosofie toe, met name via het Itsme-ecosysteem en het EPIS-uitsluitingssysteem.

België gaat echter soms nog verder in de beperkingen dan zijn buurlanden, met name met het totale verbod op bonussen en de automatische beperking van stortingen tot 200 € per week.

Op het vlak van GDPR toont de Gegevensbeschermingsautoriteit (GBA) in België zich even onverzettelijk als de CNIL over niet-toegestane profilering van wedders.

Antiwitwas en bewaring: de puzzel van 6 jaar

Tot slot maakt het document een einde aan de onduidelijkheid rond de bewaring van identiteitsdocumenten en bewijsstukken van vermogen die soms worden gevraagd tijdens antiwitwascontroles (AML/CFT).

De GDPR sluit hier aan bij de Code monétaire et financier: identiteitsgegevens, transacties en de spelhistoriek moeten in tussentijdse archivering worden bewaard gedurende een strikte periode van 6 jaar vanaf de definitieve sluiting van het spelersaccount. Na deze wettelijke termijn wordt verwijdering of volledige anonimisering van de gegevens verplicht.

Spelersgegevens zijn waardevol, maar het beheer ervan mag alleen dienen voor veiligheid, bescherming van het publiek en conformiteit, nooit voor de commerciële overexploitatie van kwetsbare profielen.