RGPD et Jeux d’argent : l’ANJ et la CNIL sifflent la fin de la récréation sur les données joueurs

L’ANJ et la CNIL publient un guide RGPD ultra-strict qui transforme radicalement la gestion des données des joueurs, avec un impact direct pour le marché belge.

L’Autorité nationale des jeux (ANJ), en collaboration étroite avec la CNIL, vient de publier son guide pratique officiel dédié au traitement des données personnelles des joueurs. Si le texte rappelle qu’il ne crée pas de nouvelles lois, il pose un cadre d’interprétation extrêmement strict du RGPD appliqué aux paris en ligne, casinos et cercles de jeux.

Pour les opérateurs, la gestion des bases de données ne pourra plus être traitée comme un simple sujet technique. Ils devront strictement respecter le guide officiel sous peine de sanctions lourdes (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial).

Le marketing d’affiliation et la prospection au scalpel

Le volet commercial et publicitaire est sans doute celui qui va imposer le plus de changements opérationnels. Fini l’intégration automatique des nouveaux inscrits dans les listes de newsletters ou de SMS promotionnels.

Le guide rappelle avec fermeté que le consentement explicite (opt-in) est l’unique base légale valable pour toute prospection commerciale.

Ce consentement doit impérativement être :

• Distinct : L’acceptation des conditions générales d’utilisation (CGU) ou du règlement de jeu ne vaut plus consentement marketing.
• Actif : Les cases pré-cochées à l’inscription sont définitivement hors-la-loi.
• Transparent sur l’affiliation : Si l’opérateur souhaite revendre ou transmettre ses fichiers de joueurs à des partenaires commerciaux, il doit afficher une liste exhaustive et cliquable de ces partenaires avant que le joueur ne coche la case.

Le calendrier se durcit d’ailleurs cet été. À compter du 11 août 2026, la loi française imposera le consentement obligatoire des consommateurs pour tout démarchage téléphonique. Les opérateurs de jeux devront s’y plier sans exception.

Profilage du « jeu excessif »

C’est la position la plus forte de la CNIL dans ce document. Le croisement de données comportementales (fréquence des dépôts, pics de mises, comportement face aux pertes, détresse exprimée auprès du service client) visant à identifier un joueur excessif ou pathologique est désormais officiellement qualifié de traitement de données de santé.

Cette bascule juridique fait entrer ces fichiers dans la catégorie des « données sensibles » de l’article 9 du RGPD. Les contraintes techniques pour les plateformes explosent :

• obligation de réaliser une analyse d’impact (AIPD)
• chiffrement renforcé
• journalisation stricte des accès du personnel
• obligation d’une double vérification humaine (un algorithme ne peut pas bloquer seul un joueur sans qu’un conseiller n’analyse le profil).

Le guide instaure également une étanchéité absolue des données. Il est strictement interdit d’utiliser le fichier de détection du jeu excessif pour cibler ou, à l’inverse, exclure un joueur d’une campagne marketing standard.

Belgique : une convergence évidente, des sanctions déjà bien réelles

Pour les acteurs du marché belge, les lignes directrices de ce guide franco-français résonnent comme un écho très familier. La Commission des Jeux de Hasard (CJH) en Belgique applique déjà une philosophie similaire, notamment à travers l’écosystème Itsme et le système d’exclusion EPIS.

Cependant, la Belgique va parfois encore plus loin dans la restriction que ses voisins, notamment avec l’interdiction totale des bonus et la limitation automatique des dépôts à 200 € par semaine.

En matière de RGPD, l’Autorité de la protection des données (APD) en Belgique se montre tout aussi intransigeante que la CNIL sur le profilage non consenti des parieurs.

Anti-blanchiment et conservation : le casse-tête des 6 ans

Enfin, le document met fin au flou entourant la conservation des documents d’identité et des justificatifs de patrimoine parfois réclamés lors des contrôles anti-blanchiment (LCB-FT).

Le RGPD s’articule ici avec le Code monétaire et financier : les données d’identité, les transactions et l’historique des jeux doivent être conservés en archivage intermédiaire pendant une durée stricte de 6 ans à compter de la clôture définitive du compte joueur. Passé ce délai légal, la suppression ou l’anonymisation totale des données devient obligatoire.

Les données des joueurs sont précieuses, mais sa gestion doit servir uniquement la sécurité, la protection du public et la conformité, jamais la surexploitation commerciale des profils vulnérables.