Ce que le RGPD impose aux casinos 

Les opérateurs de jeux d’argent et de hasard manipulent chaque jour une quantité importante de données personnelles. Entre les exigences du Règlement général sur la protection des données (RGPD) et les obligations propres au secteur des jeux, la conformité peut rapidement devenir complexe. Pour répondre à cette difficulté, l’Autorité nationale des jeux (ANJ), en concertation avec la Commission nationale de l’informatique et des libertés (CNIL), a publié le 2 juillet 2026 un guide destiné à aider les professionnels à appliquer correctement les règles de protection des données. 

Une double obligation pour les opérateurs 

Derrière chaque compte joueur se cache une multitude d’informations personnelles. Les opérateurs traitent notamment l’identité des joueurs, leurs coordonnées, leurs informations bancaires, les opérations financières réalisées ainsi que leur historique de jeu. Mais ces traitements ne répondent pas uniquement à des objectifs commerciaux. Ils doivent également satisfaire à des obligations légales particulièrement strictes, notamment en matière de prévention du jeu excessif, de lutte contre le blanchiment de capitaux et de financement du terrorisme. 

Comment protéger efficacement les données personnelles tout en remplissant ces missions d’intérêt public ? C’est précisément à cette question que tente de répondre le nouveau guide élaboré par l’ANJ avec la participation active de la CNIL. Les deux autorités précisent toutefois que ce document n’a pas de caractère contraignant. Il constitue avant tout un ensemble de recommandations pratiques destinées à accompagner les opérateurs vers une meilleure conformité. 

Un guide limité aux activités liées aux jeux d’argent 

Le document ne couvre pas l’ensemble des traitements réalisés par les entreprises du secteur. Son champ d’application concerne uniquement les traitements de données personnelles directement liés aux activités de jeux d’argent et de hasard relevant de la compétence de l’ANJ. 

Les activités classiques de gestion d’entreprise, comme les ressources humaines, la comptabilité ou la gestion financière, restent soumises aux règles habituelles du RGPD mais ne sont pas abordées dans ce guide. 

Trois domaines concentrent les principales recommandations 

Le guide rappelle d’abord les principes fondamentaux du RGPD avant de proposer des recommandations concrètes autour de trois grands axes. 

Le premier concerne la gestion des comptes joueurs et les opérations de prospection commerciale. 

Le deuxième porte sur la prévention du jeu excessif ou pathologique. 

Enfin, le troisième traite des obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme. 

Pour chacun de ces domaines, le document précise les bases juridiques applicables, les droits des personnes concernées ainsi que les conditions permettant de garantir que les traitements restent proportionnés aux objectifs poursuivis. 

Une base juridique adaptée à chaque traitement 

Toutes les données collectées n’ont pas la même finalité. Le guide insiste sur la nécessité d’identifier une base légale appropriée pour chaque traitement réalisé dans le cadre de la relation avec les joueurs. 

Cela concerne notamment l’ouverture et la gestion des comptes, le traitement des réclamations, les programmes de fidélité, les statistiques ou encore la gestion des litiges. 

Des règles précises sur la conservation des données 

Le guide rappelle que certaines données doivent être conservées pendant six ans après la clôture du compte du joueur lorsque la réglementation sectorielle l’impose. 

Pour les autres traitements, notamment ceux liés à la prospection commerciale, aux programmes de fidélité, aux contentieux ou aux statistiques, les recommandations s’appuient sur la doctrine déjà publiée par la CNIL en matière de gestion des activités commerciales. 

Prévenir le jeu excessif tout en protégeant la vie privée 

La prévention du jeu excessif constitue l’un des volets les plus sensibles du guide. 

Les opérateurs ont l’obligation légale de mettre en place des dispositifs permettant d’identifier les joueurs susceptibles de développer une pratique excessive ou pathologique. Cette surveillance ne signifie toutefois pas que toutes les données peuvent être collectées librement. 

Le guide rappelle avec insistance les principes de nécessité, de proportionnalité et de minimisation des données. Il recommande notamment de ne pas recueillir systématiquement toutes les informations disponibles sur un joueur. 

Certaines données ne doivent être collectées que lorsqu’un événement particulier survient. C’est notamment le cas des informations relatives à l’attitude d’un joueur, qui ne peuvent être enregistrées que si son comportement présente un caractère atypique. 

Le guide recommande également de ne pas retranscrire les échanges avec les proches d’un joueur dans son dossier. À la place, les opérateurs sont invités à conserver uniquement l’existence de l’alerte ainsi que sa nature générale, par exemple des difficultés financières, des conflits familiaux, un isolement ou une vulnérabilité particulière. 

Selon le document, l’identification d’un joueur présentant un risque de jeu excessif ou pathologique constitue un traitement de données de santé au sens du RGPD. Cette qualification entraîne automatiquement des exigences renforcées. 

Les algorithmes ne peuvent pas décider seuls 

Les outils algorithmiques occupent une place croissante dans la détection des comportements à risque. 

Le guide rappelle cependant que le recours à ces technologies doit respecter les dispositions de l’article 22 du RGPD, qui encadre les décisions entièrement automatisées produisant des effets juridiques ou des conséquences significatives pour les personnes. 

Le document précise néanmoins que certaines situations échappent à ce cadre. Lorsqu’un joueur reçoit uniquement des messages de prévention, sans qu’une décision produisant des effets juridiques ou significatifs soit prise, les règles de l’article 22 ne s’appliquent pas. En revanche, dès lors qu’une restriction de la possibilité de jouer est envisagée, une intervention humaine devient indispensable. 

Une vigilance renforcée contre le blanchiment 

Les obligations liées à la lutte contre le blanchiment de capitaux et le financement du terrorisme occupent également une place importante dans le document. Les traitements réalisés dans ce cadre reposent principalement sur une obligation légale. Ils concernent notamment les mesures de vigilance à l’égard des joueurs, la détection d’opérations inhabituelles, les déclarations de soupçon ainsi que les mesures de gel des avoirs. 

Les opérateurs ne doivent recueillir que les informations strictement nécessaires à l’évaluation du risque présenté par chaque joueur. Les collectes renforcées ne peuvent pas être systématiques et doivent respecter le principe de minimisation prévu par le RGPD. 

Un cadre destiné à faciliter la conformité 

Avec ce nouveau guide, l’ANJ et la CNIL cherchent avant tout à fournir aux opérateurs des repères concrets pour appliquer simultanément les règles du RGPD et les obligations spécifiques au secteur des jeux d’argent. 

En réunissant les exigences relatives à la protection des données, à la prévention du jeu excessif et à la lutte contre le blanchiment dans un document unique, les deux autorités proposent un cadre cohérent destiné à renforcer la conformité tout en maintenant un haut niveau de protection des joueurs. 

Quelle est la situation en Belgique ? 

Si le guide publié par la CNIL et l’Autorité nationale des jeux (ANJ) concerne exclusivement les opérateurs relevant de la réglementation française, les acteurs belges sont eux aussi soumis à des obligations strictes en matière de protection des données personnelles. 

En Belgique, les opérateurs de jeux d’argent doivent également respecter le Règlement général sur la protection des données (RGPD), directement applicable dans l’ensemble de l’Union européenne. Ils sont également tenus de se conformer à la législation nationale sur les jeux de hasard, sous le contrôle de la Commission des jeux de hasard (CJH). Comme en France, ils traitent quotidiennement des données sensibles telles que l’identité des joueurs, les informations de paiement, l’historique des paris ou encore les données nécessaires aux contrôles imposés par la réglementation.