Att välja casino utan svensk licens är ofta ett medvetet val: högre bonusar, fler spel och ibland snabbare uttag. Men samma val flyttar också dina personuppgifter till en annan rättslig miljö. När du registrerar dig hos ett casino utan svensk licens gäller inte längre de garantier som följer av spellagen och anslutningen till Spelpaus, och GDPR-rättigheterna blir plötsligt något du måste jaga själv i stället för något som följer med automatiskt.
Ta Asino som exempel. Sajten drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao, och saknar svensk licens från Spelinspektionen. Asino är inte anslutet till Spelpaus och listar dessutom Sverige som begränsat land i användarvillkoren. Det betyder inte att sajten är laglös, men det betyder att din motpart sitter utanför EU:s tillsynsramverk och att du måste kontrollera själv vem som ansvarar för dina uppgifter, var de lagras och vilken myndighet du i så fall kan vända dig till.
Den här genomgången är en checklista i tre steg. Först letar du upp casinots EU-representant enligt artikel 27 GDPR och ser om de anger behörig tillsynsmyndighet. Sedan granskar du integritetspolicyn för ändamål, lagringstider, personuppgiftsbiträden och överföringar till tredjeland. Till sist väger du in vad kravet på svensk licens och Spelpaus faktiskt ger dig i dataskydds- och konsumentskydd, och använder det som beslutsunderlag innan du klickar på registrera. Har du inte svar på de frågorna är det ett svar i sig.
Varför dataskyddsrättigheter blir svårare att hävda hos casinon utanför EU
Ett casino med svensk licens lyder under spellagen, som gällt sedan 1 januari 2019, och står under Spelinspektionens tillsyn. Det betyder att du som spelare har en namngiven myndighet att vända dig till vid problem, oavsett om det gäller bonusvillkor, insättningsgränser eller hur dina personuppgifter hanteras. Licenshavaren måste vara ansluten till Spelpaus, följa regler om spelansvar och penningtvätt, och kan förlora licensen om den brister. Det skapar en kedja av ansvar som går att följa och som i praktiken går att utkräva.
Hos en aktör utan svensk licens ser kedjan annorlunda ut. Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Sajten drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao. Asino listar dessutom Sverige som begränsat land i användarvillkoren, vilket i sig är en upplysning om att bolaget inte riktar sig till den svenska marknaden med stöd av spellagen. För dig som spelare innebär det att det svenska regelverket inte är den ram som bolaget verkar inom.
Här ligger den centrala skillnaden för dataskydd. GDPR gäller för behandling av personuppgifter inom EU, men ansvaret följer inte automatiskt med varumärket på sajten. När personuppgiftsansvarig är etablerad utanför EU krävs en representant inom unionen enligt artikel 27, och det är den representanten som i praktiken blir motpart vid ett klagomål. Utan en namngiven representant och utan angiven tillsynsmyndighet finns ingen självklar adress för ditt ärende. Du kan fortfarande ha rättigheter på papperet, men vägen till att få dem genomdrivna blir betydligt längre.
Bolagsstrukturen förstärker problemet. Libergos Limited driver sajten tillsammans med Hollycorn N.V., och två bolag i två jurisdiktioner gör det svårare att avgöra vem som faktiskt svarar för en begäran om registerutdrag eller radering. Ett casino med svensk licens har en enda tydlig ansvarig part med känd adress och känd tillsynsmyndighet. Hos en utländsk operatör kan du behöva läsa dig igenom både integritetspolicy och användarvillkor för att ens hitta rätt part, och svaret kan dröja eller utebli utan att du har någon myndighet att eskalera till.
Praktiskt märks skillnaden i fem punkter som du kan kontrollera redan innan du registrerar dig:
- Ansvarig part: Ett casino med svensk licens har en identifierbar licenshavare under Spelinspektionens tillsyn. Utan svensk licens kan ansvaret ligga hos ett bolag på Curaçao eller delas mellan flera bolag.
- Tillsynsmyndighet: Spelinspektionen granskar licenshavare. Mot ett bolag utanför EU finns ingen motsvarande svensk instans som prövar ditt dataskyddsärende.
- Spelpaus: Licenshavare måste vara anslutna till Spelpaus. Asino är inte anslutet, så avstängningen följer inte med och ger dig ingen skyddsmekanism.
- Skattefrihet: Spelvinster hos en licenshavare inom EU/EES är skattefria. Vid spel hos en aktör utan svensk licens kan du behöva deklarera vinster själv, vilket hänger ihop med vilket skydd du kan förvänta dig.
- Klagoändamål: Med svensk licens finns en tydlig mottagare för klagomål. Utan licens måste du i stället förlita dig på bolagets egna rutiner och eventuell EU-representant.
Det betyder inte att du saknar rättigheter hos ett casino utanför EU. GDPR gäller fortfarande för behandling som rör personer i unionen, och du kan lämna in klagomål till en dataskyddsmyndighet. Men myndigheten måste kunna identifiera personuppgiftsansvarig eller dennes representant för att driva ärendet vidare, och saknas den informationen stannar ärendet ofta där. Därför är det första steget inte att läsa finstilt i bonusvillkoren, utan att kontrollera vem som ansvarar för dina uppgifter och vilken myndighet som faktiskt kan pröva ditt klagomål.
Checklista: kontrollera EU-representant enligt artikel 27 GDPR och angiven tillsynsmyndighet
Börja med att öppna sidfoten på casinots startsida. Där ska det finnas en länk till integritetspolicyn, ofta märkt “Privacy Policy” eller “Dataskydd”. Saknas länken helt är det ett rött flagg direkt. En operatör som inte publicerar en integritetspolicy uppfyller inte ens de mest grundläggande informationskraven i GDPR, och då finns inget att förhandla om.
Nästa steg: sök i policyn efter orden “EU-representant”, “representative in the Union” eller “artikel 27”. Enligt artikel 27 GDPR måste en personuppgiftsansvarig som är etablerad utanför EU men riktar sig till personer i unionen utse en representant inom EU. Representanten ska anges med namn och kontaktuppgifter, inte bara ett postnummer i ett skatteparadis. Hittar du bara bolagsadressen på Curaçao eller i Costa Rica är kravet inte uppfyllt i praktiken.
Kontrollera sedan vilken tillsynsmyndighet som anges. Ett seriöst casino skriver ut vilken dataskyddsmyndighet som är behörig, till exempel IMY i Sverige eller motsvarande myndighet i det land där representanten sitter. Står det ingenting, eller bara en hänvisning till “lokala dataskyddslagar”, saknas den adress du behöver för att lämna in ett klagomål. Utan den adressen kan du i praktiken inte utkräva dina rättigheter.
Gör samma sökning efter kontaktvägar för registerutdrag. Enligt artikel 15 GDPR har du rätt till ett registerutdrag inom en månad, och det ska finnas en angiven e-postadress eller ett formulär för ändamålet. Finns bara en generell supportadress är det ett tecken på att rutinen inte är etablerad. Skicka ändå en begäran och notera datumet, så har du bevis om det blir en tvist.
| Vad du letar efter | Godkänt svar | Varningssignal | Vad det innebär för dig |
|---|---|---|---|
| EU-representant enligt artikel 27 | Namn och EU-adress angiven i policyn | Endast bolagsadress utanför EU | Utan representant finns ingen part att ställa krav mot inom unionen |
| Behörig tillsynsmyndighet | Myndighet namngiven, till exempel IMY | Ingen myndighet angiven | Du kan inte lämna in ett klagomål som faktiskt prövas |
| Kontaktväg för registerutdrag | Särskild e-post eller formulär för dataskyddsärenden | Bara allmän supportadress | Begäran riskerar att försvinna i kundtjänstflödet |
| Lagringstider | Konkreta tidsangivelser per ändamål | “Så länge det behövs” utan närmare definition | Du kan inte avgöra när uppgifterna ska raderas |
| Rutin för radering | Beskriven process med svarstid | Ingen nämnd rutin alls | Rätten att bli glömd blir i praktiken verkningslös |
Ett konkret exempel: Asino drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao. Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus, och det är därmed ett av de nya casino utan svensk licens. Bolaget listar dessutom Sverige som begränsat land i användarvillkoren. Det betyder inte automatiskt att GDPR inte gäller, men det betyder att du måste hitta representanten och tillsynsmyndigheten själv innan du registrerar dig, annars står du utan den part som ska svara på din begäran.
Avsluta kontrollen med att spara en skärmbild av integritetspolicyn och datumet du läste den. Villkoren ändras ofta, och vid en tvist är det versionen vid registreringen som gäller. Skriv också upp vilket land och vilken myndighet som anges, så att du vet vart klagomålet ska skickas om det behövs.
Granska integritetspolicy, personuppgiftsbiträden och överföringar till tredjeland
Integritetspolicyn är det enda dokument där en utländsk operatör binder sig skriftligt mot dig. Läs den som en avtalsmotpart, inte som en formalitet. Hos en aktör utan svensk licens finns ingen Spelinspektionen som backar upp tolkningen, så det som står i texten är i praktiken det du har att hålla dig till. Nedan är vad du konkret letar efter, punkt för punkt.
Ändamål och rättslig grund. Varje behandling ska ha ett angivet ändamål och en rättslig grund enligt artikel 6 GDPR. Leta efter formuleringar som “fullgöra avtal”, “rättslig förpliktelse” och “berättigat intresse”. Ett casino som klistrar in “berättigat intresse” på marknadsföring och profilering utan motivering har ofta inte gjort intresseavvägningen som krävs. Kontrollera också om spelhistorik och transaktionsdata används för att bygga riskprofiler, och om du i så fall kan invända mot det.
Lagringstider. Kravet är att varje kategori av uppgifter har en konkret tid, inte “så länge det behövs”. Penningtvättsregler motiverar ofta fem år för identitets- och transaktionsdata, vilket är rimligt att acceptera. Om samma femåriga frist plötsligt gäller även chattloggar och marknadsföringsprofiler är det ett tecken på att tiderna satts slentrianmässigt. Notera vilka kategorier som saknar tid helt.
Personuppgiftsbiträden. Räkna upp vilka tredje parter som får ta del av dina uppgifter: betalningsleverantörer, KYC- och identitetskontrolltjänster, spelleverantörer, supportverktyg, fraud-detektering och annonsnätverk. En seriös policy namnger kategorierna och förklarar varför de finns. En policy som bara säger “utvalda partners” utan kategorier ger dig ingen möjlighet att bedöma risken. Särskilt intressant är om operatören delar spelbeteende med affilierade sajter eller tredjepartsannonsörer.
Överföringar till tredjeland. Här faller många aktörer. Asino drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao, och Libergos Limited driver sajten tillsammans med Hollycorn N.V. Det innebär att uppgifter med stor sannolikhet lämnar EES. Leta efter vilken överföringsmekanism som åberopas: standardavtalsklausuler enligt artikel 46, ett giltigt adekvansbeslut eller undantag enligt artikel 49. Curaçao omfattas inte av något adekvansbeslut, så enbart “vi följer GDPR” räcker inte som svar. Finns ingen angiven mekanism kan du inte veta om överföringen är laglig, och du kan inte heller klaga på den med någon förväntad effekt.
Rutiner för registerutdrag, rättelse och radering. Sök efter tre saker: hur du skickar begäran (e-postadress eller formulär), vilken svarstid som utlovas (en månad är GDPR-standard, förlängning med två månader ska motiveras) och hur du identifierar dig. Ett casino som kräver kopior av legitimation per e-post utan kryptering har ett problem i sig. Kontrollera också om radering villkoras mot penningtvättsskyldigheter och om du i så fall får besked om vilka uppgifter som sparas och varför.
Sista kontrollen: dataskyddsombud och klagomålsväg. Finns kontaktuppgifter till ett dataskyddsombud, och anges en behörig tillsynsmyndighet? Om policyn hänvisar till en myndighet utanför EU, eller inte nämner någon alls, saknas i praktiken den instans som ska pröva din begäran. Skriv ut sidan och spara datumet. Den blir ditt underlag om du senare behöver visa vad du informerades om innan du registrerade dig.
Kopplingen till Spelpaus, spellagen och svensk licens vid val av casino
Spellagen gäller sedan 1 januari 2019 och bygger på ett enkelt grundantagande: den som vänder sig till svenska spelare ska ha en svensk licens från Spelinspektionen. Licenshavare måste vara anslutna till Spelpaus, följa insättnings- och förlustgränser, ha en åldersgräns på 18 år och arbeta aktivt med spelansvar och penningtvätt. De måste också lämna uppgifter till Spelinspektionen om sina dataskyddsrutiner. Allt detta påverkar i praktiken vilket skydd du har om något går fel, både ekonomiskt och personuppgiftsmässigt.
Ett casino utan svensk licens står utanför den här strukturen. Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Asino drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao, och sajten listar dessutom Sverige som begränsat land i användarvillkoren. Det sista är värt att stanna vid: ett bolag som formellt begränsar svenska spelare men ändå tar emot dem skapar en gråzon där du som kund har svagare argument om villkoren skulle tolkas emot dig.
Kopplingen till Spelpaus är den mest konkreta. Spelpaus är ett statligt register där du kan stänga av dig från allt spel hos licenshavare. Ett casino utan svensk licens kan inte kontrollera registret och kan inte heller tvingas respektera din avstängning. Har du själv spärrat dig och ändå får konto hos en utländsk operatör är det ett tecken på att spelansvarsarbetet inte är kopplat till svenska myndighetskrav. Det påverkar också dina personuppgifter: en licenshavare måste hantera dem enligt spellagens krav och är samtidigt bunden av GDPR, medan en operatör på Curaçao bara lyder under lokala regler och sina egna villkor.
Så använder du checklistan som beslutsunderlag
Innan du registrerar dig hos Asino eller ett liknande casino utan svensk licens, gå igenom följande punkter i tur och ordning. Varje nej är ett skäl att tänka efter.
- Svensk licens: Sök bolaget i Spelinspektionens licensregister. Hittar du det inte finns ingen svensk tillsynsmyndighet som kan ingripa vid tvist.
- Spelpaus: Kontrollera om sajten nämner Spelpaus över huvud taget. Gör den inte det kan den inte verkställa din avstängning.
- EU-representant enligt artikel 27 GDPR: Finns ett namn, en adress och en kontaktväg för bolagets representant inom EU? Saknas det är dina rättigheter i praktiken svåra att utkräva.
- Tillsynsmyndighet: Anger integritetspolicyn vilken dataskyddsmyndighet som är behörig? Utan den uppgiften vet du inte vart du ska vända dig med ett klagomål.
- Överföringar till tredjeland: Redovisas vilka länder personuppgifter förs vidare till och vilken rättslig grund som används? Otydlighet här är ett varningstecken.
- Rutiner för registerutdrag, rättelse och radering: Finns en tydlig process och en svarstid? GDPR anger en månad, men en operatör utanför EU är inte skyldig att följa den.
- Bonusregler och första speltillfället: Läs villkoren för bonusen innan du sätter in pengar. Omsättningskrav och tidsgränser är ofta hårdare än hos svenska licenshavare.
- Skattefrihet och spelvinster: Vinster hos en svensk licenshavare är skattefria. Hos en operatör utan svensk licens kan du behöva deklarera vinster själv, och du får ingen hjälp av Spelinspektionen om utbetalningen dröjer.
Checklistan ersätter inte juridisk rådgivning, men den ger dig ett underlag att fatta beslut på. Ett casino med svensk licens ger dig Spelpaus, insättningsgräns, förlustgräns, skattefrihet och en svensk tillsynsmyndighet i ryggen. Ett casino utan svensk licens ger dig i bästa fall en tydlig integritetspolicy och en EU-representant, i sämsta fall inget av det. Skillnaden är värd att kontrollera innan kontot skapas, inte efteråt.
Ett konkret nästa steg: öppna casinots startsida i en webbläsare, klicka dig till sidfoten och leta upp länkarna “Integritetspolicy”, “Privacy Policy” eller “Dataskydd” innan du ens fyller i registreringsformuläret. Skriv av eller spara sidan lokalt. Sök sedan på “artikel 27”, “EU-representant”, “tillsynsmyndighet” och “tredjeland” i dokumentet. Hittar du ingen namngiven EU-representant och ingen angiven tillsynsmyndighet är det i praktiken omöjligt att veta vart du ska vända dig med ett klagomål, och då är resten av checklistan mindre värd. Gör samma sökning på “lagringstid”, “personuppgiftsbiträde” och “överföring” för att se om policyn faktiskt beskriver ändamål, rättslig grund och mottagare, eller bara upprepar allmänna formuleringar.
Jämför resultatet med vad du får hos en licenshavare som står under Spelinspektionens tillsyn. Där finns Spelpaus-anslutning, insättnings- och förlustgränser samt bonusregler som följer av spellagen sedan 1 januari 2019, och där går ett klagomål att rikta till en svensk myndighet. Asino, som drivs av Hollycorn N.V. och är registrerat hos Antillephone på Curaçao, saknar svensk licens, är inte anslutet till Spelpaus och listar Sverige som begränsat land i användarvillkoren. Notera också att bonusgränsen på 100 kronor togs bort 15 november 2021, så villkoren skiljer sig mellan aktörer även inom den reglerade marknaden. Skriv ner tre saker på papper: vem som är personuppgiftsansvarig, vilken tillsynsmyndighet som anges och vilken lagringstid som gäller för ditt konto efter avslut. Får du inte ihop alla tre innan första speltillfället är svaret enkelt: registrera dig inte. Väljer du ändå att spela, begär registerutdrag direkt vid registrering så att du har en dokumenterad rutin från dag ett, och lämna aldrig ut mer identifierande uppgifter än nödvändigt med tanke på penningtvättskontroller och åldersgräns.