Så kommunicerar du raderingsbeslut inom tidsfristen

En raderingsbegäran enligt GDPR artikel 17 låter enkel på papperet. Spelaren vill att kontot töms, mejlet besvaras med ett bekräftande, klart. Verkligheten är en annan: samma begäran landar i ett regelverk där penningtvättslagen kräver att vissa uppgifter sparas i fem år, där spellagen ställer krav på dokumentation och där Spelpaus gör att en del historik inte går att radera utan att operatören bryter mot lagen. För den som driver casino utan svensk licens tillkommer en egen logik, eftersom skyldigheterna då följer av GDPR och penningtvättsreglerna i registreringslandet snarare än av Spelinspektionens föreskrifter.

Här finns gott om missförstånd. Ett vanligt är att radering alltid betyder att allt försvinner. Ett annat är att tidsfristen på en månad kan förlängas i det tysta när svaret dröjer. Inget av det stämmer. Rätten till radering är inte absolut, och fristen är hård. Den som hanterar ärendet måste kunna peka på exakt vilka uppgifter som raderas, vilka som bevaras med stöd i lag och varför, och kunna göra det i ett svar som spelaren förstår utan juridisk utbildning.

Den här genomgången är en praktisk arbetsordning i fem steg, från rättslig grund till avslutad logg. Du får se hur avvägningen dokumenteras, hur bevarandekravet motiveras i akten och hur beslutet formuleras så att det håller vid en granskning. Som jämförelse används Asino, som drivs av Hollycorn N.V. och är registrerat hos Antillephone på Curaçao. Asino saknar svensk licens från Spelinspektionen, är inte anslutet till Spelpaus och listar Sverige som begränsat land i användarvillkoren. Skillnaderna mot en svensk licenshavare syns tydligast just i raderingsärenden, där bevarandekrav, bonusregler och dokumentationsplikt krockar med spelarens begäran.

Rättslig grund för radering och bevarande – GDPR artikel 17 mot penningtvättslagen

Vad lagen faktiskt kräver – och vad den inte kräver

Rätten till radering enligt GDPR artikel 17 beskrivs ofta som en ovillkorlig “rätt att bli bortglömd”. Det stämmer inte. Artikeln ger en rättighet, men den är villkorad, och den trumfas av andra rättsliga förpliktelser. Artikel 17.3 b anger uttryckligen att radering inte ska ske om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åligger den personuppgiftsansvarige. Penningtvättslagen är precis en sådan förpliktelse.

För en operatör med svensk licens gäller dessutom spellagen, som trädde i kraft 1 januari 2019. Licenshavare måste vara anslutna till Spelpaus, ha dokumenterade rutiner för spelansvar och följa Spelinspektionens föreskrifter om insättningsgräns och förlustgräns. Det innebär att stora delar av spelhistoriken inte kan raderas på begäran, eftersom den behövs för tillsyn, tvistlösning och penningtvättskontroll. Spelarens begäran ska besvaras, men svaret blir ofta ett delvis bevarande, inte en fullständig radering.

Här finns en vanlig missuppfattning: att ett casino utan svensk licens automatiskt skulle ha friare händer. Så är det inte. GDPR gäller fullt ut även för utländska operatörer som riktar sig till svenska spelare. Penningtvättsdirektivet, implementerat i respektive lands lagstiftning, ställer liknande bevarandekrav. Däremot saknas kopplingen till Spelpaus och de svenska bonusreglerna. Ett exempel är bonusgränsen på 100 kronor, som togs bort 15 november 2021 och som aldrig har gällt operatörer utan svensk licens.

Asino är ett illustrativt fall. Varumärket drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao. Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Samtidigt listar Asino Sverige som begränsat land i användarvillkoren, vilket innebär att svenska spelare kan mötas av andra villkor än de som gäller hos en licensierad operatör. Libergos Limited driver sajten tillsammans med Hollycorn N.V., och det är mot den strukturen en raderingsbegäran måste riktas.

Vilka bevarandekrav gäller då i praktiken? Penningtvättslagen kräver att identitetskontroll och transaktionsunderlag sparas i fem år efter att affärsförbindelsen upphörde. Spelinspektionen kan begära in underlag längre än så vid pågående tillsyn. Skattefrihet för spelvinster gäller enbart hos operatörer med svensk licens, vilket i sig skapar ett incitament för spelaren att vilja ha kvar dokumentation. Paradoxalt nog kan en begäran om radering försvåra spelarens egen möjlighet att styrka vinster i efterhand.

Slutsatsen för den som hanterar ärendet: börja aldrig med att svara “vi raderar allt”. Kartlägg först vilka kategorier som träffas av bevarandekrav, dokumentera avvägningen och kommunicera därefter. Nästa steg är att avgöra exakt vilka uppgifter som omfattas av begäran.

Kartläggning av vilka uppgifter som omfattas av raderingsbegäran

Steg 1: Identifiera spelaren och avgränsa begäran

Myten är att en raderingsbegäran gäller allt eller inget. Så fungerar det inte. Första steget är alltid att verifiera identiteten på den som begär radering, eftersom en felaktig radering av en annan spelares uppgifter är ett personuppgiftsincident i sig. Operatören matchar begäran mot kontots registrerade uppgifter: e-post, personnummer eller annan KYC-identifierare, samt datum för senaste inloggning.

Därefter avgränsas begäran. En begäran om radering enligt GDPR artikel 17 omfattar personuppgifter, inte aggregat eller statistik där ingen individ kan identifieras. Operatören bör skriftligt bekräfta vad begäran avser och vilka kategorier som kan komma att bevaras med stöd av rättslig förpliktelse. Här skiljer sig förutsättningarna åt: en licenshavare med svensk licens lyder under spellagen sedan 1 januari 2019 och Spelinspektionens tillsyn, medan ett casino utan svensk licens som Asino saknar svensk licens från Spelinspektionen och därmed inte heller är anslutet till Spelpaus. Det påverkar vilka bevarandekrav som faktiskt gäller.

Steg 2: Dela upp uppgifterna i tre spår

Nästa steg är att sortera uppgifterna i tre spår med olika rättslig grund. Gör det systematiskt, post för post, och dokumentera varje spår i ärendet.

1. Spelhistorik: insatser, vinster, saldon, bonusutnyttjande och insättningsgränser. Här aktualiseras penningtvättslagens bevarandekrav och, för svenska licenshavare, krav kopplade till spellagen och Spelpaus-spärrar. Spelhistorik kan behöva bevaras i upp till fem år efter transaktionen.
2. KYC-dokumentation: legitimation, adressbevis, källa till medel och riskbedömning. Detta är kärnan i penningtvättsarbetet och raderas normalt inte medan bevarandefristen löper.
3. Kommunikationsloggar: chattar, mejl, klagomål och spelpaus-förfrågningar. Här är bevarandebehovet ofta svagare och kan i många fall raderas eller anonymiseras, såvida inte loggen utgör underlag i en tvist eller tillsynssak.

En vanlig missuppfattning är att allt som rör spelaren automatiskt ska bevaras i fem år. Så är det inte. Kommunikationsloggar utan koppling till en transaktion eller ett ärende kan raderas, medan KYC-underlag nästan alltid måste stanna. Operatören bör därför sätta en konkret slutpunkt per post i stället för att behandla kontot som en enda klump.

Ytterligare en myt: att villkoren avgör. Det gör de inte. Asino listar Sverige som begränsat land i användarvillkoren, och sajten drivs av Hollycorn N.V., registrerat hos Antillephone på Curaçao, tillsammans med Libergos Limited. Villkoren styr avtalsförhållandet, men GDPR:s tidsfrist på en månad gäller oavsett var operatören har sin spellicens. För svenska licenshavare tillkommer att bonusregler och gränser som insättningsgräns och förlustgräns ofta är knutna till det första speltillfället och därför kan behöva spåras även efter en radering, exempelvis för att kunna visa spelansvar vid en granskning.

Resultatet av kartläggningen ska vara en tabell i akten: uppgiftskategori, rättslig grund för bevarande, bevarandefrist och beslut (radera, anonymisera, bevara). Den tabellen är utgångspunkten för nästa steg, där avvägningen dokumenteras och motiveras.

Dokumentering av avvägningen mellan radering och bevarandekrav

Myten lyder att en raderingsbegäran antingen bifalls eller avslås. I praktiken är nästan varje ärende en delvis radering, och det är avvägningen som ska dokumenteras, inte bara utfallet. För en operatör med svensk licens handlar det om att ställa GDPR artikel 17.3 mot penningtvättslagens bevarandekrav, och för ett casino utan svensk licens, som https://asino-se.com/utan-svensk-licens/, gäller samma logik men med svagare stöd i spellagen. Asino, som drivs av Hollycorn N.V., saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Det förändrar inte penningtvättsreglerna om verksamheten riktar sig mot EU, men det gör att operatören inte kan luta sig mot spellagens krav i motiveringen.

Börja med att fastställa bevarandegrunden i tre lager. Lager ett är penningtvättslagen: identitetskontroll, transaktionshistorik och riskbedömning ska bevaras i fem år efter att kundförhållandet upphört. Lager två är spellagen, som gäller sedan 1 januari 2019 och som för licenshavare bland annat kräver anslutning till Spelpaus och dokumentation av insättningsgräns, förlustgräns och spelansvarsåtgärder. Lager tre är övriga rättsliga förpliktelser, som bokföring och pågående tvist. Varje lager ska ha en egen rad i akten med lagrum, syfte och tidsfrist.

Dokumentera sedan avvägningen som en prövning i fyra steg. Steg ett: vilka uppgifter begärdes raderade. Steg två: vilka av dessa träffas av en bevarandeförpliktelse och varför. Steg tre: kan resten raderas utan att bevarandekravet urholkas, till exempel marknadsföringsprofiler, chattloggar utan transaktionsvärde eller enhetsdata. Steg fyra: beslut och datum. Skriv med egna ord, inte med klippta standardfraser, eftersom akten ska kunna läsas av Spelinspektionen eller en tillsynsmyndighet utan förklarande mellanled.

En detalj som ofta glöms: Asino listar Sverige som begränsat land i användarvillkoren, och Hollycorn N.V. är registrerat hos Antillephone på Curaçao. Licenshavaren i den konstellationen är inte svensk, men operatören måste ändå kunna visa vilken rättslig grund som styr bevarandet för svenska spelare. Libergos Limited driver sajten tillsammans med Hollycorn N.V., vilket innebär att avvägningen ska dokumenteras på bolagsnivå och inte bara per varumärke. Ange vem som är personuppgiftsansvarig i akten.

Använd en fast tabell för att synliggöra valen. Den gör också granskningen snabbare eftersom varje rad kan kopplas till en bilaga.

Skriv till sist en motivering i löptext på högst en halv sida. Ange vad som raderas, vad som bevaras, med stöd av vilket lagrum och till vilket datum. Undvik att hänvisa till bonusregler eller första speltillfället som skäl att behålla marknadsföringsdata, eftersom bonusgränsen på 100 kronor togs bort 15 november 2021 och inte längre bär en sådan argumentation. Kontrollera också åldersgräns och penningtvättskontroll i samma akt, så att avvägningen hänger ihop med operatörens villkor och inte motsäger dem.

Kommunicera beslutet till spelaren inom tidsfristen

Myten att en raderingsbegäran alltid leder till att kontot töms på allt är fel. Lika fel är föreställningen att operatören kan svara när det passar. Enligt GDPR artikel 12.3 ska beskedet gå ut utan onödigt dröjsmål och senast inom en månad från det att begäran kom in. Den fristen kan förlängas med ytterligare två månader vid komplexa ärenden, men då måste spelaren informeras om förlängningen och skälen till den innan den första månaden löpt ut. Ingen tystnad, ingen “vi återkommer”.

Första steget är att fastställa klockans startpunkt. Logga datum och klockslag när begäran registreras, oavsett om den kom via e-post, chatt eller formulär. Identitetskontrollen ska vara avklarad innan något innehåll lämnas ut, men själva fristen löper från mottagandet, inte från verifieringen. Skicka därför ett kort mottagningskvitto med datering och en uppskattning av när det slutliga beslutet kommer. Det köper er tid och skapar spårbarhet i akten.

Själva beslutet ska vara skriftligt, begripligt och konkret. Dela upp det i tre block: vad som raderas, vad som bevaras och varför. Undvik juridiskt tjocka formuleringar som “berättigat intresse av att upprätthålla regelefterlevnad”. Skriv i stället vilken uppgift det gäller, vilken lag som tvingar er att behålla den och hur länge. Ett exempel på fungerande formulering: “Dina KYC-dokument och transaktionshistorik bevaras till och med [datum] med stöd av penningtvättslagen. Dina marknadsföringssamtycken och chattloggar från supporten har raderats.”

Här uppstår den vanligaste felläsningen. Spelare tror att ett casino utan svensk licens automatiskt saknar bevarandekrav. Så är det inte. Asino drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao, och Asino saknar svensk licens från Spelinspektionen. Bolaget är därmed inte bundet av spellagen eller anslutet till Spelpaus, men penningtvättsreglerna på Curaçao och GDPR:s globala tillämpning gäller ändå för EU-medborgare. I praktiken innebär det att bevarandetiden kan se annorlunda ut än hos en svensk licenshavare, och det måste framgå av brevet. Notera också att Asino listar Sverige som begränsat land i användarvillkoren, vilket kan påverka vilka uppgifter som alls finns att radera.

För den som driver verksamhet med svensk licens finns ytterligare en rad att ta med. Licenshavare måste vara anslutna till Spelpaus, och uppgifter om självavstängning omfattas av bevarandekrav enligt spellagen sedan 1 januari 2019. Skriv explicit: “Din registrering i Spelpaus påverkas inte av denna radering och kan inte tas bort på begäran.” Samma sak gäller bonusrelaterade uppgifter som behövs för att styrka att bonusregler följts vid första speltillfället.

Mallen kan följa ett fast schema: rubrik med ärendenummer, beslut i en mening, tabell över raderade respektive bevarade kategorier med lagrum och slutdatum, kontaktväg till dataskyddsombudet och information om rätten att klaga till IMY. Håll den till två sidor. Skicka via den kanal spelaren använt, men spara en kopia i ärendeakten. Svara aldrig med enbart en länk till integritetspolicyn. Det räknas inte som ett beslut och är den enskilt vanligaste orsaken till att klagomål hamnar hos tillsynsmyndigheten.

Uppföljning, loggning och revision av raderingsärenden

Ett raderingsärende som inte går att spåra i efterhand är i praktiken ett oavslutat ärende. Spelinspektionen och Integritetsskyddsmyndigheten ställer inte bara krav på att beslutet fattas, utan på att operatören kan visa när begäran kom in, vem som hanterade den, vilka uppgifter som raderades respektive bevarades och med vilken rättslig grund. För en licenshavare med svensk licens är detta en del av tillståndsvillkoren. För ett casino utan svensk licens som Asino, som drivs av Hollycorn N.V. och är registrerat hos Antillephone på Curaçao, saknas den svenska tillsynen, men GDPR gäller ändå för EU-medborgare och därmed också kravet på dokumentation.

Loggningen bör byggas upp kring tre separata händelser. Först registreringen av själva begäran: datum och klockslag för mottagandet, kanal (e-post, chatt, webbformulär), identifiering av spelaren och vilka uppgifter som begärs raderade. Sedan beslutet: vilken artikel 17.3-punkt som åberopas, vilka register som berörs, vem som fattade beslutet och när. Till sist verkställigheten: kvittens från varje system där uppgifter faktiskt togs bort eller markerades som bevarade, med tidsstämpel. Ett vanligt misstag är att slå ihop dessa tre till en enda loggpost, vilket gör det omöjligt att i efterhand se om en radering verkligen genomfördes eller bara beslutades.

Tidsfristen på en månad enligt GDPR artikel 12.3 räknas från mottagandet, inte från när ärendet tilldelades en handläggare. Loggen måste därför fånga inkomstdatumet innan ärendet routas vidare. Vid förlängning med ytterligare två månader ska skälet dokumenteras i akten samma dag som förlängningen beslutas, inte i efterhand. För operatörer som hanterar hög volym kan en enkel ärendenumrering med fasta fält vara tillräckligt, men fälten måste vara obligatoriska. En fritextruta som “övrigt” fyller ingen funktion vid en granskning.

Bevarandekravet enligt penningtvättslagen skapar en särskild loggfråga. Uppgifter som måste sparas i fem år får inte raderas, men de ska spärras för annan behandling än det lagstadgade ändamålet. Loggen bör därför skilja mellan “raderat” och “bevarat med åtkomstbegränsning”. Om en spelare senare begär insyn enligt artikel 15 ska operatören kunna visa exakt vilka uppgifter som ligger kvar och varför. För Asino, som listar Sverige som begränsat land i användarvillkoren och inte är anslutet till Spelpaus, uppstår dessutom frågan om vilken nationell bevaranderegel som faktiskt styr, eftersom bolaget saknar svensk licens från Spelinspektionen. Svaret bör framgå av akten, inte lämnas öppet.

Intern revision bör ske minst kvartalsvis och omfatta ett stickprov på tio till tjugo avslutade ärenden. Granska fyra saker: hölls tidsfristen, finns beslutsmotiveringen dokumenterad, stämmer loggen mot faktiska systemändringar och har bevarade uppgifter spärrats korrekt. Avvikelser ska registreras med åtgärdsägare och datum. För den som driver sajt tillsammans med Libergos Limited och Hollycorn N.V. gäller att revisionen måste täcka båda organisationernas register, annars uppstår blinda fläckar i just de system där spelhistoriken ligger.

En praktisk detalj som ofta glöms: loggen ska vara läsbar utan specialverktyg. Ett exporterbart format med fasta kolumner räcker. Poängen är inte att imponera på en granskare, utan att kunna svara på frågan “vad hände med den här begäran” inom några minuter, även om handläggaren slutat.

Ett praktiskt nästa steg: sätt en rutin för kvartalsvis stickprovskontroll av tio avslutade raderingsärenden. Dra ut begäran, identifieringen, avvägningsanteckningen, beslutsbrevet och loggposten för varje ärende och kontrollera fyra saker mot klockan: att begäran diariefördes samma dag den kom in, att avvägningen är daterad och undertecknad av en namngiven handläggare, att spelaren fick ett skriftligt beslut inom en månad från mottagandet (eller att en dokumenterad förlängning med två månader kommunicerades i tid), och att det som enligt beslutet skulle raderas också faktiskt är borta ur produktionssystemen, inte bara ur frontend. Hittar ni en lucka i kedjan, rätta rutinen och skriv ned ändringen med datum. Spelinspektionen och Integritetsskyddsmyndigheten tittar inte på hur vackert era policyer är formulerade, utan på om ni kan visa vad ni gjorde i det enskilda fallet och när.

Notera samtidigt var gränsen går för vad ni kan lova. Ett casino utan svensk licens, som Asino (drivs av Hollycorn N.V., registrerat hos Antillephone på Curaçao, saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus), kan inte åberopa spellagen som skäl för att behålla uppgifter, och kan inte heller hänvisa till Spelpaus-spärrar i sin kommunikation. Där vilar bevarandet på penningtvättsreglerna och på avtalet med spelaren, och det ska stå rakt ut i brevet. Listar operatören dessutom Sverige som begränsat land i användarvillkoren, som Asino gör, bör ni internt reda ut vad det innebär för svenska spelares ärenden innan nästa begäran landar. För operatörer med svensk licens gäller motsatt logik: där ska beslutsbrevet peka på licenshavarens skyldigheter enligt spellagen, på anslutningen till Spelpaus och på den insättnings- och förlustgräns som gäller kontot, så att spelaren förstår varför vissa uppgifter ligger kvar trots att kontot stängs. Bonusgränsen på 100 kronor togs bort 15 november 2021, så äldre ärenden kan innehålla bonusvillkor som inte längre speglar gällande regler. Gå igenom dem separat i stickprovet. Sist: lägg in nästa granskningsdatum i kalendern redan nu, med ansvarig person utsedd.