Beslut Dnr 2007-09-21 424-2007 AB Svenska Spel Att: Eva Sjöberg 106 10 STOCKHOLM Undantag från förbudet i 21 personuppgiftslagen (1998:204) Datainspektionens beslut Datainspektionen meddelar AB Svenska Spel det begärda undantaget från förbudet i 21 personuppgiftslagen att behandla personuppgifter om lagöverträdelser. Redogörelse för ansökan AB Svenska Spel (bolaget) har beskrivit hur bolaget behandlar personuppgifter om pokerspel och pokerspelare på Internet i syfte att bl.a. upptäcka förekomst av bedrägeri, försök till bedrägeri, otillåtet samarbete mellan spelare och försök till otillåtet samarbete mellan spelare. Bolaget ansöker om undantag från förbudet i 21 personuppgiftslagen om Datainspektionen bedömer att dessa uppgifter utgör personuppgifter om lagöverträdelser som inte omfattas av det undantag från förbudet i 21 personuppgiftslagen som framgår av 1 punkten d i Datainspektionens författningssamling DIFS 1998:3. Bakgrund Bolaget är ett av staten helägt bolag. Bolaget har regeringens tillstånd att bl.a. bedriva pokerspel över Internet. Nuvarande tillstånd för pokerspel över internet gäller till den 31 december 2007. Lotteriinspektionen utövar tillsyn över denna verksamhet. Enligt Lotteriinspektionens Beslut angående särskilda villkor för AB Svenska Spels pokerspel över Internet ska bolaget ha rutiner för dels att upptäcka förekomst av bedrägeri, försök till bedrägeri, otillåtet samarbete mellan spelare och försök till otillåtet samarbete mellan spelare, dels sanktioner gentemot spelare som kan misstänkas för bedrägeri, försök till bedrägeri, otillåtet samarbete mellan spelare och försök till otillåtet samarbete mellan spelare. Bolaget har med stöd av sitt tillstånd utfärdat Regler för Poker som finns tillgängliga för alla på bolagets pokersidor på Internet. Postadress: Box 8114, 104 20 STOCKHOLM E-post: datainspektionen@datainspektionen.se Besöksadress: Fleminggatan 14, plan 9 Telefon: 08-657 61 00 Webbplats: http://www.datainspektionen.se Telefax: 08-652 86 52
2 (6) Nätpoker är vadhållning som tillhandahålls av ett spelföretag. Spelarna spelar direkt mot varandra och företaget tillhandahåller arenan, pokerspelen och ger spelarna de förutsättningar som gäller. Spelarna sitter inte fysiskt i samma rum och en spelare kan inte se motspelarna och vet inte vilka dessa är. En enskild spelare saknar därför de kontrollmöjligheter som finns när man fysiskt sitter i samma rum som de övriga spelarna. I vissa fall kan spelaren dock på grund av motspelarens spelbeteende ana sig till att oegentligheter förekommer. Den enda möjlighet som spelaren då har är att kontakta/tipsa spelföretaget. Mot bakgrund av att enskilda spelare saknar kontrollmöjligheter förväntar sig seriösa spelare att indikationer på fult spelande (brott mot gällande spel/pokerregler) kontrolleras skyndsamt, dvs. att arrangören tar farhågor/tips på allvar och att kontroller görs av spelbeteende/mönster och gjorda insatser. Bolaget övervakar pokerspelet för att se till att bolagets regler för spelet iakttas och efterlevs. Vad som framför allt kontrolleras är att spelarna efterlever punkterna 13.1 3 i pokerreglerna, vilka säger följande: 13.1 Det är inte tillåtet för spelare vid samma bord att informera varandra om vilka kort de har på handen eller på annat sätt samarbeta. 13.2 Det är inte tillåtet för spelare att, i syfte att tvätta pengar eller av andra skäl, medvetet förlora pengar till en eller flera av de andra spelarna vid bordet. 13.3 Datorprogram eller andra liknande hjälpmedel för beräkning av bästa bud får inte användas av spelare i realtid, utan endast efter det att spelaren har avslutat sin hand. Regeln i 13.1 avser otillåtet samarbete (s.k. collusion). Regeln i 13.2 avser otillåtna (medvetna) spelöverföringar (s.k. chipdumps). Regeln i 13.3 avser att det är otillåtet att använda s.k. spelrobotar. Behandling av personuppgifter Bolaget behandlar personuppgifter om spelare i syfte att tillhandahålla pokertjänsten och tillse att reglerna för spelet iakttas och efterlevs. Behandlingarna är i huvudsak automatiserade. Uppgifterna om pokerspelet registreras i två system, dels i ärendehanteringssystemet TD, dels i PitBoss som är bolagets Back Office system. Under hela tiden som pokerspelet är öppet övervakas det av fem särskilt utsedda pokeroperatörer för att inte fusk skall kunna uppkomma. Övervakningen sker genom analys av spelet, kontroll av spelares eventuella inbördes relationer och analys av de transaktioner som förekommit. Övervakningen sker både genom rutinkontroller och stickprov. Vid en utredning om någon bryter eller har brutit mot gällande regler sammanställs och bedöms ett flertal olika uppgifter för att få underlag för beslut om eventuell åtgärd.
3 (6) A. Kategorier av personuppgifter som behandlas: A 1. För att tillhandahålla pokertjänsten behandlas: - Uppgifter som inhämtas direkt från registrerad: Namn, adress, personnummer, telefonnummer, e-mailadress, alias. - Uppgifter som genereras genom spelarens spel/åtgärder i samband med spel: Inloggningsuppgifter (tid, IP-nummer), bordsuppgifter (typ av spel, nivå), handuppgifter (insatser, vilka kort), vinst/förlust. A 2. För att tillse att reglerna för spelet iakttas och efterlevs kan dessutom följande uppgifter/upplysningar behandlas: - Uppgifter från andra spelare (tips): Iakttagelser som spelare gjort och rapporterat till bolaget via mail eller via telefon/kundtjänst. För att läggas in direkt i ärendehanteringssystemet TD måste informationen vara sakligt hållen och får inte omfatta påståenden om brott mot svensk lag, förklenande omdömen eller invektiv. I annat fall omformuleras tipset till en tjänsteanteckning i enlighet med bolagets riktlinjer av bolagets tjänsteman. - Ärendenoteringar av kundtjänst och pokersäkerhetsoperatörer: Efter tips och i andra fall när utredning är påkallad registreras uppgifter i det ovan nämnda ärendehanteringssystemet TD för att kunna följa ärendets/utredningens gång med vissa för ärendet väsentliga uppgifter, såsom datum, skapas av, lämnad till och ärendetyp, spelarens spelkortsnummer, och namn, bostadsort, mailadress och IP-nummer. - Noteringar av pokersäkerhetsoperatörer: Säkerhetsanteckningar. Pokersäkerhetsoperatörer kan göra anteckningar om spelarens agerande i olika situationer för att upptäcka ett eventuellt avvikande spelmönster. B. Behandlingar av personuppgifter B 1. Behandling av personuppgifter sker för att tillhandahålla pokertjänsten. B 2. Behandling av personuppgifter sker för att tillse att regler för spelet iakttas och efterlevs. - Spelbeteende: Spelarens agerande i olika situationer antecknas för att upptäcka ett eventuellt avvikande mönster.
4 (6) - Genomförda spel: Uppgifter om vilka spel som spelaren spelat och tillsammans med vem. Här jämförs vilka tider spelarna varit inloggade samtidigt och suttit vid samma bord. - Transaktioner: Hur mycket pengar spelaren tagit med sig in till pokerplattformen från spelkontot, hur mycket som medtagits till bordet och hur mycket som är satsat i varje pokeromgång. - m.m. I systemet finns uppgifter om namn, adress, personnummer, e-mailadress, logindata och IP-nummer. Alla dessa används för att ge en samlad bild av eventuella kopplingar mellan spelare. ------ Pokeroperatörerna sammanställer uppgifterna och har, på grundval av utredningen, rätt att fatta beslut i ärendet. Besluten ryms inom följande beslutskategorier: Ingen åtgärd, Varningsbrev, Tillfällig avstängning och Permanent avstängning. Beslut om den sist nämnda åtgärden tas av enhetschefen. Om det handlar om grova regelöverträdelser lämnas ärendet över till säkerhetsavdelningen. Kontrollen kan även utvisa att spelarens handlande kan innefatta brott mot svensk straffrättslig lagstiftning. Misstanke om brott kan uppstå när en misstänkt chipdump (med eller utan collusion) utreds. Det kan förutom penningtvätt handla om att någon använder stulna bankkort för att spela och föra över pengar till ett annat konto eller att en spelare som har kommit över en annan pokerspelares inloggningsuppgifter spelar för att överföra pengar till sitt eget spelkonto. Även i dessa fall överlämnas ärendet till bolagets säkerhetsavdelning. Det ankommer sedan på en särskild befattningshavare på säkerhetsavdelningen att i samråd med Koncernstab Juridik ta beslut om underlaget har en sådan tyngd att polisanmälan ska göras. Först i detta läge registreras uppgifter om konkreta misstankar om brott. Därefter behandlas eventuella brottsuppgifter enkom för att ta tillvara bolagets intressen som målsägande. Skäl för beslutet Datainspektionen bedömer att personuppgifterna ingår i en strukturerad samling av personuppgifter. Det innebär att personuppgiftslagens hanteringsregler, bl.a. 21 personuppgiftslagen, ska tillämpas på behandlingen. Enligt 21 första stycket personuppgiftslagen är det förbjudet för andra än myndigheter att behandla uppgifter om lagöverträdelser som innefattar brott. Datainspektionen har möjlighet att i föreskrifter eller enskilda fall meddela undantag från detta förbud. En uppgift om att någon har eller kan ha begått ett
5 (6) visst brott utgör en uppgift om lagöverträdelse, även om det inte finns någon dom eller motsvarande beträffande brottet, om uppgiften har kvalificerats till att avse något visst brott (SOU 1997:39 s.380). Datainspektionen konstaterar att bolaget behandlar personuppgifter bl.a. för att motverka och upptäcka fusk och andra oegentligheter vid pokerspel. För detta ändamål övervakas pokerspelet under hela den tid som pokerspelet är öppet. Övervakningen sker genom analys av spelet, kontroll av spelares eventuella inbördes relationer och analys av de transaktioner som förekommit. Om underlaget ger vid handen att brott kan ha begåtts överlämnas ärendet till säkerhetsavdelningen som tar beslut om eventuell polisanmälan. Uppgift om misstanke om brott kommer därefter att behandlas för att tillvarata bolagets intressen såsom målsägande. Datainspektionen bedömer att bolaget redan genom den personuppgiftsbehandling som sker i samband med övervakningen av pokerspelet, som innebär en systematisk registrering av pokerspelares spelbeteende i syfte att upptäcka förekomst av bedrägerier m.m., behandlar uppgifter om lagöverträdelser som innefattar brott i den mening som avses i 21 personuppgiftslagen. Utgångspunkten är därför att behandlingarna är förbjudna. Utan hinder av förbudet i 21 personuppgiftslagen får sådana personuppgifter behandlas om behandlingen avser endast enstaka uppgifter som är nödvändiga för att rättsligt anspråk ska kunna fastställas, göras gällande eller försvaras i ett enskilt fall (Datainspektionens föreskrifter, DIFS 1998:3 punkten d). Datainspektionen bedömer att bolagets behandlingar av personuppgifter enligt ovan inte omfattas av undantaget i fråga eftersom det enligt inspektionen inte är fråga om enstaka uppgifter som behandlas. Det återstår därmed för Datainspektionen att bedöma om det finns förutsättningar att meddela undantag från förbudet. Bolaget har regeringens tillstånd att bedriva bl.a. internetpoker. Lotteriinspektionen utövar tillsyn över bolagets verksamhet. Enligt Lotteriinspektionens villkor ska bolaget ha rutiner för bl.a. hantering för att upptäcka förekomst av bedrägeri, försök till bedrägeri, otillåtet samarbete mellan spelare och försök till otillåtet samarbete mellan spelare. Datainspektionen konstaterar att bolaget bedriver en verksamhet som typiskt sett är hotad av kriminalitet. Problemet är så pass omfattande att tillsynsmyndigheten har ställt som krav att bolaget ska ha särskilda rutiner för övervakning för att verksamheten ska få bedrivas. Till detta kommer att bolagets övervakning av pokerspelet och de rättsliga åtgärder som vidtas mot kriminella spelare är till stor fördel för övriga pokerspelare. I praktiken är pokerspel på Internet möjligt endast så länge pokerspelarna kan lita på att bolaget övervakar spelet och motverkar olika typer av fusk. Datainspektionen anser därför att bolaget har ett berättigat intresse av att behandla personuppgifter om pokerspel och pokerspelare på det sätt som beskrivits. Vid en samlad bedömning finner Datainspektionen att undantag från
6 (6) förbudet i 21 personuppgiftslagen att behandla uppgifter om lagöverträdelse kan meddelas för bolaget. Datainspektionen kommer att följa upp ärendet. Detta beslut har - efter hörande av Datainspektionens styrelse - fattats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Leif Lindgren, datarådet Hans-Olof Lindblom, teamledaren Catharina Fernquist samt avdelningsdirektören Hans Kärnlöf, föredragande. Göran Gräslund Hans Kärnlöf