La Autoridad Nacional del Juego y la autoridad francesa de protección de datos aclaran cómo deben tratar los operadores la información personal de los jugadores, con especial atención a clientes, promociones, prevención del juego excesivo y lucha contra el blanqueo.
La Autorité Nationale des Jeux (ANJ) ha elaborado, en colaboración con la CNIL, una guía específica sobre el tratamiento de datos personales en el sector de los juegos de azar y apuestas en Francia. El documento busca aclarar la aplicación del RGPD en una actividad altamente regulada, donde los operadores tratan un volumen creciente de datos de jugadores y deben conciliar cumplimiento, protección del usuario, seguridad, prevención del juego excesivo y obligaciones contra el blanqueo de capitales.
La guía no crea nuevas obligaciones, sino que ofrece recomendaciones prácticas para ayudar a los operadores a cumplir con normas ya vigentes desde 2018. El documento parte de una premisa clave para el sector: los juegos de azar y apuestas no son un comercio ordinario ni un servicio ordinario, por lo que el tratamiento de datos debe analizarse dentro de un marco específico de responsabilidad, supervisión y protección.
El texto se dirige a operadores legalmente autorizados en Francia, incluidos los titulares de derechos exclusivos como FDJ y PMU, los operadores online autorizados por la ANJ en apuestas deportivas, apuestas hípicas y póker, así como casinos y clubes de juego. También resulta relevante para proveedores que intervienen en el tratamiento de datos de jugadores, como empresas de marketing, prestadores de pago, alojadores tecnológicos o servicios de verificación de identidad.
Tres grandes focos para el sector
La guía estructura su análisis en tres áreas especialmente sensibles para los operadores: la gestión de clientes y la prospección comercial, la prevención del juego excesivo o patológico y la lucha contra el blanqueo de capitales y la financiación del terrorismo.
En materia de gestión de clientes, el documento recuerda que la apertura y funcionamiento de cuentas de jugador exige tratar datos de identidad, domicilio, cuenta de pago, historial de operaciones, saldos, promociones, movimientos financieros y datos necesarios para la trazabilidad del juego. La ANJ y la CNIL insisten en que cada tratamiento debe tener una finalidad clara, una base legal adecuada y una duración de conservación justificada.
La guía también advierte sobre la necesidad de especial prudencia en la prospección comercial. El sector puede utilizar herramientas de captación y fidelización, pero debe hacerlo teniendo en cuenta la naturaleza particular del juego y los riesgos asociados. Una de las ideas más relevantes para los operadores es que los datos utilizados para prevenir o detectar conductas de riesgo no pueden reutilizarse para enviar ofertas comerciales.
El dato de riesgo no puede convertirse en dato comercial
Uno de los puntos más importantes del documento es la separación entre finalidades. La ANJ y la CNIL subrayan que un operador no puede reutilizar un fichero de vigilancia de jugadores con prácticas de juego excesivo o patológico para proponerles ofertas comerciales. En cambio, sí puede utilizar esa información para limitar o suprimir el envío de comunicaciones promocionales, porque en ese caso la finalidad sigue siendo la prevención.
Para los profesionales del sector, esta precisión es especialmente relevante. Refuerza la idea de que el cumplimiento RGPD no puede separarse de la política de juego responsable. La segmentación, el CRM, los programas de fidelización, los perfiles VIP y las campañas promocionales deben diseñarse desde el principio con criterios de protección de datos y prevención de riesgos.
DPO, registro de tratamientos y privacidad desde el diseño
El documento recuerda que los operadores deben integrar la protección de datos desde la concepción de juegos, plataformas y procesos. Entre las primeras medidas de cumplimiento figuran la designación de un DPO, la cartografía de datos y tratamientos, la información clara a los jugadores y la implantación de medidas de seguridad adecuadas.
La guía señala que, en principio, la designación de un DPO se impone a los operadores de juego por el seguimiento regular y sistemático de personas a gran escala o por el tratamiento de datos sensibles. Incluso en pequeños establecimientos donde no haya tratamiento a gran escala, la designación se recomienda de forma expresa.
También se recomienda centralizar la política de datos personales en un documento claro, visible y comprensible, separado de los reglamentos de juego y de las condiciones generales de uso. En el caso de operadores presenciales, la CNIL recomienda que la información se adapte al entorno físico mediante paneles informativos o fichas accesibles en el punto de venta.
Evaluaciones de impacto para prevención y blanqueo
La guía presta especial atención a las evaluaciones de impacto sobre la protección de datos (AIPD). La ANJ y la CNIL recuerdan que estas evaluaciones son obligatorias cuando el tratamiento puede generar un riesgo elevado para los derechos y libertades de las personas.
En la práctica, el documento indica que los operadores de juego deben realizar una AIPD para tratamientos destinados a identificar jugadores con juego excesivo o patológico y para tratamientos vinculados a la lucha contra el blanqueo y la financiación del terrorismo.
Este punto afecta directamente a áreas críticas del negocio: modelos de detección temprana, cruces de indicadores, perfilado de comportamiento, análisis financiero, limitaciones de actividad, exclusión de jugadores y sistemas de control interno.
Seguridad, acceso restringido y trazabilidad
La guía insiste en la necesidad de proteger los datos mediante medidas técnicas y organizativas proporcionadas al riesgo. Entre las recomendaciones figuran la formación de empleados, controles de acceso estrictos, cuentas nominativas, autenticación robusta, cifrado de datos, registro de accesos, copias de seguridad, auditorías de seguridad, actualizaciones y planes de respuesta ante incidentes.
En materia de prevención del juego excesivo, el documento señala que solo los prestadores implicados en esa finalidad pueden recibir los datos correspondientes. La CNIL descarta su transmisión a socios comerciales para prospección, por ser incompatible con la finalidad de prevención.
La guía también recuerda que los operadores deben conservar los datos necesarios para demostrar el cumplimiento de sus obligaciones. En el juego sobre cuenta, se prevé un plazo de conservación de seis años desde el cierre de la cuenta del jugador. Para operadores con derechos exclusivos en red física, casinos y clubes de juego, la CNIL recomienda también una conservación de seis años desde la recogida de los datos.
Blanqueo: proporcionalidad, pero sin excusas
En el ámbito de la lucha contra el blanqueo de capitales y la financiación del terrorismo, la guía recuerda que los operadores de juego están sujetos a estas obligaciones y deben aplicar una lógica de análisis de riesgos y proporcionalidad.
El documento subraya que los operadores deben asegurarse de que sus tratamientos sean proporcionales al riesgo propio de cada jugador, teniendo en cuenta el carácter intrusivo que pueden tener determinadas solicitudes de información. Sin embargo, la ANJ y la CNIL son claras: el RGPD no puede invocarse para justificar un incumplimiento de las obligaciones en materia de blanqueo y financiación del terrorismo.
En estos tratamientos, los derechos de los jugadores presentan límites específicos. Por ejemplo, el acceso a determinados tratamientos vinculados exclusivamente a la lucha contra el blanqueo se ejerce mediante un procedimiento indirecto ante la CNIL, y el jugador no puede acceder directa ni indirectamente a una declaración de sospecha.
Una guía con impacto operativo para online y presencial
Para el sector, la guía supone una referencia de cumplimiento especialmente útil porque conecta tres planos que cada vez están más relacionados: datos, juego responsable y control regulatorio.
El documento obliga a mirar con detalle cómo se diseñan los procesos de alta de jugador, verificación de identidad, CRM, promociones, fidelización, segmentación, detección de riesgo, prevención del fraude, lucha contra el blanqueo, archivo de información y relación con proveedores tecnológicos.
En un mercado donde el dato es ya una pieza central de la operación, la ANJ y la CNIL lanzan un mensaje claro: la protección de datos no es un trámite jurídico aislado, sino una parte estructural de la gobernanza del operador de juego.
VER GÚIA
18+ | Juegoseguro.es – Jugarbien.es
