“Abbiamo lavorato a fianco dell’ICO per esplorare le sfide associate al raggiungimento di una “Single Customer View”. Nel febbraio 2020 la Commissione ha sfidato l’industria del gioco d’azzardo online, rappresentata dal Betting & Gaming Council (BGC), a esplorare e sviluppare una soluzione “Single Customer View” (SCV) che potrebbe consentire una visione olistica del comportamento di gioco online di un cliente e aiutare ridurre i danni del gioco d’azzardo. Questa visione cross-operatore delle attività di gioco di un cliente potrebbe aiutare a identificare e prevenire potenziali danni di gioco in coloro che detengono conti con più di una società di gioco d’azzardo. I giocatori d’azzardo online detengono in media tre conti, con una percentuale significativa di giocatori d’azzardo più giovani che ne detengono di più. Le nostre prove indicano anche un aumento del rischio di danni tra quei clienti che prendono parte a più attività di gioco. Una SCV – che potrebbe assumere varie forme – è un’impresa ambiziosa e complessa, ed è quindi fondamentale che il concetto sia adeguatamente considerato e testato attraverso la lente della legge sulla protezione dei dati”. E’ quanto scrive la Gambling Commission britannica.

“A novembre 2020 siamo stati ammessi alla Regulatory Sandbox, un servizio sviluppato dall’Information Commissioner’s Office (ICO), per supportare le organizzazioni che stanno creando prodotti e servizi che utilizzano i dati personali in modi innovativi e sicuri per il pubblico beneficio. L’obiettivo di SCV Sandbox era a) stabilire se esiste una base giuridica adeguata ai sensi dell’articolo 6 del regolamento generale sulla protezione dei dati del Regno Unito (“RGPD del Regno Unito”) che consente la condivisione di dati comportamentali tra operatori di gioco d’azzardo online tramite un SCV, compreso l’esame dei gateway legali esistenti e b) considerare il trattamento di dati personali di categoria speciale e l’adeguatezza delle condizioni dell’articolo 9 per il trattamento ai sensi del GDPR del Regno Unito.

Siamo lieti che l’ICO abbia pubblicato oggi il suo report sugli esiti della fase 1 di Regulatory Sandbox.

Principali risultati del rapporto Sandbox

Dopo il completamento della fase 1 della sandbox, l’opinione dell’ICO è che: ‘La condivisione di dati comportamentali tra operatori del gioco d’azzardo al fine di identificare le persone che potrebbero essere “a rischio” di danni correlati al gioco d’azzardo tramite una SCV può essere lecita ai sensi dell’articolo 6, paragrafo 1, lettera e), “Compiti pubblici” o dell’articolo 6, paragrafo 1 (f) “Interessi legittimi” del GDPR del Regno Unito: l'”attività pubblica” richiede che vi sia una base giuridica, affinché gli operatori del gioco d’azzardo condividano i dati per l’SCV e che tale condivisione sia effettuata nell’interesse pubblico. Ciò non richiede l’esistenza di un obbligo legale, ma deve esistere una legge nazionale da cui deriva tale trattamento. Sebbene si ritenga che questa condizione possa essere applicata, sarà necessaria un’ulteriore analisi delle circostanze specifiche (una volta che l’SCV sarà stato ulteriormente sviluppato) per garantire che la condivisione sia necessaria e proporzionata per raggiungere tali obiettivi. Gli “interessi legittimi” comprendono gli interessi di una serie di parti, compresi gli individui a rischio di problemi di gioco d’azzardo, gli interessi degli operatori di gioco d’azzardo nel soddisfare i loro requisiti legali e quelli della società in generale. Questi devono essere bilanciati con gli interessi e i diritti e le libertà fondamentali di tutti gli interessati i cui dati possono essere condivisi. Ancora una volta, è convinto che questa condizione possa essere applicata, ma man mano che l’SCV viene sviluppato, sarà necessaria un’ulteriore analisi per considerare come questa condizione si applica nelle circostanze specifiche. Entrambe le basi legali sopra delineate fornirebbero un gateway discrezionale al trattamento. Entrambi richiedono una valutazione della proporzionalità del trattamento quando i benefici per le persone che sono a rischio sono bilanciati con il potenziale pregiudizio per tutti gli interessati i cui dati saranno condivisi in connessione con SCV, ed entrambi consentono agli interessati di oggetto. In caso di modifiche alla legislazione sul gioco d’azzardo o se in futuro la Commissione inserisse un nuovo requisito nelle condizioni di licenza e nei codici di condotta (“LCCP”) sull’attuazione dell’SCV, gli operatori di gioco d’azzardo possono fare affidamento sull’articolo 6, paragrafo 1, lettera c). “Obbligo legale” del GDPR del Regno Unito come base legale per il trattamento. È probabile che alcuni elementi dei dati proposti per essere elaborati tramite un SCV possano qualificarsi come dati di categoria speciale. Poiché l’elaborazione di dati di categorie speciali richiede una condizione dell’articolo 9 nel GDPR del Regno Unito, è buona pratica identificare questa potenziale condizione il prima possibile, poiché il GDPR del Regno Unito vieta il trattamento di dati di categorie speciali senza una condizione di elaborazione dell’articolo 9. Ritiene che l’articolo 9, paragrafo 2, lettera g), “il trattamento sia necessario per motivi di interesse pubblico sostanziale” possa essere appropriato. In aggiunta a quanto sopra, l’Allegato 1, Parte 2, Paragrafi 18 “Tutela dei bambini e delle persone a rischio” o 19 “Tutela del benessere economico di determinate persone” del Data Protection Act 2018 (“DPA 2018”) può essere adeguate condizioni sostanziali di interesse pubblico per consentire di fare affidamento sull’articolo 9, paragrafo 2, lettera g), ma l’applicabilità di tali condizioni dipenderà dal particolare modello di SCV sviluppato dall’industria. Affinché qualsiasi trattamento sia lecito, tutti i principi di protezione dei dati delineati nell’articolo 5 del GDPR del Regno Unito devono essere rispettati insieme ad altri aspetti del GDPR del Regno Unito, come l’articolo 25 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita. Come spiegato nella sua guida, legalità significa anche che non si fa nulla di illegale in un più generale che include il mancato rispetto degli obblighi di legge e di common law, sia penali che civili. È importante notare che un modello concettuale per un SCV è stato considerato ai fini del Sandbox e la visione dell’ICO potrebbe essere soggetta a modifiche man mano che la soluzione SCV viene sviluppata.

Prossimi passi

La pubblicazione del rapporto dell’ICO fornisce una guida importante e utile su come un SCV potrebbe essere consegnato in conformità con la legge sulla protezione dei dati. Tuttavia, ci sono ancora molti problemi e complessità che devono essere affrontati come parte di una fase pilota di lavoro. In questa fase non abbiamo in programma di imporre una particolare soluzione SCV, ovvero per l’industria da sviluppare e testare, ma ci aspettiamo che l’industria dimostri l’impatto che la sua soluzione pilotata ha contro la sfida che ci siamo posti. Ora ci aspettiamo che l’industria si muova rapidamente verso la sperimentazione della sua soluzione SCV e li invitiamo a farlo in collaborazione con noi e l’ICO, all’interno di un ambiente Sandbox”.

Tim Miller, direttore esecutivo della Gambling Commission, ha dichiarato: “Abbiamo accolto con favore l’impegno iniziale che abbiamo ricevuto dalle società di gioco d’azzardo e dal loro ente commerciale per sviluppare e provare una soluzione. Tuttavia, abbiamo anche riconosciuto le domande che esistevano su come ciò potesse essere ottenuto in modo conforme alla legge sulla protezione dei dati. Ecco perché abbiamo collaborato con il Commissario per le informazioni in una fase iniziale e siamo lieti che siano stati in grado di fornire assicurazioni che i requisiti sulla protezione dei dati non devono costituire un ostacolo al progresso. Ora non vediamo l’ora che il settore inizi rapidamente a sperimentare e quindi a valutare l’approccio che hanno sviluppato per affrontare la sfida che ci siamo prefissati di ottenere una visione unica del cliente”.

Ian Hulme, direttore dell’assicurazione sulla regolamentazione presso l’ICO, ha dichiarato: “La visione dietro l’ICO Regulatory Sandbox era quella di creare uno spazio in cui le organizzazioni potessero testare idee e creare prodotti che avessero un reale beneficio pubblico e apportassero cambiamenti positivi alla società. Il nostro lavoro finora con la Gambling Commission ha davvero dato vita a quella visione del Sandbox. Ha mostrato come le organizzazioni che condividono dati e lavorano insieme possono proteggere gli utenti vulnerabili dai danni del gioco d’azzardo. Non vediamo l’ora di vedere come si svilupperà questo progetto e accogliamo con favore una futura presentazione di Sandbox da parte della Commissione e dell’industria”.

Il ministro del gioco d’azzardo Chris Philp ha dichiarato: “Siamo determinati ad affrontare il problema del gioco d’azzardo e stiamo intraprendendo una revisione completa delle nostre leggi sul gioco d’azzardo per garantire che siano adatte all’era digitale. Accolgo con favore i risultati dell’Ufficio del Commissario per le informazioni secondo cui i dati possono essere condivisi in modo sicuro e protetto tra gli operatori per evitare che i giocatori problematici incorrano in perdite paralizzanti. È essenziale che vengano intraprese più azioni per evitare che le persone diventino pericolosamente dipendenti dal gioco d’azzardo al punto che le vite possono essere rovinate. Questo è un passo importante verso la protezione delle persone vulnerabili e gli operatori devono ora unirsi per fornire rapidamente una soluzione significativa”.