Näin teet tietosuojavalituksen kasinosta
Tietosuojavalitus kasinosta kulkee kahta reittiä, joista ensimmäinen on pyyntö rekisterinpitäjälle itselleen ja toinen ilmoitus tietosuojavaltuutetun toimistoon. Toiseen reittiin siirrytään vasta silloin, kun rekisterinpitäjä on kieltäytynyt pyynnöstä eikä kieltäytymiselle ole esitetty perustetta, jota rekisteröity pitää asianmukaisena.
Henkilötietojen käsittelyä arvioidaan yleisen tietosuoja-asetuksen (EU) 2016/679 nojalla, ja kansallisesti asetusta täsmentää tietosuojalaki 1050/2018. Rahapelitoiminnan luvallisuus on tästä erillinen kysymys, jota valvoo rahapeliviranomainen eikä tietosuojavaltuutettu, ja tämä ero kannattaa pitää mielessä koko prosessin ajan.
Milloin tietosuojavalitus kasinosta kannattaa tehdä
Oikeus tehdä valitus valvontaviranomaiselle perustuu tietosuoja-asetuksen (EU) 2016/679 77 artiklaan, jonka mukaan valitus voidaan tehdä erityisesti asuinpaikan valvontaviranomaiselle. Suomessa tämä viranomainen on tietosuojavaltuutetun toimisto, joka toimii oikeusministeriön yhteydessä tietosuojalain 1050/2018 mukaisena kansallisena valvontaviranomaisena. Ilmoitus kannattaa tehdä silloin, kun kasino ei vastaa tietopyyntöön, kieltäytyy poistamasta tietoja tai on käsitellyt tunnistautumisaineistoa laajemmin kuin on tarpeen. Rahapelitoiminnan valvonta on eri asia kuin tietosuojavalvonta, ja siihen sovelletaan tällä hetkellä arpajaislakia 1047/2001.
Rahapelilaki 10/2026 tulee pääosin voimaan vasta myöhemmin. Sen 57 §:n mukaan valvontaviranomaisena toimii Lupa- ja valvontavirasto. Saman lain 106 §:n mukaan Poliisihallitus toimii toimivaltaisena viranomaisena 30.6.2027 asti, ja valvonta siirtyy Lupa- ja valvontavirastolle 1.7.2027. Avoimeksi jää se, miten kaksi rinnakkaista valvontalinjaa jakavat vastuun pelaajan tunnistautumistietojen säilytyksestä siirtymän jälkeen.
Tietosuojavalituksen vaiheet järjestyksessä
Vaiheet kannattaa käydä läpi kirjatussa järjestyksessä, koska tietosuojavaltuutetun toimisto edellyttää lähtökohtaisesti, että rekisterinpitäjään on oltu ensin yhteydessä. Jokaisesta vaiheesta jää kirjallinen jälki, jota tarvitaan myöhemmin ilmoituksen liitteenä.
- Vaihe 1
Tunnista rekisterinpitäjä ja kerää aineisto
Rekisterinpitäjä on se yhtiö, joka on merkitty kasinon tietosuojaselosteeseen, eikä välttämättä sama kuin sivuston markkinointinimi. Talteen otetaan tilinumerot, sähköpostivaihto, kuvakaappaukset ja tietosuojaselosteen versio siltä päivältä, jona ongelma havaittiin. Aineistoon merkitään myös se, mihin toimilupaan yhtiö vetoaa, koska tämä ohjaa myöhempää valitusreittiä. - Vaihe 2
Tee kirjallinen pyyntö rekisterinpitäjälle
Pyyntö osoitetaan tietosuojavastaavalle, jos yhtiö on nimennyt sellaisen, ja siinä yksilöidään vaadittu oikeus. Käytännössä kyse on tietosuoja-asetuksen (EU) 2016/679 15 artiklan tarkastusoikeudesta tai 17 artiklan poisto-oikeudesta. Pyyntö kannattaa lähettää niin, että lähetyspäivä on todennettavissa, koska määräaika lasketaan siitä. - Vaihe 3
Laske määräaika ja kirjaa laiminlyönti
Rekisterinpitäjän on toimitettava tiedot ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön saapumisesta, kuten tietosuoja-asetuksen (EU) 2016/679 12 artiklan 3 kohdassa säädetään. Määräaikaa voidaan jatkaa kahdella kuukaudella, jos pyyntö on monimutkainen, mutta jatkamisesta on ilmoitettava rekisteröidylle kuukauden kuluessa. Jos vastausta ei tule tai se on puutteellinen, laiminlyönti kirjataan päivämäärineen. - Vaihe 4
Tee ilmoitus tietosuojavaltuutetun toimistoon
Ilmoitus tehdään ensisijaisesti toimiston verkkosivujen sähköisellä ilmoituslomakkeella, ja arkaluonteinen aineisto toimitetaan lomakkeella tai Turvaviesti-palvelulla. Kirjaamon osoite on [email protected] ja postiosoite PL 800, 00531 Helsinki, käyntiosoitteena Lintulahdenkuja 4, Helsinki. Ilmoitukseen liitetään koko viestinvaihto rekisterinpitäjän kanssa sekä kuvaus siitä, mitä oikeutta katsotaan loukatun. - Vaihe 5
Seuraa käsittelyä ja varaa aikaa
Tietosuojavaltuutetun toimistossa vireille saatettujen asioiden tavoitekäsittelyaika on yksi vuosi, joten nopeaa ratkaisua ei ole syytä odottaa. Toimiston on ilmoitettava valituksen etenemisestä ja ratkaisusta sekä oikeussuojakeinoista, ja päätöksestä voi valittaa hallintotuomioistuimeen tietosuoja-asetuksen (EU) 2016/679 78 artiklan mukaisesti. Rinnakkainen kantelu rahapeliviranomaiselle ei keskeytä eikä nopeuta tietosuoja-asian käsittelyä.
Määräajat ja viranomaisen toimivalta
Määräajat jakautuvat kahteen osaan, joista ensimmäinen sitoo rekisterinpitäjää ja toinen kuvaa viranomaisen omaa käsittelyaikaa. Rekisterinpitäjän kuukauden määräaika on sitova, kun taas tietosuojavaltuutetun toimiston yhden vuoden tavoitekäsittelyaika on tavoite eikä oikeudellinen takaraja.
Toimivaltuudet ulottuvat huomautuksista määräyksiin ja hallinnolliseen seuraamusmaksuun, jonka määrää tietosuojavaltuutetusta ja kahdesta apulaistietosuojavaltuutetusta koostuva seuraamuskollegio. Seuraamusmaksu voi olla enintään 20 miljoonaa euroa tai neljä prosenttia edeltävän tilikauden maailmanlaajuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Sitä, kuinka monta rahapeliyhtiötä koskevaa ilmoitusta on kunakin hetkenä vireillä, ei ole saatavilla: viranomainen ei julkaise tätä. Avoimeksi jää myös se, miten seuraamuskollegio painottaa tunnistautumisaineiston liian pitkää säilytystä rahapelialalla.
Toimilupamaa ohjaa valitusreitin
| Toimilupa ja sijoittautuminen | Sovellettava tietosuojasääntely | Valvova tietosuojaviranomainen | Reitti Suomesta |
|---|---|---|---|
| Suomi: Poliisihallituksen toimilupa, 1.7.2027 alkaen Lupa- ja valvontavirasto | Tietosuoja-asetus (EU) 2016/679 ja tietosuojalaki 1050/2018 | Tietosuojavaltuutetun toimisto | Ilmoitus tietosuojavaltuutetun toimistoon; rahapelivalvonta erikseen Poliisihallitukselta |
| Malta: Malta Gaming Authorityn toimilupa, yhtiö sijoittautunut Maltalle | Tietosuoja-asetus (EU) 2016/679, sovellettuna Maltan kansallisen lain kanssa | Information and Data Protection Commissioner, Sliema | Ilmoitus tietosuojavaltuutetulle Suomessa, joka siirtää rajat ylittävän asian johtavalle viranomaiselle |
| Viro: Viron rahapelitoimilupa, yhtiö sijoittautunut Viroon | Tietosuoja-asetus (EU) 2016/679 ja Viron kansallinen tietosuojalaki | Andmekaitse Inspektsioon | Ilmoitus tietosuojavaltuutetulle Suomessa; käsittely yhteistyömenettelyssä 60 artiklan mukaan |
| Curaçao: LOK-lisenssi tai CGA:n alainen lupa, ei sijoittautumista EU:hun | Tietosuoja-asetus (EU) 2016/679 3 artiklan 2 kohdan nojalla, jos palvelua tarjotaan Suomeen; paikallisesti Landsverordening bescherming persoonsgegevens | Curaçaon tietosuojalautakuntaa ei ole asetettu toimintaan | Ilmoitus tietosuojavaltuutetun toimistoon; vastapuolena 27 artiklan edustaja, jos sellainen on nimetty |
Mitä ilmoitukseen on kirjattava
Ilmoituksessa yksilöidään rekisterinpitäjä, käsittelyn kohteena olevat tiedot ja se oikeus, jota katsotaan loukatun, sekä liitetään koko viestinvaihto. Rahapelialan asioissa on syytä eritellä tunnistautumisaineisto, maksutapahtumien tiedot ja pelihistoria, koska niiden säilytysajat ja käsittelyperusteet poikkeavat toisistaan.
Käsittelyn lainmukaisuutta arvioidaan tietosuoja-asetuksen (EU) 2016/679 5 ja 6 artiklan nojalla, ja tietoturvasta säädetään 32 artiklassa. Jos kyse on tietoturvaloukkauksesta, ilmoitukseen kirjataan myös se, saiko rekisteröity 34 artiklan mukaisen ilmoituksen ja milloin. Avoimeksi jää usein se, kuinka pitkä säilytysaika rahapelitilin tunnistautumistiedoille on hyväksyttävä, koska ratkaisukäytäntöä juuri tästä on niukasti.
Tietosuojavalitus vai kantelu rahapeliviranomaiselle
Kaksi reittiä eivät korvaa toisiaan, ja molemmat voi panna vireille samasta tapahtumasta. Erot ovat siinä, mitä viranomainen tutkii ja mihin sen toimivalta ulottuu.
Ilmoitus tietosuojavaltuutetulle | Kantelu rahapeliviranomaiselle |
|---|---|
| Tutkii henkilötietojen käsittelyn lainmukaisuuden tietosuoja-asetuksen (EU) 2016/679 nojalla | Tutkii rahapelitoiminnan luvallisuuden, tällä hetkellä arpajaislain 1047/2001 nojalla |
| Toimivaltainen viranomainen on vakiintunut ja sama läpi siirtymäkauden | Toimivalta on Poliisihallituksella 30.6.2027 asti ja Lupa- ja valvontavirastolla 1.7.2027 alkaen |
| Tavoitekäsittelyaika on yksi vuosi vireille tulosta | Käsittelyaikaa koskevaa tavoitetta ei ole julkaistu rahapelikanteluille: viranomainen ei julkaise tätä |
| Seurauksena voi olla määräys, huomautus tai seuraamuskollegion määräämä maksu | Seurauksena voi olla toimilupaan kohdistuva valvontatoimi, joka ei palauta yksittäisen pelaajan tietoja |
| Ei koske rahatalletusta eikä voittosaatavaa koskevaa riitaa | Ei myöskään ratkaise yksityisoikeudellista saatavaa, joka kuuluu käräjäoikeudelle |
Mikä on yhä avointa
Siirtymäkausi jättää useita kysymyksiä ratkaisematta, ja ne vaikuttavat suoraan siihen, kenelle valitus kannattaa osoittaa. Toimilupia on voitu hakea 1.3.2026 alkaen, mutta myönnetyt luvat tulevat voimaan aikaisintaan 1.7.2027, joten sama yhtiö voi olla eri asemassa eri kuukausina.
Lupa- ja valvontaviraston ja tietosuojavaltuutetun toimiston välisestä tiedonvaihdosta rahapeliasioissa ei ole julkaistua menettelykuvausta: viranomainen ei julkaise tätä. Curaçaon osalta on epäselvää, mihin elimeen pelaaja voi vedota paikallisesti niin kauan kuin tietosuojalautakuntaa ei ole asetettu. Avoimeksi jää lopulta se, tuleeko rahapelilain 10/2026 mukaiseen valvontaan omaa ohjeistusta pelaajatietojen säilytysajoista.
Aiheeseen liittyvät termit
Usein kysytyt kysymykset tietosuojavalituksesta kasinosta
Voiko ilmoituksen tehdä suoraan tietosuojavaltuutetulle ottamatta yhteyttä kasinoon?
Lähtökohtana on yhteydenotto rekisterinpitäjään ensin, ja tietosuojavaltuutettuun käännytään vasta, jos rekisterinpitäjä kieltäytyy pyynnöstä ilman perustetta. Poikkeuksena ovat tilanteet, joissa epäily koskee laajempaa lainvastaista käsittelyä eikä yksittäistä pyyntöä.
Mitä ilmoituksen tekeminen maksaa?
Ilmoitus tietosuojavaltuutetun toimistoon ei ole maksullinen, ja se voidaan tehdä sähköisellä lomakkeella. Hallintotuomioistuinkäsittelyyn liittyvistä maksuista säädetään erikseen, eivätkä ne kuulu tähän vaiheeseen.
Kuinka kauan käsittely kestää?
Tietosuojavaltuutetun toimistossa vireille saatettujen asioiden tavoitekäsittelyaika on yksi vuosi. Yksittäisen asian kestoa ei ennakoida etukäteen, ja asiaryhmäkohtaisia keskiarvoja ei ole julkaistu: viranomainen ei julkaise tätä.
Voiko valittaa Maltalle tai Viroon sijoittautuneesta kasinosta?
Kyllä, ilmoitus tehdään Suomessa tietosuojavaltuutetun toimistoon, joka käsittelee rajat ylittävän asian yhteistyössä johtavan valvontaviranomaisen kanssa tietosuoja-asetuksen (EU) 2016/679 60 artiklan mukaisesti. Maltalla johtava viranomainen on Information and Data Protection Commissioner ja Virossa Andmekaitse Inspektsioon.
Palautuvatko rahat, jos tietosuojavalitus menestyy?
Tietosuojavalvonta ei ratkaise talletuksia tai voittosaatavia koskevia riitoja, vaan ne käsitellään yksityisoikeudellisena asiana. Tietosuoja-asetuksen (EU) 2016/679 82 artiklan mukainen vahingonkorvausvaatimus esitetään tuomioistuimessa eikä valvontaviranomaiselle.
Lisää nettikasinoista
Vaiheen 2 ja vaiheen 4 väliin jäävä kuukausi on se kohta, jossa valtaosa ilmoituksista kaatuu: toimisto palauttaa asian, jos rekisterinpitäjälle ei ole ensin annettu tilaisuutta vastata.