Henkilötietojen säilytysaika
Henkilötietojen säilytysaika tarkoittaa ajanjaksoa, jonka rekisterinpitäjä saa pitää pelaajan henkilötietoja tallessa ennen kuin ne on poistettava tai anonymisoitava. Tietosuoja-asetus ei aseta tälle yhtä kiinteää lukua, vaan aika johdetaan käsittelyn tarkoituksesta, erityislainsäädännön vähimmäisajoista ja mahdollisista kanneajoista. Rahapelialalla samalla pelaajalla on tästä syystä useita rinnakkaisia säilytysaikoja: tuntemistiedot, pelitapahtumat ja markkinointisuostumus vanhenevat eri tahtiin ja eri lain nojalla, eikä yksikään niistä kumoa toista.
Säilytysajan määräytymisperiaate
Tietosuoja-asetus lähtee säilytyksen rajoittamisen periaatteesta: henkilötietoja saa pitää tunnistettavassa muodossa vain niin kauan kuin käsittelyn tarkoitus sitä edellyttää. Asetus itse ei anna tähän yhtä lukua, vaan rekisterinpitäjän on perusteltava aika erikseen jokaiselle tietoryhmälle.
Käytännössä säilytysaika syntyy kolmen tekijän yhteisvaikutuksesta. Ensimmäinen on alkuperäinen käsittelyperuste, kuten pelisopimus tai annettu suostumus. Toinen on erityislaki, joka voi asettaa vähimmäisajan riippumatta siitä, mitä rekisterinpitäjä itse pitäisi riittävänä. Kolmas on kanneaika: tietoa voidaan säilyttää myös sen ajan, jona osapuoli voisi nostaa kanteen käsittelyyn liittyvästä asiasta.
Näistä kolmesta erityislaki voittaa yleisen minimointiperiaatteen, jos se asettaa pidemmän ajan.
Säilytysajat pelialalla käytännössä
Tunteminen ja rahanpesulaki
Rahanpesulain 3 luvun 3 § velvoittaa rahapeliyhtiön säilyttämään asiakkaan tuntemistiedot vähintään viisi vuotta vakituisen asiakassuhteen päättymisestä tai yksittäisen, vähintään 10 000 euron liiketoimen jälkeen. Tämä on vähimmäisaika, ei kiinteä normi: pidemmälle säilytykselle voi olla hyväksyttävä peruste, esimerkiksi vireillä oleva selvitys.
Peli- ja pelitilitapahtumien osalta sääntely on täsmällisempää. Sekä nykyinen arpajaislaki 1047/2001 että sen seuraaja, rahapelilaki 10/2026, edellyttävät toimiluvanhaltijalta pelitapahtumien ja pelitilitapahtumien säilyttämistä vähintään viisi vuotta muuttumattomassa muodossa. Rahapelilain säännökset tältä osin sovelletaan täysimääräisesti vasta, kun valvonta siirtyy Lupa- ja valvontavirastolle 1.7.2027; siihen asti on voimassa arpajaislaki.
Markkinointiin annettu suostumus käyttäytyy eri tavalla kuin lakisääteiset ajat: sitä säilytetään niin kauan kuin suostumus on voimassa, ja peruutus poistaa käsittelyperusteen välittömästi. Peli- tai markkinointikiellon päättymisen jälkeen tietoja saa rahapelilain nojalla käsitellä edelleen viiden vuoden ajan kiellon päättymisestä, jos käsittely liittyy alkuperäiseen tarkoitukseen.
Kirjanpitoon liittyvät tositteet, kuten maksutapahtumat, noudattavat kirjanpitolain omaa aikaa, joka on tyypillisesti pidempi kuin rahanpesulain viisi vuotta.
Yleisimmät sekaannukset termin ympärillä
Yleisin sekaannus on säilytysajan ja käsittelyajan välillä. Käsittely voi päättyä, esimerkiksi kun tili suljetaan, vaikka tietoa on vielä säilytettävä lakisääteisen määräajan täyttämiseksi. Säilytys ei tarkoita aktiivista käsittelyä, vaan tietojen pitämistä saatavilla mahdollista tarvetta varten.
Toinen sekaannus koskee sitä, minkä lain mukaan aika lasketaan. Pelaaja saattaa olettaa, että kaikki hänen tietonsa poistuvat samana päivänä, kun tili suljetaan tai pelikielto päättyy. Näin ei ole: tuntemistiedot, pelitapahtumat, markkinointidata ja asiakaspalvelun yhteydenotot alkavat kukin oman säilytysjaksonsa eri hetkestä ja eri lain nojalla.
Säilytysaika sekoitetaan usein myös tietopyynnön käsittelyaikaan, joka on tietosuoja-asetuksen mukaan yleensä kuukausi. Kyse on kahdesta täysin erillisestä määräajasta: yksi koskee sitä, kuinka pitkään tieto on olemassa, toinen sitä, kuinka nopeasti rekisterinpitäjän on vastattava pyyntöön.
Toimilupaehdot eivät julkaise yhtenäistä taulukkoa näistä ajoista, koska ne perustuvat useisiin erillisiin lakeihin samanaikaisesti.
