Spanien vil ensrette jagten på risikospil og beskytte kundedata

Spiludbydere skal bruge samme metode til at opdage risikoadfærd, foreslår den spanske spillemyndighed. Et revideret udkast skærper samtidig rammerne for, hvad kundernes oplysninger må bruges til.

En spiller kan udløse en advarsel hos ét spilselskab, mens lignende aktivitet bliver vurderet anderledes hos et andet. Den forskel vil Spaniens spillemyndighed DGOJ gøre op med.

Myndigheden har genåbnet høringen om en fælles metode til at identificere risikoadfærd. Udbydere under DGOJ’s tilsyn skal efter forslaget anvende samme model, så beskyttelsen bliver mindre afhængig af selskabets egen måde at vurdere kunden på.

Den nye høring blev offentliggjort 13. oktober 2026, og interesserede kan indsende bemærkninger frem til 22. oktober. Modellen er dermed fortsat et forslag, ikke en færdig regel, som udbyderne allerede skal følge.

Revisionen handler også om kontrollen med spillerdata. Efter bemærkninger fra Spaniens datatilsyn er der blandt andet lagt større vægt på forklaringer, begrænset brug af oplysninger og muligheden for at få en klassifikation prøvet efter.

Samme pligt men forskellige metoder

Spanien begynder ikke fra nul. Den eksisterende bekendtgørelse om sikrere spilmiljøer, Real Decreto 176/2023, pålægger allerede operatørerne at have systemer, som opdager risikoadfærd hos registrerede brugere.

De skal blandt andet inddrage objektive tegn fra aktiviteten, eksempelvis omfanget og hyppigheden af spil og indbetalinger. Når en kunde bliver klassificeret som risikospiller, følger der særlige beskyttelseskrav med.

De gældende regler omfatter blandt andet stop for kampagnetilbud og VIP-service samt begrænsninger på direkte reklamemails. Risikospillere må heller ikke indbetale med kreditkort. Selskabet skal kontakte kunden, og en automatisk læsekvittering er ikke nok som dokumentation for, at kontakten er lykkedes.

Kan udbyderen ikke etablere den krævede kontakt inden for 72 timer efter beskeden, skal adgangen til at spille suspenderes, indtil kontakten er skabt. Klassifikationen er altså mere end et internt mærkat i en kundedatabase. Den bestemmer, hvilke konkrete pligter selskabet har over for kunden, og hvilke tilbud kunden ikke længere må modtage.

Problemet er ifølge DGOJ, at selskabernes egne metoder varierer betydeligt. Det gælder både udformningen og anvendelsen. Myndigheden mener, at forskellene giver alvorlige uligheder i beskyttelsen, afhængigt af hvor kunden spiller.

En fælles metode skal gøre vurderingen mere ensartet og mulig at kontrollere. Udbyderne skal fortsat kunne supplere med egne systemer, men supplementet skal ikke kunne erstatte den fælles model.

Gældende pligt og foreslået fælles metode

Kravet findes allerede

Udbyderne opdager risikoadfærd og reagere. De har udviklet egne metoder til at finde den.

Det foreslår Spanien

En fælles metode med samme regler og tæskler. Tydelig forklaring og mulighed for efterprøvelse.

Det er en væsentlig forskel for forståelsen af nyheden. Spanien foreslår at standardisere, hvordan en eksisterende forpligtelse bliver opfyldt. Landet indfører ikke først nu idéen om, at et spilselskab skal reagere på bekymrende adfærd.

Aktiviteten på kontoen skal være grundlaget

Den ledsagende redegørelse for modellen beskriver, hvordan registreret spilleaktivitet kan bruges til at finde mønstre. Det omfatter blandt andet indbetalinger, udbetalinger, varighed, tidspunkter og udviklingen i spillet.

Det almindelige analysevindue er 183 dage. Perioden skal være lang nok til at vise udvikling og kontinuitet uden at inddrage hele kontoens historik. Der er altså tale om en vurdering af et forløb, ikke blot et øjebliksbillede af en enkelt gevinst eller et tab.

Modellen skal behandle oplysningerne efter fælles beregningsregler. Formålet er at afgøre, om aktiviteten giver anledning til de beskyttelsestiltag, reglerne allerede foreskriver.

Det er samtidig vigtigt, hvad vurderingen ikke kan fortælle. Redegørelsen understreger, at den ikke er en klinisk undersøgelse. Registreringer fra en spillekonto kan belyse adfærd på platformen, men de indeholder ikke den samlede personlige og sociale viden, som en sundhedsfaglig vurdering kræver.

En klassifikation som risikospiller skal derfor ikke læses som en diagnose på ludomani.

Beskyttelsesdata skal holdes ude af salgsarbejdet

Spillerbeskyttelse kræver, at selskabet ved noget om kundens aktivitet. De samme typer oplysninger kan også være kommercielt interessante. Netop derfor er formålet med behandlingen centralt i det reviderede forslag.

DGOJ’s forklarende notat om ændringerne henviser til et svar fra det spanske datatilsyn, AEPD, dateret 15. juni 2026. På baggrund af bemærkningerne er dokumentationen og garantierne blevet udbygget.

Oplysningerne, de beregnede variable og klassifikationen må efter forslaget ikke bruges til blandt andet reklamer, kundesegmentering eller vurdering af kundens rentabilitet. Behandlingen skal adskilles funktionelt og logisk fra andre formål, og adgang skal begrænses til autoriseret personale, som arbejder med beskyttelsestiltagene.

To formål som skal holdes adskilt

Spillerbeskyttelse

- Opdage risiko
- Følge op
- Afslutte beskyttelsesgrundlag

Kommerciel anvendelse er udelukket

- Reklamer
- Kundesegmentering
- Vurdering af rentabilitet

Det er ikke en påstand om, at enhver oplysning på en spillekonto bliver forbudt i alle andre sammenhænge. Begrænsningen gælder den behandling, som udføres gennem risikomekanismen. Den skal forhindre, at et system til beskyttelse samtidig bliver et redskab til at sælge mere spil.

Den offentliggjorte konsekvensanalyse for databeskyttelse afgrænser også datagrundlaget. Modellen skal bruge oplysninger fra relationen mellem spilleren og udbyderen, ikke hente viden fra sociale medier, ekstern økonomi, arbejdsforhold eller helbred.

Dermed er det ikke et forslag om at bygge en bred personlig profil af spilleren ved at samle oplysninger fra resten af vedkommendes liv.

Spilleren skal kunne forstå og udfordre resultatet

En automatisk vurdering kan få mærkbare følger. Derfor beskriver selve udkastet til afgørelse, hvad udbyderen skal forklare den berørte kunde.

Oplysningen skal blandt andet omfatte perioden bag vurderingen, de vigtigste faktorer og de beskyttelsestiltag, som følger. Et risikotal eller en generel beskrivelse af systemet skal ikke være tilstrækkeligt. Forklaringen skal gøre det muligt at forstå, hvilke dele af kundens aktivitet der især har påvirket resultatet.

Spilleren skal kunne bede selskabet kontrollere oplysningerne og beregningen. Fejl skal rettes, og en uberettiget klassifikation skal ophæves. Derefter skal kunden kunne klage til DGOJ. En anmodning om efterprøvelse eller en klage skal dog ikke automatisk sætte beskyttelsestiltagene på pause.

For danske læsere viser forslaget en konkret europæisk tilgang til et velkendt problem: Hvordan kan en myndighed kræve systematisk kontrol med risikospil og samtidig begrænse brugen af de oplysninger, kontrollen skaber?

Høringsmaterialet beskriver rammerne, men dokumenterer endnu ikke resultater fra en fælles ordning i drift. Fristen 22. oktober er sidste dag for bemærkninger i denne høring, ikke datoen hvor modellen træder i kraft.