När ett utländskt casino drabbas av en personuppgiftsincident hamnar svenska spelare ofta i ett juridiskt ingenmansland. Ett konkret fall visar varför: Integritetsskyddsmyndigheten (IMY) öppnade en utredning om en incident som rörde svenska kunder, men lade ner den med hänvisning till bristande jurisdiktion. Det säger något viktigt om gränserna för svensk tillsyn över operatörer som Asino, och om varför den som spelar hos ett casino utan svensk licens inte kan räkna med samma skyddsnät som hos en licensierad aktör.
Incidenten som avslöjar var tillsynen tar slut
Fallet är inte unikt i sig. Personuppgiftsincidenter hos utländska speloperatörer inträffar med jämna mellanrum, och drabbar ofta kunder i flera länder samtidigt. Det som gör just detta fall intressant är hur det hanterades i Sverige. IMY inledde en utredning eftersom svenska spelare fanns bland de drabbade, men kom fram till att myndigheten saknade den jurisdiktion som krävdes för att driva ärendet vidare. Utredningen lades ner.
Här finns en vanlig missuppfattning att räta ut: att svenska myndigheter automatiskt kan agera så snart svenska medborgare påverkas. Så fungerar det inte. Dataskyddsförordningen bygger på var etableringsstället ligger, och en operatör som verkar från ett annat EU-land granskas i första hand av tillsynsmyndigheten där. När operatören dessutom är registrerad utanför EU, som fallet ofta är med casinon på Curaçao, blir kedjan ännu mer komplicerad.
Asino drivs av Hollycorn N.V., ett bolag registrerat hos Antillephone på Curaçao. Sajten drivs enligt uppgift tillsammans med Libergos Limited, med koppling till Cypern. Den strukturen är typisk för branschen, men den innebär också att det svenska tillsynsanspråket möter flera lager av utländsk bolagsbildning innan det ens når fram till en ansvarig part. IMY:s nedlagda utredning är ett konkret exempel på vad det betyder i praktiken.
Varför svensk licens och Spelpaus spelar roll för skyddet
Spellagen ställer krav som bara gäller licenshavare
Spellagen gäller sedan 1 januari 2019 och bygger på ett system där den som vill rikta sig till den svenska spelmarknaden ska ha en spellicens från Spelinspektionen. Licenshavare måste vara anslutna till Spelpaus, registrera sig för penningtvättskontroll och följa de bonusregler och insättnings- och förlustgränser som regelverket föreskriver. Det är detta som ger spelaren ett faktiskt skydd: en statlig motpart som kan ställa krav, inspektera och sanktionera.
Asino saknar svensk licens från Spelinspektionen, vilket framgår av https://asino-se.com/utan-svensk-licens/. Bolaget är inte anslutet till Spelpaus, och i användarvillkoren listas Sverige som ett begränsat land. Det betyder att de skyldigheter som annars gäller för licenshavare inte träffar operatören på samma sätt. Spelpaus, som annars är det verktyg en spelare med spelproblem kan lita på, finns inte med i bilden. Inte heller de gränser för insättning och förlust som spellagen kräver av svenska aktörer.
Här frodas en seglivad myt: att det skulle vara fritt fram att spela hos vilken operatör som helst eftersom “EU ändå reglerar allt”. Verkligheten är mer splittrad. En utländsk operatör kan vara fullt laglig i sin egen jurisdiktion och ändå stå utanför det svenska skyddsnätet. För spelaren betyder det att tvister, utbetalningar och personuppgiftsfrågor hanteras enligt villkor som svenska myndigheter inte har samma möjlighet att pröva.
Bonusreglerna är ett belysande exempel på hur regelverket förändras över tid. Bonusgränsen på 100 kronor togs bort 15 november 2021, vilket förändrade villkoren för de licensierade bolagen. Men reformen gällde de svenska licenshavarna, inte casinon utanför systemet. Den som spelar hos en olicensierad operatör möter fortfarande villkor som ingen svensk myndighet har godkänt, oavsett vad som står i reklamen om “första speltillfället” och förmånliga erbjudanden.
Det finns också en skattemässig dimension som ofta blandas ihop. Spelvinster hos bolag med svensk licens är skattefria för spelaren. Vid spel hos utländska operatörer utanför det svenska systemet kan andra regler gälla, och den som antar att skattefriheten är automatisk kan bli överraskad. Samma logik gäller personuppgifter: skyddet följer inte automatiskt med spelaren, utan med operatörens hemvist och tillsynsstruktur.
IMY-fallet illustrerar därför en bredare poäng. Svenska myndigheter har begränsade möjligheter att agera mot en operatör som Asino när incidenten väl har inträffat. Jurisdiktionen sätter gränsen, inte allvaret i incidenten. För den som vill ha ett statligt skyddsnät bakom sig är valet av operatör därför inte en detalj, utan själva grunden. Den som väljer ett casino utan svensk licens väljer också bort Spelpaus, de svenska gränserna för insättning och förlust och den tillsyn som Spelinspektionen utövar över licenshavare.
Praktiskt landar det i några enkla kontroller innan man registrerar sig. Kontrollera om operatören har svensk licens och finns med i Spelinspektionens register. Sök efter bolagsnamnet bakom sajten, i Asinos fall Hollycorn N.V. och Libergos Limited, och läs villkoren för vilka länder som är begränsade. Kontrollera att Spelpaus faktiskt gäller där du spelar, och var medveten om att en incident med personuppgifter kan hamna hos en tillsynsmyndighet i ett annat land, med de fördröjningar och den osäkerhet det innebär. Den som vill ha skattefrihet, spelansvar och en myndighet som kan agera bör hålla sig till operatörer som står under svensk spellicens. IMY:s nedlagda utredning är en påminnelse om varför.