Usare SPID per accedere a un conto di gioco può rendere più semplice la verifica dell’identità, ma non significa che tutte le informazioni personali siano raccolte o conservate nello stesso modo. Il trattamento dipende dai dati trasmessi durante l’autenticazione, dalle attività svolte sulla piattaforma e dagli obblighi applicabili all’operatore. Anche la presenza di un bonus senza deposito non modifica, di per sé, le regole sulla protezione dei dati.
Quali informazioni possono essere coinvolte
Nel flusso SPID intervengono almeno due soggetti: il gestore dell’identità digitale e il servizio online a cui si accede. In base alla procedura e agli attributi richiesti, al servizio possono essere comunicati dati identificativi come nome, cognome, codice fiscale e data di nascita. Altri elementi, tra cui recapiti o informazioni tecniche sull’accesso, possono essere trattati se necessari e previsti dalla procedura. Il gestore SPID, a sua volta, può registrare dati relativi all’autenticazione secondo le proprie regole e informative.
Una volta creato un conto, l’operatore può trattare ulteriori informazioni: dati di contatto, estremi del conto di gioco, verifiche sull’età e sull’identità, movimenti, richieste di assistenza e preferenze espresse dall’utente. Alcuni dati tecnici, come indirizzo IP, data e ora di accesso o identificativi della sessione, possono essere raccolti per sicurezza, gestione del servizio e prevenzione degli accessi non autorizzati. La categoria e l’estensione dei dati devono essere descritte nell’informativa privacy.
La promozione non determina le regole sulla privacy
La dicitura bonus senza deposito con spid descrive una formula promozionale, non una categoria specifica di trattamento dei dati personali. Per partecipare possono essere necessarie verifiche sull’identità e sul rispetto delle condizioni dell’offerta, ma l’operatore dovrebbe raccogliere soltanto le informazioni pertinenti alle finalità dichiarate. L’eventuale scelta di ricevere comunicazioni commerciali va distinta dalle operazioni necessarie per aprire o gestire il conto: il consenso promozionale, quando richiesto, non dovrebbe essere confuso con l’accettazione delle condizioni essenziali del servizio.
Per ciascuna finalità, l’informativa dovrebbe indicare la base giuridica: ad esempio, l’esecuzione del contratto, un obbligo di legge o, per attività non necessarie, il consenso o un legittimo interesse valutato dal titolare. È utile verificare anche chi sia il titolare del trattamento, quali destinatari possano ricevere i dati e come contattare il responsabile della protezione dei dati, se nominato.
Per quanto tempo vengono conservati
Non esiste un unico periodo valido per ogni dato associato all’accesso SPID o al conto di gioco. I dati usati per autenticare una sessione possono avere tempi diversi da quelli del profilo, delle transazioni o delle verifiche di sicurezza. In linea generale, il GDPR richiede di conservarli per il tempo necessario alle finalità indicate e di fissare criteri comprensibili per stabilirne la cancellazione o l’eventuale anonimizzazione.
La chiusura del conto, quindi, non implica necessariamente la cancellazione immediata di ogni informazione. Determinati documenti contabili o registrazioni possono dover essere conservati per obblighi normativi; nel settore del gioco possono inoltre applicarsi obblighi di identificazione e conservazione connessi alla prevenzione del riciclaggio. Tali scadenze riguardano le categorie di dati previste dalle norme, non automaticamente l’intero profilo dell’utente. Altri dati, non più necessari, dovrebbero essere eliminati o resi non identificabili secondo i tempi dichiarati dall’operatore.
Come leggere l’informativa e tutelare i propri diritti
Prima di registrarsi, conviene controllare le sezioni dedicate a finalità, basi giuridiche, tempi di conservazione e destinatari. Se la durata non è espressa in anni o mesi, l’informativa dovrebbe almeno spiegare i criteri utilizzati. È possibile chiedere al titolare conferma del trattamento, accesso ai dati e informazioni sulla loro conservazione; nei casi previsti si possono inoltre richiedere rettifica, cancellazione o limitazione. Il diritto alla cancellazione non prevale sugli obblighi legali di conservazione, ma l’operatore dovrebbe spiegare quali dati restano archiviati e perché.