Podobnie jak w Polsce, w Chorwacji wejście do stacjonarnego kasyna gry wymaga rejestracji i weryfikacji tożsamości gościa (m.in. w celu niedopuszczania do udziału w grach osób nieletnich). Tradycyjnie polega to na okazaniu w recepcji dokumentu tożsamości (dowodu lub paszportu). 

Sieć Admiral, należąca do austriackiego giganta Novomatic, postanowiła usprawnić wstęp do swoich kasyn gry prowadzonych w Chorwacji, by rozładować kolejki, i w tym celu zautomatyzowała proces rejestracji. Wprowadzono specjalne kioski samoobsługowe i bramki biometryczne. Zarejestrowani wcześniej w systemie goście (metodą "tradycyjną"), zamiast czekać w kolejce, mogli po prostu przyłożyć palec (lub specjalny chip RFID), aby system automatycznie otworzył bramkę i wpuścił ich do kasyna (dokonując jednocześnie rejestracji w rejestrze gości). 

W czym, zdaniem chorwackiego organu nadzoru nad ochroną danych, Admiral "przedobrzył"?

Jakkolwiek skanowanie odcisków palca jest na gruncie RODO jest jak najbardziej dopuszczalne (np. na podstawie wyrażonej zgody), to w tym przypadku sposób zaprojektowania procesu rejestracji i interfejsu do wyrażania zgody, okazał się niezgodny z unijnymi przepisami. Jakie, zdaniem chorwackiego urzędu (AZOP), popełniono błędy?

Zbieranie nadmiarowych danych.

Urządzenia skanujące przy rejestracji wymuszały przyłożenie czterech palców (po dwa na każdą dłoń), mimo iż kasyno informowało jedynie o skanowaniu dwóch, co firma tłumaczyła tworzeniem "baz zapasowych", na wypadek gdyby gracz zranił się w palec i nie mógł wejść. AZOP uznał to za naruszenie zasady minimalizacji danych. 

Wadliwie skonstruowany interfejs dotyczący wyrażania zgody na przetwarzanie danych.

Podczas rejestracji na ekranie dotykowym pojawiały się pola do zaznaczenia zgód. Przy czym formularz skonstruowano tak, że np. jedno odznaczenie pola zgody pod tekstem oznaczało jednoczesną ("przymusową") zgodę na weryfikację tożsamości, analizę statystyczną, profilowanie zachowań gracza, działania marketingowe oraz uczestnictwo w programach bonusowych. Zgodnie z RODO, podmiot danych powinien móc decydować o każdym rodzaju przetwarzania (osobna zgoda na wejście, a osobna na marketing czy analizowanie nawyków).

Nieprzejrzystość. 

W regulaminach i na ekranach terminali Admiral połączył obowiązki wynikające z ustawy o grach hazardowych (czyli obowiązkową identyfikację gościa kasyna gry) z dobrowolną biometrią. Przez to gracze mogli odnosić wrażenie, że oddanie odcisków palców i zrobienie zdjęcia twarzy jest wymaganym przepisami warunkiem wejścia do kasyna, a nie opcją. 

Powyższe zakończyło się nałożeniem na Admiral 2,59 mln euro kary.

Zgodnie z art. 9 RODO, zabrania się (m. in.) przetwarzania danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, chyba, że osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach.

Admiral jak się zdaje zapomniał, że nawet wyrażenie zgody na przetwarzanie danych szczególnych kategorii, np. biometrycznych (tu: odcisków palców) nie oznacza wyłączenia stosowania innych przepisów RODO takich jak minimalizacja danych (po co skanowano aż cztery palce?), zasady dobrowolności udzielonej zgody (co oznacza m. in. że nie wolno łączyć zgód na różne operacje przetwarzania), czy zasady przejrzystości.