Når jeg undersøger casino uden MitID, starter jeg ikke med velkomstbonussen eller de mest populære slots. Jeg laver i stedet en test af selve kontoen, før jeg overhovedet overvejer en indbetaling. Jeg kontrollerer, hvor mange personlige oplysninger registreringen kræver, hvordan data kan ændres, om kontoen kan lukkes igen, og hvilke oplysninger operatøren gemmer. For mig er en registrering på 45 sekunder mindre interessant end spørgsmålet om, hvor meget kontrol jeg har over profilen efter 45 dage.
MitID har gjort dansk digital identifikation relativt ensartet. På internationale platforme kan processen være langt mere forskellig. Nogle bruger e-mail som primær identifikation, andre kombinerer telefonnummer, fødselsdato og adresse. Derfor tæller jeg faktisk antallet af oplysninger, som en registreringsformular kræver.
Forestil dig to casinoer. Det første beder om 5 oplysninger ved oprettelsen. Det andet kræver 11. Forskellen betyder ikke automatisk, at det første beskytter privatlivet bedre. De ekstra oplysninger kan være nødvendige for operatørens kontrol, mens det korte skema blot kan betyde, at informationen indsamles senere.
Jeg undersøger derfor formålet med oplysningerne frem for kun antallet.
Et interessant punkt er dataminimering. Grundprincippet er enkelt: En tjeneste bør ikke indsamle flere personoplysninger end nødvendigt til det konkrete formål. Hvis et casino beder om telefonnummer, vil jeg vide, om nummeret bruges til sikkerhed, kundeservice, markedsføring eller flere ting samtidig.
Det samme gælder e-mail.
En adresse kan bruges til at gendanne adgang til kontoen og sende vigtige oplysninger om transaktioner. Den kan også bruges til markedsføring. De to formål bør efter min vurdering være tydeligt adskilt, så det er muligt at forstå, hvad man accepterer.
Jeg bruger derfor et par minutter på privatlivspolitikken. Jeg læser ikke nødvendigvis hvert juridisk afsnit fra start til slut. Jeg søger efter konkrete ord som "retention", "marketing", "third parties", "deletion" og "personal data".
Det giver ofte et hurtigt billede af, hvordan operatøren arbejder med oplysninger.
Et andet punkt er ændringer af profilen.
Hvis jeg flytter, skifter telefonnummer eller får en ny e-mailadresse, hvordan opdateres kontoen så? Kan jeg selv ændre oplysningerne, eller kræver det kontakt til support og ny dokumentation?
Det virker som en administrativ detalje, men forkerte oplysninger kan senere skabe problemer med KYC.
Hvis casinokontoen står med én adresse, mens et dokument viser en anden, kan operatøren eksempelvis bede om yderligere forklaring. Derfor foretrækker jeg platforme, hvor processen for ændring af persondata er klart beskrevet.
KYC er i øvrigt et vigtigt skel. Casino uden MitID betyder ikke casino uden identitetskontrol. Internationale operatører kan bruge andre procedurer til at verificere identitet, alder og betalingsoplysninger.
Jeg ser især efter, hvornår kontrollen kan forekomme.
Hvis verificering først gennemføres ved en udbetaling, kan en konto fungere problemfrit i flere uger, før dokumenterne bliver nødvendige. Hvis processen derimod kan afsluttes tidligere, ved brugeren allerede, om oplysningerne kan godkendes.
Jeg kontrollerer også, hvilke dokumenter der potentielt kan efterspørges. Et pas eller identitetskort kan bruges til identitet. Et dokument med adresse kan anvendes til adressekontrol. Betalingsoplysninger kan i visse situationer kræve særskilt dokumentation.
Det interessante er ikke at finde en platform, der aldrig kontrollerer noget. Tværtimod kan fravær af enhver seriøs kontrol være et advarselstegn. Jeg vil hellere have klare regler end et løfte om "ingen verificering", som senere viser sig ikke at holde.
Derefter undersøger jeg kontoens historik.
Jeg forventer som minimum at kunne se indbetalinger og udbetalinger. En detaljeret historik er endnu bedre, fordi den gør det muligt at rekonstruere aktiviteten over en længere periode.
Antag, at der foretages 8 indbetalinger på €25 i løbet af en måned. Hver enkelt betaling virker beskeden. Samlet er der imidlertid indbetalt €200.
Hvis kontoen kun fremhæver den seneste transaktion, er det sværere at få dette overblik. Hvis en månedlig historik viser alle otte betalinger på én side, bliver den økonomiske aktivitet langt mere konkret.
Jeg ser derfor transaktionshistorikken som et kontrolværktøj og ikke kun som en kvitteringsmappe.
Det samme gælder spillehistorikken. Hvis det er muligt at se dato, spil og økonomisk resultat, kan brugeren kontrollere sin aktivitet på et mere faktuelt grundlag.
En anden test handler om markedsføring.
Jeg undersøger, om jeg kan slå e-mails og SMS'er fra uden at lukke hele kontoen. Hvis der findes flere kommunikationskanaler, bør præferencerne efter min vurdering kunne styres separat.
Der er stor forskel på en nødvendig sikkerhedsmeddelelse og en bonus-SMS fredag aften.
Muligheden for at styre denne kommunikation fortæller noget om, hvor meget kontrol platformen giver brugeren efter registreringen.
Derefter undersøger jeg den modsatte proces: Hvor nemt er det at forlade casinoet?
Digitale tjenester bruger ofte betydelig energi på at optimere registreringen. En konto kan oprettes på 1 eller 2 minutter. Men kontolukning kan være gemt langt dybere i systemet.
Jeg ser efter almindelig kontolukning, midlertidig pause og selvudelukkelse som tre forskellige funktioner.
En almindelig lukning er administrativ. En pause er et tidsbegrænset stop. Selvudelukkelse er et ansvarligt spilleværktøj og bør behandles derefter.
Hvis registrering kræver 60 sekunder, mens information om selvudelukkelse kræver 10 minutters søgning, er balancen efter min vurdering dårlig.
Jeg undersøger også, hvad der sker med persondata efter en lukning. "Slet konto" betyder ikke nødvendigvis, at alle data straks forsvinder. Licens-, skatte-, svindelbekæmpelses- eller hvidvaskregler kan kræve, at bestemte oplysninger opbevares i en periode. Derfor bør privatlivspolitikken forklare forskellen mellem lukning af adgang og opbevaring af data.
Når login-knappen forsvinder, forsvinder casinoets juridiske forpligtelser ikke nødvendigvis med den. Lovgivning om opbevaring af spillerdata på online casinoer kan kræve, at bestemte oplysninger om identitet, betalinger og kontohistorik bevares, selv om profilen er lukket for brugeren. Derfor er det relevante spørgsmål ikke kun, om kontoen kan lukkes, men også hvilke data der bliver liggende, hvorfor de gemmes, og hvor længe.
Endelig kontrollerer jeg reguleringen. Et internationalt casino uden dansk licens er ikke reguleret af Spillemyndigheden på samme måde som en dansk operatør. Fraværet af MitID betyder heller ikke automatisk noget bestemt om kvaliteten. Det afgørende er, hvilken operatør der står bag, hvilken licens den bruger, og hvilke regler der gælder for data, klager og spillerbeskyttelse.
Jeg kontrollerer derfor licensoplysninger hos den relevante myndighed frem for kun at stole på et logo på casinoets side.
Jeg bruger denne test, fordi en casinokonto er mere end en adgang til spil. Den indeholder persondata, betalingshistorik og oplysninger om aktivitet, som kan eksistere længe efter den første registrering. Derfor vurderer jeg casino uden MitID ud fra hele kontoens levetid: ikke kun hvor hurtigt jeg kan komme ind, men også hvor tydeligt jeg kan kontrollere mine oplysninger, begrænse aktiviteten og til sidst forlade platformen igen.