스페인 도박 규제기관, 위험 도박 행위 탐지 방안에 관한 두 번째 의견 수렴 절차 개시

스페인 도박 규제기관인 도박규제총국(Dirección General de Ordenación del Juego, DGOJ)은 위험 도박 행위를 탐지하기 위한 의무적 공통 방안을 승인하는 결의안 초안에 관해 2026년 10월 13일 두 번째 대국민 의견 수렴 절차를 개시했으며, 의견은 2026년 10월 14일부터 10월 22일까지 접수한다.

절차 개시 합의서는 2026년 10월 9일 미켈 아라나 에체사레타(Mikel Arana Echezarreta) 사무총장이 서명했다. 의견 제출 기간은 2026년 10월 14일부터 10월 22일까지 총 7영업일이며, 합의서와 관련 문서는 2026년 10월 13일부터 10월 22일까지 규제기관 포털에 게시된다. 의견은 게임 규제 부국(Subdirección General de Regulación del Juego)에 [email protected]로 제출해야 하며, 제목에는 위험 행위 탐지 방안에 관한 두 번째 대국민 의견 수렴 절차를 언급해야 한다. 이번 절차의 개시 사실은 1차 의견 수렴 때 의견을 제출한 사업자, 협회, 단체, 기관 및 개인에게 통지된다.

의견 수렴을 위해 결의안 초안의 통합본과 부속서, 갱신된 설명 자료, 개인정보 영향평가서, 그리고 1차 의견 수렴 이후 반영된 변경 사항을 설명하는 자료가 공개됐다. 합의서에 따르면 의견 제출 기간을 단축한 것은 이번 절차가 추가로 진행되는 절차라는 점, 앞서 전체 의견 수렴을 실시한 점, 수신자들이 이미 사업 내용을 알고 있는 점, 변경 사항을 정리한 통합본과 자료를 공개한 점을 고려한 것이다.

개인정보 보호 보고서 이후의 개정 사항

이번 2차 의견 수렴은 스페인 개인정보 보호 감독기관인 스페인 개인정보 보호청(Agencia Española de Protección de Datos)이 2026년 6월 15일 발표한 보고서 015/2026에 따른 것이다. DGOJ는 해당 기관의 의견을 고려해 개인정보 처리의 정당성과 사업자가 이를 이행할 때 적용되는 보호조치를 강화하도록 결의안 초안과 관련 문서를 개정했다고 규제기관의 설명 자료에서 밝혔다.

개정 사항에는 일반개인정보 보호 규정에 따라 작성된 개인정보 영향평가서가 포함된다. 각 사업자는 자체 이행 방식의 세부 내용을 문서화하고, 추가되거나 변경된 처리 작업이 있다면 이를 별도로 평가해야 한다. 사업안은 이제 사업자 플랫폼에서 발생한 활동에 기반한 한정된 데이터 항목만 사용하도록 범위를 정하고, 외부 출처의 데이터와 임상 데이터, 설문지, 개인 간 통신 내용 및 규제 목적에 필요하지 않은 기타 정보는 제외한다. 데이터 범주화의 유일한 목적은 규정에 명시된 안전한 도박 관련 조치를 시행·유지·해제하는 것이다. 데이터, 계산된 변수 또는 범주화 결과를 상업, 판촉, 광고, 세분화, 수익성, 지급능력 또는 상업적 위험 평가 목적으로 사용하는 것은 금지된다. 또한 다른 처리와 기능적·논리적으로 분리하고, 접근은 권한이 있는 직원으로 제한해야 한다.

개정 사항은 범주화된 이용자에게 제공해야 하는 정보를 확대하고, 사업자에게 먼저 재검토 및 오류 정정 절차를 요청한 뒤 DGOJ에 이의를 제기할 수 있도록 했으며, 규제기관이 방안의 효과성, 일관성 및 올바른 적용 여부를 정기적으로 평가하도록 했다. 합의서에 따르면 이번 변경은 방안의 목적이나 핵심 요소를 바꾸지는 않지만 적용 방식과 참여자에게 인정되는 보호조치에 영향을 미친다. 이에 따라 대국민 의견 수렴 절차를 다시 진행하는 것이 적절하다고 판단했으며, 새 절차는 1차 절차에 추가되는 것으로, 주로 새로 반영된 변경 사항에 관한 의견을 받기 위한 것이다.

의무적 공통 방안

결의안 초안은 DGOJ의 감독을 받는 모든 사업자가 의무적으로 사용해야 하는 공통 탐지 방안을 승인하며, 각 사업자의 상품에 포함된 모든 게임 유형에 적용된다. 사업자는 공통 방안을 무효화하거나 대체하거나 변경하지 않는 범위에서 보완 방안과 절차를 유지할 수 있다. 위험군으로 분류된 이용자에게는 안전한 도박 환경을 조성하기 위한 2023년 규정인 국왕령 176/2023(Royal Decree 176/2023)에 따른 보호조치가 적용된다. 여기에는 사업자의 책임 도박 담당팀이 구체적이고 지속적으로 이용자와 소통하는 조치, 판촉 금지, VIP 서비스 이용 제외, 광고 제한, 신용카드를 제외한 기명 결제수단으로의 결제수단 제한이 포함된다. 범주화 결과만으로 다른 결정을 내려서는 안 된다. 추가 보호조치를 도입하려면 객관적이고 사전에 정해져 공개된 기준에 따라 사업자의 조치 프로토콜에 미리 명시해야 한다.

사업자는 분류된 이용자에게 분류일과 평가 대상 활동 기간, 단순한 점수나 기준치가 아니라 분류에 가장 크게 기여한 요인을 명확하고 알기 쉬운 언어로 안내해야 한다. 또한 적용되는 조치와 그 범위 및 기간, 조치를 해제하는 조건, 해당 분류가 규제상 조치이며 임상적 판단이 아니라는 점, 재검토 및 이의 제기 권리도 알려야 한다. 재검토는 두 단계로 진행된다. 먼저 사업자에게 데이터의 정확성, 변수 계산, 규칙 및 조치의 적용에 대해 재검토를 요청할 수 있고, 이후에는 DGOJ에 이의를 제기할 수 있다. 어느 절차도 분류나 관련 조치의 효력을 정지시키지 않는다. DGOJ는 탐지 메커니즘의 작동을 정기적으로 평가하고 변수, 규칙, 매개변수 또는 기준치를 개정하도록 추진할 수 있다. 이 결의안은 Boletín Oficial del Estado(관보)에 게재된 지 2개월 후 발효될 예정이다.

초안의 부속서에 따르면 각 사업자는 매월 첫 7일 이내에 모든 게임 계정을 대상으로 메커니즘을 실행하며, 매월 말일을 종료일로 하는 183일의 기준 기간 동안의 활동을 평가한다. 적용 절차는 4단계로 이뤄진다. 간헐적 이용자는 위험 없음으로 간주되어 제외된다. 해당 기간에 입금 횟수가 2회 미만이거나 활동일이 2일 미만인 이용자, 또는 베팅 횟수가 10회 미만이면서 세션이 5회 미만이거나 포커 토너먼트 또는 복권 기록이 5건 미만인 이용자가 이에 해당한다. 활동일, 활동일당 순손익, 활동일당 베팅 금액, 활동일당 입금액을 다루는 4개 변수(F01, F02, F04, F10)의 선형 공식으로 정해진 직접 위험 규칙을 충족하는 이용자는 자동으로 위험군으로 분류된다. 나머지 이용자의 경우 사업자가 모델 변수를 추출해 DGOJ가 제공한 모델을 실행하며, 예측 확률이 0.3312868 기준치 이상인 이용자는 위험군으로 분류된다.

이 모델은 DGOJ가 사전 학습해 JSON 형식으로 사업자에게 배포한 XGBoost 의사결정 트리 모델이다. F00부터 F47까지 번호가 붙은 변수에는 입금, 출금, 취소된 출금, 베팅 금액, 세션 지속 시간, 상품 구성, 시간대별 이용 패턴, 결제 수단 범주, 지난 4년간의 자기배제, 잔액이 2유로 미만으로 떨어진 뒤 입금한 사례가 포함된다. 위험군으로 분류된 이용자에게는 왕령에 명시된 조치를 최소 6개월간 적용해야 한다. 이후 월별 분석에서 해당 이용자의 게임 패턴에 위험이 없는 것으로 확인되면 분류를 해제하고, 그렇지 않으면 최소 6개월 더 연장한다. 부속서에서는 사업자가 각 분류에 가장 크게 기여한 요인을 파악할 수 있도록 SHAP 설명 가능성 방법론을 제안한다.

규제 당국의 근거 자료

2026년 10월 10일자 첨부 설명서에는 지난 4년간 55개 영업 중 사업자가 전달한 탐지 프로토콜에 대한 DGOJ의 분석이 기록돼 있다. 규제 당국에 따르면 16개 사업자는 계정의 0.1% 미만을 위험군으로 분류하고, 20개 사업자는 0.1~1%, 9개 사업자는 1~2%, 10개 사업자는 2% 초과를 위험군으로 분류한다. 사업자별 비율은 0~13.6%에 이르며, 36개 사업자, 즉 65.45%는 1% 미만을 탐지하고 4% 초과를 탐지하는 사업자는 6곳에 불과하다. DGOJ는 이러한 결과가 이용자가 어느 사업자에서 게임을 하느냐에 따라 이용자에게 제공되는 보호 수준에 심각한 격차가 있음을 보여 준다고 밝혔다.

모델을 구축하기 위해 규제 당국은 회복한 도박 중독자 단체인 FEJAR 및 AZAJER, 그리고 Hospital Universitario de Bellvitge와 협력 협약을 체결했다. 이를 통해 도박 중독 치료를 받은 사람 가운데 내부 관리 시스템에 기록된 온라인 도박 계정을 보유했던 이들의 의료 진단 자료 506건에 접근했다. 익명화 규칙을 적용한 결과, 2021년 1월 1일 이후의 유효 데이터가 있는 394명의 신원을 추출했으며, DGOJ의 유병률 조사에서 추정한 문제성 도박 가능성 11.4%를 적용해 온라인 이용자 데이터베이스에서 무작위로 3,456명의 표본을 선정했다.

설명서에는 검토 후 채택하지 않은 네 가지 대안이 기록돼 있다. 사업자가 탐지 기준을 재량으로 정하는 방안, DGOJ가 전적으로 중앙집중식 모델을 운영하는 방안, 사업자에게 유연성을 허용하는 혼합형 모델, 인공지능 기반 시스템이다. 최종 설계는 기준, 변수, 규칙, 매개변수 및 기준치를 중앙에서 정하되, 메커니즘의 적용은 각 사업자에게 맡긴다.

이 사업은 2025년 8월 28일부터 9월 25일까지 처음으로 공개 의견 수렴을 거쳤다. 규제 당국은 당시 접수된 의견에서 모델의 구조, 변수의 수와 성격, 시행 기간, 독립 평가의 필요성, 가능한 정성적 기준, 중앙집중식 또는 분산식 대안이 다뤄졌다고 밝혔다. 설명서에는 2026년 3월 3일자 사회권·소비자·2030 의제부 데이터 보호 담당관의 보고서, 데이터 보호 당국의 6월 보고서, 그리고 2026년 3월 16일까지 의견 제출 유예 기간을 둔 EU 기술 규정 정보 절차에 따라 유럽연합 집행위원회에 초안을 통보한 사실이 기재돼 있다. 당시 국가 법률서비스의 보고서는 아직 제출되지 않은 상태였다. 또한 계약을 통해 선정된 컨설팅 업체가 메커니즘을 독립적으로 평가하도록 규정한다. 수정 초안에 대한 의견 제출은 2026년 10월 22일에 마감된다.