Spanias pengespilltilsyn åpner en ny høring om risikodeteksjon

Spanias pengespilltilsyn, Dirección General de Ordenación del Juego (DGOJ) åpnet en ny offentlig høringsrunde 13. oktober 2026 om utkastet til vedtak som godkjenner en obligatorisk, felles mekanisme for å oppdage risikofylt pengespillatferd. Det tas imot innspill fra 14. til 22. oktober 2026.

Avtalen om å åpne prosessen ble undertegnet 9. oktober 2026 av generaldirektør Mikel Arana Echezarreta. Den fastsetter en frist på sju virkedager for innspill, fra og med 14. til og med 22. oktober 2026, og bestemmer at avtalen og saksdokumentene skal være publisert på tilsynets portal fra 13. til 22. oktober 2026. Innspill må sendes til Subdirección General de Regulación del Juego på e-post til [email protected], med en emnelinje som viser til den andre offentlige høringsrunden om mekanismen for å oppdage risikofylt atferd. Åpningen av prosessen vil bli kunngjort for operatørene, foreningene, organisasjonene, enhetene og enkeltpersonene som leverte innspill i første runde.

Følgende dokumenter er lagt ut til høring: den konsoliderte teksten til utkastet til vedtak med vedlegg, et oppdatert tilhørende notat, en vurdering av personvernkonsekvenser og et forklarende notat om endringene som er gjort siden den første høringen. I avtalen begrunnes den forkortede fristen med at prosessen er et supplement, at det allerede har vært en fullstendig høring, at mottakerne kjenner prosjektet fra før, og at en konsolidert tekst og et notat som beskriver endringene, er publisert.

Endringer etter personvernrapporten

Den andre høringsrunden følger rapport 015/2026, som ble utstedt 15. juni 2026 av Agencia Española de Protección de Datos, Spanias personvernmyndighet. På bakgrunn av merknadene reviderte DGOJ utkastet og den tilhørende dokumentasjonen for å styrke begrunnelsen for behandlingen av personopplysninger og garantiene som gjelder når operatørene gjennomfører den, ifølge tilsynets forklarende notat.

Endringene omfatter en vurdering av personvernkonsekvenser utarbeidet i samsvar med personvernforordningen. Hver operatør må dokumentere detaljene ved sin egen gjennomføring og foreta en separat vurdering av eventuelle ytterligere eller endrede behandlingsaktiviteter. Prosjektet avgrenser nå et uttømmende sett med opplysninger som stammer fra aktivitet på operatørens plattform, og utelukker eksterne kilder, kliniske data, spørreskjemaer, personlig kommunikasjon og annen informasjon som ikke er nødvendig for det regulatoriske formålet. Kategoriseringen skal utelukkende brukes til å aktivere, opprettholde og oppheve tiltakene for tryggere pengespill som er fastsatt i regelverket. Det er forbudt å bruke opplysningene, de beregnede variablene eller kategoriseringen til kommersielle formål, markedsføring, reklame, segmentering, lønnsomhetsvurderinger, solvensvurderinger eller vurderinger av kommersiell risiko. Behandlingen skal være funksjonelt og logisk atskilt fra annen behandling, og tilgangen skal begrenses til autorisert personell.

Endringene utvider også informasjonen som skal gis til kategoriserte spillere, innfører en prosedyre for gjennomgang og retting av feil hos operatøren, etterfulgt av klage til DGOJ, og legger til en periodisk evaluering fra tilsynet av mekanismens effektivitet, ensartethet og korrekte anvendelse. I avtalen står det at endringene ikke påvirker mekanismens formål eller grunnleggende elementer, men gjelder sider ved anvendelsen og garantiene som deltakerne har krav på. Derfor ble det ansett som riktig å sende mekanismen ut på ny offentlig høring. Den nye prosessen kommer i tillegg til den første og er først og fremst rettet mot innspill til endringene som er innarbeidet.

Den obligatoriske, felles mekanismen

Utkastet til vedtak godkjenner en felles deteksjonsmekanisme som er obligatorisk for alle operatører underlagt DGOJs tilsyn, og som skal brukes på alle typer pengespill de tilbyr. Operatørene kan beholde supplerende mekanismer og protokoller, forutsatt at disse ikke setter den felles mekanismen til side, erstatter den eller endrer den. Spillere som kategoriseres som utsatt for risiko, blir omfattet av beskyttelsestiltakene i kongelig dekret 176/2023, regelverket fra 2023 som skal legge til rette for tryggere pengespillmiljøer: konkret og løpende oppfølging fra operatørens team for ansvarlig pengespill, forbud mot kampanjer, utestengelse fra VIP-tjenester, begrensninger på reklame og en begrensning av betalingsmåtene til betalingsinstrumenter registrert i spillerens navn, med kredittkort unntatt. Kategoriseringen kan ikke i seg selv brukes til å treffe andre beslutninger. Eventuelle ytterligere beskyttelsestiltak må være fastsatt på forhånd i operatørens handlingsprotokoll, basert på objektive, forhåndsbestemte og offentlig kjente kriterier.

Operatørene må informere kategoriserte spillere om datoen for kategoriseringen og aktivitetsperioden som er lagt til grunn, faktorene som i størst grad bidro til klassifiseringen, forklart i et klart og enkelt språk i stedet for bare å oppgi en poengsum eller terskel, hvilke tiltak som gjelder, og omfanget og varigheten av dem, vilkårene for å oppheve dem, at kategoriseringen er regulatorisk og ikke-klinisk, samt retten til å be om en ny vurdering og klage. Vurderingen foregår på to nivåer: først hos operatøren, der nøyaktigheten av dataene, beregningen av variablene og anvendelsen av reglene og tiltakene gjennomgås, og deretter gjennom en klage til DGOJ. Ingen av delene fører til at kategoriseringen eller tiltakene settes på pause. DGOJ vil jevnlig evaluere hvordan mekanismen fungerer, og kan foreslå oppdateringer av variablene, reglene, parameterne eller tersklene. Vedtaket vil tre i kraft to måneder etter at det er publisert i Boletín Oficial del Estado, den offisielle statstidende.

I henhold til vedleggene til utkastet skal hver operatør bruke mekanismen hver måned, i løpet av de første sju kalenderdagene, på alle spillkontoer. Aktiviteten vurderes over en referanseperiode på 183 dager som slutter den siste kalenderdagen i måneden. Bruken av mekanismen består av fire faser. Sporadiske spillere er unntatt og regnes som spillere uten risiko: Det gjelder spillere med færre enn to innskudd, færre enn to aktivitetsdager eller færre enn ti spill kombinert med færre enn fem økter, pokerturneringer eller lotteriregistreringer i perioden. Spillere som oppfyller en fastsatt regel for direkte risiko – en lineær formel basert på fire variabler (F01, F02, F04 og F10) som omfatter aktivitetsdager, nettoresultat per aktive dag, innsatsbeløp per aktive dag og innskudd per aktive dag – flagges automatisk. For de øvrige spillerne henter operatøren ut modellvariablene og kjører modellen fra DGOJ. Spillere som får en beregnet sannsynlighet på minst 0.3312868, kategoriseres som spillere i risikosonen.

Modellen er en XGBoost-modell basert på beslutningstrær, forhåndstrent av DGOJ og distribuert til operatørene i JSON-format. Variablene, nummerert fra F00 til F47, omfatter innskudd, uttak, kansellerte uttak, innsatsbeløp, øktvarighet, produktmiks, mønstre knyttet til tidspunkt på dagen, betalingsmetodekategorier, selvutestengelser i løpet av de siste fire årene og tilfeller der en saldo faller under to euro før et innskudd gjøres. Spillere som flagges, må omfattes av tiltakene i kongelig dekret i minst seks måneder. Kategoriseringen oppheves dersom en senere månedlig kjøring av mekanismen ikke finner risiko i spillmønsteret deres; hvis ikke forlenges den med minst seks måneder til. Vedleggene foreslår SHAP-metodikken for forklarbarhet, slik at operatørene kan identifisere faktorene som bidro mest til hver klassifisering.

Regulatorens kunnskapsgrunnlag

Et tilhørende notat datert 10. oktober 2026 redegjør for DGOJs analyse av deteksjonsprotokollene som 55 aktive operatører har meldt inn i løpet av de siste fire årene. Ifølge tilsynsmyndigheten flagger 16 operatører under 0,1 % av kontoene som risikoutsatte, 20 flagger mellom 0,1 % og 1 %, ni flagger mellom 1 % og 2 %, og 10 flagger over 2 %. Andelen varierer fra 0 % til 13,6 % per operatør. 36 operatører, eller 65,45 %, oppdager under 1 %, og bare seks oppdager over 4 %. DGOJ uttalte at resultatene viser alvorlige forskjeller i beskyttelsesnivået brukerne får, avhengig av hvilken operatør de spiller hos.

For å utvikle modellen inngikk tilsynsmyndigheten samarbeidsavtaler med FEJAR og AZAJER, to foreninger for personer som er rehabilitert etter spilleavhengighet, og Hospital Universitario de Bellvitge. Dette ga tilgang til 506 medisinske diagnoser av personer som hadde fått behandling for spilleavhengighet, og som hadde hatt nettkontoer for pengespill registrert i det interne kontrollsystemet. Regler for anonymisering reduserte dette materialet til 394 identiteter med gyldige data fra 1. januar 2021. Det ble trukket et tilfeldig utvalg på 3 456 identiteter fra databasen over nettspillere, basert på DGOJs prevalensstudie, som anslo at 11,4 % kunne ha spilleproblemer.

Notatet beskriver fire alternativer som ble vurdert og forkastet: å la operatørene selv bestemme kriteriene for deteksjon, en fullstendig sentralisert modell drevet av DGOJ, en blandet modell som gir operatørene fleksibilitet, og systemer basert på kunstig intelligens. Den valgte løsningen sentraliserer kriteriene, variablene, reglene, parameterne og tersklene, mens hver operatør fortsatt står for å bruke mekanismen.

Prosjektet ble først sendt på offentlig høring fra 28. august til 25. september 2025. Tilsynsmyndigheten opplyste at innspillene fra denne runden omhandlet modellens oppbygning, antallet og arten av variablene, implementeringsperioden, hvor hensiktsmessig en uavhengig evaluering ville være, mulige kvalitative kriterier og sentraliserte eller desentraliserte alternativer. Notatet viser til en rapport fra personvernombudet i departementet for sosiale rettigheter, forbrukersaker og Agenda 2030, datert 3. mars 2026, personvernmyndighetens rapport fra juni og melding om utkastet til EU-kommisjonen i henhold til EUs informasjonsprosedyre for tekniske forskrifter, med en stillstandsperiode fram til 16. mars 2026. Rapporten fra statens juridiske tjeneste var fortsatt under behandling. Det legges også opp til en uavhengig evaluering av mekanismen gjennom en innleid konsulenttjeneste. Fristen for innspill til det reviderte utkastet er 22. oktober 2026.