Spaniens spelmyndighet inleder ett andra samråd om riskidentifiering

Spaniens spelmyndighet, Dirección General de Ordenación del Juego (DGOJ) inledde ett andra offentligt samråd den 13 oktober 2026 om sitt utkast till beslut om att godkänna en obligatorisk gemensam mekanism för att upptäcka riskbeteenden vid spel om pengar. Synpunkter kunde lämnas från den 14 till den 22 oktober 2026.

Överenskommelsen om att inleda processen undertecknades den 9 oktober 2026 av generaldirektör Mikel Arana Echezarreta. Den fastställer en tidsfrist på sju arbetsdagar för synpunkter, från den 14 till och med den 22 oktober 2026, och föreskriver att överenskommelsen och ärendehandlingarna ska finnas publicerade på tillsynsmyndighetens portal mellan den 13 och den 22 oktober 2026. Synpunkter ska skickas till Subdirección General de Regulación del Juego via e-post till [email protected], med en ämnesrad som hänvisar till det andra offentliga samrådet om mekanismen för att upptäcka riskbeteenden. Inledandet kommer att meddelas de operatörer, föreningar, organisationer, enheter och enskilda personer som lämnade synpunkter under den första omgången.

Följande handlingar publiceras för synpunkter: den konsoliderade texten till utkastet till beslut med bilagor, ett uppdaterat åtföljande PM, konsekvensbedömningen avseende dataskydd och en förklarande not om de ändringar som införts sedan det första samrådet. I överenskommelsen motiveras den kortare tidsfristen med att processen är ett komplement, att ett fullständigt samråd redan har genomförts, att mottagarna redan känner till projektet samt att en konsoliderad text och en not med de identifierade ändringarna har publicerats.

Ändringar efter dataskyddsrapporten

Den andra omgången följer på rapport 015/2026, som utfärdades den 15 juni 2026 av Agencia Española de Protección de Datos, Spaniens dataskyddsmyndighet. Mot bakgrund av myndighetens synpunkter reviderade DGOJ utkastet och den tillhörande dokumentationen för att stärka motiveringen av personuppgiftsbehandlingen och de skyddsåtgärder som gäller när operatörerna genomför den, enligt tillsynsmyndighetens förklarande not.

Ändringarna omfattar en konsekvensbedömning avseende dataskydd som har utarbetats i enlighet med dataskyddsförordningen. Varje operatör måste dokumentera detaljerna i sin egen implementering och separat bedöma eventuell ytterligare eller ändrad behandling. Projektet avgränsar nu en sluten mängd uppgifter som hämtas från aktiviteten på operatörens plattform och utesluter externa källor, kliniska uppgifter, frågeformulär, personlig kommunikation och annan information som inte är nödvändig för det regleringsmässiga ändamålet. Kategoriseringens enda syfte är att aktivera, upprätthålla och upphäva de åtgärder för ansvarsfullt spelande som föreskrivs i reglerna. Det är förbjudet att använda uppgifterna, de beräknade variablerna eller kategoriseringen för kommersiella ändamål, marknadsföring, reklam, segmentering, lönsamhetsbedömningar, solvensbedömningar eller kommersiella riskbedömningar. Behandlingen ska vara funktionellt och logiskt åtskild från annan behandling, och åtkomsten ska begränsas till behörig personal.

Ändringarna utökar också den information som ska lämnas till kategoriserade spelare, inför ett förfarande för granskning och rättelse av fel hos operatören följt av möjligheten att lämna klagomål till DGOJ samt lägger till en regelbunden utvärdering från tillsynsmyndigheten av mekanismens effektivitet, enhetlighet och korrekta tillämpning. I överenskommelsen anges att ändringarna inte påverkar mekanismens syfte eller grundläggande delar, men däremot vissa aspekter av tillämpningen och de garantier som deltagarna tillerkänns. Därför ansågs det lämpligt att på nytt lägga fram förslaget för offentligt samråd. Den nya processen kompletterar den första och är främst inriktad på synpunkter om de införda ändringarna.

Den obligatoriska gemensamma mekanismen

Utkastet till beslut godkänner en gemensam detektionsmekanism som är obligatorisk för alla operatörer som står under DGOJ:s tillsyn och som ska tillämpas på alla spelformer i deras utbud. Operatörerna får behålla kompletterande mekanismer och protokoll, förutsatt att dessa inte åsidosätter, ersätter eller ändrar den gemensamma mekanismen. Spelare som kategoriseras som riskutsatta omfattas av skyddsåtgärderna i kungligt dekret 176/2023, 2023 års förordning om säkrare spelmiljöer: särskild och fortlöpande kontakt från operatörens team för ansvarsfullt spelande, förbud mot kampanjer, utestängning från VIP-tjänster, reklamrestriktioner samt begränsning av betalningsmetoder till personligt registrerade betalningsmedel, med undantag för kreditkort. Kategoriseringen får inte i sig användas för att fatta andra beslut, och eventuella ytterligare skyddsåtgärder måste i förväg anges i operatörens åtgärdsprotokoll och bygga på objektiva, på förhand fastställda och offentligt kända kriterier.

Operatörerna måste informera klassificerade spelare om datumet för klassificeringen och vilken aktivitetsperiod som har beaktats, vilka faktorer som främst bidrog till klassificeringen, uttryckt på ett tydligt och enkelt språk i stället för enbart som en poäng eller tröskel, vilka åtgärder som gäller och deras omfattning och varaktighet, villkoren för att åtgärderna ska upphöra, att klassificeringen är av regleringsmässig och icke-klinisk karaktär samt om deras rätt att begära omprövning och lämna in klagomål. Omprövningen sker i två steg: först hos operatören, där uppgifternas korrekthet, beräkningen av variablerna och tillämpningen av reglerna och åtgärderna granskas, och därefter genom ett klagomål till DGOJ. Inget av stegen innebär att klassificeringen eller åtgärderna skjuts upp. DGOJ kommer regelbundet att utvärdera hur mekanismen fungerar och kan föreslå uppdateringar av dess variabler, regler, parametrar eller tröskelvärden. Beslutet skulle träda i kraft två månader efter publiceringen i Boletín Oficial del Estado, Spaniens officiella statstidning.

Enligt förslagets bilagor ska varje operatör tillämpa mekanismen varje månad, under månadens första sju kalenderdagar, på samtliga spelkonton. Aktiviteten bedöms över en referensperiod på 183 dagar som löper ut den sista kalenderdagen i månaden. Tillämpningen sker i fyra faser. Sporadiska spelare undantas och behandlas som om de inte utgör någon risk: det gäller spelare med färre än två insättningar, färre än två aktivitetsdagar eller färre än tio vad i kombination med färre än fem spelsessioner, pokerturneringar eller lotteriregistreringar under perioden. Spelare som uppfyller en angiven regel för direkt risk, en linjär formel baserad på fyra variabler (F01, F02, F04 och F10) som omfattar aktivitetsdagar, nettoresultat per aktiv dag, satsade belopp per aktiv dag och insättningar per aktiv dag, markeras automatiskt. För övriga spelare hämtar operatören modellvariablerna och kör den modell som DGOJ tillhandahåller. Spelare vars beräknade sannolikhet når upp till eller överstiger tröskelvärdet 0,3312868 klassificeras som spelare i riskzonen.

Modellen är en XGBoost-modell med beslutsträd, förtränad av DGOJ och distribuerad till operatörerna i JSON-format. Variablerna, numrerade F00 till F47, omfattar insättningar, uttag, avbrutna uttag, satsade belopp, spelsessionernas längd, produktmix, mönster för tid på dygnet, kategorier av betalningsmetoder, självavstängningar under de senaste fyra åren samt tillfällen då saldot sjunkit under två euro och följts av en insättning. Spelare som flaggats måste omfattas av de åtgärder som föreskrivs i kungligt dekret under minst sex månader. Klassificeringen upphävs om en senare månatlig tillämpning inte upptäcker någon risk i spelarens spelmönster; annars förlängs den med minst ytterligare sex månader. I bilagorna föreslås SHAP-metoden för förklarbarhet, så att operatörerna kan identifiera vilka faktorer som främst bidrog till varje klassificering.

Regulatorns faktaunderlag

I ett medföljande PM daterat den 10 oktober 2026 redogörs för DGOJ:s analys av de upptäcktsprotokoll som 55 aktiva operatörer har lämnat in under de senaste fyra åren. Enligt tillsynsmyndigheten markerar 16 operatörer färre än 0,1 % av kontona som konton i riskzonen, 20 markerar mellan 0,1 % och 1 %, nio mellan 1 % och 2 % och 10 över 2 %. Andelen varierar mellan 0 % och 13,6 % per operatör. 36 operatörer, eller 65,45 %, upptäcker färre än 1 % och endast sex upptäcker fler än 4 %. DGOJ uppgav att resultaten visar på stora skillnader i den skyddsnivå som användarna erbjuds, beroende på vilken operatör de spelar hos.

För att ta fram modellen ingick tillsynsmyndigheten samarbetsavtal med FEJAR och AZAJER, två föreningar för personer som återhämtat sig från spelberoende, samt Hospital Universitario de Bellvitge. Genom detta fick myndigheten tillgång till 506 medicinska diagnoser av personer som behandlats för spelberoende och som hade haft onlinekonton för hasardspel registrerade i myndighetens interna kontrollsystem. Anonymiseringsreglerna minskade gruppen till 394 identiteter med giltiga uppgifter från den 1 januari 2021. Därefter drogs ett slumpmässigt urval på 3 456 identiteter från databasen över onlinespelare, baserat på DGOJ:s prevalensstudies uppskattning att 11,4 % kan ha spelproblem.

I promemorian redovisas fyra alternativ som övervägdes men avvisades: att låta operatörerna själva bestämma kriterierna för upptäckt, en helt centraliserad modell som drivs av DGOJ, en blandmodell med utrymme för flexibilitet hos operatörerna samt system baserade på artificiell intelligens. Den valda utformningen centraliserar kriterierna, variablerna, reglerna, parametrarna och tröskelvärdena, medan varje operatör ansvarar för att tillämpa mekanismen.

Projektet gick först ut på offentligt samråd från den 28 augusti till den 25 september 2025. Tillsynsmyndigheten uppgav att synpunkterna från den samrådsomgången gällde modellens uppbyggnad, variablernas antal och karaktär, genomförandeperioden, lämpligheten av en oberoende utvärdering, möjliga kvalitativa kriterier samt alternativen att centralisera eller decentralisera modellen. I promemorian förtecknas en rapport från dataskyddsombudet vid ministeriet för sociala rättigheter, konsumentfrågor och Agenda 2030, daterad den 3 mars 2026, dataskyddsmyndighetens rapport från juni samt anmälan av förslaget till Europeiska kommissionen enligt EU:s informationsförfarande för tekniska föreskrifter. En frysningsperiod inom förfarandet löpte till den 16 mars 2026, medan rapporten från statens rättstjänst fortfarande inväntades. Promemorian innehåller också planer på en oberoende utvärdering av mekanismen genom en upphandlad konsulttjänst. Synpunkter på det reviderade förslaget kan lämnas till och med den 22 oktober 2026.