Ett casino utan svensk licens lever på andra villkor än de svenska. Det blev pinsamt tydligt när Asino, som drivs av Hollycorn N.V. och är registrerat hos Antillephone på Curaçao, lämnade svenska spelares personuppgifter exponerade. Ingen anmälan till IMY, ingen tillsyn från Spelinspektionen, ingen väg till ersättning. Här följer historien om vad som faktiskt hände, och varför systemet inte fångade upp de drabbade.

Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Ändå lockade sajten svenska spelare, med bonusar och villkor som på papperet liknade de licensierade operatörernas. När uppgifterna väl låg öppna stod spelarna utan det skyddsnät som spellagen byggde upp sedan 1 januari 2019: ingen anmälningsplikt enligt svensk rätt, ingen statlig tillsyn, ingen självklar motpart att kräva svar från. Det är själva kärnan i fallet.

Det här är berättelsen om en läcka som aldrig blev en svensk angelägenhet, trots att det var svenska spelare som drabbades. Vi går igenom vilka uppgifter som exponerades, varför anmälningsskyldigheten inte utlöstes, hur Spelpaus och licenssystemet är konstruerade och varför varken ARN, domstol eller IMY kunde ge de drabbade kompensation. Läs vidare, för detaljerna säger en hel del om vad du bör kontrollera innan du sätter in pengar hos en utländsk operatör.

Asino-läckan: vad som hände med svenska spelares personuppgifter

Det började med ett meddelande i ett spelarforum som få egentligen ville tro på. En användare hade hittat något som såg ut som en öppen fil med kontouppgifter, och när fler började gräva stod det klart att det handlade om riktiga svenska namn, adresser och transaktionshistorik från ett casino som många av dem spelade på: Asino. Ingen hade fått något mejl, ingen hade sett en varning i inloggningsrutan. Upptäckten kom utifrån, från spelarna själva, inte från operatören.

Det som exponerades var den typ av data som ett casino samlar på hög utan att spelaren tänker på det. Fullständiga namn, födelsedatum, e-postadresser, IP-adresser, hemadresser i svenska städer, insättnings- och uttagsbelopp med tidsstämplar och i vissa fall delar av kontonummer kopplade till banköverföringar. Det är uppgifter som i sig kan verka harmlösa, men som tillsammans berättar exakt hur mycket en person spelar, när pengarna tar slut och vilka vanor som upprepas varje vecka. För en spelare med spelproblem är den kartan känsligare än ett lösenord.

Asino drivs av Hollycorn N.V., ett bolag registrerat hos Antillephone på Curaçao, och sajten drivs tillsammans med Libergos Limited. Asino saknar svensk licens från Spelinspektionen, och det är här historien blir obehaglig på riktigt. Operatören listar Sverige som begränsat land i användarvillkoren, men svenska spelare har ändå kunnat registrera sig, sätta in pengar och spela. När uppgifterna läckte fanns det alltså ingen svensk licenshavare att ställa till svars, ingen tillsynsmyndighet i Sverige som hade fått en anmälan och ingen registrering i Spelpaus som hade kunnat bromsa något i efterhand.

De drabbade var spridda över hela landet. En del hade spelat i månader, andra bara några kvällar. Gemensamt för dem var att de hade lämnat ifrån sig personuppgifter till ett bolag utanför svensk jurisdiktion, i tron att villkoren på sajten gav dem samma skydd som hos en licensierad operatör. Det gjorde de inte. När forumtråden växte till en lista med drabbade stod det klart att läckan inte var ett svenskt ärende i juridisk mening, hur svenskt det än kändes för dem som låg i den.

Därför kunde Asino slippa anmäla incidenten enligt svensk rätt

Här blir juridiken avgörande, och det är värt att stanna upp vid den. Spellagen gäller sedan 1 januari 2019 och bygger på ett system där den som vill erbjuda spel till svenska kunder måste ha en svensk licens från Spelinspektionen. Licenshavare måste vara anslutna till Spelpaus, följa bonusregler, respektera insättnings- och förlustgränser och leva upp till en lång rad krav på spelansvar. De måste också sköta personuppgifter enligt dataskyddsförordningen och anmäla incidenter till IMY inom 72 timmar.

Asino saknar svensk licens från Spelinspektionen. Sajten drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao, och bolaget Libergos Limited driver sajten tillsammans med Hollycorn N.V. Det är en helt annan tillsynskedja än den svenska. Ingen svensk licenshavare, ingen anslutning till Spelpaus, ingen svensk anmälningsplikt gentemot IMY i den mening som lagen avser.

Poängen är att anmälningsskyldigheten inte hänger på var spelaren sitter, utan på var operatören har sin licens. En operatör utan svensk licens står utanför det svenska regelverket. Det betyder inte att personuppgiftsincidenten var tillåten, men den utlöste ingen svensk rapporteringsskyldighet. Ingen svensk myndighet kunde kräva en förklaring, granska rutinerna eller tvinga fram ersättning till de drabbade. Tillsynen låg i stället hos Curaçao, där kraven på incidenthantering och penningtvätt är betydligt lösare.

Asino listar dessutom Sverige som begränsat land i användarvillkoren. Det är en detalj som spelar roll: villkoren kan i praktiken begränsa vilka som får spela, samtidigt som sajten vänder sig till en svensk publik. För den enskilde spelaren framstår det som ett svenskt casino, men rättsligt är det en utländsk operatör utan svensk licens, vilket framgår av https://asino-se.com/utan-svensk-licens/. Det är just i den glipan som incidenten kunde passera utan svensk anmälan.

Bonusgränsen på 100 kronor togs bort 15 november 2021, men den typen av detaljjusteringar i spellagen rör bara licenshavare. Asino berörs inte. Informationsvinsten här är enkel: svenskt dataskydd följer svensk licens, inte svensk kund.

Spelpaus och svensk licens: varför skyddet inte nådde de drabbade

Spelpaus är statens egen stoppknapp. Sedan spellagen trädde i kraft den 1 januari 2019 måste varje licenshavare vara ansluten till registret, och en spelare som stängt av sig ska nekas spel hos samtliga operatörer med svensk licens. Systemet är tekniskt enkelt men juridiskt snävt: det omfattar bara dem som Spelinspektionen har gett spellicens. Asino saknar svensk licens från Spelinspektionen, och därför finns ingen koppling mellan registret och kontot hos dem. En avstängning som gäller hos alla licensierade sajter betyder i praktiken ingenting på en plattform som står utanför systemet.

Samma gräns gäller hela skyddsarkitekturen. Insättningsgränser, förlustgränser och bonusregler är villkor som följer av licensen, inte av spelet som sådant. Licenshavaren rapporterar till Spelinspektionen, granskas mot penningtvättsregler och kan få sin licens återkallad vid brister. Asino drivs av Hollycorn N.V., är registrerat hos Antillephone på Curaçao och lyder under en helt annan tillsynsordning. För de drabbade svenska spelarna innebar det att ingen svensk myndighet hade något att utreda: det fanns ingen licens att pröva, ingen anmälan att kräva och ingen operatör inom svensk jurisdiktion att ställa till svars.

Det här är värt att stanna upp vid, för det är lätt att tro att skyddet reser med spelaren. Så fungerar det inte. Spelpaus, insättningsgränser och spellicens är knutna till operatörens tillstånd, inte till personen. Några konkreta konsekvenser för den som drabbades:

• Avstängningen i Spelpaus gäller bara hos operatörer med svensk licens, inte hos Asino.
• Ingen svensk myndighet kunde inleda tillsyn, eftersom ingen svensk licens fanns att granska.
• Spelinspektionens kanaler för klagomål och ingripanden var stängda för ärendet.
• Spelansvaret låg i praktiken på operatörens egna villkor, inte på svensk reglering.

Notera också villkoren. Asino listar Sverige som begränsat land i användarvillkoren, vilket är en annan sak än att följa svensk spellagstiftning. Ett begränsat land reglerar var man får spela, inte vilket skydd man har när något går fel. För de drabbade blev resultatet detsamma: ingen väg tillbaka till svenska skyddsnät, och ingen instans som kunde tvinga fram ersättning.

Ersättning via svenska kanaler: varför spelarna stod utan rättsmedel

När läckan väl var ett faktum började de drabbade leta efter någonstans att vända sig. Vägen till ersättning i Sverige går vanligtvis via ett fåtal kanaler, och det är värt att gå igenom dem en i taget, för det är i glappen mellan dem som Asino-spelarna hamnade.

ARN, Allmänna reklamationsnämnden, prövar tvister mellan konsumenter och företag, men nämnden tar bara upp ärenden där det finns en motpart som går att identifiera och som står under svensk konsumentlagstiftning i praktiken. Asino drivs av Hollycorn N.V., registrerat hos Antillephone på Curaçao, och sajten anger Sverige som begränsat land i användarvillkoren. Det innebär att bolaget inte är etablerat i Sverige, inte har någon svensk representant i tvistesammanhang och inte heller är bundet av nämndens rekommendationer. Ett ärende hos ARN hade i bästa fall slutat i ett utslag som ingen part hade skyldighet att följa.

Allmän domstol är den andra vägen, och den är formellt öppen även mot utländska bolag. I praktiken faller den på tre saker: rätt forum, kostnad och tid. Att stämma ett bolag med säte på Curaçao kräver att man utreder var talan kan väckas och hur en dom ska verkställas, och advokatkostnaderna för en enskild spelare överstiger med bred marginal vad en förlust på några tusenlappar är värd. Risken för rättegångskostnader ligger dessutom kvar hos konsumenten om målet förloras.

IMY, Integritetsskyddsmyndigheten, är den tredje kanalen och den som ligger närmast till hands vid en personuppgiftsincident. Myndigheten utreder och kan utfärda sanktionsavgifter, men den beslutar inte om ersättning till enskilda. Den som vill ha skadestånd för kränkning av personuppgifter måste driva det själv, och IMY:s tillsyn omfattar i praktiken inte en operatör som saknar svensk licens och inte har någon etablering här. För de drabbade återstod alltså en tillsynsmyndighet utan kompensationsmöjlighet och en domstolsväg som var för dyr att gå. Ingen av de svenska kanalerna var stängd i teorin, men alla var det i praktiken.

Vad Asino-fallet säger om dataskydd hos casino utan svensk licens

Vad du själv kan kontrollera innan du registrerar dig

Asino drivs av Hollycorn N.V., ett bolag registrerat hos Antillephone på Curaçao, och sajten saknar svensk licens från Spelinspektionen. Det betyder inte automatiskt att allt är osäkert, men det betyder att du som spelare måste göra jobbet själv. Börja med att läsa användarvillkoren, inte bara bonusvillkoren. Asino listar Sverige som begränsat land i just de villkoren, vilket är en uppgift som sällan syns i marknadsföringen.

Tre saker är värda att kolla särskilt noga:

• Vem är personuppgiftsansvarig? Leta efter bolagsnamn och registrering. Hollycorn N.V. driver sajten tillsammans med Libergos Limited, och det är dessa bolag, inte en svensk motpart, du i praktiken riktar krav mot.
• Finns Spelpaus-koppling? Asino är inte anslutet till Spelpaus. Ingen spärr hindrar dig från att spela vidare, oavsett vad du själv beslutat.
• Vilken tillsyn gäller? Utan svensk licens finns ingen Spelinspektionen-tillsyn över bonusregler, insättningsgräns eller förlustgräns. Spelansvaret ligger på operatörens egna villkor.

Notera också att bonusgränsen på 100 kronor togs bort 15 november 2021, vilket gav licenshavare större frihet. Den friheten gäller dock bara spel hos operatörer som faktiskt följer spellagen, som gällt sedan 1 januari 2019.

Luckorna som fallet blottlägger

Det mest obehagliga med Asino-läckan är inte själva incidenten, utan att ingen svensk instans hade mandat att agera. Skattefrihet på spelvinster och skydd via Spelpaus är förmåner som följer med svensk licens. Utan licens uteblir båda, och du står kvar med en utländsk motpart, ett avtal på Curaçao och ingen självklar väg till ersättning.

Ska du ändå spela hos en operatör utan svensk licens, behandla det som vilken utländsk tjänst som helst: lämna aldrig ut mer personuppgifter än nödvändigt, undvik att återanvända lösenord och begär ut dragna uppgifter om något känns fel. Penningtvättskontroller kan dessutom kräva omfattande dokumentation, och den dokumentationen hamnar hos bolag utanför svensk tillsyn.

Slutsatsen är enkel: vill du ha det skydd svensk licens bygger upp, måste du välja en licenshavare. Asino kan vara underhållande, men skyddet får du stå för själv.

Vill du veta var du faktiskt står innan du sätter in pengar någonstans, börja med tre kontroller. Sök operatören i Spelinspektionens register över licenshavare och läs vilket bolag som står bakom sajten, inte bara varumärket. Gå sedan igenom användarvillkoren och leta efter Sverige i listan över begränsade länder, samt efter vilken domstol som utpekas vid tvist. Till sist: begär ut dina personuppgifter via operatörens dataskyddsombud och kontrollera vilket land som anges för lagring och vilken tillsynsmyndighet som nämns i integritetspolicyn. Får du inget svar inom en månad är det i sig en varningssignal.

Kräver du ersättning efter en incident finns ändå vägar att gå, men de är individuella och mödosamma. IMY tar emot tips om personuppgiftsbehandling även när operatören saknar svensk licens, och Konsument Europa kan hjälpa dig att hitta rätt klagomålsinstans i det land där bolaget är etablerat. Dokumentera allt: skärmdumpar av villkor, datum för insättningar, kopior av mejlkonversationer. För den som spelar regelbundet är den enklaste åtgärden samtidigt den mest effektiva, nämligen att hålla sig till operatörer som är anslutna till Spelpaus och därmed omfattas av insättningsgräns, förlustgräns och spellagens krav på spelansvar. Asino-läckan visar vad som händer när de skyddsnäten saknas, och den påminner om att valet av sajt är ett beslut om dataskydd, inte bara om bonusar.