Le 8 août 2023, la Commission des jeux du Massachusetts a approuvé la loi 205 CMR 257 : Confidentialité des données sur les paris sportifs, un ensemble de réglementations conçues pour créer de nouveaux droits et obligations en ce qui concerne l’utilisation par les opérateurs de paris sportifs des informations confidentielles ou des informations personnellement identifiables des clients. Le règlement est entré en vigueur le 1er septembre 2023.
Les réglementations relatives à la confidentialité des données sur les paris sportifs (le « Règlement ») s’appliquent à l’utilisation par les opérateurs de paris sportifs des informations confidentielles (« CI »), définies comme « les informations liées à un compte de paris sportifs, le placement de tout pari ou toute autre information sensible liée au fonctionnement des paris sportifs » et les informations personnelles identifiables (« IPI »), définies comme « les informations qui identifient, se rapportent à, décrivent, sont raisonnablement susceptibles d’être associées à, ou pourraient raisonnablement être liées, directement ou indirectement, à un client particulier, individu ou ménage.
Le Règlement comprend des dispositions relatives à :
- Utilisation et conservation des données : Les opérateurs doivent utiliser et conserver les CI et les informations personnelles uniquement dans la mesure nécessaire à la réalisation de certaines fins spécifiées, telles que l’exploitation d’une « zone de paris sportifs ». Si un opérateur cherche à utiliser les CI ou PII d’un usager à des fins autres que celles spécifiées dans le Règlement, l’opérateur doit obtenir le consentement de l’usager. Un opérateur ne peut pas non plus utiliser les CI ou PII d’un client, ou toute information dérivée de ceux-ci, pour promouvoir ou encourager des paris ou des offres promotionnelles spécifiques. Le Règlement exige qu’un opérateur collecte et regroupe les informations personnelles et personnelles des clients afin d’analyser le comportement des clients afin d’identifier et de développer des programmes visant à promouvoir le jeu responsable, à soutenir les joueurs problématiques et à dissuader les violations de paris. Tous les six mois, les opérateurs doivent signaler leurs conclusions à la Massachusetts Gaming Commission.
- Partage de données : Les opérateurs ne peuvent pas partager des CI ou des PII avec un tiers, sauf à certaines fins spécifiées. Lorsqu’un opérateur partage des CI ou des PI avec un tiers, l’opérateur doit (1) prendre des mesures commercialement raisonnables pour garantir que le tiers garde les informations privées et confidentielles ; (2) conclure un accord écrit avec le tiers contenant certaines dispositions spécifiées ; et (3) chiffrer ou hacher et protéger les CI et les informations personnelles contre la transmission incomplète, les erreurs d’acheminement, la modification non autorisée des messages, la divulgation, la duplication ou la relecture.
- Droits des mécènes : Les clients ont le droit de demander :
- Une description de la manière dont leurs CI ou PII sont utilisés, y compris la confirmation que les informations sont utilisées conformément à la réglementation ;
- Accès à une copie de leurs CI ou PII conservées par l’opérateur ou un fournisseur, sous-traitant ou inscrit de l’opérateur ;
- Mises à jour de leurs CI ou PII ;
- Restriction de l’utilisation de leurs CI ou PII pour des usages particuliers ; et
- Effacement de leurs CI ou PII lorsqu’il n’est plus nécessaire de les conserver en vertu de la loi applicable ou d’une ordonnance d’un tribunal.
- Programme de confidentialité et de sécurité des données : Les opérateurs doivent développer, mettre en œuvre et maintenir des politiques complètes de confidentialité et de sécurité des données administratives, techniques et physiques adaptées à la taille et à la portée de l’entreprise.
- Violations de données : En cas de violation présumée de données, les opérateurs doivent immédiatement en informer la Massachusetts Gaming Commission et ouvrir une enquête sur la violation présumée dans les cinq jours suivant sa découverte.
