Rozporządzenie Ministra Rozwoju i Finansów z dnia 18 maja 2017 r. w sprawie sposobu oraz zakresu archiwizacji danych związanych z urządzanymi grami hazardowymi przez sieć Internet

Rozporządzenie określa

1)

sposób archiwizacji danych związanych z urządzanymi grami hazardowymi przez sieć Internet,

w tym wymagania dotyczące urządzeń archiwizujących oraz ich oprogramowania;

2)

zakres danych, które podmiot urządzający gry hazardowe przez sieć Internet jest obowiązany

archiwizować.

1.

Archiwizacji danych dokonuje się w sposób zapewniający integralność, kompletność,

poufność i rozliczalność danych podczas wszystkich procesów dotyczących danych, w

tym ich przesyłania, przechowywania i udostępniania.

2.

Dane archiwizuje się w sposób zapewniający uzyskanie jednoznacznej informacji o czasie

zdarzenia oraz czasie jego zapisania, z podaniem daty i czasu z dokładnością pozwalającą

na określenie kolejności zdarzeń i ich archiwizacji.

3.

Zapisu danych dokonuje się w sposób uniemożliwiający ich zmianę bez wykrycia tego

zdarzenia przez oprogramowanie urządzenia archiwizującego.

4.

Urządzenie archiwizujące oraz jego oprogramowanie zapewniają możliwość odtworzenia

zarchiwizowanych danych w razie ich niezamierzonej całkowitej lub częściowej utraty

przed upływem 5 lat, licząc od końca roku kalendarzowego, w którym dokonano ich archiwizacji,

w szczególności poprzez ich kopiowanie na zewnętrzne nośniki.

1.

Urządzenie archiwizujące oraz jego oprogramowanie zapewniają

1)

wyszukiwanie, sortowanie, filtrowanie, przeglądanie i wydruk danych, o których mowa

w § 5 i § 6, odrębnie dla gier hazardowych urządzanych na różnych stronach internetowych

i w ramach poszczególnych zezwoleń;

2)

kopiowanie danych z urządzenia archiwizującego na informatyczne nośniki danych;

3)

zdalny dostęp do danych i pobieranie tych danych, uporządkowanych w sposób pozwalający

na ich późniejszą analizę.

2.

Urządzenie archiwizujące oraz jego oprogramowanie uniemożliwiają usunięcie danych

przed upływem 5 lat, licząc od końca roku kalendarzowego, w którym dokonano ich archiwizacji.

3.

W celu realizacji wymogu, o którym mowa w § 2 ust. 1, urządzenie archiwizujące oraz

jego oprogramowanie w szczególności

1)

zapewniają ciągłą, niemodyfikowalną i jednoznacznie identyfikującą każde zdarzenie

niepowtarzalną numerację dla każdego typu archiwizowanych zdarzeń, w szczególności

założenia konta, dokonania wpłaty stawki pieniężnej czy wypłaty wygranej, sposobu

obstawienia zakładu wzajemnego lub określonego działania w grze hazardowej;

2)

obliczają dla każdego archiwizowanego zdarzenia skrót kryptograficzny obliczany przy

wykorzystaniu niesymetrycznego algorytmu SHA2, zgodnego z normą ISO/IEC 10118-3:2004,

zwanego dalej „skrótem SHA2”;

3)

systematycznie weryfikują ciągłość numeracji zarchiwizowanych zdarzeń oraz ich zgodność

z odpowiadającymi im i obliczonymi zgodnie z ust. 4 skrótami SHA2.

4.

Skrót SHA2 jest obliczany od zawartości cyfrowej reprezentacji tego zdarzenia oraz

skrótu SHA2 zdarzenia bezpośrednio poprzedzającego w numeracji, przy czym dla pierwszego

zdarzenia w numeracji pomija się skrót SHA2 zdarzenia bezpośrednio poprzedzającego.

Urządzenie archiwizujące oraz jego oprogramowanie

1)

są zabezpieczone przed nieuprawnionym dostępem, w szczególności poprzez zastosowanie

mechanizmów uwierzytelniania i autoryzacji;

2)

zapewniają ciągłość i prawidłowość działania, w tym poprzez zastosowanie rozwiązań

sprzętowych oraz programowych na wypadek zdarzeń losowych, które mogłyby grozić zmianą

bądź utratą zarchiwizowanych danych albo brakiem ich archiwizacji.

Archiwizacji w zakresie zakładów wzajemnych podlegają

1)

dane pozwalające na ustalenie przebiegu i wyniku zakładów wzajemnych, obejmujące

a)

katalog prowadzonych przez podmiot zakładów wzajemnych,

b)

liczbę przyjętych zakładów wzajemnych,

c)

stawki poszczególnych zakładów wzajemnych,

d)

liczbę wygranych,

e)

liczbę przegranych,

f)

typowania przez uczestników zakładów wzajemnych wyników sportowego współzawodnictwa

ludzi lub zwierząt, będących przedmiotem zakładów wzajemnych,

g)

typowania przez uczestników zakładów wzajemnych zaistnienia różnych zdarzeń będących

przedmiotem zakładów wzajemnych,

h)

wyniki sportowego współzawodnictwa ludzi lub zwierząt będące przedmiotem zakładów

wzajemnych,

i)

zdarzenia będące przedmiotem zakładów wzajemnych,

j)

działania wykonane przez uczestników zakładów wzajemnych na kontach służących do rozpoczęcia

i prowadzenia zakładów wzajemnych urządzanych przez sieć Internet, utworzonych na

urządzeniu archiwizującym dane dotyczące zakładów wzajemnych urządzanych przez sieć

Internet, zwanych dalej „kontami”,

k)

operacje dotyczące zakładów wzajemnych zrealizowane przez uczestników zakładów wzajemnych,

a także wszelkie dane związane z saldem na kontach, w szczególności wartość wpłat,

wartość wygranych uczestnika zakładów wzajemnych oraz kwot zwróconych na konto;

2)

dane pozwalające na ustalenie przeprowadzonych transakcji związanych z zakładem wzajemnym,

dotyczące przepływów finansowych wynikających z zawieranych zakładów wzajemnych przypisanych

do poszczególnych uczestników zakładów wzajemnych, obejmujące

a)

wpływy z tytułu wpłaty uczestnika zakładu wzajemnego,

b)

kwoty wypłacone przez podmiot uczestnikowi zakładu wzajemnego wraz z tytułem wypłaty,

c)

numer rachunku płatniczego uczestnika zakładu wzajemnego służącego do rozliczeń z

podmiotem urządzającym zakłady wzajemne,

d)

numer rachunku płatniczego podmiotu urządzającego zakłady wzajemne służącego do rozliczeń

z uczestnikiem zakładu wzajemnego;

3)

dane niezbędne do identyfikacji uczestnika zakładu wzajemnego, obejmujące

a)

imię (imiona) i nazwisko,

b)

adres zamieszkania oraz adres poczty elektronicznej,

c)

identyfikator pozwalający na dostęp do konta (login),

d)

pseudonim - nazwę uczestnika zakładu wzajemnego, jeżeli jest inna niż login,

e)

dane teleinformatyczne o połączeniu uczestnika zakładu wzajemnego ze stroną podmiotu

urządzającego zakłady wzajemne,

f)

profile uczestników zakładów wzajemnych aktywowane w chwili założenia konta i zawierające

historię zakładów wzajemnych zawieranych przez danego uczestnika i ich przebieg;

4)

dane związane z funkcjonowaniem urządzeń archiwizujących oraz ich oprogramowania,

obejmujące

a)

modyfikacje urządzeń archiwizujących lub oprogramowania oraz inne czynności techniczne

w toku ich eksploatacji, w tym zmiany ustawień urządzenia archiwizującego lub oprogramowania,

w szczególności ustawień zegara czasu rzeczywistego,

b)

kontrole przeprowadzane z inicjatywy podmiotu urządzającego zakłady wzajemne, w szczególności

zakres, wyniki i osoby odpowiedzialne za przeprowadzenie tych kontroli,

c)

dodanie, usunięcie lub modyfikację danych lub próby dokonania tych działań,

d)

błędy oraz inne sytuacje awaryjne, zaistniałe w trakcie pracy urządzenia archiwizującego

i oprogramowania, w szczególności błędy wykryte podczas weryfikacji, o której mowa

w § 3 ust. 3 pkt 3, oraz podjęte działania naprawcze,

e)

udostępnianie zarchiwizowanych danych, w szczególności informacje o osobach, którym

dane udostępniono, oraz o podstawie prawnej udostępnienia danych.

Archiwizacji w zakresie gier hazardowych innych niż określone w § 5 podlegają

1)

dane pozwalające na ustalenie przebiegu i wyniku gier hazardowych, obejmujące

a)

katalog organizowanych przez podmiot gier,

b)

liczbę przeprowadzonych gier,

c)

stawki w poszczególnych grach,

d)

liczbę wygranych,

e)

liczbę przegranych,

f)

przebieg poszczególnych gier, w tym działania wykonane przez uczestników gier w ramach

poszczególnych gier,

g)

działania wykonane przez uczestników gier na kontach służących do rozpoczęcia i prowadzenia

gier urządzanych przez sieć Internet, utworzonych na urządzeniu archiwizującym dane

dotyczące gier urządzanych przez sieć Internet, zwanych dalej „kontami gier”,

h)

operacje dotyczące gier zrealizowane przez uczestników tych gier, a także wszelkie

dane związane z saldem na kontach gier, w szczególności wartość wpłat, wartość wygranych

uczestnika gier oraz kwot zwróconych na konto gry;

2)

dane pozwalające na ustalenie przeprowadzonych transakcji związanych z grą, dotyczące

przepływów finansowych wynikających z działań wykonanych przez uczestnika gry w ramach

poszczególnych gier, obejmujące

a)

wpływy z tytułu wpłaty uczestnika gry,

b)

kwoty wypłacone przez podmiot uczestnikowi gry wraz z tytułem wypłaty,

c)

numer rachunku płatniczego uczestnika gry służącego do rozliczeń z podmiotem urządzającym

gry hazardowe,

d)

numer rachunku płatniczego podmiotu urządzającego gry hazardowe służącego do rozliczeń

z uczestnikiem gry;

3)

dane niezbędne do identyfikacji uczestnika gry, obejmujące

a)

imię (imiona) i nazwisko,

b)

adres zamieszkania oraz adres poczty elektronicznej,

c)

identyfikator pozwalający na dostęp do konta gry (login),

d)

pseudonim - nazwę uczestnika gry, jeżeli jest inna niż login,

e)

dane teleinformatyczne o połączeniu uczestnika gry ze stroną podmiotu urządzającego

gry hazardowe,

f)

profile uczestników gry aktywowane w chwili założenia konta gry i zawierające historię

gier danego uczestnika i ich przebieg;

4)

dane związane z funkcjonowaniem urządzeń archiwizujących oraz ich oprogramowania,

obejmujące

a)

modyfikacje urządzeń archiwizujących lub oprogramowania oraz inne czynności techniczne

w toku ich eksploatacji, w tym zmiany ustawień urządzenia archiwizującego lub oprogramowania,

w szczególności ustawień zegara czasu rzeczywistego,

b)

kontrole przeprowadzane z inicjatywy podmiotu urządzającego gry, w szczególności zakres,

wyniki i osoby odpowiedzialne za przeprowadzenie tych kontroli,

c)

dodanie, usunięcie lub modyfikację danych lub próby dokonania tych działań,

d)

błędy oraz inne sytuacje awaryjne, zaistniałe w trakcie pracy urządzenia archiwizującego

i oprogramowania, w szczególności błędy wykryte podczas weryfikacji, o której mowa

w § 3 ust. 3 pkt 3, oraz podjęte działania naprawcze,

e)

udostępnianie zarchiwizowanych danych, w szczególności informacje o osobach, którym

dane udostępniono, oraz o podstawie prawnej udostępnienia danych.

Podmioty posiadające w dniu wejścia w życie niniejszego rozporządzenia zezwolenie

na urządzanie gier hazardowych przez sieć Internet lub urządzające gry hazardowe przez

sieć Internet na podstawie zatwierdzonego regulaminu dostosują sposób oraz zakres

archiwizacji danych w okresie 3 miesięcy od dnia wejścia w życie niniejszego rozporządzenia.

Rozporządzenie wchodzi w życie z dniem następującym po dniu ogłoszenia.