Zorgplicht 2.0: waar verslavingspreventie overgaat in datasurveillance

Om je te beschermen tegen gokverslaving houden online casino’s je gedrag minutieus in de gaten. Maar diezelfde zorgplicht maakt van elke speler een doorgelicht dossier. Waar ligt de grens tussen preventie en surveillance?

Je speelt een uurtje, en plotseling verschijnt er een vriendelijk bericht in beeld: “Je bent al een tijdje bezig, neem eens pauze.” Het oogt onschuldig, bijna behulpzaam. Maar achter dat ene pop-upje draait een systeem dat op dat moment meer over je financiële leven weet dan je eigen bank. Het kent je stortingsritme, je verliespatroon, het tijdstip waarop je het vaakst inlogt, en in sommige gevallen zelfs een schatting van wat je kunt missen. Dat spanningsveld speelt ook mee wanneer gebruikers kijken naar een casino zonder Cruks met snelle uitbetaling, waar gemak, snelheid en privacy vaak zwaarder lijken te wegen dan controle. Dat systeem bestaat omdat de wet het eist. En precies daar begint een ongemakkelijke vraag die in de Nederlandse gokdiscussie nauwelijks wordt gesteld: hoeveel mag een casino over je weten in naam van je eigen bescherming?

Wat de zorgplicht werkelijk verlangt

Sinds de Wet kansspelen op afstand in oktober 2021 de legale online markt opende, rust op vergunninghouders een zogeheten zorgplicht. In gewone taal betekent dat: een casino moet over zijn spelers waken, problematisch gedrag herkennen en op tijd ingrijpen voordat iemand in de problemen raakt. Geen vrijblijvende belofte, maar een wettelijke verplichting waar de Kansspelautoriteit op toeziet.

De afgelopen jaren is die lat fors omhooggegaan. Uit onderzoek van de toezichthouder bleek dat aanbieders te traag en te oppervlakkig ingrepen. Veel casino’s keken vooral naar de hoogte van stortingen en inzetten, terwijl ze het aantal gespeelde uren links lieten liggen. ’s Nachts en in het weekend kon een speler soms ongestoord doorgaan zonder dat er iemand aan de bel trok. De conclusie was hard: het moest sneller, scherper en consequenter. De Kansspelautoriteit pleit er inmiddels voor om realtime monitoring verplicht te maken, en helpt aanbieders sinds begin 2026 zelfs met het voeren van interventiegesprekken, omdat spelers slecht reageren wanneer een casino contact zoekt over hun speelgedrag.

Op papier is dat allemaal goed nieuws. Wie wil dat er niemand meekijkt terwijl een ander zichzelf ruïneert? Maar elke stap richting betere bescherming is tegelijk een stap richting intensievere observatie. Preventie en surveillance zijn hier niet elkaars tegenpolen; het zijn twee namen voor hetzelfde mechanisme.

De prijs van bescherming heet data

Om die zorgplicht in te vullen heeft een casino een verbazend gedetailleerd beeld van je nodig. Het begint bij de registratie, met identiteitsbewijzen, geboortedatum en contactgegevens, gevolgd door verificatie via kopieën van documenten en soms bankafschriften. Daar bovenop komt de continue stroom: elke storting, elke inzet, elke winst en elk verlies, het tijdstip, de duur, het spel. Die gegevens worden niet alleen bewaard, maar actief geanalyseerd op patronen die op ontsporing kunnen wijzen.

Het gevoeligste punt zit bij de verplichte limieten. Sinds eind 2024 geldt voor volwassenen een storting van maximaal zevenhonderd euro per maand, en voor jongvolwassenen tussen achttien en vierentwintig jaar zelfs maar driehonderd euro. Wie meer wil inzetten, ontkomt niet aan een uitgebreide inkomenscontrole. Met andere woorden: om boven dat plafond te komen, moet je je financiële huishouding laten doorlichten door een gokbedrijf. Dat is een opmerkelijke omkering. Waar je bij een hypotheekverstrekker verwacht dat je inkomen wordt getoetst, gebeurt dat hier bij een partij wier kernactiviteit erin bestaat dat jij geld verliest.

Twee toezichthouders, één speler ertussen

Het ingewikkelde is dat hier twee werelden samenkomen die elk hun eigen waakhond hebben. De Kansspelautoriteit bewaakt de zorgplicht en eist juist méér inzicht in je gedrag. De Autoriteit Persoonsgegevens bewaakt de privacy onder de Algemene Verordening Gegevensbescherming en eist juist terughoudendheid en dataminimalisatie. Online gokken is bij uitstek een privacygevoelige aangelegenheid: bijna niemand wil dat zijn stortings- en speelgedrag ergens als profiel wordt vastgelegd. Toch is precies dat profiel de motor van de bescherming.

De twee toezichthouders spreken elkaar niet rechtstreeks tegen, maar de speler staat wel klem tussen hun logica’s. De ene autoriteit zegt: kijk beter mee. De andere zegt: verzamel niet meer dan strikt nodig. Aanbieders moeten dat in de praktijk zelf zien te verzoenen, en de wet laat hen behoorlijk veel ruimte om te bepalen hoe ze dat doen. Die vrijheid is comfortabel voor de sector, maar maakt het voor de individuele speler ondoorzichtig waar zijn gegevens precies belanden en hoe lang ze blijven hangen. Account- en transactiegegevens worden doorgaans vijf jaar bewaard, identiteits- en KYC-informatie vaak vijf tot zeven jaar, deels omdat de antiwitwasregels dat verlangen.

Algoritmes die over je oordelen

Nog een laag dieper zit het echte twistpunt. De signalering van risicogedrag gebeurt grotendeels automatisch: algoritmes vlaggen patronen en stellen interventies voor. Daarmee komt de geautomatiseerde besluitvorming in beeld, een terrein waarop de AVG expliciet rechten toekent. Je hebt in principe het recht om niet onderworpen te worden aan volledig geautomatiseerde beslissingen met ingrijpende gevolgen, en je mag menselijke tussenkomst vragen wanneer een systeem je account of je speelmogelijkheden beperkt.

In de praktijk merkt de meeste mensen daar weinig van, totdat een model jou als “risicospeler” bestempelt. Dan kan je inzet worden begrensd, je account bevroren, of je krijgt een gesprek waarin een medewerker je gedrag bespreekt dat zij op een scherm voor zich zien. Dat kan levensreddend zijn. Het kan ook voelen als een oordeel dat over je hoofd heen is geveld door software die je nooit hebt gezien, op basis van data waarvan je het bestaan niet kende.

Waar het schuurt

Het scherpst wordt de spanning wanneer dezelfde data die voor zorg is bedoeld, een commercieel leven gaat leiden. Een bedrijf dat exact weet wanneer jij het meest geneigd bent te storten, weet immers ook precies wanneer het je het beste kan benaderen. Dat dit geen theoretisch risico is, bleek toen er kritiek ontstond op het versturen van marketingmails aan spelers die zich juist hadden laten registreren in Cruks, het register voor wie zichzelf wil uitsluiten. Het gedragsprofiel dat verslaving moet voorkomen, is technisch hetzelfde profiel dat verslaving kan voeden. Het verschil zit niet in de data, maar in de bedoeling, en die bedoeling is voor de speler van buitenaf onzichtbaar.

Wat je als speler kunt doen

Je staat niet machteloos. De AVG geeft je het recht op inzage in wat een casino over je heeft vastgelegd, op correctie van onjuiste gegevens, en in veel gevallen op verwijdering nadat een wettelijke bewaartermijn is verstreken. Je mag een heldere privacyverklaring verwachten die in begrijpelijke taal uitlegt welke gegevens worden verzameld en met welk doel. Vraag jezelf bij een nieuw account af of het bedrijf transparant is over zijn datapraktijk, en niet alleen over zijn bonussen. En vind je dat je gegevens onzorgvuldig worden behandeld, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

De bredere vraag blijft echter open. De overheid wil de zorgplicht verder aanscherpen en de teugels strakker trekken, wat onvermijdelijk meer monitoring betekent. Bescherming en surveillance trekken in Nederland steeds dichter naar elkaar toe, tot ze nauwelijks nog te onderscheiden zijn. De eerlijke maatstaf is niet of er wordt meegekeken, want dat gebeurt sowieso. De maatstaf is of een speler precies weet wíe meekijkt, waaróm, en hoelang dat profiel hem blijft volgen nadat hij allang is gestopt met spelen.