Cashlib, GDPR en uw rechten als Belgische wedder
Laden...
Inhoud
Hoe GDPR de voucher-flow raakt
De eerste keer dat ik echt door het privacybeleid van een Cashlib-distributeur heen las, kostte het mij een uur. De documenten zijn niet kort, en ze zijn niet toevallig zo geschreven. Cashlib werd in 2015 gelanceerd door EMP Corp SA in Luxemburg en wordt sinds 2021 uitgegeven door SureSwipe EMI PLC, met e-money-licentie van de Centrale Bank van Cyprus, vergunningsnummer 115.1.3.26. Die structuur — Luxemburgse oorsprong, Cypriotische uitgever, Belgische gebruikers — produceert een GDPR-architectuur die ik in deze tekst probeer te ontwarren.
Voor wie zijn rechten als Belgische wedder wil benutten, is het beslissend te begrijpen welke partij welke data verwerkt. De voucher-aankoop, de PIN-validatie, de spelersrekening, de wed-historiek — vier afzonderlijke datatransacties met vier verschillende verantwoordelijken. Een GDPR-aanvraag bij de verkeerde partij levert niets op; bij de juiste partij levert het een verrassend gedetailleerd dossier op.
Het hele systeem is rechtsstaatlijk gefundeerd: u heeft als data-subject specifieke rechten, en zowel Cashlib als uw F1+ bookmaker zijn juridisch verplicht die rechten te respecteren binnen vastgelegde termijnen. Wat u krijgt afhangt van wat u vraagt en aan wie.
Verantwoordelijke en verwerker per partij
Het GDPR-onderscheid tussen “verantwoordelijke” (controller) en “verwerker” (processor) is geen juridische detail; het bepaalt aan wie u welke vraag richt. Voor de Cashlib-flow zien we drie hoofdactoren met verschillende rollen.
SureSwipe EMI PLC is verantwoordelijke voor de e-money-data: de uitgifte van de voucher, de PIN-generatie, de saldo-administratie, de redemptie-procedure. Wie wil weten wat over zijn voucher-gebruik bij Cashlib zelf bekend is, richt zijn aanvraag tot SureSwipe EMI of via de website van Cashlib naar het privacy-contact dat daar wordt opgegeven.
De distributeur (Dundle, beCHARGE of een fysieke retailer) is verantwoordelijke voor de aankoopdata: betaalmethode, e-mailadres, eventueel klantaccount. Voor een online aankoop vraagt u uw data dus bij de distributeur op, niet bij Cashlib. Voor een fysieke aankoop in een krantenwinkel met cash bestaat er geen koppeling tussen u als persoon en de retailer-data — er is gewoon geen dossier om op te vragen.
De Belgische F1+ bookmaker is verantwoordelijke voor alles wat op uw spelersrekening gebeurt: identiteitsdata, transactiehistoriek, inzetten, IP-logs, behavioural tracking. Dit is veruit het grootste data-pakket en de meest impactvolle GDPR-aanvraag-route. Wie maar één aanvraag wil doen, doet die hier.
Bewaartermijnen bij Cashlib en bookmaker
De vraag “hoe lang houden ze mijn data?” heeft geen enkel antwoord. Die hangt af van de gegevenscategorie en de juridische grondslag van de bewaring.
Bij Cashlib gelden de regels van een e-money-uitgever onder Cypriotisch en EU-recht. Transactiedata — welke voucher op welk platform werd geactiveerd, voor welk bedrag, op welk tijdstip — moet minstens vijf jaar worden bewaard onder antiwitwasregelgeving. Saldo-administratie blijft tot de voucher volledig is opgebruikt of vervalt; daarna geldt de archiveringstermijn. Klantcontact-data van wie ooit een redemptie heeft aangevraagd of een klacht heeft ingediend, blijft typisch zeven tot tien jaar in de boeken.
Bij een F1+ bookmaker liggen de termijnen langer en gedetailleerder. Account-data minimum vijf jaar na sluiting onder de Belgische antiwitwaswet, met praktische bewaring van zeven tot tien jaar. Wedhistoriek tien jaar voor fiscale en regulatoire audits. EPIS-status permanent in het centrale register voor de duur van de uitsluiting plus archiveringstermijn. Behavioural-tracking en marketing-data afhankelijk van uw consent-instellingen, met termijnen van twee tot vijf jaar voor inactieve accounts.
Het cumulatieve effect: een Cashlib-storting die u in 2026 doet bij een Belgische sportsbook, blijft in beide systemen tot ergens in 2034 of later traceerbaar. Wie hoopt dat een korte uitschrijving het profiel doet verdwijnen, miskent de financieel-regulatoire architectuur die boven GDPR staat.
Recht op inzage bij beide partijen
Het meest concrete recht onder GDPR is het inzagerecht. U mag op elk moment opvragen welke gegevens een verwerker over u bewaart, met opgave van bron, doel, bewaartermijn en eventuele ontvangers. De aanvraag is gratis (één keer per jaar; daarna mag een redelijke administratieve kost worden aangerekend) en moet binnen 30 dagen beantwoord worden, eventueel verlengd tot 60 dagen voor complexe verzoeken.
De praktische werkwijze die ik aanbeveel: één afzonderlijke aanvraag per actor, niet een gecombineerde brief. Stuur een mail naar de privacy-contact van uw F1+ bookmaker (typisch te vinden in de privacyvoorwaarden of via de website-footer), met identiteitsbevestiging (kopie identiteitskaart) en een duidelijk verzoek om “alle persoonsgegevens die over mij worden verwerkt, met inbegrip van transactiehistoriek, account-loginhistoriek, behavioural data en marketing-profielen”. Dat formuleren brengt vaak meer aan het licht dan een vage “geef me mijn data”.
Voor Cashlib zelf is de aanvraag eenvoudiger maar ook beperkter. U geeft de PIN-codes door van de vouchers waarover u inzage wilt (zonder PIN kan SureSwipe EMI de transacties niet aan u koppelen), met identiteitsbewijs. U krijgt een uittreksel van de transacties: aankoopdatum, gebruikt bedrag, activatieplatform, eventuele restwaarde. Geen inzicht in wie u bent — die koppeling bestaat niet bij Cashlib voor cash-betaalde vouchers — wel in wat met de PIN gebeurd is.
Klacht indienen bij de Gegevensbeschermingsautoriteit
Als een verwerker uw inzageaanvraag negeert, vertraagt zonder geldige reden, of onvolledig beantwoordt, heeft u recht op een klacht bij de Belgische Gegevensbeschermingsautoriteit. Dat is een nationale toezichthouder met onderzoeksbevoegdheid en boeteautoriteit; een klacht aldaar krijgt typisch binnen enkele maanden een eerste reactie.
Wat moet u in zo’n klacht zetten? Een chronologische beschrijving van uw aanvragen (data, kanaal, ontvanger), een kopie van wat u wel of niet heeft ontvangen, en een specifieke aanduiding van welke rechten u geschonden vindt. De GBA werkt graag met dossiers die hun werk vergemakkelijken — wie het volledig stoffeert, krijgt sneller respons.
Voor Cashlib-data wordt het complexer omdat de uitgever in Cyprus zit. De Belgische toezichthouder is nog steeds bevoegd voor Belgische ingezeten klagers, maar in praktijk verwijst ze klachten over Cypriotische verwerkers door naar de Cypriotische tegenhanger, met een mogelijke vertraging van enkele weken. Voor Belgische F1+ bookmakers — die alle in België of in EU-staten met directe filiaalstructuur zijn gevestigd — werkt de Belgische route rechtstreeks.
Voor wie het bredere kader van anonimiteit, KYC-grenzen en wat er precies bewaard wordt over een Cashlib-wedder wil begrijpen, biedt hoe anoniem is Cashlib echt bij Belgische sportwedden de complementaire analyse die naast GDPR-rechten ook de operationele realiteit van data-verzameling beschrijft.