§ 1.[Zakres regulacji] Rozporządzenie określa:

1) sposób archiwizacji danych związanych z urządzanymi grami hazardowymi przez sieć Internet, w tym wymagania dotyczące urządzeń archiwizujących oraz ich oprogramowania;

2) zakres danych, które podmiot urządzający gry hazardowe przez sieć Internet jest obowiązany archiwizować.

§ 2.[Archiwizacja danych] 1. Archiwizacji danych dokonuje się w sposób zapewniający integralność, kompletność, poufność i rozliczalność danych podczas wszystkich procesów dotyczących danych, w tym ich przesyłania, przechowywania i udostępniania.

2. Dane archiwizuje się w sposób zapewniający uzyskanie jednoznacznej informacji o czasie zdarzenia oraz czasie jego zapisania, z podaniem daty i czasu z dokładnością pozwalającą na określenie kolejności zdarzeń i ich archiwizacji.

3. Zapisu danych dokonuje się w sposób uniemożliwiający ich zmianę bez wykrycia tego zdarzenia przez oprogramowanie urządzenia archiwizującego.

4. Urządzenie archiwizujące oraz jego oprogramowanie zapewniają możliwość odtworzenia zarchiwizowanych danych w razie ich niezamierzonej całkowitej lub częściowej utraty przed upływem 5 lat, licząc od końca roku kalendarzowego, w którym dokonano ich archiwizacji, w szczególności poprzez ich kopiowanie na zewnętrzne nośniki.

§ 3.[Zakres funkcji urządzeń archiwizujących oraz jego oprogramowania] 1. Urządzenie archiwizujące oraz jego oprogramowanie zapewniają:

1) wyszukiwanie, sortowanie, filtrowanie, przeglądanie i wydruk danych, o których mowa w § 5 i § 6, odrębnie dla gier hazardowych urządzanych na różnych stronach internetowych i w ramach poszczególnych zezwoleń;

2) kopiowanie danych z urządzenia archiwizującego na informatyczne nośniki danych;

3) zdalny dostęp do danych i pobieranie tych danych, uporządkowanych w sposób pozwalający na ich późniejszą analizę.

2. Urządzenie archiwizujące oraz jego oprogramowanie uniemożliwiają usunięcie danych przed upływem 5 lat, licząc od końca roku kalendarzowego, w którym dokonano ich archiwizacji.

3. W celu realizacji wymogu, o którym mowa w § 2 ust. 1, urządzenie archiwizujące oraz jego oprogramowanie w szczególności:

1) zapewniają ciągłą, niemodyfikowalną i jednoznacznie identyfikującą każde zdarzenie niepowtarzalną numerację dla każdego typu archiwizowanych zdarzeń, w szczególności założenia konta, dokonania wpłaty stawki pieniężnej czy wypłaty wygranej, sposobu obstawienia zakładu wzajemnego lub określonego działania w grze hazardowej;

2) obliczają dla każdego archiwizowanego zdarzenia skrót kryptograficzny obliczany przy wykorzystaniu niesymetrycznego algorytmu SHA2, zgodnego z normą ISO/IEC 10118-3:2004, zwanego dalej „skrótem SHA2”;

3) systematycznie weryfikują ciągłość numeracji zarchiwizowanych zdarzeń oraz ich zgodność z odpowiadającymi im i obliczonymi zgodnie z ust. 4 skrótami SHA2.

4. Skrót SHA2 jest obliczany od zawartości cyfrowej reprezentacji tego zdarzenia oraz skrótu SHA2 zdarzenia bezpośrednio poprzedzającego w numeracji, przy czym dla pierwszego zdarzenia w numeracji pomija się skrót SHA2 zdarzenia bezpośrednio poprzedzającego.

§ 4.[Zabezpieczenie urządzeń archiwizujących] Urządzenie archiwizujące oraz jego oprogramowanie:

1) są zabezpieczone przed nieuprawnionym dostępem, w szczególności poprzez zastosowanie mechanizmów uwierzytelniania i autoryzacji;

2) zapewniają ciągłość i prawidłowość działania, w tym poprzez zastosowanie rozwiązań sprzętowych oraz programowych na wypadek zdarzeń losowych, które mogłyby grozić zmianą bądź utratą zarchiwizowanych danych albo brakiem ich archiwizacji.

§ 5.[Archiwizacja w zakresie zakładów wzajemnych] Archiwizacji w zakresie zakładów wzajemnych podlegają:

1) dane pozwalające na ustalenie przebiegu i wyniku zakładów wzajemnych, obejmujące:

a) katalog prowadzonych przez podmiot zakładów wzajemnych,

b) liczbę przyjętych zakładów wzajemnych,

c) stawki poszczególnych zakładów wzajemnych,

d) liczbę wygranych,

e) liczbę przegranych,

f) typowania przez uczestników zakładów wzajemnych wyników sportowego współzawodnictwa ludzi lub zwierząt, będących przedmiotem zakładów wzajemnych,

g) typowania przez uczestników zakładów wzajemnych zaistnienia różnych zdarzeń będących przedmiotem zakładów wzajemnych,

h) wyniki sportowego współzawodnictwa ludzi lub zwierząt będące przedmiotem zakładów wzajemnych,

i) zdarzenia będące przedmiotem zakładów wzajemnych,

j) działania wykonane przez uczestników zakładów wzajemnych na kontach służących do rozpoczęcia i prowadzenia zakładów wzajemnych urządzanych przez sieć Internet, utworzonych na urządzeniu archiwizującym dane dotyczące zakładów wzajemnych urządzanych przez sieć Internet, zwanych dalej „kontami”,

k) operacje dotyczące zakładów wzajemnych zrealizowane przez uczestników zakładów wzajemnych, a także wszelkie dane związane z saldem na kontach, w szczególności wartość wpłat, wartość wygranych uczestnika zakładów wzajemnych oraz kwot zwróconych na konto;

2) dane pozwalające na ustalenie przeprowadzonych transakcji związanych z zakładem wzajemnym, dotyczące przepływów finansowych wynikających z zawieranych zakładów wzajemnych przypisanych do poszczególnych uczestników zakładów wzajemnych, obejmujące:

a) wpływy z tytułu wpłaty uczestnika zakładu wzajemnego,

b) kwoty wypłacone przez podmiot uczestnikowi zakładu wzajemnego wraz z tytułem wypłaty,

c) numer rachunku płatniczego uczestnika zakładu wzajemnego służącego do rozliczeń z podmiotem urządzającym zakłady wzajemne,

d) numer rachunku płatniczego podmiotu urządzającego zakłady wzajemne służącego do rozliczeń z uczestnikiem zakładu wzajemnego;

3) dane niezbędne do identyfikacji uczestnika zakładu wzajemnego, obejmujące:

a) imię (imiona) i nazwisko,

b) adres zamieszkania oraz adres poczty elektronicznej,

c) identyfikator pozwalający na dostęp do konta (login),

d) pseudonim – nazwę uczestnika zakładu wzajemnego, jeżeli jest inna niż login,

e) dane teleinformatyczne o połączeniu uczestnika zakładu wzajemnego ze stroną podmiotu urządzającego zakłady wzajemne,

f) profile uczestników zakładów wzajemnych aktywowane w chwili założenia konta i zawierające historię zakładów wzajemnych zawieranych przez danego uczestnika i ich przebieg;

4) dane związane z funkcjonowaniem urządzeń archiwizujących oraz ich oprogramowania, obejmujące:

a) modyfikacje urządzeń archiwizujących lub oprogramowania oraz inne czynności techniczne w toku ich eksploatacji, w tym zmiany ustawień urządzenia archiwizującego lub oprogramowania, w szczególności ustawień zegara czasu rzeczywistego,

b) kontrole przeprowadzane z inicjatywy podmiotu urządzającego zakłady wzajemne, w szczególności zakres, wyniki i osoby odpowiedzialne za przeprowadzenie tych kontroli,

c) dodanie, usunięcie lub modyfikację danych lub próby dokonania tych działań,

d) błędy oraz inne sytuacje awaryjne, zaistniałe w trakcie pracy urządzenia archiwizującego i oprogramowania, w szczególności błędy wykryte podczas weryfikacji, o której mowa w § 3 ust. 3 pkt 3, oraz podjęte działania naprawcze,

e) udostępnianie zarchiwizowanych danych, w szczególności informacje o osobach, którym dane udostępniono, oraz o podstawie prawnej udostępnienia danych.

§ 6.[Archiwizacja w zakresie gier hazardowych innych niż zakłady wzajemne] Archiwizacji w zakresie gier hazardowych innych niż określone w § 5 podlegają:

1) dane pozwalające na ustalenie przebiegu i wyniku gier hazardowych, obejmujące:

a) katalog organizowanych przez podmiot gier,

b) liczbę przeprowadzonych gier,

c) stawki w poszczególnych grach,

d) liczbę wygranych,

e) liczbę przegranych,

f) przebieg poszczególnych gier, w tym działania wykonane przez uczestników gier w ramach poszczególnych gier,

g) działania wykonane przez uczestników gier na kontach służących do rozpoczęcia i prowadzenia gier urządzanych przez sieć Internet, utworzonych na urządzeniu archiwizującym dane dotyczące gier urządzanych przez sieć Internet, zwanych dalej „kontami gier”,

h) operacje dotyczące gier zrealizowane przez uczestników tych gier, a także wszelkie dane związane z saldem na kontach gier, w szczególności wartość wpłat, wartość wygranych uczestnika gier oraz kwot zwróconych na konto gry;

2) dane pozwalające na ustalenie przeprowadzonych transakcji związanych z grą, dotyczące przepływów finansowych wynikających z działań wykonanych przez uczestnika gry w ramach poszczególnych gier, obejmujące:

a) wpływy z tytułu wpłaty uczestnika gry,

b) kwoty wypłacone przez podmiot uczestnikowi gry wraz z tytułem wypłaty,

c) numer rachunku płatniczego uczestnika gry służącego do rozliczeń z podmiotem urządzającym gry hazardowe,

d) numer rachunku płatniczego podmiotu urządzającego gry hazardowe służącego do rozliczeń z uczestnikiem gry;

3) dane niezbędne do identyfikacji uczestnika gry, obejmujące:

a) imię (imiona) i nazwisko,

b) adres zamieszkania oraz adres poczty elektronicznej,

c) identyfikator pozwalający na dostęp do konta gry (login),

d) pseudonim – nazwę uczestnika gry, jeżeli jest inna niż login,

e) dane teleinformatyczne o połączeniu uczestnika gry ze stroną podmiotu urządzającego gry hazardowe,

f) profile uczestników gry aktywowane w chwili założenia konta gry i zawierające historię gier danego uczestnika i ich przebieg;

4) dane związane z funkcjonowaniem urządzeń archiwizujących oraz ich oprogramowania, obejmujące:

a) modyfikacje urządzeń archiwizujących lub oprogramowania oraz inne czynności techniczne w toku ich eksploatacji, w tym zmiany ustawień urządzenia archiwizującego lub oprogramowania, w szczególności ustawień zegara czasu rzeczywistego,

b) kontrole przeprowadzane z inicjatywy podmiotu urządzającego gry, w szczególności zakres, wyniki i osoby odpowiedzialne za przeprowadzenie tych kontroli,

c) dodanie, usunięcie lub modyfikację danych lub próby dokonania tych działań,

d) błędy oraz inne sytuacje awaryjne, zaistniałe w trakcie pracy urządzenia archiwizującego i oprogramowania, w szczególności błędy wykryte podczas weryfikacji, o której mowa w § 3 ust. 3 pkt 3, oraz podjęte działania naprawcze,

e) udostępnianie zarchiwizowanych danych, w szczególności informacje o osobach, którym dane udostępniono, oraz o podstawie prawnej udostępnienia danych.

§ 7.[Dostosowanie archiwizacji do wymogów niniejszego rozporządzenia] Podmioty posiadające w dniu wejścia w życie niniejszego rozporządzenia zezwolenie na urządzanie gier hazardowych przez sieć Internet lub urządzające gry hazardowe przez sieć Internet na podstawie zatwierdzonego regulaminu dostosują sposób oraz zakres archiwizacji danych w okresie 3 miesięcy od dnia wejścia w życie niniejszego rozporządzenia.

§ 8.[Wejście w życie] Rozporządzenie wchodzi w życie z dniem następującym po dniu ogłoszenia.³⁾