La personalización permite nuevas oportunidades para los operadores, pero también exige comprender qué información generan sus sistemas y cómo la utilizan.
Márllury Valdez Ruíz, Socia Fundadora de Terry & Valdez Abogados Corporativos, Abogada, Mag. en Finanzas y Derecho Corporativo, Especialista en Derecho Tributario y Protección de Datos Personales.
Kattia Terry Ramos, Asociada de Terry & Valdez Abogados Corporativos, Ing. Industrial, especialista en Gobierno y Gestión de Procesos para la Protección de Datos Personales.
Parte I
Conocer al jugador significa gobernar sus datos
Un jugador entra a un casino, se identifica, elige una máquina, juega, acumula puntos, recibe un beneficio y días después puede recibir una promoción adaptada a sus preferencias. En el entorno digital, el recorrido es aún más trazable: una plataforma puede registrar accesos, apuestas, depósitos, retiros, juegos elegidos, horarios, frecuencia y respuesta a promociones.
Para el jugador, es una experiencia cada vez más personalizada. Para el operador, detrás de ella existe uno de los activos más valiosos de la industria: información sobre el comportamiento de sus clientes.
Los sistemas de player tracking, CRM, fidelización, analítica y las herramientas basadas en inteligencia artificial constituyen una ventaja competitiva: permiten optimizar campañas, diseñar beneficios, mejorar la fidelización, detectar patrones, gestionar riesgos y tomar decisiones basadas en evidencia.
Pero existe una dimensión todavía no suficientemente visible. Estas herramientas no solo administran operaciones de juego: tratan datos personales y pueden generar inferencias, construir perfiles o intervenir en decisiones sobre los jugadores.
Un player tracking puede registrar visitas, frecuencia de juego, preferencias, consumo, puntos y respuesta a beneficios; un CRM puede integrar esa información con datos de contacto y campañas; y herramientas de analítica o modelos predictivos identificar segmentos y anticipar comportamientos. El dato deja así de registrar únicamente lo ocurrido y comienza a generar conocimiento sobre lo que probablemente ocurrirá.
La regulación del juego también ha evolucionado para acompañar esta transformación tecnológica. En distintas jurisdicciones, los reguladores establecen estándares y controles aplicables a sistemas, plataformas y tecnologías utilizadas por los operadores. Sin embargo, cumplir con la regulación sectorial del juego no necesariamente agota las obligaciones que pueden surgir cuando esas tecnologías tratan datos personales.
En Perú, esta distinción es especialmente relevante. La regulación sectorial establece exigencias sobre sistemas, plataformas y tecnologías utilizadas en la actividad de juego, pero cumplirlas no agota las obligaciones derivadas del tratamiento de los datos del jugador. Cuando una tecnología identifica al jugador, registra su comportamiento, relaciona información sobre sus hábitos o permite segmentarlo, entra en juego transversalmente la Ley N.º 29733 y su Reglamento.
La pregunta es inevitable: ¿sabemos jurídicamente qué está haciendo nuestra tecnología con los datos de nuestros jugadores?
Player tracking, perfilamiento e IA no son lo mismo
Un player tracking system no necesita utilizar inteligencia artificial ni elaborar perfiles para quedar sujeto a las normas de protección de datos. Desde que registra información vinculada con un jugador identificado o identificable (identidad, visitas, jugadas, puntos, beneficios o preferencias), existe tratamiento de datos personales.
En Perú, la Ley N.º 29733 y su Reglamento, aprobado por D.S. N.º 016-2024-JUS, regulan este tratamiento desde la recopilación y almacenamiento hasta su utilización, transferencia o eliminación, bajo exigencias de finalidad, proporcionalidad, transparencia, seguridad y respeto de los derechos del titular.
El escenario adquiere otra dimensión cuando la tecnología comienza a analizar o predecir preferencias, intereses, hábitos o comportamientos y a construir perfiles del jugador. El Reglamento peruano regula expresamente la elaboración de perfiles y las decisiones automatizadas, incorporando obligaciones de información y garantías adicionales cuando estas afectan a una persona.
Aquí aparecen también las inferencias: información generada por la propia organización a partir del comportamiento del jugador. Frecuencia de visitas, horarios, juegos preferidos, respuesta a promociones o períodos de inactividad pueden combinarse para identificar preferencias o patrones que el jugador nunca declaró. Allí reside parte del valor comercial de estas tecnologías, pero también una cuestión esencial de gobernanza: debemos conocer qué información generan nuestros sistemas y para qué la utilizamos.
Ese conocimiento permite personalizar la experiencia, seleccionar quién recibe un beneficio, qué segmento recibe una campaña o qué comportamiento activa una promoción. La personalización no es negativa, pero cuanto mayor sea la intervención tecnológica en la selección o decisión, más relevante resulta conocer las variables utilizadas y sus efectos.
La Unión Europea sigue una lógica semejante, aunque más desarrollada. El Reglamento General de Protección de Datos (conocido internacionalmente como GDPR) regula expresamente el perfilamiento y establece garantías frente a determinadas decisiones basadas exclusivamente en tratamientos automatizados. Si además interviene IA, aumenta la capacidad para identificar patrones, generar predicciones y apoyar o automatizar decisiones. Tratamiento de datos, perfilamiento, personalización, decisiones automatizadas e IA son fenómenos relacionados, pero jurídicamente diferentes.
Para el operador peruano la pregunta es concreta: ¿Su player tracking o CRM solo registra y premia, o también analiza, infiere, clasifica, personaliza, predice y decide sobre sus jugadores?
Esta distinción también importa por otra razón: el dato puede ser el mismo; la finalidad no. Una misma información puede utilizarse para otorgar beneficios, segmentar campañas, prevenir el fraude o cumplir obligaciones legales. Identificar la finalidad permite determinar qué legitima el tratamiento, si requiere consentimiento, qué debe informarse y hasta dónde pueden reutilizarse los datos. Aunque la Ley N.º 29733 y su Reglamento contemplan supuestos en los que el consentimiento no es necesario, disponer legítimamente de un dato no autoriza cualquier uso posterior.
Esto es especialmente relevante en programas de fidelización. Un jugador puede consentir el tratamiento de sus datos para afiliarse, acumular puntos y acceder a beneficios, mientras el player tracking genera trazabilidad sobre su actividad. Pero ese consentimiento no se extiende automáticamente al perfilamiento, predicción de preferencias o marketing: cada finalidad debe contar con la base jurídica correspondiente.
Portugal reconoce expresamente esta convergencia: el Regime Jurídico dos Jogos e Apostas Online, aprobado por Decreto-Lei n.º 66/2015, somete la actividad a la legislación de protección de datos. En Perú, esta capa transversal corresponde a la Ley N.º 29733 y su Reglamento.
Gobernar el dato
Determinar qué tratamientos son lícitos, para qué finalidades pueden utilizarse los datos o cuándo se requiere consentimiento es fundamental, pero no suficiente. La protección de datos es una materia multidisciplinaria: parte de exigencias jurídicas que deben traducirse en procesos, responsabilidades, controles organizativos y medidas tecnológicas capaces de funcionar en la operación real.
Para un operador, gobernar sus datos implica conocer qué información recogen y generan el player tracking, CRM y demás sistemas; cómo circula dentro de la organización; quién puede acceder; dónde se almacena; qué proveedores intervienen; qué riesgos existen y qué controles permiten gestionarlos.
Por eso, un consentimiento jurídicamente correcto pierde eficacia si los procesos permiten utilizar los datos para finalidades distintas; una política de accesos resulta insuficiente si el sistema permite descargar información sin controles; y las obligaciones contractuales de un proveedor no eliminan el riesgo si desconocemos cómo y dónde procesa los datos.
La protección de datos exige así articular la mirada jurídica con el conocimiento de los procesos y la capacidad tecnológica para implementar y verificar los controles. No son disciplinas que compiten: cada una responde una parte diferente del mismo problema.
La pregunta para la alta dirección ya no es solo “¿Cumplimos la Ley de Protección de Datos?”, sino: “¿Podemos demostrar que nuestra organización y nuestra tecnología hacen con los datos aquello que jurídicamente hemos definido que pueden hacer?” Eso es gobernanza de datos.
La industria ya descubrió el valor de conocer al jugador. El siguiente desafío es gobernar ese conocimiento y convertirlo en una ventaja sostenible para el negocio.
When the player becomes data
Personalization creates new opportunities for operators, but it also requires understanding what information their systems generate and how they use it.
Márllury Valdez Ruíz, Founding Partner of Terry & Valdez Abogados Corporativos, Attorney, Master’s in Finance and Corporate Law, Specialist in Tax Law and Personal Data Protection.
Kattia Terry Ramos, Associate at Terry & Valdez Abogados Corporativos, Industrial Engineer, specialist in Governance and Process Management for Personal Data Protection.
Part I
Knowing the player means governing their data
A player enters a casino, identifies themselves, chooses a machine, plays, accumulates points, receives a benefit, and days later may receive a promotion tailored to their preferences. In the digital environment, the journey is even more traceable: a platform can record logins, bets, deposits, withdrawals, games selected, schedules, frequency, and responses to promotions.
For the player, it is an increasingly personalized experience. For the operator, behind it lies one of the industry’s most valuable assets: information about customer behavior.
Player tracking, CRM, loyalty, analytics, and artificial intelligence-based tools constitute a competitive advantage: they make it possible to optimize campaigns, design benefits, improve loyalty, detect patterns, manage risks, and make evidence-based decisions.
But there is another dimension that is still not sufficiently visible. These tools do not merely manage gaming operations: they process personal data and may generate inferences, build profiles, or influence decisions concerning players.
A player tracking system can record visits, playing frequency, preferences, spending, points, and responses to benefits; a CRM can integrate that information with contact data and campaigns; and analytics tools or predictive models can identify segments and anticipate behavior. Data thus ceases merely to record what has happened and begins to generate knowledge about what is likely to happen.
Gaming regulation has also evolved to accompany this technological transformation. In different jurisdictions, regulators establish standards and controls applicable to the systems, platforms, and technologies used by operators. However, complying with sector-specific gaming regulation does not necessarily exhaust the obligations that may arise when those technologies process personal data.
In Peru, this distinction is particularly relevant. Sector-specific regulation establishes requirements for the systems, platforms, and technologies used in gaming activities, but complying with them does not exhaust the obligations arising from the processing of player data. When a technology identifies a player, records their behavior, links information about their habits, or enables them to be segmented, Law No. 29733 and its Regulations also apply across the board.
The question is inevitable: do we legally understand what our technology is doing with our players’ data?
Player tracking, profiling and ai are not the same
A player tracking system does not need to use artificial intelligence or create profiles to fall within data protection rules. From the moment it records information linked to an identified or identifiable player (identity, visits, plays, points, benefits, or preferences), personal data processing is taking place.
In Peru, Law No. 29733 and its Regulations, approved by Supreme Decree No. 016-2024-JUS, govern this processing from collection and storage through use, transfer, or deletion, under requirements of purpose limitation, proportionality, transparency, security, and respect for data subjects’ rights.
The scenario takes on another dimension when technology begins to analyze or predict preferences, interests, habits, or behaviors and to build player profiles. Peruvian regulations expressly govern profiling and automated decision-making, incorporating information requirements and additional safeguards when these affect an individual.
This is also where inferences come into play: information generated by the organization itself based on player behavior. Visit frequency, schedules, preferred games, responses to promotions, or periods of inactivity can be combined to identify preferences or patterns that the player never explicitly stated. This is part of the commercial value of these technologies, but it also raises an essential governance issue: we must know what information our systems generate and what we use it for.
That knowledge makes it possible to personalize the experience, select who receives a benefit, determine which segment receives a campaign, or identify what behavior triggers a promotion. Personalization is not negative, but the greater the technological intervention in selection or decision-making, the more important it becomes to understand the variables used and their effects.
The European Union follows a similar logic, although in a more developed form. The General Data Protection Regulation (internationally known as the GDPR) expressly regulates profiling and establishes safeguards against certain decisions based solely on automated processing. If AI is also involved, the ability to identify patterns, generate predictions, and support or automate decisions increases. Data processing, profiling, personalization, automated decision-making, and AI are related phenomena, but legally distinct.
For the Peruvian operator, the question is straightforward: does your player tracking or CRM merely record and reward, or does it also analyze, infer, classify, personalize, predict, and make decisions about your players?
This distinction also matters for another reason: the data may be the same; the purpose is not. The same information may be used to grant benefits, segment campaigns, prevent fraud, or comply with legal obligations. Identifying the purpose makes it possible to determine what legitimizes the processing, whether consent is required, what must be disclosed, and how far the data may be reused. Although Law No. 29733 and its Regulations contemplate circumstances in which consent is not necessary, having legitimate access to data does not authorize every subsequent use.
This is especially relevant to loyalty programs. A player may consent to the processing of their data in order to enroll, accumulate points, and access benefits, while player tracking creates traceability of their activity. But that consent does not automatically extend to profiling, preference prediction, or marketing: each purpose must have its corresponding legal basis.
Portugal expressly recognizes this convergence: the Regime Jurídico dos Jogos e Apostas Online, approved by Decree-Law No. 66/2015, subjects the activity to data protection legislation. In Peru, this cross-cutting layer is governed by Law No. 29733 and its Regulations.
Governing the data
Determining which processing activities are lawful, for what purposes data may be used, or when consent is required is essential, but not sufficient. Data protection is a multidisciplinary discipline: it starts with legal requirements that must be translated into processes, responsibilities, organizational controls, and technological measures capable of functioning in real-world operations.
For an operator, governing its data means knowing what information player tracking, CRM, and other systems collect and generate; how it moves within the organization; who can access it; where it is stored; which providers are involved; what risks exist; and what controls make it possible to manage them.
For this reason, legally valid consent loses effectiveness if processes allow data to be used for different purposes; an access policy is insufficient if the system allows information to be downloaded without controls; and a provider’s contractual obligations do not eliminate the risk if we do not know how and where it processes the data.
Data protection therefore requires bringing together the legal perspective with knowledge of processes and the technological capability to implement and verify controls. These are not competing disciplines: each addresses a different part of the same problem.
The question for senior management is no longer simply, “Do we comply with the Data Protection Law?” but rather, “Can we demonstrate that our organization and our technology do with the data what we have legally defined they are permitted to do?” That is data governance.
The industry has already discovered the value of knowing the player. The next challenge is to govern that knowledge and turn it into a sustainable business advantage.
