KYC-kontroll på casino

En KYC-kontroll på casino är samlingsnamnet för de åtgärder ett spelbolag vidtar för att veta vem kunden är. Förkortningen står för know your customer och används i hela finanssektorn, men hos ett svensklicensierat spelbolag vilar kontrollen på två skilda regelverk med olika syften och olika utlösande händelser. Skillnaden mellan dem förklarar varför vissa uppgifter begärs vid registreringen och andra först långt senare.

Skilj identitetskontrollen från kundkännedomen

Det första regelverket är spellagen (2018:1138). Enligt 12 kap. 1 § ska en licenshavare registrera den som vill delta i spel, och enligt 12 kap. 2 § ska spelaren uppge namn, adress och personnummer eller motsvarande. Syftet är att åldersgränsen ska kunna upprätthållas och att fusk och bedrägeri ska kunna motverkas.

Det andra är penningtvättslagen (2017:630), som omfattar spelverksamhet på samma sätt som banker och andra verksamhetsutövare. Där handlar det inte om ålder utan om att verksamheten inte ska utnyttjas för penningtvätt eller finansiering av terrorism. Spelinspektionen har enligt 18 kap. 2 § spellagen tillsyn även över att den lagen följs.

Uppdelningen förklarar upplevelsen av att bli kontrollerad två gånger. Registreringen sker en gång och är densamma för alla, medan kundkännedomen är riskbaserad och återkommer när något i mönstret motiverar det. Den som förväxlar de två undrar med rätta varför ytterligare uppgifter begärs av någon som redan legitimerat sig.

Elektronisk identifiering ersätter kopior vid registreringen

Enligt 12 kap. 2 § spellagen ska licenshavaren kontrollera spelarens identitet på ett betryggande sätt genom tillförlitlig elektronisk identifiering eller motsvarande. På den svenska marknaden sker det i regel med BankID.

Följden är att registreringen hos ett svensklicensierat bolag normalt inte kräver att pass, körkort eller id-kort fotograferas och skickas in. Uppgifterna hämtas i stället från legitimeringen, vilket är både snabbare och säkrare än att ladda upp bilder på handlingar. Begär en sajt sådana kopior redan vid kontoöppnandet är det ett skäl att kontrollera licensen innan något skickas.

Lagen anger också en bortre gräns för när identiteten senast måste vara fastställd: det ska ske senast i samband med att den första utbetalningen till spelaren görs. Den regeln är förklaringen till att kontroller ofta aktualiseras just vid ett uttag.

Kundkännedomen är riskbaserad

Penningtvättslagen bygger på ett riskbaserat förhållningssätt. Bolaget ska göra en allmän riskbedömning av sin egen verksamhet och en bedömning av risken hos varje kund, och åtgärderna anpassas efter utfallet. Enligt lagen ska verksamhetsutövaren dessutom ha dokumenterade rutiner och riktlinjer för kundkännedom, övervakning, rapportering och behandling av personuppgifter.

Vissa trösklar är angivna. För spelverksamhet ska åtgärder för kundkännedom vidtas bland annat vid enstaka transaktioner som avser utbetalning av vinster eller betalning av insatser som uppgår till ett belopp motsvarande 2 000 euro eller mer. Under den nivån styrs kontrollen av riskbedömningen snarare än av ett fast belopp.

Till kundkännedomen hör också frågan om kunden är en person i politiskt utsatt ställning, en så kallad PEP, eller familjemedlem respektive känd medarbetare till en sådan. Bolaget ska vidare övervaka transaktioner löpande och rapportera misstänkta fall till Finanspolisen. Spelinspektionens riskbedömning av spelmarknaden beskriver hur myndigheten ser på riskerna i olika spelformer.

Uppgifterna behandlas för bestämda ändamål

Kontrollen innebär att bolaget behandlar personuppgifter, och behandlingen är inte fri. Penningtvättslagen kräver dokumenterade rutiner även för den delen, och spellagen anger särskilt vilka ändamål som är tillåtna.

Enligt 14 kap. 5 § spellagen får personuppgifter behandlas när det är nödvändigt för att bland annat kontrollera spelarens identitet och ålder, upprätta spelkonton, granska spelet i syfte att upptäcka fusk och bedrägeri samt analysera spelarprofiler och spelbeteende. Uppräkningen är avgränsad, vilket innebär att uppgifter insamlade för kundkännedom inte fritt kan användas till något annat.

För den som lämnar handlingar är det värt att veta två saker. Bolaget ska kunna ange varför en viss uppgift begärs, och det ska framgå hur länge den sparas. Penningtvättsregelverket ställer krav på bevarande av handlingar under en bestämd tid, vilket innebär att uppgifterna inte raderas direkt efter att kontrollen är avslutad.

Uttaget är den vanligaste kontrollpunkten

Frågor om ursprunget till insatta medel eller om anställning och inkomst kommer sällan vid registreringen och ofta vid ett uttag. Skälet är dubbelt: lagen anger utbetalningen som senaste tidpunkt för fastställd identitet, och ett uttag är samtidigt den transaktion som är mest relevant ur penningtvättssynpunkt.

Det innebär att ett fördröjt uttag inte i sig är ett tecken på att något gått fel. Ett bolag som begär kompletterande uppgifter innan en första utbetalning gör det som lagen kräver. Vad som däremot ska framgå är vilka handlingar som begärs och varför, eftersom villkoren ska ange vad bolaget kan komma att begära in i samband med utbetalningar.

Handläggningstiden är den punkt där bedömningen blir praktisk. En kontroll som tar några dagar är normal, medan upprepade förfrågningar om samma sak eller tystnad under lång tid är skäl att framställa ett skriftligt klagomål hos bolagets kundtjänst. En licenshavare ska enligt 14 kap. 13 § spellagen ha rutiner och bemanning för hantering av klagomål.

Så förbereder du dig för en förfrågan

Det mesta går snabbare med rätt underlag framme. Vanliga förfrågningar rör identitet, adress, betalmetodens koppling till dig och medlens ursprung, och samtliga går att förbereda innan de kommer.

Spara underlag som styrker inkomst eller annan tillgång, exempelvis lönespecifikation eller kontoutdrag, och håll dem samlade. Använd samma betalmetod för uttag som för insättning, eftersom avvikelser regelmässigt utlöser kontroller. Kontrollera att adressuppgifterna på kontot är aktuella. Dokumentera slutligen vad som skickats in och när, så att ärendet går att följa om det drar ut på tiden.

Skicka handlingarna i bolagets egna kanaler och inte via vanlig e-post om en säker uppladdningsfunktion finns. Uppgifterna är känsliga, och den som lämnar dem har rätt att veta hur de behandlas. Bolagets integritetsinformation ska ange ändamål och lagringstid.

Förfrågningar som inte hör hemma i svensk licens

Vissa krav förekommer i äldre beskrivningar av KYC men stämmer inte med hur en svensk licenshavare arbetar i dag. Kopior av kreditkort är det tydligaste exemplet. Sedan det utökade kreditförbudet trädde i kraft den 1 maj 2026 får spel inte finansieras med kredit hos ett licensierat bolag, vilket innebär att ett kreditkort inte kan vara den betalmetod som ska verifieras.

Ett annat exempel är begäran om fotografier på id-handlingar redan vid registrering, vilket den elektroniska identifieringen gör överflödig. Ett tredje är förfrågningar som kommer via kanaler du inte känner igen, eftersom bedrägeriförsök som utger sig för att vara kundkännedomskontroller förekommer.

Grundregeln är enkel att formulera. En legitim kontroll kommer från ett bolag du redan har ett konto hos, den efterfrågar uppgifter som har med kontot att göra, och den går att bekräfta genom att logga in på bolagets sajt i stället för att följa en länk i ett meddelande.

Följande återkommer kring kundkännedomskontroller och kostar mest för den som inte förberett sig:

• Uttaget begärs med en annan betalmetod än den som användes vid insättningen
• Handlingar skickas via e-post trots att en säker uppladdning finns i kontot
• Begärda underlag saknas eller är för gamla, varför ärendet fördröjs ytterligare
• Kontrollen förväxlas med ett nekat uttag och ärendet drivs som en tvist i onödan
• Id-handlingar laddas upp hos en sajt som inte kontrollerats i licensregistret
• En förfrågan följs via en länk i ett meddelande i stället för genom inloggning
• Uppgifter lämnas utan att skälet till förfrågan efterfrågats