KYC-kontroller på casino

KYC-kontroller på casino betyder kundkännedom, det vill säga att spelbolaget ska veta vem du är innan du spelar. Hur det går till skiljer sig dramatiskt mellan en svensk sajt och en internationell. På den ena sköts hela saken av en inloggning på tio sekunder, på den andra av ett mejl med bifogade filer och några dagars väntan. Skillnaden märks tydligast den dag du vill ta ut pengar.

Identifiering med e-legitimation

På en sajt med svensk licens är verifieringen avklarad innan du hunnit se ett enda spel. Du väljer att registrera dig, legitimerar dig med BankID eller en annan e-legitimation, och därefter är identiteten fastställd. Inga dokument skickas in, inga filer laddas upp och ingen handläggare tittar på en bild av ditt pass.

Ordningen kommer ur lagtexten. Enligt 12 kap. 2 § spellagen (2018:1138) ska du vid registreringen uppge namn, adress och personnummer eller motsvarande, och licenshavaren ska kontrollera identiteten på ett betryggande sätt genom en tillförlitlig elektronisk identifiering eller motsvarande. Lagen pekar inte ut någon särskild lösning, men i praktiken är det e-legitimation som används på den svenska marknaden.

Två saker till händer i samma ögonblick. Enligt 13 kap. 1 § ska licenshavaren öppna ett spelkonto för varje registrerad spelare, och enligt 12 kap. 4 § får spel inte ske innan bolaget kontrollerat att du inte stängt av dig i det nationella avstängningsregistret. Uppslaget mot registret görs om vid varje inloggning, eftersom 13 kap. 2 § kräver att du identifieras på ett betryggande sätt varje gång du loggar in på kontot.

Det finns en variant som ser ut att hoppa över steget helt. Vid pay n play skapas kontot i samma rörelse som den första insättningen, och identiteten hämtas från banköverföringen i stället för från ett separat registreringsformulär. Steget är inte borta, det är bara flyttat in i betalningen. Lagen tillåter dessutom ett tillfälligt spelkonto enligt 13 kap. 4 § i vissa lägen, men identiteten ska då vara fastställd senast när den första utbetalningen görs.

Ålderskontrollen faller ut av sig själv i den här modellen. Eftersom personnumret är känt från början behöver ingen räkna på ett födelsedatum i en dokumentkopia, och åldersgränsen på 18 år upprätthålls utan en enda manuell bedömning. Samma sak gäller kravet i 12 kap. 1 § att endast fysiska personer som är bosatta eller stadigvarande vistas i Sverige får registreras för onlinespel.

Modellen har också en gräns som är värd att känna till. E-legitimationen bevisar vem du är, inte varifrån dina pengar kommer. Den frågan hör till nästa lager av kundkännedom och dyker upp först vid större belopp, vilket är skälet till att även en svensk sajt kan be om underlag långt efter att identiteten är fastställd.

Identifiering med inskickade dokument

Den andra modellen är den de flesta beskrivningar av KYC på nätet utgår från, och den är fortfarande vanlig utanför Sverige. Där registrerar du dig med ett formulär, börjar spela, och först senare kommer begäran om handlingar. Ofta utlöses den av det första uttaget eller av att ett visst belopp passerats.

Tre sorters underlag brukar efterfrågas. Först en identitetshandling i form av pass, körkort eller nationellt id-kort, som fotograferas eller skannas. Sedan ett adressbevis, vanligen en räkning eller ett kontoutdrag som inte är äldre än tre månader och som visar namn och adress. Sist ett bevis för betalmetoden, till exempel en bild av ett kort med de mellersta siffrorna dolda eller en skärmdump från en e-plånbok.

Handläggningen är manuell och tar därför tid, vanligen från ett dygn till en vecka. En avvisad bild betyder att processen börjar om, och de vanligaste orsakerna är triviala: en bild som är beskuren i kanten, ett dokument som är för gammalt eller ett namn som stavas annorlunda än i registreringen. För spelaren är det oftast här väntan uppstår, inte i själva utbetalningen.

Modellen har en följd som sällan nämns. Dokumenten är kopior av handlingar som ligger kvar hos bolaget efteråt, och kvaliteten på förvaringen är omöjlig att bedöma utifrån. En bild av ett pass är känsligare än en uppgift om att en e-legitimation bekräftat vem du är, och den skillnaden finns kvar långt efter att kontot avslutats.

Att modellen lever kvar beror på att den fungerar där det saknas en nationell e-legitimation med bred täckning. I länder utan motsvarigheten till BankID finns ingen genväg, och då blir dokumenthanteringen den enda praktiska vägen till samma resultat. Den svenska ordningen är därför mindre en följd av strängare regler än av att infrastrukturen råkar finnas på plats.

Regelverket bakom KYC-kontroller

Kundkännedom är inte något bolagen hittat på för att krångla. Ett spelbolag är verksamhetsutövare enligt lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism, vilket innebär skyldighet att veta vem kunden är, att förstå syftet med affärsförbindelsen och att löpande följa transaktionerna. Kraven är desamma som för banker och växlingskontor, med skillnaden att spelbranschen har ett eget lager av spelrättsliga regler ovanpå.

Det spelrättsliga lagret handlar om något annat än pengar. Registreringen och identifieringen finns där för att åldersgränsen ska hålla, för att avstängningsregistret ska fungera och för att insättningsgränserna ska gå att koppla till en person i stället för till en e-postadress. Ett anonymt konto skulle göra samtliga tre verkningslösa på en gång, vilket är skälet till att den svenska modellen börjar med identiteten i stället för att skjuta upp den.

Hanteringen av uppgifterna regleras i sin tur av dataskyddsförordningen, och tillsynen över den delen ligger hos Integritetsskyddsmyndigheten och inte hos Spelinspektionen. Du har rätt att begära ut vad ett bolag sparat om dig, och penningtvättsregelverket kräver samtidigt att dokumentationen bevaras i flera år efter att kundrelationen upphört. De två sakerna går ihop, men det betyder att uppgifter finns kvar även när kontot är stängt.

Ansvaret för att regelverket följs ligger dessutom på två ställen samtidigt. Spelinspektionen utövar tillsyn över licenshavarnas spelverksamhet och kan besluta om sanktionsavgift eller i värsta fall dra in en licens, medan samma myndighet också är tillsynsmyndighet för spelbolagens arbete mot penningtvätt. För bolaget innebär det att brister i kundkännedomen kan slå mot både verksamheten och tillståndet, vilket är skälet till att rutinerna sällan är förhandlingsbara i kontakten med kundtjänsten.

Det är också värt att skilja begreppen åt. Kundkännedom handlar om vem du är och varifrån pengarna kommer. Spelansvar handlar om hur du spelar. De använder delvis samma underlag och utlöses av delvis samma signaler, men de finns i lagen av helt olika skäl, och en fråga från ett bolag kan därför ha två mycket olika bakgrunder.

Ett missförstånd är värt att reda ut. Kundkännedom är inte en kontroll av dig som person eller en bedömning av om du är skötsam. Den är en dokumentationsskyldighet som ligger på bolaget, och den ser likadan ut för alla kunder oavsett hur stora belopp de spelar för. Att bli ombedd att styrka något är därför ingen anklagelse, utan ett tecken på att en rutin gått igång.

Där metoderna skiljer sig på riktigt

Skillnaden är inte att den ena modellen har kontroll och den andra saknar den. Båda uppfyller kundkännedom. Skillnaden ligger i när kontrollen görs, vem som gör den och vad som blir kvar efteråt.

Den rad som betyder mest i vardagen är den första. När identiteten är fastställd innan du spelar finns ingen kontroll kvar att göra när du vill ta ut pengar, och uttaget begränsas bara av betalvägen. När identiteten fastställs vid uttaget hamnar hela väntan i det ögonblick då den känns som längst.

Raden om vad som lagras är den som betyder mest på lång sikt. Ett bolag som aldrig fått en bild av ditt pass kan heller aldrig tappa bort den. Det är ett argument som sällan står i marknadsföringen, eftersom det handlar om något som inte händer.

En sista rad förtjänar en kommentar, nämligen den om vem som bedömer. En automatisk identifiering mot folkbokföringen ger samma svar varje gång och kan inte ha en dålig dag. En handläggare gör en bedömning av en bild, och bedömningar varierar mellan personer och över dygnet. Det är inget argument mot människor i processen, men det förklarar varför två spelare med likvärdiga handlingar kan få olika besked hos samma bolag.

När en extra kontroll ändå görs

Även med e-legitimation kan ett uttag stanna upp, och det beror nästan alltid på något av tre skäl. Det första är att mottagarkontot inte stämmer med det du satte in från. Byter du bank mellan insättning och uttag bryts kopplingen, och bolaget ska säkerställa att spelaren och kontoinnehavaren är samma person.

Det andra är beloppets storlek. Penningtvättsregelverket bygger på riskbedömning, vilket innebär skärpt kundkännedom vid större eller ovanliga transaktioner. Då kan bolaget fråga varifrån medlen kommer och be om underlag som lönebesked, deklaration eller ett kontoutdrag. Frågan riktas inte mot dig personligen utan följer av en tröskel i bolagets egna rutiner, och den ställs på samma sätt av en bank vid en oväntat stor insättning.

Det tredje är att mönstret i sig avviker. Ett konto som legat stilla i tre år och plötsligt omsätter stora belopp utlöser en kontroll, liksom insättningar som kommer från flera olika håll. Här går kundkännedom ihop med omsorgsplikten i 14 kap. 1 § spellagen, som kräver att bolaget fortlöpande följer spelbeteendet och agerar när något avviker. De två regelverken tittar på samma data av olika skäl.

Handläggningstiden för den sortens frågor varierar med hur väl underlaget svarar mot frågan. Ett kontoutdrag som visar den transaktion bolaget undrar över räcker oftast, medan ett dokument som visar något närliggande leder till en följdfråga och ytterligare en väntan. Det som snabbar upp en sådan kontroll är enkelt och tråkigt. Använd samma bankkonto in och ut, skicka in det som efterfrågas i ett svar i stället för i fyra, och räkna med att ett stort uttag tar längre tid än ett litet. Nekas ett uttag helt ska bolaget kunna förklara varför, och kommer ni inte överens prövas tvisten av Allmänna reklamationsnämnden.

Ett besked som ofta missförstås är att kontot begränsas i väntan på underlag. Begränsningen träffar i regel insättningar och fortsatt spel, medan pengarna på kontot är dina hela tiden. Att ett konto är låst betyder inte att saldot är förverkat, utan att bolaget avvaktar innan det gör något mer med det.

Slutligen är det värt att skilja kundkännedom från de verktyg du styr själv. Identifieringen säger vem du är, medan gränserna säger hur mycket och hur länge. Insättningsgränser per dag, vecka och månad följer av 14 kap. 7 § spellagen och är obligatoriska, medan tids- och inloggningsgränser är frivilliga men vanliga. Om sessionsverktygen och tidsgränserna har vi skrivit utförligt på annat håll på sajten.

Kvar finns en enkel iakttagelse om vad kundkännedom gjort med spelupplevelsen i Sverige. Ett moment som på de flesta marknader är den mest irriterande delen av att öppna ett konto har här blivit ett klick, och det har flyttat konkurrensen mellan bolagen till andra saker: utbud, betalvägar och hur verktygen för gränser och pauser är byggda. Det är sällan någon tackar en teknisk lösning för att den försvann, men just den här har gjort mer för hur ett svenskt spelkonto känns än de flesta funktioner som marknadsförs.