Så fungerar KYC-kontrollen på ett spelkonto

En KYC-kontroll är den identifiering som sker innan ett spelkonto får användas. Förkortningen står för know your customer och används brett i finansbranschen, men på den svenska spelmarknaden vilar momentet på två skilda regelverk med olika syften. Det ena reglerar registreringen av spelaren, det andra kundkännedomen mot penningtvätt. Skillnaden avgör vad som efterfrågas, när i förloppet det sker och varför två spelare hos samma bolag kan mötas av helt olika krav.

Registreringen är ett krav och inte ett val

Enligt 12 kap. 1 § spellagen ska en licenshavare registrera den som vill delta i spel. För onlinespel får endast fysiska personer som är bosatta eller stadigvarande vistas i Sverige registreras, vilket innebär att ett konto inte kan öppnas från utlandet på en svensk sajt.

Vid registreringen ska spelaren enligt 12 kap. 2 § uppge namn, adress och personnummer eller motsvarande. Åldersgränsen är 18 år och följer av 14 kap. 2 §, som anger att licenspliktigt spel inte får tillhandahållas någon som är yngre.

Registreringen går därmed inte att välja bort. Formuleringar om spel utan konto eller utan registrering syftar på hur flödet upplevs, inte på att kravet skulle vara borta, och en licenshavare får enligt Konsumentverkets allmänna råd inte påstå att inget konto behövs.

Identifiering med e-legitimation är huvudvägen

Samma paragraf anger hur identiteten ska fastställas. Licenshavaren ska kontrollera spelarens identitet på ett betryggande sätt genom en tillförlitlig elektronisk identifiering eller motsvarande. I praktiken innebär det e-legitimation, vilket är skälet till att svenska spelkonton öppnas med några knapptryck.

Fördelen ligger i att uppgifterna hämtas från en källa som redan är verifierad. Namn och personnummer följer med identifieringen, och bolaget behöver varken tolka en bild av en handling eller bedöma dess äkthet. Kontrollen tar sekunder i stället för dagar.

Formuleringen eller motsvarande i lagtexten öppnar för andra metoder som ger samma säkerhet. Den som saknar e-legitimation kan därför identifieras på annat sätt, men då återkommer den manuella hanteringen som beskrivs i nästa avsnitt.

Identifieringen upprepas dessutom vid varje inloggning. Enligt 13 kap. 2 § spellagen ska licenshavaren identifiera spelaren på ett betryggande sätt när denne loggar in på sitt spelkonto, vilket är skälet till att inloggning med e-legitimation är normalfallet även efter att kontot öppnats.

Dokumentkontrollen hör till kundkännedomen

Begäran om legitimationskopia, adressbevis eller uppgift om varifrån pengarna kommer har normalt en annan grund än registreringen. Licenshavare omfattas av lagen om åtgärder mot penningtvätt och finansiering av terrorism, och Spelinspektionen har enligt 18 kap. 2 § spellagen tillsyn över att den lagen följs i spelverksamheten.

Kundkännedomen är riskbaserad, vilket innebär att omfattningen styrs av kundens och transaktionernas karaktär snarare än av ett fast schema. En begäran kan därför dyka upp långt efter registreringen, exempelvis vid större insättningar eller vid ett uttag som avviker från mönstret.

Det är också förklaringen till att två spelare hos samma bolag kan mötas av olika krav. Den ena identifieras på sekunder och ser aldrig ett dokumentkrav, den andra ombeds komplettera. Skillnaden ligger i riskbedömningen och inte i hur bolaget ser på den enskilde.

Vad som begärs varierar därför också mellan bolag. Ett bolag kan nöja sig med en uppgift om anställning eller inkomstkälla, medan ett annat begär underlag. Gemensamt är att begäran ska ha en koppling till den bedömda risken och att den inte får vara mer omfattande än vad ändamålet kräver.

Det tillfälliga spelkontot överbryggar väntetiden

Spel får enligt 12 kap. 4 § inte ske förrän identiteten har fastställts. Undantaget är ett tillfälligt spelkonto enligt 13 kap. 4 §, som får öppnas innan uppgifterna har verifierats.

Konstruktionen har tydliga gränser. Ett tillfälligt spelkonto får inte öppnas för någon som finns i självavstängningsregistret, och utbetalningar får som huvudregel inte göras från det. Bolaget ska dessutom stänga kontot om det visar sig att spelaren lämnat felaktig information vid registreringen, eller om begärd dokumentation inte kommer in inom utsatt tid.

Identiteten ska under alla förhållanden vara fastställd senast i samband med den första utbetalningen. Det är därför verifieringen ofta aktualiseras just vid det första uttaget, vilket kan upplevas som att kravet kommer i efterhand trots att det gällt hela tiden.

Ett tillfälligt konto är därmed inte en genväg förbi kraven utan en kort frist inom dem. Fristen finns för att spelaren ska slippa vänta på handläggning innan kontot alls går att använda, och den upphör i samma stund som uppgifterna är verifierade eller visar sig felaktiga.

Räkna med en slagning mot avstängningsregistret

Utöver identifieringen sker en kontroll som saknar motsvarighet i andra branscher. Spel får enligt 12 kap. 4 § tredje stycket inte ske innan licenshavaren har sett efter att spelaren inte har stängt av sig från spel.

Enligt 11 kap. 9 § spelförordningen ska den slagningen göras vid registreringen och därefter varje gång spelaren loggar in. Visar den att avstängning finns ska registrering nekas, och vid inloggning ska tillträde till spelet nekas. Är avstängningen tills vidare ska kontot omedelbart avslutas.

Kontrollen är alltså återkommande och inte ett engångsmoment. Den är också skälet till att en avstängning får verkan hos samtliga bolag utan att spelaren behöver kontakta något av dem.

Kontots konstruktion är reglerad i övrigt. Varje registrerad spelare ska enligt 13 kap. 1 § ha ett spelkonto, samtliga ekonomiska transaktioner ska registreras och spelaren ska enligt 13 kap. 3 § ha tillgång till saldo, spelhistorik och transaktioner i minst tolv månader.

Betalningar får enligt 13 kap. 5 § tas emot endast från en betaltjänstleverantör, och enligt 13 kap. 6 § får pengar inte överföras mellan spelkonton. Medlen på kontot ska enligt 13 kap. 7 § hållas avskilda från bolagets egna medel, och spelaren ska informeras om hur de är skyddade vid ett obestånd. Att avsluta kontot får enligt 13 kap. 10 § inte kosta något.

Uppgifterna får behandlas för bestämda ändamål

Personuppgifterna som samlas in är inte fritt användbara. Enligt 17 kap. 5 § spellagen får en licenshavare behandla uppgifter bland annat för att kontrollera spelarens identitet och ålder, för att upprätta och sköta spelkontot, för att upptäcka fusk och bedrägeri samt för att genomföra självavstängning. Ändamålen är uppräknade, och behandling utanför dem saknar stöd i den bestämmelsen.

Vid sidan av det gäller dataskyddsförordningen med de rättigheter som följer av den: tillgång till uppgifterna, rättelse av felaktigheter, radering, begränsning och invändning. Rätten till radering begränsas i praktiken av att vissa uppgifter måste sparas enligt penningtvättsregelverket, vilket är ett exempel på när en rättslig förpliktelse går före en begäran.

När ett spelkonto avslutas ska tillgodohavandet enligt 13 kap. 8 § betalas ut skyndsamt, och enligt 10 kap. 2 § spelförordningen senast fem vardagar efter avslutet. Har kontot avslutats för att spelaren lämnat felaktiga uppgifter betalas endast återstoden av insättningarna tillbaka.

Uppgifter som lämnats till ett bolag följer inte med till nästa. Varje licenshavare gör sin egen identifiering och sin egen bedömning, vilket innebär att den som öppnar ett konto hos en ny aktör går igenom momentet på nytt även om det gjordes för en vecka sedan hos någon annan.

De två vägarna sida vid sida

Skillnaden mellan identifiering och kundkännedom är den som förklarar de flesta frågetecken kring verifiering. Den första är ett krav som gäller alla och som sker vid registreringen, den andra är riskbaserad och kan aktualiseras när som helst under kundförhållandet.

Tabellen nedan ställer de två vägarna mot varandra. Båda kan förekomma för samma spelare, och den ena ersätter inte den andra.