KYC och identitetskontroll på casino

Konsumentupplysning

KYC står för know your customer och är den engelska termen för det som på svenska heter kundkännedom. Det handlar om att ett företag ska veta vem kunden är, för att pengatvätt och finansiering av terrorism ska kunna upptäckas. På ett casino betyder det att bolaget ska kunna knyta ett spelkonto till en verklig person.

Den vanligaste beskrivningen av KYC på svenska sajter är att kontrollen sätter igång när du vill ta ut en större vinst. Den beskrivningen är fel för bolag med svensk licens. Där ligger kontrollen före spelet, inte efter vinsten. Att kontrollen dyker upp först vid uttaget är i sig ett kännetecken för bolag som står utanför det svenska systemet.

Vad kundkännedom faktiskt innebär

Kundkännedom är ett krav som följer av lagen om åtgärder mot penningtvätt och finansiering av terrorism. Den lagen gäller enligt sitt eget tillämpningsområde för spelverksamhet som bedrivs med licens eller registrering enligt spellagen. Ett bolag som saknar svensk licens omfattas alltså inte av den svenska lagen, utan på sin höjd av regler i det land där det påstår sig ha tillstånd. Vad de vanligaste licenserna faktiskt kräver av ett bolag går vi igenom i vår genomgång av olika spellicenser.

Syftet är inte att kontrollera dig. Syftet är att bolaget ska kunna se om pengar som passerar genom spelkontot har ett rimligt ursprung. Det är därför frågor om varifrån pengarna kommer ingår i kontrollen hos seriösa aktörer. Det är också därför kontrollen inte går att förhandla bort.

Så ser kontrollen ut med svensk licens

Tre bestämmelser i spellagen avgör saken. Enligt 12 kap. 1 § ska en licenshavare registrera den som vill delta i spel. Enligt 12 kap. 2 § ska licenshavaren kontrollera spelarens identitet på ett betryggande sätt genom en tillförlitlig elektronisk identifiering eller motsvarande. Enligt 12 kap. 4 § får spel inte ske förrän spelarens identitet fastställts, med ett smalt undantag för tillfälliga spelkonton.

Spelinspektionen sammanfattar det själv i sin riskbedömning av penningtvätt på spelmarknaden. Alla som vill delta i spel ska som huvudregel registreras med bland annat namn och personnummer eller motsvarande. Spel får i normala fall inte ske förrän spelarens identitet är bekräftad.

I praktiken betyder det att kontrollen sker med BankID eller en annan elektronisk legitimation när du öppnar kontot. Du skickar ingen bild på ditt pass, eftersom legitimeringen redan har bevisat vem du är. Det är den viktigaste skillnaden och den som får flest följdverkningar.

Så ser kontrollen ut utan svensk licens

Ett bolag utan svensk licens kan inte använda BankID, eftersom BankID förutsätter avtal och kontroller som ett sådant bolag normalt inte har. Kontrollen görs i stället manuellt, genom att du laddar upp eller mejlar in dokument. Och eftersom det kostar pengar att granska dokument sparar många bolag den kostnaden tills den behövs, alltså till det ögonblick då du vill få ut pengar.

Det ger en ordning där du kan sätta in, spela och förlora utan att någon har frågat vem du är, men där kontrollen plötsligt aktiveras när du har vunnit. Att kravet kommer först då säger ingenting om att just din begäran är misstänkt. Det är så modellen är byggd.

Vad som händer med handlingarna du skickar

Dataskyddsförordningen gäller formellt även för organisationer som inte är etablerade i EU, när de erbjuder varor eller tjänster till personer som befinner sig i unionen. Ett casino som riktar sig till svenska spelare omfattas alltså i teorin av samma regler som en svensk myndighet. Skillnaden ligger i vad som händer när reglerna inte följs.

För att personuppgifter ska få föras till ett land utanför EU och EES krävs antingen att EU-kommissionen har beslutat att landet har en adekvat skyddsnivå, eller att andra lämpliga skyddsåtgärder har vidtagits. Bland de länder som har ett sådant beslut finns Isle of Man. Bland dem som inte har det finns Curaçao, Anjouan och Costa Rica, alltså de jurisdiktioner som är vanligast i den här delen av marknaden. Uppgifter om vilka länder som omfattas hålls uppdaterade av Integritetsskyddsmyndigheten.

Det praktiska problemet är enkelt att formulera. En kopia av ett pass går inte att ta tillbaka. Du kan begära radering, men du kan inte kontrollera att raderingen skett. Du kan inte veta hur många underleverantörer som hunnit hantera filen. Ett mejlat dokument har dessutom passerat minst en e-postserver på vägen. Vilka uppgifter vi själva behandlar när du hör av dig står i vår integritetspolicy.

Handlingar som brukar begäras

Kravlistan varierar mellan bolag, men följande återkommer.

• En identitetshandling, oftast pass eller körkort, i original och utan övertäckta fält.
• Ett adressbevis, vanligen en faktura eller ett kontoutdrag som inte är äldre än tre månader.
• Bevis på betalmetoden, till exempel en bild på kortet eller en skärmbild från en e-plånbok.
• Uppgifter om pengarnas ursprung, som lönespecifikation eller kontoutdrag, om beloppen är större.

Den sista punkten förvånar många. Den är samtidigt den enda som visar att bolaget faktiskt gör det som kundkännedom går ut på, i stället för att bara samla in dokument.

När kontrollen blir en anledning att inte betala

I våra granskningar är det här ett återkommande mönster i klagomålen. Uttaget begärs, verifieringen startar och sedan följer en kedja av kompletteringar. Bilden är inte tillräckligt skarp. Fakturan är för gammal. Namnet på kontoutdraget stämmer inte exakt med namnet på kontot. Under tiden ligger vinsten kvar på spelkontot, där den är fullt spelbar. Hur vi väger sådana klagomål mot bolagets egna villkor beskriver vi på Så granskar vi.

Det behöver inte vara illvilja. En långsam kontroll ser likadan ut för spelaren oavsett orsak. Men skillnaden mot ett bolag med svensk licens är att det där finns en myndighet som kan granska hanteringen. Där var dessutom identiteten fastställd redan innan spelet började, så att frågan aldrig uppstår vid uttaget.

Det här är inte en guide till hur du undviker kontrollen

Tidigare fanns på den här sidan ett stycke om att man kan byta casino innan man når gränsen som utlöser en kontroll. Det stycket är borttaget. Rådet var i praktiken en beskrivning av hur man undgår en kontroll som finns för att motverka penningtvätt. Det hör inte hemma på en sajt som säger sig granska branschen.

Vill du spela utan att behöva mejla kopior av dina handlingar är svaret inte ett bolag som struntar i kontrollen. Svaret är ett bolag där kontrollen görs med elektronisk legitimation innan spelet börjar, alltså ett bolag med svensk licens.

Om du redan har skickat in handlingar

Det går inte att göra ogjort, men några saker är värda att göra.

1. Begär ett registerutdrag från bolaget. Du har rätt att få veta vilka uppgifter som behandlas och vilka de har delats med.
2. Begär radering när ärendet är avslutat. Spara din begäran samt eventuellt svar.
3. Får du inget svar, eller ett svar du inte tror på, kan du lämna ett klagomål till Integritetsskyddsmyndigheten. Möjligheten att driva igenom ett beslut mot ett bolag utanför EU är begränsad, men klagomålet blir ändå en uppgift hos myndigheten.
4. Håll uppsikt över post och konton en tid framåt. Misstänker du att dina handlingar används av någon annan gör du en polisanmälan.
5. Skicka aldrig fler handlingar än de som faktiskt efterfrågas. Maskera kontonummer som inte behövs för ändamålet.

Vanliga frågor om KYC

Senast granskad 28 juli 2026