Vad är KYC? Kundkännedom och verifiering på casino

KYC står för Know Your Customer, kundkännedom på svenska. Banker, spelbolag och andra verksamheter under penningtvättslagen måste ta reda på vem du är, varför du använder tjänsten och ibland var pengarna kommer ifrån, för att förhindra penningtvätt och finansiering av terrorism. På ett casino identifieras du innan du spelar eller, oftast, senast innan du tar ut pengar.

För dig som spelar betyder det att spelbolaget måste veta vem du är, att du är myndig och var dina pengar kommer ifrån. Hos casinon med svensk licens sker kontrollen i regel direkt med BankID innan du spelar. Hos casinon utan svensk licens görs den oftast i efterhand, med id-handling och adressbevis, senast när du vill ta ut pengar. Kravet kommer från EU:s regler mot penningtvätt och, för svenska licenshavare, även från spellagen. Här går vi igenom vad lagen kräver, vilka dokument som efterfrågas, varför kontroller ibland drar ut på tiden och hur du skyddar dina uppgifter.

18+. Spel om pengar kan bli ett problem. Stödlinjen svarar gratis och anonymt på 020‑81 91 00, och mer finns på stodlinjen.se.

Kundkännedom enligt lag: varifrån kravet kommer

Grunden är EU:s fjärde penningtvättsdirektiv (2015/849). Artikel 11 d säger att den som tillhandahåller spel ska vidta åtgärder för kundkännedom vid transaktioner på 2 000 euro eller mer, både när insatser betalas och när vinster betalas ut, även om beloppet delas upp på flera transaktioner som hänger ihop. Varje EU-land har sedan infört regeln i sin egen lag.

I Sverige finns den i lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism. Lagen gäller enligt 1 kap. 2 § för spelverksamhet som bedrivs med licens eller registrering enligt spellagen. Tröskeln på 2 000 euro står i 3 kap. 5 §, och enligt 5 kap. 3 § ska bolaget bevara handlingar om kundkännedom och transaktioner i fem år. Spelinspektionen är den myndighet som har tillsyn över att svenska licenshavare följer reglerna.

Nästa steg är redan beslutat. EU:s nya penningtvättsförordning, (EU) 2024/1624, gäller direkt i alla medlemsländer från den 10 juli 2027 och behåller tröskeln på 2 000 euro för spelbolag. Förordningen ersätter stora delar av de nationella lagarna, vilket gör att kraven blir mer lika mellan till exempel Malta, Estland och Sverige.

Vem måste göra KYC?

Penningtvättslagen räknar upp vilka verksamheter som måste göra kundkännedom. Hit hör banker och andra kreditinstitut, livförsäkringsbolag, värdepappers- och fondbolag, betalningsinstitut, e-pengainstitut och leverantörer av kryptotillgångstjänster. Lagen gäller också fastighetsmäklare, pantbanker, revisorer, redovisningsbyråer, skatterådgivare och advokater i vissa ärenden, handlare som tar emot eller betalar ut kontanter på 5 000 euro eller mer, konsthandlare vid affärer på 10 000 euro eller mer och spelbolag med svensk licens eller registrering. Alla ska identifiera kunden, ta reda på vad affärerna ska användas till och följa upp dem löpande. Därför ställer även banken frågor om vem du är och vad kontot ska användas till.

Vad spellagen kräver utöver penningtvättsreglerna

För svenska licenshavare räcker det inte med penningtvättslagen. Spellagen (2018:1138) innehåller egna regler om identifiering som gäller alla spelare, oavsett belopp:

Kombinationen gör att KYC hos en svensk licenshavare oftast känns osynlig. BankID ger både identitet och ålder på några sekunder, och den som använder Pay N Play får dessutom kontot skapat i samma steg. Hur det flödet fungerar beskriver vi i guiden om Pay N Play på casino. Spellagens helhet och ändringarna sedan 2019 finns i genomgången av nya spellagen.

Svensk och utländsk licens: två sätt att göra KYC

Sajter utan svensk licens har sällan tillgång till BankID för svenska kunder. De identifierar dig ändå, eftersom deras egna licenser och EU:s penningtvättsregler kräver det, men på ett annat sätt och vid en annan tidpunkt.

Vad de olika licenserna betyder i övrigt, för klagomål, skatt och spelarskydd, beskriver vi i texterna om MGA-casinon, Curaçao-casinon och Anjouans licenser. Hur registreringen går till på sajter som saknar BankID finns i guiden om casino utan BankID.

Tidpunkterna som utlöser en kontroll

KYC är inte en enda händelse. Hos de flesta spelbolag finns flera lägen där kontrollen startar eller fördjupas:

1. Registrering. Hos svenska licenshavare alltid. Hos utländska sajter ibland, men ofta bara en kontroll av mobilnummer och e-post.
2. Beloppsgränser. När insättningar eller uttag sammanlagt når 2 000 euro ska bolaget ha kundkännedom. Flera utländska sajter skriver in samma gräns i sina villkor.
3. Första uttaget. Det vanligaste läget hos sajter utan svensk licens. Uttaget väntar tills dokumenten är godkända.
4. Stor vinst. En jackpott eller ett stort uttag kan leda till frågor om var insättningarna kom ifrån, även om du redan är verifierad.
5. Ny betalmetod. Ett nytt kort eller en ny e-plånbok kan behöva visas upp, för att visa att den tillhör dig.
6. Förändrat spelbeteende. Svenska licenshavare har en omsorgsplikt enligt 14 kap. 1 § spellagen och ska följa spelbeteendet. Snabbt ökande insättningar kan leda till kontakt och frågor om din ekonomi.

Två förlopp från start till uttag

Skillnaden mellan licenserna blir tydligast om man följer samma spelare genom båda flödena. Exemplen är påhittade men bygger på hur registrering och uttag brukar gå till.

Hos ett casino med svensk licens

Anna loggar in med BankID och sätter in 300 kr. Bolaget får hennes namn, personnummer och adress från identifieringen, ser att hon är över 18 år och kontrollerar att hon inte finns i Spelpaus. Hon anger en veckogräns och börjar spela. En vecka senare vinner hon 4 000 kr och begär uttag. Pengarna går till samma bankkonto, och eftersom identiteten redan är fastställd krävs inga dokument. Först om hennes insättningar ökar kraftigt kan bolaget höra av sig och fråga om hennes ekonomi.

Hos ett casino med licens från Malta

Erik registrerar sig med mobilnummer och engångskod och sätter in 50 euro med kort. Han spelar utan att skicka något. När han vill ta ut 400 euro hamnar uttaget i kö, och han ombeds ladda upp pass, adressbevis och en bild på kortet. Passet godkänns direkt, men adressbeviset är fyra månader gammalt och avvisas. Med ett nytt kontoutdrag godkänns kontot två dagar senare, och först då börjar uttagets behandlingstid räknas. Hade han verifierat sig dagen han registrerade sig hade uttaget kunnat behandlas direkt.

Om du inte vill lämna ut dokument

Det finns inget sätt att spela om pengar hos en seriös sajt och samtidigt slippa identifiering helt. Vill du lämna ut så lite som möjligt är en svensk licenshavare med BankID oftast det bästa valet: du skickar inga kopior, och uppgifterna kommer direkt från banken. Hos utländska sajter är det klokt att hålla sig till ett fåtal, så att färre bolag har kopior av dina handlingar.

Ett annat alternativ är att använda betalsätt där en verifierad tredje part redan känner dig, som en e-plånbok. Casinot har ändå samma rätt och skyldighet att kontrollera din identitet, men kontrollen kan gå enklare. Tänk också på att den som vägrar lämna begärda handlingar kan få sitt konto stängt, och att insättningar då i bästa fall betalas tillbaka medan vinster kan behållas av sajten enligt villkoren.

Dokumenten som efterfrågas

Kraven varierar något mellan sajter, men listan ser i stort sett likadan ut överallt. Tabellen visar vad som brukar gälla och var det oftast går fel.

Svenska adressbevis som ofta godtas är kontoutdrag från banken, en faktura för el eller bredband, eller ett brev från Skatteverket eller Försäkringskassan. Ett utdrag ur folkbokföringen, personbevis, beställer du gratis från Skatteverket och det visar din folkbokföringsadress.

Pengarnas ursprung: när casinot vill veta mer

Vid större belopp räcker det inte att veta vem du är. Spelbolaget ska också förstå var pengarna kommer ifrån, något som brukar kallas source of funds. Vid mycket stora summor kan det gälla hela din förmögenhet, source of wealth. Syftet är att upptäcka om spel används för att tvätta pengar från brott.

Frågan kan kännas påträngande, men den är ett lagkrav och inte ett tecken på misstanke mot just dig. Svara sakligt och skicka underlag som visar sambandet mellan din inkomst och dina insättningar:

• Lön: de senaste lönebeskeden plus ett kontoutdrag där lönen och insättningarna till casinot syns.
• Försäljning: köpeavtal för en bil eller bostad och kontoutdraget där pengarna kom in.
• Arv eller gåva: arvskifteshandling eller gåvobrev.
• Tidigare spelvinst: utbetalningsbesked från spelbolaget och kontoutdrag.
• Sparande: kontoutdrag som visar att pengarna funnits en längre tid.

Om underlagen inte räcker kan spelbolaget stoppa fortsatt spel och, i värsta fall, avsluta kontot. Spelbolag är också skyldiga att rapportera misstänkta transaktioner till Finanspolisen, utan att berätta det för kunden.

PEP, sanktionslistor och andra kontroller

En del av KYC sker utan att du märker det. Spelbolaget jämför dina uppgifter med register och listor:

• Person i politiskt utsatt ställning (PEP). Penningtvättslagen kräver skärpta åtgärder för personer med höga offentliga uppdrag, deras familjemedlemmar och kända medarbetare. Det gäller bland annat statsråd, riksdagsledamöter och höga domare.
• Sanktionslistor. Namn kontrolleras mot EU:s och FN:s listor över personer som omfattas av sanktioner.
• Dubbla konton. Samma namn, adress eller betalkort på flera konton är ett vanligt tecken på bonusmissbruk och leder till stängda konton.
• Enhet och plats. Många sajter registrerar IP-adress och enhet. Ett land som inte stämmer med adressen kan leda till frågor.

Så skickar du in dokumenten: en praktisk ordning

1. Läs villkoren först. Sök efter avsnitt om ”verification”, ”KYC” eller ”identity” och notera vilka handlingar som godtas.
2. Förbered filerna. Fotografera mot en mörk bakgrund i dagsljus, utan blixt. Alla hörn ska synas och texten gå att läsa.
3. Täck över det som inte behövs. Säkerhetskoden på kortet och mittensiffrorna i kortnumret ska vara dolda.
4. Ladda upp i kontot. Använd sajtens egen uppladdningsfunktion, inte e-post eller chatt, om inte kundtjänst uttryckligen ber om det via en adress du kan kontrollera på sajten.
5. Kontrollera statusen. De flesta konton visar om dokumenten är mottagna, under granskning, godkända eller avvisade.
6. Svara på följdfrågor snabbt. En följdfråga som ligger obesvarad i en vecka gör att uttaget väntar lika länge.

Gör verifieringen direkt efter första insättningen, inte när du vill ta ut en vinst. Då är det klart när det behövs, och du vet att kontot fungerar innan du har pengar att förlora på en försening.

Avslag och förseningar: orsaker och lösningar

Hos svenska licenshavare ska ett beslut att avsluta ett spelkonto meddelas skriftligen med skälen, enligt 13 kap. 9 § spellagen. Utländska sajter har egna regler, och klagomål går då via casinot och sedan ett tvistlösningsorgan beroende på licens.

Dina rättigheter: dataskydd och lagring

Spelbolag inom EU och EES ska följa dataskyddsförordningen (GDPR). Du har rätt att få veta vilka uppgifter bolaget har om dig, att få felaktiga uppgifter rättade och att klaga till dataskyddsmyndigheten i landet där bolaget finns. Rätten att bli raderad är däremot begränsad: penningtvättsreglerna kräver att handlingar om kundkännedom sparas, i Sverige i fem år. Ett avslutat konto betyder därför inte att passkopian försvinner samma dag.

Bolag utanför EU, till exempel på Curaçao eller Anjouan, omfattas av GDPR när de riktar sig till personer i EU, men det är betydligt svårare att utöva rättigheterna i praktiken. Det är ett skäl att vara sparsam med vilka sajter du skickar dokument till.

Skydda dina dokument

En passkopia i fel händer kan användas för att öppna konton, ta lån eller begå andra bedrägerier i ditt namn. Några enkla vanor minskar risken:

• Skicka bara dokument till sajter med en licens som du själv har kontrollerat i myndighetens register.
• Märk kopian med en text över bilden, till exempel ”Endast för verifiering hos [sajtens namn], oktober 2026”, utan att täcka uppgifterna som ska kontrolleras.
• Skicka aldrig dokument som svar på ett mejl eller sms du inte väntat på, även om avsändaren ser ut att vara casinot.
• Radera kopiorna från telefonens kamerarulle och molnsynk när de är uppladdade.
• Bevaka kreditupplysningar. Flera tjänster meddelar dig när någon tar en upplysning på ditt personnummer.

Misstänker du att dina uppgifter har missbrukats, kontakta banken, polisanmäl och meddela kreditupplysningsföretagen.

Selfie, video och biometrik

Allt fler sajter utan svensk licens använder en automatisk kontroll i stället för att låta en handläggare granska bilder. Du fotograferar id-handlingen med mobilen och filmar sedan ditt ansikte några sekunder, ibland medan du vrider på huvudet. Tjänsten jämför ansiktet med bilden i handlingen och kontrollerar att det är en levande person framför kameran och inte ett foto, något som brukar kallas liveness-kontroll.

Fördelen är tempot: en godkänd kontroll kan vara klar på några minuter, även en söndagskväll. Nackdelen är att ansiktsbilder räknas som biometriska uppgifter, en särskilt skyddsvärd kategori enligt GDPR. Läs därför vilken leverantör sajten använder och var uppgifterna lagras. Kontrollen sköts ofta av ett externt företag, och det ska framgå av sajtens integritetspolicy.

När dina uppgifter ändras

En verifiering är en ögonblicksbild, men kundkännedomen kräver löpande uppföljning. Den svenska penningtvättslagen kräver i 3 kap. 13 § att bolaget löpande och vid behov följer upp affärsförbindelsen, så att kännedomen om kunden är aktuell och tillräcklig. Därför kan du få nya frågor eller bli ombedd att skicka nya handlingar även när kontot redan är verifierat. Flyttar du, byter efternamn eller får ett nytt pass behöver uppgifterna i kontot uppdateras, annars kan nästa uttag stoppas för att adressbeviset eller namnet inte stämmer. Hos svenska licenshavare uppdateras adressen ofta automatiskt via folkbokföringen. Hos utländska sajter är det du som ska ändra uppgifterna och skicka nytt underlag. Gör det innan du begär ett uttag, inte efteråt.

Samma sak gäller om id-handlingen går ut. Många sajter begär en ny kopia när den gamla har passerat sitt sista giltighetsdatum, även om kontot redan är verifierat.

Betting, poker och lotterier

Reglerna gäller alla spelformer som kräver registrering, inte bara casino. Ett bettingkonto, ett pokerkonto och ett casinokonto hos samma bolag delar normalt samma verifiering. För lotterier finns vissa undantag: den som deltar i ett lotteri för viss tid, ett så kallat prenumerationslotteri, ska registreras med namn, adress och personnummer men behöver inte identifieras elektroniskt enligt 12 kap. 3 § spellagen. På pokerrummens bord kan dessutom kontroller mot samarbete mellan spelare och flera konton bli strängare än på casinot.

Vad händer när ett spelbolag brister?

Spelinspektionen granskar att svenska licenshavare följer både spellagen och penningtvättslagen. Brister kan leda till föreläggande, anmärkning eller varning, och i allvarliga fall till sanktionsavgift eller att licensen återkallas. Myndigheten publicerar sina beslut, och flera av dem har gällt bristande kundkännedom eller riskbedömning. För dig som spelare innebär tillsynen att ett svenskt bolag har starka skäl att ställa frågor hellre än att låta bli.

Hos utländska licenser är tillsynen en fråga för licenslandet. Malta Gaming Authority och den maltesiska finansunderrättelseenheten FIAU granskar maltesiska licenshavare, och Estlands EMTA de estniska. Hos licenser utanför EU är tillsynen oftast svagare och svårare för en svensk spelare att följa.

Ord att känna till

• AML: Anti-Money Laundering, åtgärder mot penningtvätt.
• CDD: Customer Due Diligence, grundläggande kundkännedom.
• EDD: Enhanced Due Diligence, skärpt kundkännedom vid högre risk, till exempel för personer i politiskt utsatt ställning.
• PEP: Politically Exposed Person, person i politiskt utsatt ställning.
• POI och POA: Proof of Identity och Proof of Address, id-handling och adressbevis.
• SoF och SoW: Source of Funds och Source of Wealth, pengarnas ursprung och förmögenhetens ursprung.
• Liveness: kontroll att en levande person finns framför kameran vid selfie- eller videoverifiering.

Casinon som marknadsför sig utan verifiering

Sajter som lovar spel helt utan id-kontroll finns, oftast med kryptovaluta och licens från Curaçao, Anjouan eller utan licens alls. Löftet håller sällan hela vägen. Villkoren ger nästan alltid sajten rätt att begära id vid uttag, och det är vid ett stort uttag som frågan kommer. Har du då spelat i flera månader utan att visa vem du är kan uttaget stoppas medan kontrollen pågår, eller nekas om något inte stämmer.

Det finns också en skattefråga. Att använda kryptovaluta som insats räknas enligt Skatteverket som en avyttring, och vinster är skattepliktiga hos bolag som vänder sig till svenska spelare utan svensk licens eller inte riktar sig till någon spelmarknad inom EES. Utan underlag från sajten blir det svårt att deklarera rätt. Mer om riskerna finns i texten om bitcoin-casino.

Räkneexempel: när tröskeln på 2 000 euro nås

Tröskeln gäller inte bara enskilda transaktioner. Bolaget ska även reagera på mindre belopp som det inser, eller borde inse, hänger ihop. Exemplen är förenklade och utgår från en sajt som följer EU-regeln utan egen lägre gräns.

I praktiken lägger många sajter sina gränser lägre än lagen, och svenska licenshavare identifierar alla spelare innan första spelet. Räkna därför inte med att stanna under en gräns; räkna med att verifiera dig.

KYC och spelansvar

Kundkännedom handlar inte bara om penningtvätt. Hos svenska licenshavare hänger den ihop med omsorgsplikten: bolaget ska motverka överdrivet spelande genom att följa spelbeteendet. Insättningar som inte går ihop med en normal inkomst kan leda till att bolaget kontaktar dig, ber om underlag eller begränsar spelet. Det kan kännas som ett ingrepp, men det är exakt så reglerna är tänkta att fungera.

Hos sajter utan svensk licens saknas den svenska omsorgsplikten och Spelpaus gäller inte. Där är det du själv som får sätta gränserna. Verktyg och var du får hjälp beskriver vi på sidan om ansvarsfullt spelande.

Spara underlag inför deklarationen

Verifieringen ger dig också något tillbaka: ett konto där alla transaktioner är kopplade till dig. Det underlättar när du ska deklarera. Hos bolag med svensk licens är vinster skattefria. Inom EES gäller detsamma, så länge spelet inte kräver svensk licens. Hos bolag som vänder sig till svenska spelare utan svensk licens, eller som inte riktar sig till någon spelmarknad inom EES, är det nettovinsten som beskattas, alltså vinsterna minus insatserna hos samma bolag under året, med 30 procent som inkomst av kapital, och vinster på högst 100 kr är skattefria. Ladda ner transaktionshistoriken innan du avslutar ett konto. Hur du räknar och deklarerar finns i guiden om vinstskatt på casino.

Vanliga frågor om KYC