KYC og hvitvaskingskontroll ved uttak: dokumentene, reglene og personvernet

Mange spillere blir overrasket første gang de skal ta ut en gevinst og får beskjed om å laste opp bilde av passet, en regning med adressen sin og kanskje et bilde av bankkortet. Innskuddet gikk raskt, men uttaket står stille. Dette er kundekontroll, ofte kalt KYC etter det engelske uttrykket for å kjenne kunden sin.

Denne artikkelen forklarer hvorfor casinoer har plikt til å gjøre dette, hva de vanligvis ber om, hvordan du unngår unødvendige forsinkelser, og hvordan du beskytter deg selv når du sender inn dokumenter.

Hvorfor casinoer må kjenne kundene sine

Grunnlaget er EUs regler mot hvitvasking og terrorfinansiering. I hvitvaskingsdirektivet, Directive (EU) 2015/849, er tilbydere av pengespilltjenester uttrykkelig nevnt blant de rapporteringspliktige i artikkel 2. Det betyr at et casino med lisens i et EU-land har de samme grunnpliktene som banker når det gjelder å kontrollere kundene sine.

Etter artikkel 13 omfatter kundekontrollen å identifisere kunden og bekrefte identiteten på grunnlag av dokumenter eller pålitelige og uavhengige kilder, å forstå formålet med kundeforholdet og å følge kunden løpende. Ved høyere risiko krever artikkel 18 forsterkede tiltak. Casinoet skal også melde mistenkelige transaksjoner til myndighetene etter artikkel 33, og etter artikkel 39 har det ikke lov til å fortelle kunden at en slik melding er sendt.

Det siste punktet forklarer hvorfor svarene fra kundeservice noen ganger er vage. Casinoet kan ha en plikt til ikke å si hva saken gjelder.

Terskelen på 2 000 euro

Direktivet setter en egen terskel for spillsektoren. Etter artikkel 11 skal tilbydere av pengespill gjennomføre kundekontroll ved gevinster, innsatser eller begge deler når transaksjonen er på 2 000 euro eller mer. Beløpet står i euro, EUs felles valuta, fordi det er slik det er fastsatt i direktivet, og det gjelder enten det skjer i én eller flere transaksjoner som henger sammen.

Det maltesiske hvitvaskingstilsynet FIAU har i en sak fra 2023 vist hvordan dette praktiseres. Tilsynet la til grunn at terskelen skal beregnes samlet på tvers av alle merkenavnene et selskap driver. Spiller du på flere casinoer som eies av samme selskap, kan altså innsatsene dine telle sammen.

Terskelen er et minimum. Mange casinoer ber om dokumentasjon langt tidligere, for eksempel ved første uttak, fordi det er enklere for dem å kontrollere alle kunder på samme tidspunkt. EU har vedtatt en ny hvitvaskingsforordning, Regulation (EU) 2024/1624, som skal erstatte deler av direktivet.

Norske regler for norske tilbydere

I Norge gjelder hvitvaskingsloven fra 2018. Tilbydere av spilltjenester med norsk tillatelse er rapporteringspliktige etter § 4. Etter § 10 skal kundetiltak gjennomføres blant annet når et kundeforhold etableres, ved mistanke om hvitvasking og, for tilbydere av spilltjenester, ved transaksjoner på 16 000 kroner eller mer uten et etablert kundeforhold. Opplysningene skal etter § 30 oppbevares i fem år. Det samme fem års kravet finnes i EU-direktivet artikkel 40.

Hva casinoet vanligvis ber om

Kravene varierer mellom selskaper og lisensland, men de fleste ber om dokumenter i tre kategorier:

• Identitet: pass, nasjonalt ID-kort eller førerkort, der navn, fødselsdato, bilde og gyldighet er lesbart.
• Adresse: en nylig regning, kontoutskrift eller et brev fra en offentlig myndighet med navn og adresse.
• Betalingsmiddel: bilde av kortet du har brukt, eller skjermbilde av kontoen i e-lommeboken, slik at casinoet ser at betalingsmiddelet tilhører deg.

Noen ganger kommer også et bilde av deg selv der du holder legitimasjonen. Hensikten er å sikre at personen bak kontoen er den samme som på dokumentet, fordi kundeforhold på nett gir høyere risiko for at noen utgir seg for å være en annen.

Opprinnelsen til midlene

Ved større beløp eller høyere risiko går casinoet et skritt lenger og spør hvor pengene kommer fra. Det er to beslektede spørsmål: hvor pengene til innskuddene kommer fra, og hvordan du har bygget opp formuen din generelt.

FIAU-saken fra 2023 gir et innblikk i nivået. Der risikoen ikke er høy, kan en egenerklæring om arbeidsgiver og vanlig årsinntekt være nok. Ved høyere risiko kreves uavhengig dokumentasjon, for eksempel lønnsslipp, skattemelding eller kontoutskrift. FIAU la også til grunn at kontoen skulle sperres dersom etterspurt dokumentasjon ikke kom inn innen fristen selskapet hadde satt, og at kunden skulle kontrolleres mot lister over politisk eksponerte personer.

Har du hatt en stor gevinst, kan det også være lurt å kjenne til skattereglene. Les mer i artikkelen om skatt på casinogevinster.

Slik unngår du forsinkelser

De fleste forsinkede uttak skyldes ikke at casinoet mistenker deg, men at dokumentene ikke er gode nok. Noen enkle grep sparer tid:

1. Verifiser kontoen tidlig, før du har en gevinst du vil ta ut.
2. Sørg for at navn og adresse på kontoen er nøyaktig de samme som på dokumentene.
3. Ta bildet i godt lys, med alle fire hjørner av dokumentet synlige.
4. Bruk et adressebevis som er nylig utstedt, og sjekk hvor gammelt casinoet godtar at det er.
5. Ta ut til samme betalingsmiddel som du satte inn med, når det er mulig.
6. Svar på spørsmål om midlenes opprinnelse konkret og med dokumentasjon.

Valget av betalingsmetode påvirker også hvor mye dokumentasjon som kreves. Enkelte løsninger, som innlogging med BankID, kan gjøre identifiseringen enklere fordi identiteten allerede er bekreftet. Se oversikten over betalingsmetoder for forskjellene. Husk også at betalinger til og fra spill uten norsk tillatelse kan bli stoppet av banken etter betalingsformidlingsforbudet, uavhengig av KYC.

Når uttaket likevel står stille

Har du sendt alt casinoet har bedt om, og uttaket fortsatt ikke kommer, er det lurt å gå systematisk til verks. Spør skriftlig hvilke dokumenter som mangler, og be om at svaret er konkret. Et generelt svar om at saken er til behandling, gir deg lite å gå videre med.

Ta vare på all korrespondanse, med dato og klokkeslett, og ta skjermbilder av saldo og status på uttaket. Husk at casinoet etter hvitvaskingsreglene kan ha plikt til ikke å forklare alt. Får du likevel ikke svar innen rimelig tid, kan du klage videre etter klageordningen som står i vilkårene. Ikke åpne nye kontoer eller sende inn de samme dokumentene på nytt i håp om at det går raskere. Det gjør som regel saken mer uoversiktlig.

Dette bør du aldri sende

Casinoet trenger å se at kortet er ditt, ikke å kunne bruke det. Når du sender bilde av et bankkort, skal du dekke til det meste av kortnummeret.

• Dekk til de midterste sifrene i kortnummeret, slik at bare begynnelsen og slutten er synlig.
• Dekk alltid til sikkerhetskoden på baksiden av kortet. Den skal ingen be om på e-post eller i opplasting.
• Send aldri PIN-kode, passord eller engangskoder fra BankID eller nettbanken.
• Ikke send dokumenter via vanlig e-post hvis casinoet har en egen opplastingsfunksjon i kontoen.
• Vær skeptisk til forespørsler som kommer fra andre adresser enn casinoets eget domene.

Ber noen om sikkerhetskoden eller innloggingskoder, er det et sterkt tegn på svindel, uansett hvem som spør. Det gjelder også i kryptokasinoer, der noen tjenester har mindre kontroll ved innskudd, men likevel kan kreve dokumentasjon ved uttak.

Personvern og GDPR

Dokumentene du sender, inneholder sensitive personopplysninger, og casinoet må behandle dem etter personvernforordningen, GDPR, når det er etablert i EU eller EØS. Det betyr blant annet at opplysningene bare skal brukes til formålet de ble samlet inn for, og at casinoet ikke skal samle inn mer enn nødvendig.

Datatilsynet beskriver rettighetene du har som registrert. Du har blant annet rett til informasjon, innsyn, retting, sletting, begrensning av behandlingen og til å protestere. Ifølge Datatilsynet skal virksomheten som hovedregel svare innen en måned, og det skal som hovedregel være gratis.

Retten til sletting har en viktig begrensning her. Hvitvaskingsreglene krever at opplysningene oppbevares i fem år, og da kan casinoet ikke slette dem selv om du ber om det. Du kan likevel be om innsyn i hva som er lagret, og hvem det er delt med.

Oppsummert

KYC ved uttak er ikke en trakassering fra casinoets side, men en plikt etter EUs hvitvaskingsregler, med en terskel på 2 000 euro for spillsektoren og forsterket kontroll ved høyere risiko. Verifiser kontoen tidlig, send tydelige dokumenter, og dekk alltid til kortnummer og sikkerhetskode. Personvernreglene gir deg innsyn, men ikke rett til å få slettet det hvitvaskingsreglene krever lagret. Opplever du at spillingen har blitt et problem, finner du hjelp på siden om ansvarlig spill.