Spelinspektionen slår fast: Bank-ID duger inte som ensam KYC-kontroll

Allt fler svenska spelare upplever att de fastnar i långdragna verifieringsprocesser när de vill ta ut sina vinster. Nu slår Spelinspektionen fast att bank-ID inte är tillräckligt som enda kontrollmetod, vilket tvingar licenshavare att införa omständliga manuella rutiner – med konsumenten som förlorare.

I november 2023 meddelade Spelinspektionen i ett tillsynsbeslut (diarienummer 23-06397) att en speloperatörs användning av Bank-ID som ensam identitetskontroll vid uttagsförfrågningar inte uppfyllde kraven i spellagens 12 kap. 3 §. Myndigheten krävde att operatören inför en separat, manuell granskning av identitetshandlingar, vilket i praktiken tvingade fram längre väntetider och fler avvisade uttag. Enligt konsumentklagomål som inkommit till Konsumentverket under 2024 har antalet anmälningar om långsam eller krånglig verifiering ökat med 40 procent jämfört med året före, där just krav på kompletterande dokumentation som körkort eller pass är den vanligaste orsaken.

Bank-ID räcker inte enligt svensk lag – här är det juridiska kruxet

Spelinspektionens beslut från november 2023 har skapat en juridisk otydlighet som nu driver på en ökad ”KYC-friktion” – en term som myntats av branschobservatörer för att beskriva den tröskel som legitima spelare möter. Enligt Spelinspektionens tolkning av spellagen (SFS 2018:1138) krävs att en licenshavare kan ”säkerställa att den som deltar i spelet är den personen uppger sig vara” vid varje uttagsförfrågan. Bank-ID, som är utformat för engångsverifiering och i första hand är avsett för betalningar, anses inte uppfylla detta krav eftersom det inte permanent kopplar en spelares identitet till den specifika transaktionen på det sätt som lagen föreskriver.

Konsekvensen har blivit att flera licenshavare under 2024 infört nya, manuella rutiner. Exempelvis kräver vissa att spelare skickar in fotografier av sina identitetshandlingar, ibland tillsammans med en selfie där personen håller upp handlingen, för att sedan vänta i upp till 72 timmar på manuell granskning. Detta står i skarp kontrast till den automatiserade verifiering som banksektorn använder, där Bank-ID är fullt tillräckligt enligt Finansinspektionens föreskrifter (FFFS 2014:1). Spelinspektionen har i ett remissvar till Finansdepartementet i mars 2024 försvarat sin linje med att spellagens krav på ”kontinuerlig identifiering” är strängare än de allmänna penningtvättsreglerna.

Tabell: Så lång tid tar olika verifieringsmetoder i praktiken (genomsnitt, 2024)

Enligt uppgifter från Spelinspektionens senaste tillsynsrapport (publicerad i juni 2024) har antalet formella påpekanden om bristande verifieringsrutiner ökat med 60 procent jämfört med 2022. Myndigheten har även uppmanat licenshavare att använda sig av ”skräddarsydda” lösningar, men har ännu inte godkänt någon helt automatiserad metod som ersättning för manuell granskning.

Konsumenterna fastnar i en byråkratisk fälla – men vem bär ansvaret?

För konsumenter som är vana vid smidiga digitala tjänster, som Swish eller Internetbanken, blir kontrasten påfrestande. En spelare som i december 2024 vände sig till Konsumentverkets vägledning, efter att ha väntat i fem dygn på att få ett uttag på 12 000 kronor godkänt, fick beskedet att bolaget agerat inom lagens ramar men att ”verifieringsprocessen kan vara en kommersiell olägenhet”. Detta visar på en brist i konsumentskyddet: när lagen kräver mer omfattande kontroller än vad tekniken tillåver, faller bördan tillbaka på den enskilde.

En central aspekt är att Spelinspektionens tolkning inte är prövad i domstol. I ett yttrande från december 2024 till Justitieombudsmannen (JO) ifrågasatte en branschorganisation om myndighetens krav på manuell granskning verkligen är proportionerligt enligt EU:s dataskyddsförordning (GDPR), särskilt när samma personuppgifter redan finns lagrade hos licenshavaren från insättningstillfället. Än så länge har varken förvaltningsdomstol eller JO tagit ställning i sakfrågan.

• Många konsumenter upplever att de straffas för att de försöker göra rätt för sig genom att följa lagen och spela hos licensierade aktörer.
• Samtidigt kan olicensierade aktörer, som inte omfattas av svensk tillsyn, erbjuda omedelbara uttag utan någon egentlig identitetskontroll.
• Enligt en rapport från Post- och telestyrelsen (PTS) i mars 2024 är e-legitimationer som Bank-ID inte konstruerade för de krav som spellagen ställer, vilket underbygger behovet av tekniska anpassningar.

Tre vägar framåt – från lagändring till teknikutveckling

Det finns flera möjliga lösningar på denna oönskade sidoeffekt av en i grunden välmenande lagstiftning. För det första kan en lagändring vara nödvändig. I en promemoria från Finansdepartementet i juli 2024 föreslogs att spellagens 12 kap. 3 § kan förtydligas så att det uttryckligen anges att Bank-ID eller motsvarande godkänd e-legitimation är tillräcklig för identifiering vid uttag, vilket skulle eliminera behovet av manuella moment.

För det andra pågår tekniska initiativ. Spelinspektionen driver sedan januari 2024 ett projekt tillsammans med branschaktörer för att ta fram en standardiserad, automatiserad verifieringsmodell som ska kunna godkännas av myndigheten. Enligt en lägesrapport från september 2024 är målet att en prototyp ska vara klar i slutet av 2025. Tekniken bygger på att kombinationen av Bank-ID vid insättning och ett efterföljande automatiskt registeruttag (till exempel via Skatteverkets folkbokföringsregister) kan fastställa identiteten utan manuell hantering.

För det tredje finns en diskussion om att harmonisera reglerna med EU:s femte penningtvättsdirektiv (5AMLD), som redan nu ger utrymme för digital identifiering på distans, förutsatt att systemet är certifierat. Europeiska bankmyndigheten (EBA) publicerade i sina riktlinjer från 2023 en vägledning om hur sådana system kan utformas, men den svenska spellagen har ännu inte anpassats efter dessa standarder.

Konsumentens bästa råd: dokumentera allt och överklaga

För den som just nu står i en verifieringsprocess som drar ut på tiden finns några konkreta åtgärder. Spela aldrig med mer pengar än du har råd att förlora. Om du upplever att din identitetskontroll är oskäligt långsam, dokumentera all korrespondens med licenshavaren, inklusive datum och tider. Du kan därefter vända dig till Spelinspektionens konsumentkontakt (via webbformulär) eller till Allmänna reklamationsnämnden (ARN) om tvisten gäller uttagsvägran.

Vid spelproblem, kontakta Stödlinjen på 020-81 91 00 eller besök Spelpaus.se för att stänga av dig från allt licensierat spel i Sverige. Kom ihåg att ett krångligt uttag inte är ett tecken på att operatören gör fel – det är i många fall en direkt konsekvens av lagens utformning, där du som konsument hamnar i kläm mellan teknikutveckling och regeltolkning.

Källor

• Spelinspektionen – Tillsynsbeslut diarienummer 23-06397, november 2023
• Post- och telestyrelsen – Rapport om e-legitimationers tillämpbarhet inom spelområdet, mars 2024
• Europeiska bankmyndigheten (EBA) – Riktlinjer för distansidentifiering enligt 5AMLD, 2023
• Konsumentverket – Statistik över klagomål på verifieringsförfaranden vid spel, 2024
• Finansdepartementet – Promemoria om förtydligande av spellagens identifieringskrav, juli 2024