Ett spelbolag med svensk licens släppte igenom ett konto där spelaren hade registrerat sig med en annans legitimation. Ingen ansiktskontroll gjordes, och kontot godkändes ändå. När identitetsmissbruket uppdagades stod det klart att KYC-rutinen hade ett systemfel, inte ett enstaka handhavandefel. Bolaget fick återbetala spelarens förluster och betala sanktionsavgift till Spelinspektionen. Fallet visar varför en casino utan svensk licens inte omfattas av samma kontrollmekanismer, och varför skillnaden spelar roll för den som spelar.

Spellagen gäller sedan 1 januari 2019 och ställer krav på att licenshavare känner sin kund innan spel om pengar tillåts i större omfattning. Kravet handlar inte bara om ålder och identitet. Det handlar om penningtvätt, om spelansvar och om att stoppa den som stängt av sig via Spelpaus från att fortsätta spela under ett annat namn. När kontrollen bara jämför namn och personnummer mot en kopia av en ID-handling, utan att någon gång koppla ansiktet till dokumentet, är luckan öppen. Det var precis den luckan som utnyttjades här.

Det här avsnittet går igenom casefallets fakta, Spelinspektionens bedömning enligt 5 kap. spellagen och de konkreta påföljderna. Därefter följer en checklista över vad svenska licenshavare behöver se över, och en genomgång av varför utländska operatörer som Asino, som saknar svensk licens från Spelinspektionen och inte är anslutet till Spelpaus, hamnar i ett annat rättsligt läge. Asino drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao, och listar Sverige som begränsat land i användarvillkoren. Det påverkar vilket skydd du som spelare faktiskt har.

Så upptäcktes identitetsmissbruket vid casinots KYC-kontroll

Ett svenskt spelbolag med licens enligt spellagen fick i ett tillsynsärende prövat hur långt kundkännedom egentligen måste gå. Fallet började med ett konto som öppnades i en annan persons namn. Spelaren hade fått tag i en bekants legitimation, fotograferat fram- och baksida och laddat upp bilderna i registreringsflödet. Kontot godkändes automatiskt inom några minuter. Ingen i efterhand granskade bilderna mot ett levande ansikte, ingen begärde en selfie och ingen ringde upp den registrerade personen.

Det som senare blev avgörande var inte tekniken i sig, utan vad operatören hade valt bort. Bolaget använde ett tredjepartsverktyg för dokumentkontroll som kontrollerade att legitimationen var äkta och att uppgifterna stämde med folkbokföringen. Verktyget hade dock ingen ansiktsmatchning aktiverad. Inställningen hade funnits tillgänglig i leverantörens paket men stängts av eftersom den ansågs skapa friktion i registreringen. Det beslutet, fattat långt innan någon spelare hade satt in en krona, blev startpunkten för hela ärendet.

Insättningarna började små och ökade snabbt. Under drygt fem veckor satte kontot in betydande belopp via banköverföring och kort, och förlusterna staplades på varandra. Det var först när den verkliga personen bakom legitimationen kontaktade bolagets kundtjänst och uppgav att hen aldrig hade öppnat något konto som granskningen inleddes. Vid det laget hade kontot redan passerat flera automatiska kontroller, inklusive en så kallad PEP- och sanktionsscreening, utan anmärkning. Systemet hade gjort precis det det var konfigurerat att göra.

Varningssignaler som fanns men förbisågs

Spelinspektionens granskning pekade på ett antal signaler som borde ha utlöst manuell handläggning redan tidigt. Ingen av dem hanterades. Operatören hade rutiner dokumenterade i sin penningtvättspolicy, men de tillämpades inte i praktiken.

• Spelaren bytte lösenord och kontaktuppgifter tre gånger under den första veckan, vilket enligt bolagets egen riskmatris skulle flaggas för manuell kontroll.
• Insättningsmönstret avvek från kontots angivna inkomst: beloppen översteg kraftigt de uppgifter som lämnats vid registreringen.
• Kontots IP-adress matchade inte folkbokföringsadressen och varierade mellan olika länder under speltillfällena.
• Ingen ansiktskontroll genomfördes vid registrering, trots att bolaget enligt sin egen policy skulle tillämpa förstärkta åtgärder vid förhöjd risk.
• Första uttagsförsök gjordes till ett bankkonto i annat namn än kontoinnehavaren, vilket avslogs automatiskt men utan att ärendet eskaleras.

Det är värt att notera vad kontrollen faktiskt fångade. Legitimationen var inte förfalskad. Den tillhörde en verklig person, var giltig och hade rätt foto. Dokumentkontrollen gjorde alltså rätt när den godkände bilden. Felet låg i steget efter: ingen jämförde den som satt framför skärmen med den som fanns på bilden. Operatören hade byggt en process som verifierade ett dokument, inte en människa.

När bolaget väl agerade stängdes kontot och en anmälan upprättades. Men skadan var redan skedd, både för den drabbade kontoinnehavaren och för bolaget självt. Fallet visar att kundkännedom inte kan delegeras helt till ett automatiskt flöde. De varningssignaler som fanns i det egna systemet var kända, dokumenterade och ignorerade. Det är den kombinationen som senare blev central när Spelinspektionen bedömde ärendet enligt 5 kap. spellagen.

Spelinspektionens bedömning enligt 5 kap. spellagen

Spelinspektionen prövar inte KYC som en formalitet utan som en kedja av kontroller där varje led ska kunna styrkas i efterhand. I det här caset var frågan inte om bolaget hade en KYC-process, utan om processen faktiskt verifierade att den som loggade in var den person som legitimationen tillhörde. Svaret blev nej, och det räckte för att myndigheten skulle konstatera ett systemfel.

Rättslig grund är 5 kap. spellagen, som sedan 1 januari 2019 ställer krav på att licenshavare har rutiner mot penningtvätt och finansiering av terrorism. Kapitlet bygger i sin tur på penningtvättslagen, där kundkännedom ska grundas på tillförlitliga och oberoende källor. En inskannad legitimation är en sådan källa. Men den säger bara att dokumentet existerar, inte att personen framför kameran är densamma. Spelinspektionen behandlade den distinktionen som avgörande.

Myndighetens bedömning kan sammanfattas i fyra punkter som återkommer i liknande tillsynsärenden:

• Identifieringen var ofullständig. Bolaget matchade namn, personnummer och dokumentets utseende, men genomförde ingen ansiktskontroll mot ID-handlingen. Därmed fanns ingen teknisk eller manuell åtgärd som band den fysiska personen till kontot.
• Varningssignalerna hanterades inte. Avvikande inloggningsmönster, nytt betalkort från tredje part och ett spelbeteende som inte stämde med kontots uppgivna profil borde ha utlöst en fördjupad granskning enligt bolagets egen riskklassificering. Det gjorde det inte.
• Rutinen var dokumenterad men inte tillämpad. Att policyn beskrev ansiktskontroll vid förhöjd risk räckte inte när handläggaren hoppade över steget utan att ärendet eskalerades. Spelinspektionen bedömer efterlevnad, inte avsikt.
• Spelpaus hade inte kontrollerats mot rätt identitet. Licenshavare måste vara anslutna till Spelpaus och kontrollera avstängningar innan spel tillåts. Eftersom kontot var registrerat på en annan persons uppgifter kontrollerades fel person mot registret, vilket gjorde skyddet verkningslöst.

Myndigheten beskrev underlåtenheten som ett allvarligt systemfel och inte som ett enstaka handläggarfel. Motiveringen var att bristen låg i själva kontrollkedjan: när identifieringen kan kringgås fallerar också insättningsgräns, förlustgräns och spelansvarsåtgärder, eftersom de alla hänger på att kontot tillhör en verifierad person. Ett konto som öppnats på någon annans identitet kringgår samtidigt gränserna för den verkliga spelaren.

I bedömningen vägdes också penningtvättrisken in. Identitetsmissbruk är en klassisk kanal för att flytta pengar genom spelkonton, och utan ansiktskontroll saknade bolaget underlag för att bedöma vem som egentligen var kund. Spelinspektionen noterade att bolaget inte kunde visa upp någon logg, bild eller annan dokumentation som styrkte att en fysisk person hade verifierats vid registreringen. Avsaknaden av spårbar dokumentation blev i sig en del av kritiken.

En detalj som är värd att lyfta för den som arbetar operativt: myndigheten skiljde på åldersgränskontroll och identitetskontroll. Att personnumret visade att innehavaren var över 18 år uppfyllde åldersgränsen formellt, men sade ingenting om vem som satt vid skärmen. Samma logik gäller villkor och bonusregler vid första speltillfället, som förutsätter att rätt person tar emot bonussen.

Bedömningen landade alltså i att bolaget brutit mot 5 kap. spellagen genom att inte ha tillräckliga och ändamålsenliga rutiner för kundkännedom. Det lade grunden för de påföljder som prövades i nästa steg: återbetalning av spelarens förluster och sanktionsavgift till Spelinspektionen.

Återbetalningsskyldighet och böter – vad domen innebär för operatören

Påföljderna i caset föll i två delar: en sanktionsavgift till Spelinspektionen och ett krav på återbetalning till spelaren. Sanktionsavgiften bestämdes utifrån operatörens omsättning och hur allvarligt systemfelet bedömdes. Återbetalningen gällde de förluster som spelaren gjort under den period då kontot felaktigt var öppet och verifierat. Det är två separata ekonomiska effekter som båda belastar samma resultatrad.

Återbetalningsansvaret motiverades med att operatören aldrig borde ha godkänt kontot. När identiteten inte var säkerställd saknade bolaget rätt att ta emot insättningar och låta spelaren spela. Eftersom spelaren inte kunde anses ha ingått ett giltigt avtal med bolaget, föll grunden för att behålla pengarna. Förlusterna betalades tillbaka i sin helhet, inte bara en del av dem.

Checklista för vad domen konkret innebär för en operatör:

• Återbetalning av nettoförluster under den felaktiga kontoöppningen, beräknat per spelare och period.
• Sanktionsavgift till Spelinspektionen, fastställd med omsättningen som bas och systemfelets allvar som skärpning.
• Krav på rättelse av KYC-rutinen, inklusive dokumenterad ansiktskontroll mot ID-handlingen.
• Intern utredning av vilka konton som godkänts enligt samma rutin under samma period.
• Risk för utökad granskning av penningtvättkontrollen enligt 5 kap. spellagen vid nästa tillsyn.

Beloppen i sanktionsavgiften räknas inte fram slumpmässigt. Spelinspektionen utgår från en procentsats av omsättningen och justerar uppåt vid systematiska brister. Här var bristen inte en enskild handläggares slarv utan en rutin som saknade momentet att jämföra ansiktet med legitimationen. Det gjorde felet att betrakta som ett systemfel, och systemfel kostar mer än enstaka avvikelser.

För operatören tillkom också kostnaden för själva utredningen och för att bygga om onboardingflödet. Nya leverantörer för identitetskontroll, manuell eftergranskning av redan godkända konton och juridiskt arbete med villkoren. Det är poster som sällan syns i domen men som ändå landar i bokslutet.

Jämför med de krav som gäller för en licensierad operatör. En licenshavare måste vara ansluten till Spelpaus och kontrollera avstängningar innan första speltillfället. Bolaget måste också följa insättningsgräns och förlustgräns samt ha dokumenterat spelansvar. Missar man identitetskontrollen faller hela kedjan, eftersom Spelpaus-kontrollen bygger på att personen bakom kontot är rätt person.

Asino, som drivs av Hollycorn N.V. och är registrerat hos Antillephone på Curaçao, saknar svensk licens från Spelinspektionen. Bolaget är inte anslutet till Spelpaus och listar Sverige som begränsat land i användarvillkoren, vilket framgår av https://asino-se.com/utan-svensk-licens/. Libergos Limited driver sajten tillsammans med Hollycorn N.V. För en spelare innebär det att skyddsnätet i spellagen inte gäller, och att tvister om återbetalning inte prövas av Spelinspektionen på samma sätt.

Poängen med caset är att återbetalningsansvaret följer av att kontot aldrig borde ha öppnats. Det gäller oavsett om spelaren själv agerat i ond tro. Operatören bär risken för att KYC-kontrollen är korrekt utförd, och den risken kan inte skrivas bort i villkoren.

Vad caset betyder för svenska licenskrav, Spelpaus och valet av casino utan svensk licens

Skärpta KYC-rutiner och vad de betyder för dig som spelare

Caset visar att en KYC-kontroll som bara jämför namn, personnummer och en inskannad legitimation inte räcker. Operatören måste verifiera att den som sitter vid skärmen är samma person som handlingen tillhör. I praktiken betyder det liveness-kontroll, ansiktsmatchning mot ID-fotot och dokumenterade avvikelser i kundakten.

För dig som spelare innebär det fler friktioner vid registrering: en selfie, ibland ett kort videosamtal, och ibland en manuell granskning som tar timmar. Det är priset för att identitetsmissbruk ska upptäckas innan pengar hinner sättas in och spelas bort.

En fungerande KYC-process ska också fånga varningssignaler tidigt:

• Avvikande IP-adress eller enhet jämfört med tidigare inloggningar
• Bankgiro eller betalkort som inte stämmer med kontoinnehavaren
• Omedelbar insättning nära insättningsgränsen direkt efter registrering
• Spelbeteende som tyder på att kontot används av någon annan än ägaren
• Utebliven ansiktskontroll trots att dokumentet är en kopia eller av dålig kvalitet

Varje sådan signal ska leda till en dokumenterad åtgärd, inte bara en anteckning i systemet. Spelinspektionen bedömer nämligen utfallet, inte ambitionen.

Spelpaus, svensk licens och varför spelare söker sig utomlands

Spellagen gäller sedan 1 januari 2019 och ställer krav på att licenshavare är anslutna till Spelpaus. Det innebär att ett svenskt licensierat spelbolag måste kontrollera avstängningen vid varje registrering och vid varje inloggning. En spelare som stängt av sig kan därför inte öppna ett nytt konto hos en licensierad operatör.

Här uppstår skillnaden mot casino utan svensk licens. Asino drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao. Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Bolaget listar dessutom Sverige som begränsat land i användarvillkoren, vilket innebär att svenska spelare formellt sett inte ska kunna registrera sig.

För den som vill spela trots Spelpaus är det frestande att söka sig till utländska operatörer. Men riskerna är konkreta:

• Ingen Spelpaus-spärr, vilket tar bort det viktigaste skyddet för dig med spelproblem
• Oklara bonusregler och villkor som kan ändras utan svensk tillsyn
• Ingen garanterad skattefrihet på spelvinster enligt svenska regler
• Svagare penningtvättskontroll och därmed större risk för identitetsmissbruk
• Svårare att få rätt vid tvist eftersom Spelinspektionen inte har tillsyn

Licensierade operatörer måste dessutom följa insättningsgräns och förlustgräns, vilket caset indirekt påminner om: en operatör som inte vet vem kunden är kan inte heller sätta korrekta gränser. Bonusgränsen på 100 kronor togs bort 15 november 2021, men spelansvarskraven består.

Kort sagt: en skärpt KYC-process skyddar både spelaren och operatören. Väljer du bort svensk licens förlorar du samtidigt det skyddsnät som Spelpaus och spellagen bygger upp.

Praktiskt innebär caset att du som spelare kan begära ut ditt kontos KYC-underlag från supporten och kontrollera tre saker: att en giltig ID-handling finns registrerad, att en kontroll av ansiktet mot handlingen dokumenterats och att en verklig granskning skett av insättningar och uttag. Saknas något av detta har du ett konkret underlag att skicka till Spelinspektionen tillsammans med dina kontoutdrag. Tillsynsmyndigheten prövar då om licenshavaren brutit mot 5 kap. spellagen, och en anmälan kostar dig ingenting.

Väljer du att spela vidare bör du jämföra villkoren innan du sätter in pengar. Asino drivs av Hollycorn N.V., är registrerat hos Antillephone på Curaçao och saknar svensk licens från Spelinspektionen. Bolaget är inte anslutet till Spelpaus, och i användarvillkoren listas Sverige som begränsat land. Det betyder att du varken har Spelpaus-skydd, insättningsgräns eller förlustgräns enligt spellagen, och att tvister om återbetalning ska drivas mot en operatör på Curaçao i stället för mot en svensk licenshavare. Bonusregler och omsättningskrav är dessutom operatörens egna, inte granskade av Spelinspektionen.

Nästa steg: dokumentera dina insättningar löpande, läs igenom KYC-avsnittet i villkoren före första speltillfället och kontrollera alltid vilken licens operatören anger i sidfoten. Står det Curaçao gäller andra regler för spelansvar, penningtvätt och skattefrihet än för en svensk licens. Den som vill ha Spelpaus, insättningsgräns och förlustgräns på plats väljer en licenshavare under Spelinspektionen, inte ett casino utan svensk licens.