En KYC-kontroll som görs slarvigt är inte bara ett complianceproblem som kan lösas med en intern åtgärdsplan. Enligt penningtvättslagen (2017:630) ska kontrollen vara riskbaserad, och när den brister kan konsekvenserna sprida sig på tre plan samtidigt: mot licensen, mot spelaren och mot bolagets företrädare personligen. Här går jag igenom hur ansvaret faktiskt är konstruerat, var gränserna går och vilka bevis som avgör utgången i en tvist.
Riskbaserad KYC är ett krav, inte en rekommendation
Penningtvättslagen bygger på principen att åtgärderna ska stå i proportion till risken. Det betyder att en kund som sätter in 200 kronor och spelar låginsatsautomater inte ska behöva genomgå samma granskning som en kund som sätter in 150 000 kronor i veckan och begär uttag till ett konto i tredje land. Kontrollen ska dokumenteras så att en extern granskare i efterhand kan se vilken risk som bedömdes, vilka åtgärder som vidtogs och varför de ansågs tillräckliga. En mall som fylls i utan att någon faktiskt tittar på kundens beteende uppfyller inte kravet, även om alla rutor är ikryssade.
För en operatör som vänder sig till den svenska spelmarknaden utan svensk licens är detta särskilt känsligt. Asino drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao, och sajten drivs enligt bolagsuppgifterna tillsammans med Libergos Limited. Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Samtidigt listar Asino Sverige som begränsat land i användarvillkoren, vilket innebär att svenska spelare formellt stängs ute men i praktiken ofta hittar vägar in via VPN eller genom att välja ett annat land vid registreringen. Den kombinationen skapar en KYC-miljö där riskbedömningen måste hantera både penningtvättrisker och frågan om kunden överhuvudtaget får spela.
Sedan spellagen började gälla den 1 januari 2019 har licenshavare på den svenska marknaden varit skyldiga att vara anslutna till Spelpaus. En operatör utanför systemet kan inte kontrollera avstängningar, och kan heller inte luta sig mot den svenska statens register vid en tvist. Det gör KYC-arbetet tyngre, inte lättare, eftersom all riskidentifiering måste byggas upp från bolagets egna data.
När brister i KYC blir skadestånd gentemot spelaren
Skadeståndsanspråk från spelare mot spelbolag vilar sällan på penningtvättslagen direkt. Lagen ålägger bolaget skyldigheter mot samhället, inte en uttrycklig rättighet för kunden att få skadestånd. I praktiken byggs anspråket i stället på avtalsrätt eller på allmänna skadeståndsrättsliga principer: spelaren hävdar att bolaget brutit mot sina egna villkor, mot god sed på spelmarknaden eller mot den omsorgsplikt som följer av att bolaget hanterar kundmedel. Det är där KYC blir relevant, eftersom en felaktig kontroll ofta är det som möjliggjort den skada som sedan uppstått.
Tänk på ett typiskt scenario. En spelare med dokumenterad spelproblematik får spela vidare eftersom KYC-processen aldrig fångade upp att kontot delades med en närstående, eller för att bolaget inte kontrollerade att insättningarna kom från ett konto som inte stod i spelarens namn. När spelaren senare kräver tillbaka förlorade medel är det inte penningtvättsbrottet i sig som driver kravet, utan att bolaget enligt sina egna rutiner skulle ha stoppat transaktionerna. Har bolaget då ingen dokumenterad riskbedömning blir det svårt att försvara sig, eftersom man inte kan visa att man agerat aktsamt.
Skattefriheten för spelvinster spelar in här på ett sätt som sällan nämns. Vinster från en operatör utan svensk licens är i utgångspunkten skattefria i Sverige, medan vinster hos ett svenskt licensierat bolag beskattas. En spelare som förlorar pengar hos en olicensierad operatör kan alltså inte trösta sig med att vinster hade varit skattefria om bolaget samtidigt brustit i sina kontroller, något som kan bli aktuellt i sammanhang där frågan om https://asino-se.com/utan-svensk-licens/ aktualiseras. Vid en tvist blir frågan i stället om bolaget genom sin bristande KYC möjliggjort ett spelande som spelaren inte borde ha tillåtits, och om det i så fall finns en ekonomisk skada som ska ersättas.
Vad som faktiskt prövas i en skadeståndstvist
Domstolen eller skiljenämnden tittar i praktiken på fyra saker: vilken risk bolaget borde ha identifierat, vilka åtgärder som vidtogs, om åtgärderna var proportionerliga och om spelarens skada hade undvikits med en korrekt kontroll. Bolagets interna KYC-dokumentation blir därmed bevismaterial i en civil tvist, inte bara underlag för tillsyn. En operatör som inte kan visa när kundens identitet fastställdes, vilka transaktioner som granskades och varför en höjning av insättningsgränsen godkändes står svagt, oavsett hur välvillig inställningen till spelaren än var i efterhand.
Straffansvar när KYC-bristerna är systematiska
Penningtvättsbrott enligt 9 kap. brottsbalken förutsätter att någon hanterar egendom som härrör från brott och vidtar åtgärder som syftar till att dölja spåren. För ett spelbolag blir straffansvaret aktuellt först när KYC-bristerna är så omfattande att de möjliggjort penningtvätt, inte vid enstaka handläggningsfel. Gränsen går ungefär där bolaget inte längre kan sägas ha någon fungerande kontroll alls: identiteter fastställs inte, transaktioner granskas inte, och det finns ingen rutin för att rapportera misstänkta transaktioner till Finanspolice…
Det är just den systematiska karaktären som gör att ansvaret kan träffa enskilda personer. Straffansvaret riktas mot den som har haft faktisk möjlighet att påverka rutinerna, vilket i praktiken ofta är complianceansvarig, VD eller styrelseledamot. För en operatör med verksamhet på Curaçao och bolagsstruktur via Cypern blir frågan om personligt ansvar dessutom komplicerad av att flera jurisdiktioner kan göra anspråk på att utreda brottet. Det är därför KYC-rutinerna måste vara utformade så att de håller vid granskning i samtliga länder där bolaget har verksamhet, inte bara där licensen är utfärdad.
Här finns också en koppling till penningtvättsreglernas krav på löpande uppföljning. En kund som en gång identifierats är inte färdigkontrollerad. Ändrat spelbeteende, nya betalningsmetoder eller plötsliga insättningar i en annan valuta ska trigga en ny bedömning. Ett bolag som bara kontrollerar vid registreringen och sedan aldrig återkommer till kunden har i praktiken ingen riskbaserad KYC, och det är den typen av strukturell brist som gör straffansvar realistiskt.
Hur bolaget bygger KYC som håller vid granskning
Det praktiska arbetet börjar med en dokumenterad riskklassificering per kundsegment, inte per enskild kund. Segmenten ska spegla faktiska risker: insättningsnivåer, betalningsmetoder, geografisk hemvist och spelbeteende. För svenska kunder hos en operatör utan svensk licens tillkommer en särskild riskfaktor, nämligen att kunden kan vara avstängd via Spelpaus utan att bolaget har tillgång till registret. Den risken måste hanteras med egna kontroller, exempelvis genom att begära in spelarens egen försäkran och genom att följa upp beteendemönster som tyder på problemspelande.
Vid varje höjning av insättningsgräns eller förlustgräns bör bolaget dokumentera vilken ny information som låg till grund för beslutet. Det räcker inte att kunden klickat i en ruta om att ekonomin tillåter högre insatser. En rimlig rutin är att begära in underlag på inkomst, kontrollera att insättningskontot står i kundens namn och göra en ny riskbedömning om kunden tidigare flaggats. Samma logik gäller bonusregler: bonusgränsen på 100 kronor togs bort 15 november 2021, vilket innebar att svenska licenshavare fick större frihet att erbjuda bonus, men också att kraven på att kontrollera kundens ekonomi vid första speltillfället skärptes i praktiken. För en operatör utan svensk licens gäller inte den svenska bonusregleringen, men penningtvättslagstiftningen ställer fortfarande krav på att bonusar och kampanjer inte används för att kringgå kontroller.
Rapporteringsrutinerna måste vara skriftliga och kända av alla som hanterar kunder. När en medarbetare flaggar en transaktion ska det finnas en tydlig väg till den som ansvarar för rapportering till Finanspolisen, och beslutet att rapportera eller inte rapportera ska dokumenteras. Förordning 2020:495 preciserar flera av de tekniska kraven på riskbedömning och rutiner, och den som bygger ett KYC-ramverk bör utgå från den snarare än från generiska branschmallar. Åldersgränsen ska kontrolleras innan kontot öppnas, inte i efterhand, och identiteten ska verifieras med handlingar som är svåra att förfalska.
Ett vanligt misstag är att behandla KYC som en engångshändelse vid registreringen. En fungerande process har tre lager: identifiering vid start, löpande uppföljning baserad på beteende och en tydlig eskaleringsväg när något avviker. Det tredje lagret är det som avgör om bolaget kan visa upp en riskbaserad kontroll eller bara en pärm med ifyllda formulär. Vid en tillsyn eller en tvist är det dokumentationen av själva beslutsprocessen som väger tyngst, inte antalet kontroller.
För den som arbetar operativt med dessa frågor är slutsatsen enkel: bygg KYC så att den kan förklaras för en utomstående utan att du är närvarande. Skriv ned vilken risk du såg, vilken åtgärd du valde och varför den var proportionerlig. Då håller bedömningen både när Spelinspektionen granskar en licensiering, när en spelare kräver skadestånd och när en åklagare prövar om bristerna var så systematiska att de utgör penningtvättsbrott. Kontrollen ska vara riskbaserad, dokumenterad och löpande, och den ska tåla att läsas av någon som inte var med när beslutet fattades.