Når casinoet ber om kontoutskrift: KYC, midlenes opprinnelse og dine rettigheter

Spillselskaper er pålagt å kjenne kundene sine. I Malta, der mange spillselskaper har lisens, skal kundekontrollen være fullført når innskuddene når 2 000 euro, og inntil den er gjort, skal kunden ikke få ta ut penger, uansett beløp. Det er den vanligste grunnen til at et uttak stopper opp og selskapet ber om ID, adressebevis eller kontoutskrift.

Hva KYC betyr, og hvorfor spillselskaper må gjøre det

KYC er en forkortelse for «know your customer», på norsk kundekontroll eller kundetiltak. Det er en plikt som følger av regler mot hvitvasking og terrorfinansiering, og spillselskaper er blant dem som er omfattet. Formålet er at selskapet skal vite hvem kunden er, og kunne vurdere om pengene som går inn og ut, kan ha en ulovlig bakgrunn.

I Norge står pliktene i hvitvaskingsloven. Loven gjelder blant annet for tilbydere av spilltjenester, og etter lovens definisjoner er det dem som arrangerer pengespill som krever tillatelse etter pengespilloven. I praksis betyr det Norsk Tipping og Norsk Rikstoto. Et utenlandsk selskap uten norsk tillatelse er ikke underlagt norsk hvitvaskingslov, men det følger reglene i landet der det har lisens. For selskaper med lisens fra Malta gjelder retningslinjer fra Malta Financial Intelligence Analysis Unit (FIAU), utarbeidet sammen med Malta Gaming Authority. Retningslinjene for nettspill ble utstedt 19. juli 2018 og revidert 2. juli 2020.

Reglene i de to landene bygger på de samme prinsippene, og det er derfor de samme typene dokumenter du blir bedt om, enten du spiller hos en norsk eller en utenlandsk tilbyder. Mer om hva en lisens fra Malta innebærer, finner du i artikkelen om casinolisens fra Malta.

Når kontrollen skal gjøres

Kundekontroll gjøres ikke nødvendigvis i sin helhet når du oppretter kontoen. Reglene opererer med en grense:

Etter FIAU-retningslinjene regnes innskuddene sammen, enten fra kontoen ble åpnet eller over en rullerende periode på 180 dager. Bonuser og gevinster holdes utenfor når de kan skilles fra innskuddene. Før grensen er nådd, skal selskapet bare samle inn et minimum av opplysninger, og det skal ikke spørre etter formuens opprinnelse. Når grensen er nådd, skal identiteten bekreftes og kunden sjekkes mot lister over politisk eksponerte personer innen 30 dager.

Hos Norsk Tipping er det annerledes: Pengespillforskriften krever registrert spilling, og spilleren må identifisere seg med elektronisk ID, pass, nasjonalt ID-kort eller førerkort. Kontrollen er derfor gjort før du spiller.

Hvorfor uttaket stopper opp

Den vanligste årsaken er ganske enkel: Du har nådd grensen, og selskapet har ikke fått bekreftet identiteten din ennå. FIAU-retningslinjene er tydelige på at kunden ikke skal få ta ut penger før kundekontrollen er gjennomført, uavhengig av beløpet. Mange merker derfor kontrollen først når de prøver å ta ut en gevinst.

Andre grunner kan være:

• Uklare kopier: Retningslinjene godtar elektroniske kopier, men de må være klare og leselige. Et uskarpt bilde eller et avkuttet dokument blir ofte avvist.
• Gamle adressebevis: Dokumenter som skal bekrefte adressen, skal normalt ikke være eldre enn seks måneder.
• Avvik fra vanlig spillemønster: Ser selskapet at du plutselig setter inn mye mer enn før, kan det spørre hvor pengene kommer fra.
• Forsterket kontroll: Både norsk og maltesisk regelverk krever strengere tiltak ved høy risiko og for politisk eksponerte personer (hvitvaskingsloven §§ 17 og 18).
• Betalingsmåten: Etter FIAU-retningslinjene skal penger som betales tilbake, sendes til samme kilde og gjennom samme kanal som de kom fra. Har du satt inn med én metode og vil ta ut til en annen, kan det gi forsinkelser. Om betalingsmåter generelt kan du lese i oversikten over betalingsmåter på nettcasino.

For deg som spiller fra Norge hos et selskap uten norsk tillatelse kommer det i tillegg en egen grunn. Lotteritilsynet skriver at banker i Norge skal stanse betalinger til og fra selskaper som ikke har tillatelse, og at gevinster fra slike selskaper derfor ikke alltid kan utbetales. Det har ingenting med KYC å gjøre, men gir samme resultat: pengene kommer ikke fram.

Formuens og midlenes opprinnelse

To begreper dukker ofte opp i e-poster fra spillselskaper: source of wealth og source of funds. FIAU-retningslinjene skiller mellom dem slik:

• Formuens opprinnelse (source of wealth) handler om aktivitetene som har skapt den samlede formuen din, for eksempel lønnsinntekt. Retningslinjene sier uttrykkelig at dette ikke er en regnskapsgranskning. Ved lav risiko kan en egenerklæring om arbeidsforhold og årslønn være nok.
• Midlenes opprinnelse (source of funds) handler om hvor pengene til en bestemt transaksjon kom fra. Dette spørres det gjerne om når et innskudd skiller seg ut fra det selskapet forventer av deg.

Ved svært store innskudd skal selskapet ha dokumentasjon, ikke bare en erklæring. Det er her kontoutskriften kommer inn: Den viser lønn som kommer inn, og at pengene som ble satt inn, kom fra din egen konto.

Også norsk lov krever at tilbydere følger med på kundeforholdet over tid. Etter hvitvaskingsloven § 24 skal den løpende oppfølgingen omfatte midlenes opprinnelse når det er nødvendig, og § 25 pålegger selskapet å undersøke forhold som avviker fra det normale.

Eksempel

Eksempel med runde tall: Du har i flere måneder satt inn rundt 500 kroner i måneden hos et selskap med maltesisk lisens. Når de samlede innskuddene passerer grensen på 2 000 euro, ber selskapet om ID og adressebevis før du kan ta ut. Senere setter du inn et beløp som er mange ganger større enn vanlig. Da kan selskapet i tillegg spørre hvor akkurat disse pengene kommer fra, for eksempel med en kontoutskrift som viser salg av en bil eller en utbetalt arv. Spørsmålet er ikke i seg selv en mistanke. Retningslinjene sier at det at en kunde er motvillig, ikke alene skal likestilles med mistanke.

Dokumenter som er vanlige å be om

Denne sjekklisten bygger på hva FIAU-retningslinjene nevner som godkjente dokumenter. Et seriøst selskap vil normalt ikke trenge mer enn dette for vanlig spilling:

1. Bilde-ID: Gyldig og ikke utløpt pass, nasjonalt ID-kort, oppholdstillatelse eller førerkort.
2. Adressebevis, maks seks måneder gammelt: Kontoutskrift eller bekreftelse fra banken, strøm- eller annen regning, brev fra offentlig myndighet eller leiekontrakt.
3. Ved store eller uvanlige innskudd: Kontoutskrift, lønnsslipp eller annen dokumentasjon på hvor pengene kom fra.

Noen praktiske råd når du sender dokumenter:

• Send dokumentene bare gjennom selskapets egen innloggede løsning, ikke som vedlegg til en ukjent e-postadresse.
• På en kontoutskrift som skal vise adresse eller navn, kan du spørre om det er greit å sladde transaksjoner som ikke er relevante. Selskapet skal ha det det trenger, ikke mer.
• Ta vare på en oversikt over hva du har sendt og når. Den trenger du hvis du senere vil klage eller be om innsyn.

Vær oppmerksom på at det går et skille mellom å dokumentere identitet og å utlevere innloggingsdetaljer. Et spillselskap har ingen grunn til å be om passordet til nettbanken eller BankID-koder.

Hva som skjer hvis du ikke leverer

Etter FIAU-retningslinjene skal selskapet avslutte kundeforholdet hvis kontrollen ikke er fullført innen 30 dager etter at grensen ble nådd. Er det ingen mistanke om hvitvasking, skal pengene sendes tilbake til samme kilde og gjennom samme kanal som de kom fra.

Den norske hvitvaskingsloven har en tilsvarende regel: Kan kundetiltakene ikke gjennomføres, skal det ikke etableres kundeforhold eller gjennomføres transaksjoner (§ 21), og et kundeforhold kan avvikles (§ 24 fjerde ledd). Ved mistanke skal norske tilbydere rapportere til Økokrim (§ 26). Mistenkelige transaksjoner skal ikke gjennomføres før Økokrim er underrettet (§ 27), og selskapet har ikke lov til å fortelle kunden om at det er gjort undersøkelser eller sendt melding (§ 28). Derfor kan det hende at du ikke får noen forklaring på hvorfor et uttak holdes tilbake.

Store gevinster kan også ha betydning for skatten. Hvilke gevinster som må oppgis, og når grensen på 10 000 kroner gjelder, er forklart i artikkelen om gevinstgrensen på 10 000 kroner.

Personvern: dine rettigheter etter GDPR

Dokumentene du sender, er personopplysninger, og personvernforordningen (GDPR) gir deg rettigheter overfor selskapet som har dem. Datatilsynet beskriver rettighetene slik:

• Innsyn: Du har rett til en kopi av alle opplysningene som er lagret om deg, og til å få vite hva de brukes til, hvem de er delt med, hvor lenge de lagres og hvor de er hentet fra. Svaret skal komme uten ugrunnet opphold og senest innen én måned. Innsynet er gratis. Selskapet kan bare ta betalt for ekstra kopier. Ber du om innsyn elektronisk, skal du få svaret elektronisk.
• Sletting: Retten til sletting er ikke absolutt. Selskapet kan be deg bekrefte identiteten din før det sletter, og det kan nekte når lovpålagte oppbevaringsplikter gjelder. For spilltilbydere er hvitvaskingsreglene en slik plikt: Etter norsk lov skal dokumentene fra kundekontrollen oppbevares i fem år etter at kundeforholdet er avsluttet. Også et slettekrav skal besvares innen én måned.
• Klage: Datatilsynet anbefaler at du først tar kontakt med selskapet, og eventuelt personvernombudet, og at du dokumenterer henvendelsen. Får du ikke svar på krav om innsyn, retting eller sletting, kan du klage til Datatilsynet.

Kort oppsummert

At et spillselskap ber om ID, adressebevis eller kontoutskrift før uttak, er normalt og følger av regler mot hvitvasking. Etter maltesiske regler skal kontrollen være gjort når innskuddene når 2 000 euro, og uttak er ikke tillatt før den er ferdig. Send tydelige og ferske dokumenter gjennom selskapets egen løsning, ta vare på dokumentasjonen, og bruk retten til innsyn hvis du vil vite hva som er lagret om deg. Opplever du at spillingen tar for mye tid eller penger, finner du hjelp i artikkelen om pengespillavhengighet.