Ett felaktigt utfört KYC-arbete är sällan en isolerad formalitet. Det är den punkt där penningtvättslagen (2017:630), spellagen (2018:1138) och konsumentskyddet möts, och där ett spelbolags hela efterlevnadskedja kan falla. Frågan är inte om bolaget har en KYC-rutin, utan om rutinen är riskbaserad och faktiskt tillämpas. Det avgör om felet slutar som en intern anmärkning eller som grund för återkallad licens, skadestånd och straffansvar.
Riskbaserad kundkännedom är ett krav, inte en rekommendation
Penningtvättslagen ställer krav på att kundkännedom ska vara riskbaserad. Det innebär att verksamhetsutövaren ska bedöma risken för penningtvätt och finansiering av terrorism utifrån spelarens profil, transaktionsmönster och geografi, och sedan dimensionera kontrollerna därefter. En schablonmässig kontroll där alla spelare behandlas lika uppfyller inte lagens krav, även om varje enskilt dokument finns på plats. Tillsynsmyndigheten bedömer processen, inte pappershögen.
I praktiken uppstår de allvarliga felen i tre led: identifieringen sker först vid uttag i stället för vid etablerad affärsförbindelse, riskklassningen saknar dokumenterat underlag, eller så ignoreras varningstecken som avvikande insättningsmönster. Varje sådant fel förskjuter ansvaret från spelaren till operatören. För ett casino utan svensk licens, som Asino, gäller penningtvättslagen ändå i den mån verksamheten riktar sig mot EU-marknaden, och de nationella tillsynsregimerna varierar kraftigt i skärpa.
Asino drivs av Hollycorn N.V., ett bolag registrerat hos Antillephone på Curaçao. Den licensiella hemvisten påverkar vilken tillsyn som faktiskt utövas, men den ändrar inte grundprincipen att kundkännedomen måste vara proportionell mot risken. Libergos Limited driver sajten tillsammans med Hollycorn N.V., vilket innebär att ansvarsfördelningen mellan de två enheterna måste vara tydlig i rutinerna. Otydlig ansvarsfördelning är i sig ett rött flagg i en tillsynsgranskning.
När KYC-fel blir en licensfråga och ett skadeståndsanspråk
Spellagen gäller sedan 1 januari 2019 och bygger på ett licenssystem där licenshavare måste vara anslutna till Spelpaus och följa Spelinspektionens föreskrifter. För svenska licenshavare är kopplingen mellan KYC-fel och sanktioner direkt: systematiska brister i kundkännedom kan leda till anmärkning, sanktionsavgift eller i allvarliga fall återkallad licens. Förordning 2020:495 preciserar bland annat hur spelansvar och insättningsgränser ska hanteras, vilket förstärker kravet på att KYC inte är en isolerad penningtvättsåtgärd utan en del av ett sammanhållet kontrollsystem.
För spelaren uppstår den ekonomiska skadan typiskt när uttag fryses eller nekas på grund av en kontroll som borde ha gjorts tidigare. Om bolaget inte kan visa att kontrollen var riskbaserad och korrekt utförd, kan spelaren hävda att villkoren tillämpats godtyckligt. Skadeståndsanspråk bygger då på att bolaget åsidosatt sin omsorgsplikt, och bevisbördan för att rutinen följts ligger i praktiken tungt på operatören. Här spelar villkoren en avgörande roll: otydliga eller motsägelsefulla KYC-klausuler försvagar bolagets position avsevärt.
Asino saknar svensk licens från Spelinspektionen och är inte anslutet till Spelpaus. Bolaget listar dessutom Sverige som begränsat land i användarvillkoren, vilket skapar en intressant juridisk spänning: om svenska spelare ändå kan registrera sig, måste KYC-rutinen hantera den svenska riskprofilen korrekt. En operatör som både begränsar Sverige och samtidigt accepterar svenska insättningar, vilket framgår av https://asino-se.com/utan-svensk-licens/, har en dokumentationsskyldighet som är svår att uppfylla utan lokal compliance-kompetens.
Straffansvar när KYC-bristerna är systematiska
Det mest förbisedda scenariot är straffansvaret. Penningtvättsbrott enligt brottsbalken förutsätter inte uppsåt i varje enskild transaktion; grov oaktsamhet kan räcka, och systematiska brister i KYC-kontrollen kan i sig utgöra ett led i penningtvätt. Om ett bolag medvetet eller oaktsamt underlåter att genomföra riskbaserad kundkännedom, och detta möjliggör att brottsliga medel passerar genom verksamheten, kan ansvar aktualiseras både för bolaget och för enskilda befattningshavare. Det är denna kedja som gör KYC till en fråga om straffrättslig risk, inte bara tillsyn.
Åldersgränsen och identitetskontrollen är en del av samma system. En felaktig åldersverifiering kan i sig vara ett brott mot spellagen, men den blir betydligt allvarligare om den kombineras med brister i penningtvättskontrollen. Samma logik gäller skattefrihet för spelvinster: den gynnsamma skattebehandlingen förutsätter att spelet sker hos en operatör med korrekt licensiering, och en felaktigt utförd KYC kan underminera hela den kedjan. Spelmarknaden regleras nu i lager, och varje lager har egna sanktioner.
För utländska operatörer som Asino, med hemvist på Curaçao och verksamhet riktad mot flera EU-länder, är den praktiska slutsatsen att KYC-rutinen måste vara landspecifik. En gemensam rutin för Cypern, Sverige och övriga marknader räcker inte, eftersom bonusregler, insättningsgränser och förlustgränser skiljer sig åt. Bonusgränsen på 100 kronor togs bort 15 november 2021, vilket ökade trycket på operatörerna att själva hantera spelansvaret genom villkor och kontroller. Det gör KYC till en ännu viktigare komponent i efterlevnaden.
Praktiskt innebär detta att varje casino bör kunna visa upp en dokumenterad riskmatris, en spårbar beslutslogg för varje kundrelation och en tydlig ansvarsfördelning mellan juridiska enheter som Hollycorn N.V. och Libergos Limited. Kan bolaget inte det, är KYC-kontrollen att betrakta som felaktig oavsett vad som står i policyn. För spelaren är det värt att begära ut dokumentationen vid en tvist; för operatören är det billigare att bygga rutinen rätt från början än att försvara den i efterhand.