KYC, hvidvaskkontrol og dine persondata: hvad et casino må kræve

En besked dukker op, mens du venter på en udbetaling: kontoen er midlertidigt lukket, og der skal sendes kopi af pas eller kørekort, nogle gange også en selfie med et betalingskort i hånden. Det føles som mistanke rettet mod netop dig, men proceduren er den samme for alle, der opretter en konto hos et online casino i Danmark.

Casinoet skal efter loven indhente dit navn og cpr-nummer og bekræfte dem med dokumentation, før du indbetaler første gang. Ved større beløb og ved mistanke om hvidvask skal kontrollen gå videre efter hvidvaskloven. Oplysningerne skal gemmes i mindst fem år, og du har ret til indsigt, berigtigelse og i visse tilfælde sletning. Du kan klage til Datatilsynet.

Kravet går i daglig tale under det engelske »KYC«, kend din kunde-procedurer, i loven kaldet kundekendskabsprocedurer. To regelsæt ligger bag: bekendtgørelsen om onlinekasino og hvidvaskloven. Nedenfor gennemgås, hvad de kræver, hvad casinoet gemmer, og hvordan du bruger dine rettigheder, som del af den bredere gennemgang af sikkerhed og dine rettigheder som spiller.

Hvad casinoet skal vide, før du kan spille

Bekendtgørelsen om onlinekasino stiller kravet, før du overhovedet kan spille. Kun fysiske personer kan registreres som kunder. Hverken virksomheder eller foreninger kan oprette en konto. Casinoet skal indhente oplysning om din identitet, herunder navn og cpr-nummer eller en tilsvarende oplysning, hvis du ikke har et cpr-nummer, og oplysningerne skal bekræftes ved fornøden dokumentation. Legitimationsproceduren skal være afsluttet, når kundeforholdet oprettes, og senest inden den første indbetaling gennemføres.

At en privat virksomhed som et casino overhovedet må bede om dit cpr-nummer, følger af databeskyttelsesloven: private må behandle personnummer, når det følger af lovgivningen, og her er det bekendtgørelsen om onlinekasino, der gør det. Det er altså ikke casinoet selv, der har besluttet at spørge om netop det.

Loven kræver desuden, at der bruges et elektronisk id, både når spilkontoen oprettes, og ved første login fra en ny enhed. Loven nævner kun »elektronisk id«. I praksis er det MitID, du møder, og selve fremgangsmåden er beskrevet i artiklen om sådan foregår verificeringen af kontoen.

Den midlertidige spilkonto: 10.000 kr. og ingen udbetaling

Er kontrollen af dine oplysninger ikke afsluttet endnu, kan casinoet kun åbne en midlertidig spilkonto til dig. Der kan højst indbetales 10.000 kr. til den, og dokumentationen skal være på plads senest 30 dage efter oprettelsen.

Det praktiske problem ligger i udbetalingen, ikke i indbetalingen: der udbetales ikke fra en midlertidig spilkonto, før den er fuldt verificeret. Derfor kan en gevinst godt stå på kontoen, uden at den kan hæves. Det er ikke casinoet, der tilbageholder pengene vilkårligt, men en konsekvens af, at kontrollen endnu ikke er afsluttet. Trækker en udbetaling ud af andre grunde, er årsagerne gennemgået i artiklen om, når udbetalingen trækker ud.

Hvorfor kontrollen kommer igen: hvidvaskloven

Den første kontrol handler om at oprette en konto. Den næste handler om noget andet: hvidvaskloven. Udbydere af spil er omfattet af loven på linje med banker, og casinoet skal derfor gennemføre kundekendskabsprocedurer, når indsatser, gevinster eller begge dele når op på mindst 2.000 euro. Beløbet står i loven i euro og omregnes ikke her, fordi kursen ikke er en fast del af reglen.

En kundekendskabsprocedure betyder, at casinoet skal indhente dine identitetsoplysninger, kontrollere dem ud fra en pålidelig og uafhængig kilde og danne sig et billede af forretningsforbindelsens formål og tilsigtede beskaffenhed. Med almindeligt sprog: hvorfor du spiller, og om billedet giver mening. Kontrollen gentages ikke kun én gang. Den vender tilbage, når forbindelsen etableres, når der sker en ændring i dine relevante omstændigheder, og hver gang casinoet får mistanke om noget.

Er der tale om øget risiko, for eksempel hos en politisk eksponeret person eller nogen i den persons nære kreds, skal casinoet bruge skærpede kundekendskabsprocedurer. Det er ikke en teoretisk regel: Spillemyndigheden fører tilsyn med, at spiludbyderne overholder hvidvaskloven, og har tidligere givet påtaler for netop mangler i de skærpede procedurer og i pligten til at underrette myndighederne, uden at operatørens navn offentliggøres i den sammenhæng, kun typen af reaktion.

De fleste, der spiller for almindelige beløb, når aldrig op på grænsen på 2.000 euro og møder derfor kun den første kontrol, ikke den skærpede. Grænsen regnes af indsatser og gevinster tilsammen, ikke kun af det enkelte spil, så en periode med mange små spil kan i praksis nå den samme grænse som ét stort. Det er en af grundene til, at kontrollen kan dukke op, uden at du selv har lavet én stor transaktion.

Hvorfor casinoet nogle gange ikke må sige hvorfor

Får casinoet mistanke om hvidvask eller finansiering af terrorisme, skal det omgående underrette Hvidvasksekretariatet. Det er ikke noget, casinoet kan vælge til eller fra, og det er heller ikke noget, det må fortælle dig om: loven pålægger en pligt til at hemmeligholde, at der er givet en underretning, eller at det overvejes. Det gælder, selv om du beder om en forklaring.

Konsekvensen er, at din ret til indsigt i egne oplysninger kan være begrænset netop i den situation, ifølge Spillemyndighedens vejledning på området. Det betyder ikke, at du er mistænkt for noget. Det betyder kun, at loven forhindrer casinoet i at bekræfte eller afkræfte, om der er sket en underretning. Resten af dine rettigheder, herunder berigtigelse, sletning af det, der ikke er lovpligtigt at gemme, og retten til at klage, gælder fortsat ved siden af.

Hvad må casinoet kræve, og hvor går grænsen?

Hverken bekendtgørelsen om onlinekasino eller hvidvaskloven angiver en liste over, hvilke dokumenter et casino skal bede om. Loven kræver kun, at oplysningerne bekræftes ved »fornøden dokumentation«, og at kontrollen sker ud fra en »pålidelig og uafhængig kilde«. Derfor kan det variere fra udbyder til udbyder, om der bedes om pas, kørekort eller andet, og det er ikke muligt at sige generelt, om et konkret casino må kræve en selfie med et betalingskort, eller om du selv må dække dele af et dokument til.

Til gengæld gælder databeskyttelsesreglernes principper som en modvægt. Behandlingen af dine oplysninger skal begrænses til det, der er nødvendigt for at opfylde formålet (dataminimering). Det skal fra starten være klart, hvilke saglige formål oplysningerne bruges til, og senere brug må ikke være uforenelig med dem (formålsbegrænsning). Og når det ikke længere er nødvendigt at behandle oplysningerne, skal de anonymiseres eller slettes (opbevaringsbegrænsning).

Det giver dig et konkret redskab: du må spørge, hvad formålet er, og hvad grundlaget er, når casinoet beder om endnu et dokument. Det er ikke en anklage mod casinoet. Det er et spørgsmål, du har ret til at stille, og svaret kan bruges, hvis du senere vælger at klage.

Fem år: så længe bliver dine oplysninger gemt

Casinoet skal opbevare dine identitets- og kontroloplysninger i mindst fem år, efter at kundeforholdet er ophørt. Det samme gælder dokumenter og registreringer om dine transaktioner, og data om selve spiludbuddet skal gemmes i mindst fem år. Hvidvaskloven bekræfter den samme grænse for de oplysninger, der er indhentet med den lov som grundlag: de skal opbevares i mindst fem år efter forretningsforbindelsens ophør, og først derefter skal personoplysningerne slettes, medmindre andet er fastsat i anden lovgivning.

Det forklarer, hvorfor en anmodning om at få slettet konto og oplysninger ofte bliver afvist, mens de fem år løber. Ifølge Datatilsynet gælder pligten til at slette ikke, når videre behandling er nødvendig for at overholde en retlig forpligtelse, og det er præcis den situation, opbevaringskravene skaber. Det, der typisk kan slettes før tid, er det, der ikke er lovpligtigt at gemme: et marketingsamtykke eller en tilmelding til nyhedsbreve. Identifikations- og transaktionsdata hører ikke til i den kategori.

Sagt kort: opsigelsen af en konto sletter ikke automatisk historikken. Ønsker du at vide, hvad der konkret er slettet, og hvad der stadig ligger, fordi loven kræver det, er det en indsigtsanmodning, du skal bruge, ikke en anmodning om sletning – de to fører til forskellige svar fra casinoet.

Dine rettigheder, og hvordan du bruger dem

Som registreret har du ret til oplysning om, hvad der behandles, ret til indsigt, herunder en kopi, ret til berigtigelse af forkerte oplysninger, ret til sletning, ret til begrænsning af behandlingen, ret til dataportabilitet, ret til at gøre indsigelse og ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling.

Casinoet skal svare uden unødig forsinkelse og senest en måned efter din anmodning; ved komplicerede sager kan fristen forlænges med op til to måneder mere. Den første kopi er gratis, mens yderligere kopier kan koste et rimeligt gebyr baseret på de administrative omkostninger. Indsigt kan begrænses, hvis en imødekommelse ville krænke andres rettigheder og friheder, eller, som nævnt ovenfor, hvis der er tale om en underretning efter hvidvaskloven.

En anmodning om indsigt behøver ikke være formel: skriv, at det er en anmodning om indsigt efter databeskyttelsesreglerne, hvilke oplysninger du vil have vist, hvordan du kan identificeres, for eksempel via din konto, og datoen. Derefter har casinoet en måned til at svare. Det, der ikke kan fortrydes bagefter, er et samtykke, der allerede er trukket tilbage, eller data, der allerede er slettet, fordi det ikke var omfattet af opbevaringspligten.

Hvem fører egentlig tilsyn med, hvad casinoet gør med dine oplysninger?

To myndigheder er i spil, og de har forskellige opgaver. Datatilsynet er »den centrale, uafhængige myndighed, der fører tilsyn med, at reglerne om databeskyttelse bliver overholdt«. Det er hertil, en klage om dine persondata hører hjemme, via datatilsynet.dk/borger/klage. Klager du til Datatilsynet, uden at have kontaktet casinoet først, vil du ofte blive henvist til at gøre det, inden sagen behandles.

Sagsbehandlingstiden er ikke kort: Datatilsynet har som mål, at 50 pct. af alle klagesager er afsluttet inden for to måneder, og 80 pct. inden for seks måneder. Man kan ikke klage over Datatilsynets afgørelser til en anden instans, men de kan indbringes for domstolene efter grundlovens § 63.

Spillemyndigheden har en anden rolle: den fører tilsyn med, at spiludbyderne overholder hvidvaskloven, og kan reagere med straksforbedring, påtale, påbud eller politianmeldelse; reaktionerne offentliggøres i fem år. Det, Spillemyndigheden ikke gør, er at afgøre tvister om penge mellem dig og casinoet, eller om et bestemt casino har en dansk tilladelse. Drejer sagen sig om penge, ikke om oplysninger, er vejen en anden. Det er beskrevet i artiklen om klage over et online casino. Og uden en dansk tilladelse er der i praksis heller ingen til at føre det tilsyn, der er beskrevet her. Det uddybes under casinoer med dansk licens.

Er det selve spillet, og ikke papirarbejdet, der er begyndt at fylde, kan du ringe til StopSpillet på 70 22 28 25. Samtalen er fortrolig, og du kan også vælge at udelukke dig selv via ROFUS. Alt her forudsætter, at du er fyldt 18 år, og intet af det erstatter juridisk eller anden professionel rådgivning.

Ofte stillede spørgsmål

Kilder