Lyllo och regelverket bakom identitetskontrollen

Att logga in med en knapptryckning och få pengarna på kontot några minuter senare beskrivs nästan alltid som en teknisk bedrift. Under den upplevelsen ligger ett regelverk som inte har med bekvämlighet att göra alls. Spelbolag omfattas av samma lag mot penningtvätt som banker och fastighetsmäklare, och den lagen är skälet till att identiteten måste fastställas innan något annat sker.

Om Lyllo söks upp i registret

Webbadressen lyllocasino.com står i registret under MOA Gaming Sweden Ltd på Malta, med licens för både kommersiellt onlinespel och kommersiell vadhållning från 2025-10-30 till 2030-10-29.

Bolagsnamnet är värt en notering. Uppgifter om att licensen tillhör MOA Gaming Limited eller MOA Gaming LTD stämmer inte med uttaget, där innehavaren står som MOA Gaming Sweden Ltd. Registret söks dessutom på webbadress, och adressen är lyllocasino.com.

När lagen kom in på spelmarknaden

Penningtvättslagen trädde i kraft den 1 augusti 2017, men spelbranschen fördes in i den genom en ändring som beslutades i samband med omregleringen. Sedan dess är en licenshavare verksamhetsutövare i lagens mening, med allt vad det innebär.

Lagen är uppbyggd i sex kapitel som följer ett arbetsflöde. Först riskbedömning och rutiner, sedan kundkännedom, därefter övervakning och rapportering, och slutligen behandling av personuppgifter och intern kontroll.

Till lagen hör en egen föreskrift för spelområdet, betecknad SIFS 2019:2, som preciserar hur kraven ska uppfyllas i spelverksamhet.

Att spelbranschen fördes in är ingen självklarhet i sig. Spel om pengar innebär att belopp växlas mellan kontanta och digitala former i stora volymer och med hög omsättningshastighet, vilket är samma egenskaper som gör andra branscher intressanta för den som vill dölja pengars ursprung. Det är den likheten lagstiftningen tar sikte på.

Om varför identiteten fastställs först

Den bestämmelse som spelaren möter direkt är kundkännedomen. En verksamhetsutövare får inte etablera eller upprätthålla en affärsförbindelse eller utföra en enstaka transaktion om kraven på kundkännedom inte är uppfyllda.

Formuleringen är kategorisk och förklarar ordningen på stegen. Identiteten ska vara fastställd innan spelet kan börja, vilket är skälet till att en registreringsfri lösning ändå kräver en legitimering. Det som tas bort är formuläret, inte kontrollen.

Kravet är dessutom riskbaserat. Bolaget ska bedöma risken för varje enskild kund och anpassa åtgärderna efter den bedömningen, vilket innebär att två spelare kan mötas av olika krav utan att någon av dem gjort något fel.

Endast ett av de fyra leden möter spelaren i gränssnittet. De tre övriga pågår oavsett.

Riskbedömningen ligger dessutom på två nivåer. Bolaget ska först kartlägga riskerna i sin egen verksamhet, alltså vilka produkter, betalvägar och kundgrupper som kan utnyttjas, och därefter bedöma den enskilda kunden mot den bilden. Rutinerna ska följa av kartläggningen och inte tvärtom.

Det förklarar varför kontrollerna inte är identiska mellan bolag. Två licenshavare med olika produktmix och olika betalvägar kommer fram till olika riskbilder, och därmed till olika rutiner, utan att någon av dem avviker från lagen.

Vad som händer vid misstanke

Rapporteringen går inte till tillsynsmyndigheten utan till polisen. Finanspolisen är nationell finansunderrättelseenhet vid tillämpningen av lagen, och det är dit misstänkta transaktioner anmäls.

Omfattningen är kartlagd. I en genomgång av penningtvätt på spelmarknaden konstateras att drygt hälften av de dåvarande 72 bolagen med licens för kommersiellt onlinespel och vadhållning lämnade in misstankerapporter under 2019 och 2020.

Talet säger något om båda hållen. Att drygt hälften rapporterade betyder också att knappt hälften inte gjorde det, vilket är en av anledningarna till att området återkommer i tillsynen.

Rapporteringsplikten går dessutom före kundrelationen. En misstanke ska anmälas oavsett vad kunden säger, och bolaget får inte röja för kunden att en anmälan gjorts. Det är en av få situationer där en kund inte har rätt att få veta vad som händer med uppgifterna om hen.

Vem som kontrollerar bolagen

Tillsynen är uppdelad efter bransch. Verksamhetsutövare utan särskild rörelselag står under länsstyrelserna i Stockholms, Västra Götalands och Skåne län, medan de som omfattas av en rörelselag har sin egen tillsynsmyndighet.

För spelbolagens del är det Spelinspektionen, vid sidan av Finansinspektionen, Revisorsinspektionen, Fastighetsmäklarinspektionen och Sveriges advokatsamfund för andra branscher. Myndigheten publicerar också en egen riskbedömning för spelområdet som underlag för riskbaserad tillsyn.

Kraven har också en historisk förklaring. Att bekämpa ekonomisk brottslighet angavs som ett av huvudmålen när marknaden omreglerades, och föreskriften för spelområdet kom året efter att spellagen trädde i kraft.

De två regelverken löper parallellt och har olika syften. Det ena skyddar spelaren, det andra skyddar systemet mot att utnyttjas. Att båda kräver att man vet vem kunden är gör att de möts i samma legitimering. Reglerna finns hos Sveriges riksdag, och tillsynsmyndighetens arbete på området redovisas under penningtvätt.

För spelaren är den praktiska följden begränsad men bestämd. Legitimeringen går inte att hoppa över, uppgifterna sparas under en bestämd tid, och ytterligare frågor kan komma senare utan att något är fel. Det som ser ut som krångel vid ett enskilt tillfälle är den punkt där två regelverk möts.

Vanliga frågor om penningtvättsreglerna