Nederlandse Kansspelautoriteit geeft richtlijnen voor bankrekeningverificatie uit

The Netherlands Gambling Authority (Kansspelautoriteit, Ksa) publiceerde nieuwe richtlijnen op 8 oktober 2026 waarin wordt uiteengezet hoe gelicentieerde online gokoperators de bankrekeningen en andere betaalmethoden van spelers moeten verifiëren, nadat onderzoek naar het registratieproces had aangetoond dat gokbedrijven de controles niet altijd adequaat uitvoeren.

De Ksa zei dat zij signalen had ontvangen dat minderjarigen, hoewel zij niet mogen gokken, in sommige gevallen via hun eigen bankrekening bij gokbedrijven konden storten. Het daaropvolgende onderzoek wees uit dat gokken mogelijk was met jeugdaccounts, en dat de bankrekening van een minderjarige kon worden gekoppeld aan het spelersaccount van een volwassen deelnemer. In de aankondiging werd gesteld dat de richtlijnen aanwijzingen geven voor het controleren van voornamen bij het verifiëren van betaalrekeningen, en tevens ingaan op het gebruik van zakelijke rekeningen en andere betaalmethoden.

The richtlijnendocument is uitsluitend van toepassing op gelicentieerde aanbieders van op afstand plaatsend gokken. Het beschrijft wat de Ksa beschouwt als een adequate kwaliteitscontrole van de tegenrekening van een speler, de ondubbelzinnige traceerbaarheid van betalingstransacties naar de persoon van de speler, en de preventie van gokken met zakelijke bankrekeningen.

Onderzoek achter de richtlijnen

Volgens het document was de aanleiding een Ksa‑studie naar hoe minderjarigen online konden gokken ondanks leeftijdsbeperkingen, uitgevoerd bij negen gokaanbieders met gegevens van vier Nederlandse banken. De toezichthouder stelde dat het geconstateerde probleem ook van toepassing is op personen die zijn geregistreerd in het Cruks‑zelfuitsluitingsregister en op personen onder voogdij. Onvoldoende controles geven spelers bovendien de mogelijkheid een tweede account onder een andere naam aan te maken, wat kan worden gebruikt voor bonusfraude, het afdekken van weddenschappen of het omzeilen van speellimieten, aldus het document.

Verificatieplichten en betaalmethoden

Op basis van de richtlijnen moet de licentiehouder een adequate kwaliteitscontrole uitvoeren op de gegevens die bij de registratie van een speler worden verzameld: de achternaam, alle voornamen, geboortedatum en geboorteplaats zoals vermeld op het identiteitsdocument van de speler, het bankrekeningnummer en de naam van de rekeninghouder. Voor of tijdens de eerste storting van een nieuwe of gewijzigde tegenrekening moet de operator controleren of de volledige voornamen en achternaam op het identiteitsdocument overeenkomen met de naam van de rekeninghouder. Alleen betaalinstrumenten die ondubbelzinnig kunnen worden getraceerd tot de persoon van de speler mogen worden geaccepteerd, en stortingen via Paysafe, PayPal, creditcards en mogelijk andere methoden moeten voldoen aan dezelfde traceerbaarheidsnorm als stortingen vanaf een bankrekening.

Voor Paysafe vermeldt de richtlijn dat bij het aanmaken van een account het identiteitsdocument van de houder wordt geverifieerd, er een selfie wordt genomen en het adres wordt vastgesteld; Paysafe levert op verzoek de volledige voornamen, achternaam en geboortedatum aan de operator, en de operator moet die gegevens verifiëren met zijn eigen spelersdata. Een privé‑PayPal‑account kan worden geopend zonder directe upload van een identiteitsdocument: eerste controles worden uitgevoerd op basis van basisgegevens via nationale databases, en de identiteit wordt indirect geverifieerd wanneer een bankrekening of creditcard wordt gekoppeld en bevestigd. PayPal kan de gegevens met de operator delen, die verantwoordelijk blijft voor de verificatie.

Voor creditcards is het momenteel niet mogelijk om volledige voornamen en achternamen bij de uitgevers te controleren. De Ksa meldde dat zij heeft vernomen dat er een mechanisme in ontwikkeling is dat dit kan doen, en raadt in de tussentijd aan om met zoveel mogelijk beschikbare informatie te controleren, waarbij de initiatief bij de operator ligt. De toezichthouder classificeert transacties waarbij volledige namen niet volledig kunnen worden gecontroleerd, of waarbij de identiteit niet via een identiteitsdocument is vastgesteld, als een verhoogd risico dat operators moeten mitigeren.

Controle van rekeningnamen, zakelijke rekeningen en hercontroles

Uit het onderzoek van de Ksa bleek dat het alleen controleren van transactiegegevens onvoldoende is, omdat die gegevens doorgaans alleen initialen tonen in plaats van alle voornamen, waardoor een naamvergelijking op basis van transactiegegevens de volledige naam van de rekeninghouder niet kan bevestigen. Alleen initialen voldoen niet aan de eisen voor kwaliteitscontrole of traceerbaarheid, stelt het document.

Een betrouwbaarder mechanisme voor het controleren van rekeningnamen is sinds oktober 2025 verplicht onder Europese regels voor betalingsverkeer tussen Europese banken en wordt op de Nederlandse markt aangeboden door SurePay, BlueM, CDDN en Signicat; varianten worden al door twee derde van de Dutch online gambling operators gebruikt. Het mechanisme werkt voor Nederlandse en buitenlandse rekeningen, maakt gebruik van persoonsgegevens die direct bij de bank worden bewaard, controleert volledige voornamen en achternaam, en kan bepalen of een rekening persoonlijk of zakelijk is en hoeveel houders deze heeft. Het levert drie uitkomsten op: een overeenkomst, wat betekent dat de rekening of transactie kan worden geaccepteerd; geen overeenkomst, wat betekent dat dit niet kan; en een gedeeltelijke overeenkomst, die alleen kan worden geaccepteerd na aanvullende, eventueel handmatige, controles. Dergelijke controles kunnen gebruikmaken van zogenaamde fuzzy‑logica, en kleine afwijkingen zoals “ij” in plaats van een “y” kunnen nog steeds toelaten dat de registratie wordt voltooid, terwijl grotere afwijkingen een strengere beoordeling vereisen of het om dezelfde persoon gaat. Een gedeeltelijke overeenkomst hoeft niet automatisch tot afwijzing te leiden, en andere controlemechanismen zijn toegestaan mits ze een volledige naamcontrole mogelijk maken. De Ksa raadt aan een combinatie van een identiteitsdocument‑scan, iDIN‑gegevens, een levendigheidstest en door de speler aangeleverde informatie te gebruiken, waarbij de ID‑scan als eerste stap wordt aanbevolen.

Licentiehouders mogen alleen natuurlijke personen als spelers registreren, en de Ksa stelt dat zakelijke tegenrekeningen en stortingen van zakelijke rekeningen die worden gehouden door een rechtspersoon of een eenmanszaak moeten worden voorkomen, met verwijzing naar risico’s voor de zorgplicht en onder de Nederlandse anti-witwaswet, de Wwft. Gokken met de activa van een besloten vennootschap (BV) of een vennootschap onder firma (VOF) kan juridische en fiscale consequenties hebben en kan het vertrouwen van aandeelhouders of vennoten ondermijnen, en dergelijke rekeningen kunnen over het algemeen niet eenduidig aan één speler worden gekoppeld. Voor een eenmanszaak is een zakelijke rekening vaak traceerbaar naar de speler, maar de richtlijn noemt het gebruik ervan “absoluut ongewenst”: dergelijke rekeningen bevatten grotere saldi, inkomstenbelasting- en btw-gelden kunnen er maanden op staan en kunnen een problematische gokker verleiden het als een tijdelijke lening te beschouwen, overboekingen naar goksites zijn onbeperkt, een liquiditeitstekort kan het bedrijf bedreigen, en de uitgaven blijven verborgen voor de partner van de speler. Het gebruik van een zakelijke rekening voor gokken botst ook met de eigen voorwaarden van banken en brengt een verhoogd risico op witwassen met zich mee.

Spelers waarvan de tegenrekening of stortingsrekening niet op alle voornamen is geverifieerd, moeten opnieuw worden gecontroleerd, waarbij operators de vrijheid hebben om een eenmalige bulkcontrole uit te voeren of om opnieuw te verifiëren bij de volgende activiteit van een speler, zoals een login, storting of uitbetaling, wat betekent dat lang inactieve spelers pas veel later kunnen worden gecontroleerd. Operators die al op de voorgeschreven wijze controleren, hoeven hun volledige database niet opnieuw te controleren. Buitenlandse bankrekeningen worden niet vooraf uitgesloten wanneer de voorgestelde methoden slecht werken, maar dat vormt een verhoogd risico dat andere maatregelen vereist, zoals het opvragen van bankafschriften. De Ksa erkent dat een minderjarige die exact dezelfde voornamen als een ouder deelt, waarschijnlijk een geautomatiseerde controle zal doorstaan, en stelt dat het combineren van meerdere gegevensbronnen die kans verkleint.

Het document sluit af met best practices, waaronder gezichtsherkenning en liveness-detectie om een speler te koppelen aan een digitaal ingediend identiteitsdocument, een maatregel die nog niet verplicht is maar al door sommige operators wordt gebruikt om minderjarigen te weren, te voldoen aan Wwft‑verplichtingen, fraude te voorkomen en de zorgplicht te ondersteunen. Handmatige beoordelingssignalen die worden genoemd, omvatten een aantekening dat de houder niet kan ondertekenen, handen zichtbaar op een scan van een identiteitsdocument die niet overeenkomen met de leeftijd van de afgebeelde persoon, een e‑mailadres met een andere naam of geboortedatum, een bankafschrift gemarkeerd “jongerenrekening” en een kinderstem bij contact met de speler. De vraag‑en‑antwoordsectie vermeldt dat banken momenteel geen geboortedatum bij een transactie leveren, dat nieuwe mogelijkheden worden onderzocht en dat de Ksa eventuele wijzigingen aan de markt zal communiceren.