Spanias regel om eierskap til betalingsmåter ved pengespill på nett trer i kraft

Spanias departement for sosiale rettigheter, forbruk og Agenda 2030 kunngjorde 28. oktober 2026 at et nytt krav om identitetskontroll for nettbaserte pengespilloperatører med statlig lisens trådte i kraft samme dag. Tiltaket krever at operatørene kontrollerer at innehaveren av en spillekonto er samme person som innehaveren av betalingsmåten som brukes til innskudd og uttak.

Ifølge departementet skal tiltaket styrke beskyttelsen av brukere av pengespill på nett, gjøre det vanskeligere å bruke betalingsmåter som tilhører tredjeparter, og øke sikkerheten i det digitale pengespillmiljøet. Departementet opplyste at antallet tilfeller av identitetsmisbruk i pengespill på nett økte i 2025.

Kongelig dekret 813/2026 og reglene for forebygging av hvitvasking

Tiltaket ble innført gjennom kongelig dekret 813/2026, som endrer flere kongelige dekreter innen finanssektoren. Dekretet ble behandlet av Ministerrådet på møtet 6. oktober 2026, datert 7. oktober 2026 og publisert i nummer 250 av Boletín Oficial del Estado, Spanias offisielle statstidende, 8. oktober 2026. Den fjerde sluttbestemmelsen fastsetter at dekretet trer i kraft 20 dager etter publisering.

Dekretet sier at formålet er å oppdatere Spanias regler for forebygging av hvitvasking som følge av nye risikoer, metoder og teknologiske fremskritt de siste årene, samt nye internasjonale krav som Spania må oppfylle som medlem av Financial Action Task Force. Revisjonen ses i sammenheng med arbeidsgruppens gjensidige evaluering av Spania, som starter i 2026 og skal gjennomføre en fullstendig gjennomgang av landets rammeverk for forebygging av hvitvasking og finansiering av terrorisme. Dekretet gjennomfører også deler av direktiv 2024/1640, EU-direktivet om mekanismene medlemsstatene må etablere for å hindre at det finansielle systemet brukes til hvitvasking eller finansiering av terrorisme.

Artikkel 5 i dekretet endrer forskriften som gjennomfører lov 10/2010 av 28. april 2010, Spanias lov om forebygging av hvitvasking og finansiering av terrorisme, vedtatt ved kongelig dekret 304/2014 av 5. mai 2014. Endringen skriver om artikkel 21 i forskriften, som fastsetter kravene til forretningsforbindelser og transaksjoner uten fysisk oppmøte. Etter den endrede artikkelen må pengespilloperatører som betjener kunder via elektroniske, datamaskinbaserte, telematiske og interaktive kanaler, i tillegg til de eksisterende kontrollene, bekrefte identiteten ved å kontrollere at innehaveren av betalingsmåten som brukes til innskudd og uttak, også er innehaveren av spillekontoen. I begrunnelsen for dekretet står det at endringen for pengespill skal forhindre de uønskede virkningene som dagens regelverk har ført til.

Klager på identitetstyveri økte med 12 % i 2025

Klager på identitetstyveri knyttet til pengespill på nett økte med 12 % i Spania i 2025, da det ble registrert 8 675 klager, ifølge data samlet inn gjennom PACS, en handlingsprotokoll for skattebetalere som er utsatt for identitetsmisbruk. Protokollen ble opprettet av forbruksdepartementet i samarbeid med de statlige sikkerhetsstyrkene og skattemyndighetene.

Dataene, som ble samlet inn av departementet gjennom Generaldirektoratet for regulering av pengespill, viste at personer som utga seg for å være andre, brukte betalingsmåter der eierskapet er vanskelig å kontrollere i sanntid, for eksempel bankkort og elektroniske lommebøker. Dataene viste også at problemet ikke er begrenset til enkelttilfeller eller den private sfæren og familiesfæren, og at det kan tyde på aktivitet utført av kriminelle organisasjoner med tilknytning til hvitvasking, opplyste departementet.

Overgangsperiode på seks måneder og regler for uttak av gevinster

Kravet om identitetskontroll gjelder for nyopprettede spillekontoer fra 28. oktober 2026. Kontoer som allerede er opprettet, omfattes av en overgangsperiode på seks måneder der operatørene kan tilpasse betalingsmåtene og de tekniske systemene sine til de nye kravene, opplyste departementet.

I denne perioden kan spillere som allerede er registrert, fortsatt gjøre innskudd med betalingsmåtene de har brukt tidligere, og spille spillene operatøren tilbyr. De kan imidlertid ikke ta ut gevinster før det er bekreftet at kravet er oppfylt.

Hvis det ikke er dokumentert samsvar mellom innehaverne når de seks månedene er gått, må operatørene si opp avtalen ensidig og varsle DGOJ, ifølge departementet. Operatørene må deretter tilbakebetale eksisterende saldoer, inkludert gevinster som ikke ble utbetalt i overgangsperioden, uten at dette berører gjeldende forpliktelser knyttet til forebygging av hvitvasking og finansiering av terrorisme.

Dekretets første overgangsbestemmelse fastsetter en periode på seks måneder der både pengespilloperatører og spillere kan gjennomføre de tekniske og operasjonelle tilpasningene som kreves for å oppfylle det nye kravet om identitetsbekreftelse i artikkel 21.