Holenderski regulator gier hazardowych wydaje wytyczne dotyczące weryfikacji kont bankowych

Holenderski Urząd ds. Gier Hazardowych (Kansspelautoriteit, Ksa) opublikował nowe wytyczne 8 października 2026, określające, w jaki sposób licencjonowani operatorzy gier hazardowych online muszą weryfikować konta bankowe graczy oraz inne metody płatności, po tym, jak badania procesu rejestracji wykazały, że firmy hazardowe nie zawsze przeprowadzają kontrole w sposób wystarczający.

Ksa oświadczyła, że otrzymała sygnały, iż nieletni, pomimo zakazu gry, w niektórych przypadkach mogli wpłacać środki do firm hazardowych, używając własnego konta bankowego. Przeprowadzone w odpowiedzi badania wykazały, że hazard jest możliwy przy użyciu kont młodzieżowych oraz że konto bankowe nieletniego może być powiązane z kontem gracza będącego osobą dorosłą. W komunikacie stwierdzono, że wytyczne wskazują, jak sprawdzać imiona przy weryfikacji kont płatniczych, a także odnoszą się do użycia kont firmowych i innych metod płatności.

Dokument wytycznych ma zastosowanie wyłącznie do licencjonowanych dostawców gier zdalnych. Określa, co Ksa uważa za odpowiednią kontrolę jakości konta przeciwnego gracza, jednoznaczne śledzenie transakcji płatniczych do osoby gracza oraz zapobieganie hazardowi przy użyciu firmowych kont bankowych.

Badania stojące za wytycznymi

Zgodnie z dokumentem, impulsem było badanie Ksa dotyczące tego, w jaki sposób nieletni mogą grać online pomimo ograniczeń wiekowych, przeprowadzone wśród dziewięciu dostawców gier hazardowych przy użyciu danych czterech holenderskich banków. Regulator stwierdził, że zidentyfikowany problem dotyczy również osób zarejestrowanych w rejestrze samowykluczenia Cruks oraz osób będących pod opieką prawną. Niedostateczne kontrole dają graczom możliwość założenia drugiego konta pod innym nazwiskiem, które może być wykorzystane do oszustw związanych z bonusami, zabezpieczania zakładów lub omijania limitów gry, jak podaje dokument.

Obowiązki weryfikacji i metody płatności

Zgodnie z wytycznymi, posiadacz licencji musi przeprowadzić odpowiednią kontrolę jakości danych zbieranych podczas rejestracji gracza: nazwisko, wszystkie imiona, datę i miejsce urodzenia zgodnie z dokumentem tożsamości gracza, numer konta bankowego oraz imię i nazwisko posiadacza konta. Przed lub w trakcie pierwszej wpłaty z nowego lub zmienionego konta przeciwnego operator musi sprawdzić, czy pełne imiona i nazwisko w dokumencie tożsamości pokrywają się z nazwą posiadacza konta. Akceptowane mogą być jedynie instrumenty płatnicze, które można jednoznacznie powiązać z osobą gracza, a wpłaty za pośrednictwem Paysafe, PayPal, kart kredytowych i ewentualnie innych metod muszą spełniać ten sam standard śledzalności co wpłaty z konta bankowego.

W przypadku Paysafe wytyczne zauważają, że przy tworzeniu konta dokument tożsamości posiadacza jest weryfikowany, wykonywane jest selfie oraz ustalany adres; Paysafe udostępnia operatorowi na żądanie pełne imiona, nazwisko i datę urodzenia, a operator musi zweryfikować te informacje w stosunku do własnych danych gracza. Prywatne konto PayPal może zostać otwarte bez natychmiastowego przesyłania dokumentu tożsamości: wstępne kontrole odbywają się na podstawie podstawowych danych w krajowych bazach, a tożsamość jest pośrednio weryfikowana, gdy zostanie podłączone i potwierdzone konto bankowe lub karta kredytowa. PayPal może udostępnić dane operatorowi, który pozostaje odpowiedzialny za ich weryfikację.

W przypadku kart kredytowych sprawdzenie pełnych imion i nazwisk u wydawców nie jest obecnie możliwe. Ksa poinformowała, że opracowywany jest mechanizm umożliwiający taką weryfikację, a w międzyczasie zaleca sprawdzanie przy użyciu jak największej ilości dostępnych informacji, przy czym inicjatywa spoczywa na operatorze. Regulator klasyfikuje transakcje, w których pełne nazwiska nie mogą być w pełni zweryfikowane lub w których tożsamość nie została ustalona na podstawie dokumentu tożsamości, jako podwyższone ryzyko, które operatorzy powinni ograniczyć.

Kontrole nazw kont, konta firmowe i ponowne weryfikacje

Badania Ksa wykazały, że samodzielne sprawdzanie szczegółów transakcji jest niewystarczające, ponieważ zwykle podają one jedynie inicjały zamiast pełnych imion, więc porównanie nazwisk na podstawie danych transakcyjnych nie może potwierdzić pełnego imienia i nazwiska posiadacza konta. Same inicjały nie spełniają wymogów kontroli jakości ani wymogów śledzalności, jak podaje dokument.

Niezawodniejszy mechanizm weryfikacji nazw kont stał się obowiązkowy od października 2025 roku na mocy europejskich przepisów dotyczących przepływu płatności między europejskimi bankami i jest dostępny na holenderskim rynku dzięki firmom SurePay, BlueM, CDDN i Signicat; warianty są już wykorzystywane przez dwie trzecie holenderskich operatorów gier online. Mechanizm działa zarówno dla kont holenderskich, jak i zagranicznych, wykorzystuje dane osobowe przechowywane bezpośrednio w banku, sprawdza pełne imiona i nazwisko oraz potrafi określić, czy konto jest osobiste czy firmowe i ilu ma posiadaczy. Zwraca trzy wyniki: dopasowanie, co oznacza, że konto lub transakcja może zostać przyjęta; brak dopasowania, co oznacza, że nie może; oraz dopasowanie częściowe, które może zostać zaakceptowane jedynie po dodatkowych, ewentualnie ręcznych, kontrolach. Takie kontrole mogą wykorzystywać tzw. logikę rozmytą, a drobne odchylenia, takie jak „ij” zamiast „y”, mogą nadal umożliwić zakończenie rejestracji, podczas gdy większe odchylenia wymagają surowszej oceny, czy dotyczy to tej samej osoby. Dopasowanie częściowe nie musi automatycznie skutkować odrzuceniem, a inne mechanizmy kontroli są dopuszczalne, pod warunkiem że umożliwiają weryfikację pełnego nazwiska. Ksa zaleca połączenie skanu dokumentu tożsamości, danych iDIN, kontroli żywotności oraz informacji dostarczonych przez gracza, przy czym skan dokumentu tożsamości jest wskazany jako pierwszy krok.

Posiadacze licencji mogą rejestrować jako graczy wyłącznie osoby fizyczne, a Ksa stwierdza, że należy zapobiegać korzystaniu z kont kontrahentów biznesowych oraz depozytów z kont firmowych prowadzonych przez podmiot prawny lub jednoosobową działalność gospodarczą, ze względu na ryzyko związane z obowiązkiem starannej opieki oraz zgodnie z holenderską ustawą przeciw praniu pieniędzy, Wwft. Hazard z wykorzystaniem środków prywatnej spółki z ograniczoną odpowiedzialnością (BV) lub spółki jawnej (VOF) może pociągać za sobą konsekwencje prawne i podatkowe oraz podważać zaufanie udziałowców lub partnerów, a takie konta zazwyczaj nie mogą być jednoznacznie powiązane z jednym graczem. W przypadku jednoosobowej działalności gospodarczej konto firmowe jest często możliwe do powiązania z graczem, jednak wytyczne określają jego użycie jako „absolutnie niepożądane”: takie konta posiadają większe salda, na nich mogą leżeć środki z podatku dochodowego i VAT przez miesiące i mogą skusić osobę z problemem hazardowym do traktowania ich jako tymczasowej pożyczki, przelewy na strony hazardowe są nieograniczone, niedobór płynności może zagrozić działalności, a wydatki pozostają ukryte przed partnerem gracza. Korzystanie z konta firmowego do hazardu jest również sprzeczne z warunkami banków i niesie podwyższone ryzyko prania pieniędzy.

Gracze, których konto kontrahenta lub konto depozytowe nie zostało zweryfikowane pod kątem wszystkich imion, muszą zostać ponownie sprawdzeni; operatorzy mogą przeprowadzić jednorazowe masowe sprawdzenie lub ponowną weryfikację przy kolejnej aktywności gracza, takiej jak logowanie, wpłata lub wypłata, co oznacza, że gracze nieaktywni przez długi czas mogą być sprawdzeni dopiero później. Operatorzy już stosujący zalecaną metodę nie muszą ponownie sprawdzać całej bazy danych. Konta bankowe zagraniczne nie są wykluczane z góry, gdy proponowane metody działają słabo, ale stanowi to podwyższone ryzyko wymagające innych środków, takich jak żądanie wyciągów bankowych. Ksa przyznaje, że nieletni, którego imiona dokładnie pokrywają się z imionami rodzica, prawdopodobnie przejdzie automatyczną kontrolę, i wskazuje, że łączenie wielu źródeł danych zmniejsza to prawdopodobieństwo.

Dokument kończy się zaleceniami najlepszych praktyk, w tym rozpoznawaniem twarzy i wykrywaniem żywotności, aby powiązać gracza z cyfrowo dostarczonym dokumentem tożsamości; jest to środek, który nie jest jeszcze obowiązkowy, ale jest już stosowany przez niektórych operatorów w celu przeciwdziałania udziałowi nieletnich, spełnienia wymogów Wwft, zapobiegania oszustwom i wsparcia obowiązku starannej opieki. Wymienione sygnały ręcznej weryfikacji obejmują notatkę, że posiadacz nie jest w stanie podpisać się, ręce widoczne na skanie dokumentu tożsamości, które nie odpowiadają wieku osoby na zdjęciu, adres e‑mail zawierający inne imię lub rok urodzenia, wyciąg bankowy oznaczony jako „jongerenrekening” (konto młodzieżowe) oraz głos dziecka podczas kontaktu z graczem. Sekcja pytań i odpowiedzi zauważa, że banki obecnie nie podają daty urodzenia w transakcji, że badane są nowe możliwości i że Ksa przekaże wszelkie zmiany na rynek.