Nederländsk spelregulator utfärdar vägledning för verifiering av bankkonton

The Netherlands Gambling Authority (Kansspelautoriteit, Ksa) publicerade ny vägledning den 8 oktober 2026 som beskriver hur licensierade online‑speloperatörer måste verifiera spelarnas bankkonton och andra betalningsmetoder, efter att forskning kring registreringsprocessen visade att spelbolagen inte alltid genomför kontrollerna tillräckligt.

Ksa uppgav att den hade mottagit signaler om att minderåriga, trots att de inte får spela, i vissa fall kunde göra insättningar hos spelbolag med sitt eget bankkonto. Den forskning som genomfördes som svar visade att spel var möjligt med ungdomskonton, och att en minderårigs bankkonto kunde kopplas till en vuxen spelares konto. Meddelandet sade att vägledningen ger riktlinjer för kontroll av förnamn vid verifiering av betalningskonton, och även behandlar användning av företagskonton och andra betalningsmetoder.

Det vägledningsdokument gäller endast licensierade leverantörer av distansspel. Det fastställer vad Ksa anser vara en tillräcklig kvalitetskontroll av en spelares motkonto, den entydiga spårningen av betalningstransaktioner till spelaren, samt förhindrandet av spel med företagsbankkonton.

Forskning bakom vägledningen

Enligt dokumentet var utlösaren en Ksa‑studie om hur minderåriga kunde spela online trots åldersgränser, genomförd bland nio speloperatörer med data från fyra nederländska banker. Regulatorn uppgav att det identifierade problemet även gäller personer som är registrerade i Cruks självuteslutningsregister och personer under förmyndarskap. Otillräckliga kontroller ger också spelare möjlighet att skapa ett sekundärt konto under ett annat namn, vilket kan användas för att begå bonusbedrägeri, säkra vad eller kringgå spelgränser, enligt dokumentet.

Verifieringsansvar och betalningsmetoder

Enligt vägledningen måste licenstagaren genomföra en tillräcklig kvalitetskontroll av de uppgifter som samlas in när en spelare registrerar sig: efternamn, alla förnamn, födelsedatum och födelseort enligt spelarens identitetshandling, bankkontonummer och kontoinnehavarens namn. Före eller under den första insättningen från ett nytt eller ändrat motkonto måste operatören kontrollera att de fullständiga förnamnen och efternamnet i identitetshandlingen överensstämmer med kontoinnehavarens namn. Endast betalningsinstrument som entydigt kan spåras till spelaren får accepteras, och insättningar via Paysafe, PayPal, kreditkort och eventuellt andra metoder måste uppfylla samma spårningskrav som insättningar från ett bankkonto.

För Paysafe noterar vägledningen att när ett konto skapas verifieras innehavarens identitetshandling, ett selfie‑foto tas och adressen fastställs; Paysafe tillhandahåller fullständiga förnamn, efternamn och födelsedatum till operatören på begäran, och operatören måste verifiera dessa uppgifter mot sina egna spelaruppgifter. Ett privat PayPal‑konto kan öppnas utan omedelbar uppladdning av identitetshandling: inledande kontroller utförs på grundläggande data via nationella databaser, och identiteten verifieras indirekt när ett bankkonto eller kreditkort länkas och bekräftas. PayPal kan dela data med operatören, som förblir ansvarig för att verifiera dem.

För kreditkort är det för närvarande inte möjligt att kontrollera fullständiga förnamn och efternamn hos utfärdarna. Ksa uppgav att de har informerats om att en mekanism som kan göra detta utvecklas, och rekommenderar under tiden att kontrollera med så mycket tillgänglig information som möjligt, med initiativet hos operatören. Regulatorn klassificerar transaktioner där fullständiga namn inte kan kontrolleras fullt ut, eller där identiteten inte fastställts genom en identitetshandling, som en förhöjd risk som operatörerna förväntas hantera.

Kontroll av kontonamn, företagskonton och återkontroller

Ksa:s forskning visade att enbart kontroll av transaktionsuppgifter är otillräcklig eftersom dessa uppgifter vanligtvis visar initialer snarare än alla förnamn, så en namnjämförelse från transaktionsdata kan inte bekräfta det fullständiga kontoinnehavarens namn. Enbart initialer uppfyller inte kvalitetskontroll- eller spårningskraven, enligt dokumentet.

Ett mer pålitligt kontrollsystem för kontonamn har varit obligatoriskt sedan oktober 2025 enligt europeiska regler för betalningstrafik mellan europeiska banker och erbjuds på den nederländska marknaden av SurePay, BlueM, CDDN och Signicat; varianter används redan av två tredjedelar av nederländska online‑speloperatörer. Systemet fungerar för nederländska och utländska konton, använder personuppgifter som hålls direkt hos banken, kontrollerar fullständiga förnamn och efternamn, och kan identifiera om ett konto är privat eller företags samt hur många innehavare det har. Det ger tre möjliga resultat: en matchning, vilket innebär att kontot eller transaktionen kan accepteras; ingen matchning, vilket innebär att den inte kan accepteras; och en partiell matchning, som endast kan accepteras efter ytterligare, eventuellt manuella, kontroller. Sådana kontroller kan använda så kallad fuzzy‑logik, och mindre avvikelser såsom “ij” i stället för ett “y” kan fortfarande tillåta registreringen att slutföras, medan större avvikelser kräver en striktare bedömning av om det rör samma person. En partiell matchning behöver inte automatiskt leda till avslag, och andra kontrollmekanismer är tillåtna förutsatt att de möjliggör en fullständigt namnkontroll. Ksa rekommenderar att kombinera en skanning av identitetshandling, iDIN‑data, en livslivs‑kontroll och spelarinformation, där ID‑skanningen är att föredra som första steg.

Licensinnehavare får endast registrera fysiska personer som spelare, och Ksa anger att affärskontokonton och insättningar från företagskonton som innehas av en juridisk person eller en enskild firma måste förhindras, med hänvisning till risker för vårdplikt och enligt den nederländska lagen mot penningtvätt, Wwft. Spel med tillgångar från ett privat aktiebolag (BV) eller ett kommanditbolag (VOF) kan få juridiska och skattemässiga konsekvenser och kan urholka förtroendet hos aktieägare eller partners, och sådana konton kan i allmänhet inte entydigt spåras till en enskild spelare. För en enskild firma är ett företagskonto ofta spårbart till spelaren, men vägledningen beskriver dess användning som “absolut oönskad”: sådana konton har större saldon, inkomstskatt och moms kan ligga på dem i månader och kan fresta en problemspelare att betrakta dem som ett tillfälligt lån, överföringar till spelwebbplatser är obegränsade, ett likviditetsunderskott kan hota verksamheten, och utgifterna förblir dolda för spelarens partner. Att använda ett företagskonto för spel är också i konflikt med bankernas egna villkor och medför en förhöjd risk för penningtvätt.

Spelare vars motkonto eller insättningskonto inte verifierats på alla förnamn måste kontrolleras på nytt, där operatörer fritt kan genomföra en engångsbulkgranskning eller återverifiera vid spelarens nästa aktivitet, såsom inloggning, insättning eller utbetalning, vilket innebär att långinaktiva spelare kan bli kontrollerade först mycket senare. Operatörer som redan kontrollerar på det föreskrivna sättet behöver inte granska om hela sin databas. Utländska bankkonton utesluts inte i förväg där de föreslagna metoderna fungerar dåligt, men det utgör en förhöjd risk som kräver andra åtgärder, såsom att begära bankutdrag. Ksa erkänner att ett minderårigt barn som delar föräldrarnas exakta förnamn sannolikt kommer att klara en automatiserad kontroll, och säger att kombination av flera datakällor minskar den sannolikheten.

Dokumentet avslutas med bästa praxis, inklusive ansiktsigenkänning och levnadsdetektering för att knyta en spelare till ett digitalt inlämnat identitetsdokument, en åtgärd som ännu inte är obligatorisk men som redan används av vissa operatörer för att motverka minderårig medverkan, uppfylla Wwft-krav, förhindra bedrägeri och stödja vårdplikten. Manuell granskningssignaler som listas inkluderar en notering om att innehavaren inte kan signera, händer synliga på en identitetsdokumentsskanning som inte stämmer överens med den avbildade personens ålder, en e‑postadress som innehåller ett annat namn eller födelseår, ett bankutdrag märkt “jongerenrekening” (youth account) och ett barns röst när spelaren kontaktas. Fråge‑ och svar‑avsnittet noterar att banker för närvarande inte tillhandahåller ett födelsedatum i samband med en transaktion, att nya möjligheter undersöks och att Ksa kommer att kommunicera eventuella förändringar till marknaden.