Spaniens regel om vem som får äga betalningsmedlet vid onlinespel träder i kraft

Spaniens ministerium för sociala rättigheter, konsumtion och Agenda 2030 meddelade den 28 oktober 2026 att ett nytt krav på identitetsverifiering för statligt licensierade onlinespeloperatörer trädde i kraft samma dag. Operatörerna måste kontrollera att innehavaren av ett spelkonto är samma person som innehavaren av det betalningsmedel som används för insättningar och uttag.

Enligt ministeriet syftar åtgärden till att stärka skyddet för användare av onlinespel, försvåra användningen av betalningsmedel som tillhör tredje part och förbättra säkerheten i den digitala spelmiljön. Ministeriet uppgav att antalet fall av identitetsbedrägerier inom onlinespel ökade under 2025.

Kungligt dekret 813/2026 och reglerna mot penningtvätt

Åtgärden infördes genom kungligt dekret 813/2026, som ändrar flera kungliga dekret inom finanssektorn. Dekretet behandlades av Council of Ministers vid dess sammanträde den 6 oktober 2026, daterades den 7 oktober 2026 och offentliggjordes i nummer 250 av Boletín Oficial del Estado, Spaniens officiella statstidning, den 8 oktober 2026. Enligt dekretets fjärde slutbestämmelse träder det i kraft 20 dagar efter publiceringen.

Dekretet anger att syftet är att uppdatera Spaniens regler för att förebygga penningtvätt mot bakgrund av nya risker, metoder och tekniska framsteg som har uppstått under de senaste åren, liksom nya internationella krav som Spanien måste uppfylla som medlem i Financial Action Task Force. Översynen görs inom ramen för arbetsgruppens ömsesidiga utvärdering av Spanien, som inleds 2026 och innebär en fullständig granskning av landets regelverk för att förebygga penningtvätt och finansiering av terrorism. Dekretet inför också delvis direktiv 2024/1640 i spansk rätt. Det är Europeiska unionens direktiv om de mekanismer som medlemsstaterna måste inrätta för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism.

Dekretets artikel 5 ändrar tillämpningsförordningen till lag 10/2010 av den 28 april 2010, Spaniens lag om bekämpning av penningtvätt och finansiering av terrorism, som antogs genom kungligt dekret 304/2014 av den 5 maj 2014. Ändringen skriver om artikel 21 i förordningen, som fastställer kraven för affärsförbindelser och transaktioner utan personlig kontakt. Enligt den ändrade artikeln måste speloperatörer som har kontakt med kunder via elektroniska, datorbaserade, telematiska och interaktiva kanaler, utöver de befintliga kontrollerna, verifiera att innehavaren av det betalningsmedel som används för insättningar och uttag är samma person som innehavaren av spelkontot. I dekretets motivering anges att ändringen för spelbranschen syftar till att undvika de oönskade konsekvenser som de nuvarande reglerna har medfört.

Anmälningar om identitetsstöld ökade med 12 % under 2025

Anmälningarna om identitetsstöld inom onlinespel ökade med 12 % i Spanien under 2025, då 8 675 anmälningar registrerades, enligt uppgifter som samlats in genom PACS, ett åtgärdsprotokoll för skattebetalare som utsatts för identitetsbedrägeri. Protokollet inrättades av konsumtionsministeriet i samarbete med de statliga säkerhetsstyrkorna och skattemyndigheten.

Uppgifterna, som sammanställdes av ministeriet genom generaldirektoratet för spelreglering, visade att bedragarna använde betalningsmedel vars innehavare är svåra att verifiera i realtid, såsom bankkort och elektroniska plånböcker. Uppgifterna visade också att problemet sträcker sig bortom enstaka fall och den privata sfären och familjesfären, och kan tyda på verksamhet som bedrivs av kriminella organisationer med koppling till penningtvätt, uppgav ministeriet.

Sex månaders övergångsperiod och regler för uttag av vinster

Kravet på verifiering gäller för spelkonton som skapas från och med den 28 oktober 2026. Konton som redan har skapats omfattas däremot av en övergångsperiod på sex månader, så att operatörerna kan anpassa sina betalningsmetoder och tekniska system till de nya kraven, uppgav ministeriet.

Under den perioden får redan registrerade spelare fortsätta att sätta in pengar med sina etablerade betalningsmetoder och spela de spel som operatören erbjuder, men de får inte ta ut vinster förrän det har verifierats att kravet är uppfyllt.

Om det efter sex månader inte har bevisats att innehavarna är samma person måste operatörerna ensidigt säga upp avtalet och underrätta DGOJ, enligt ministeriet. Operatörerna måste därefter återbetala befintliga saldon, inklusive vinster som inte betalats ut under övergångsperioden, utan att det påverkar tillämpliga skyldigheter att förebygga penningtvätt och finansiering av terrorism.

Dekretets första övergångsbestämmelse fastställer en period på sex månader för både speloperatörer och spelare att genomföra de tekniska och operativa anpassningar som krävs för att uppfylla det nya kravet på identitetsverifiering i artikel 21.