KYC ja AML rahapeleissä – mitä pelaajalta tarkistetaan?

KYC on lyhenne sanoista Know Your Customer, asiakkaan tunteminen. AML tulee sanoista Anti-Money Laundering, rahanpesun estäminen. Käsitteet liittyvät toisiinsa, mutta eivät tarkoita samaa asiaa. KYC on yksi osa laajempaa rahanpesun ja terrorismin rahoittamisen estämisen kokonaisuutta.

KYC tunnistaa asiakkaan, AML arvioi myös rahavirtojen riskiä

Asiakkaan tunteminen alkaa siitä, että toimija tietää, kuka asiakas on. Henkilöllisyys voidaan todentaa esimerkiksi virallisesta henkilöllisyystodistuksesta tai hyväksyttävällä sähköisellä tunnistusmenetelmällä. Rahapeliyhtiön velvollisuus ei kuitenkaan pääty nimen ja syntymäajan tarkistamiseen.

Rahanpesulaki edellyttää ilmoitusvelvolliselta riskiperusteista arviointia. Toimijan täytyy ymmärtää asiakassuhteen tarkoitus ja seurata, vastaavatko maksut ja muu käyttäytyminen sitä, mitä asiakkaasta tiedetään. Jos toiminta poikkeaa olennaisesti odotetusta, yhtiön on selvitettävä syytä tarkemmin.

Mitä tietoja rahapeliyhtiö voi joutua keräämään?

Rahanpesulain tuntemistiedot voivat sisältää henkilön perustietojen lisäksi tietoja asiakkaan toiminnasta, taloudellisesta asemasta, palvelun käyttötarkoituksesta ja varojen alkuperästä. Tarkka tietomäärä riippuu riskistä. Jokaiselta pelaajalta ei kuulu kerätä samaa asiakirjapakettia.

Tyypillisiä tietoja tai asiakirjoja voivat olla:

• nimi, syntymäaika ja henkilöllisyyden todentamistiedot;
• osoite ja asuinvaltio;
• maksutilin tai maksuvälineen omistajuus;
• asiakkuuden tarkoitusta koskevat tiedot;
• ammatti, tulotaso tai muu taloudellista asemaa kuvaava tieto silloin, kun se on riskin arvioimiseksi tarpeen;
• selvitys tietyn rahavirran tai laajemman varallisuuden alkuperästä korkeamman riskin tilanteissa.

Rahapeliyhtiö ei saa käyttää rahanpesun estämistä yleisenä tekosyynä minkä tahansa tiedon keräämiselle. Henkilötietojen käsittelyä rajaavat myös tietosuojasäännöt. Toisaalta velvoitteiden täyttämättä jättäminen voi estää asiakassuhteen jatkamisen tai rahansiirron toteuttamisen.

Mitä rahanpesulain 2 000 euron raja oikeastaan tarkoittaa?

Rahanpesulain rahapelitoimintaa koskevassa erityissäännössä asiakas on tunnistettava ja hänen henkilöllisyytensä todennettava panoksen asettamisen tai voiton maksamisen yhteydessä tai molemmissa tilanteissa, jos panos tai lunastettava voitto on yhtenä suorituksena tai toisiinsa kytkeytyvinä suorituksina yhteensä vähintään 2 000 euroa.

Tästä ei pidä päätellä, että alle 2 000 euron pelaaminen olisi anonyymia tai KYC-vapaata. Rahanpesulain yleiset velvollisuudet koskevat muun muassa vakituisen asiakassuhteen perustamista, epäilyttäviä liiketoimia ja tilanteita, joissa aiemmin saatujen tunnistamistietojen luotettavuutta epäillään. Lisäksi rahapelilaki tuo 1.7.2027 alkaen oman rekisteröinti- ja tunnistautumiskehikkonsa.

Miksi varojen alkuperää kysytään?

Varojen alkuperän selvittämisellä pyritään arvioimaan, ovatko asiakkaan rahavirrat uskottavassa suhteessa hänen taloudelliseen tilanteeseensa ja asiakkuuden tarkoitukseen. Rahanpesulain mukaan asiakkaan tuntemistietoihin voi kuulua tieto varojen alkuperästä. Tehostetussa tuntemisessa selvitys voi olla tavallista yksityiskohtaisempi.

Yksittäisen rahavirran lähde ja koko varallisuuden syntyhistoria eivät ole sama asia. Ensimmäisestä käytetään usein termiä source of funds, jälkimmäisestä source of wealth. Pelaajan kohdalla selvitys voi liittyä esimerkiksi palkkatuloon, yritystuloon, säästöihin, sijoitusten myyntiin tai perintöön.

Se, mikä asiakirja riittää, riippuu tilanteesta. Palkkatuloa voidaan osoittaa eri tavalla kuin omaisuuden myyntituloa. Olennaisempaa kuin tietty asiakirjatyyppi on se, pystyykö toimija muodostamaan luotettavan kuvan rahan laillisesta alkuperästä.

Milloin asiakkaan tuntemista tehostetaan?

Rahanpesulaki edellyttää tehostettua asiakkaan tuntemista silloin, kun asiakassuhteeseen tai liiketoimeen liittyy tavanomaista suurempi rahanpesun tai terrorismin rahoittamisen riski. Riskin voivat muodostaa asiakkaaseen, tuotteeseen, maksutapaan, maantieteeseen tai asiointitapaan liittyvät tekijät.

Etäasiointi on laissa oma tilanteensa. Kun asiakas ei ole fyysisesti läsnä, henkilöllisyyden todentamiseen liittyvää riskiä on pienennettävä laissa hyväksytyillä tavoilla, esimerkiksi vahvalla sähköisellä tunnistamisella tai muulla tietoturvallisella ja todisteellisella menettelyllä.

Poliittisesti vaikutusvaltaiseen henkilöön eli PEP-henkilöön liittyy lisäksi erillinen tehostettu tuntemisvelvollisuus. Tällaisessa asiakkuudessa toimijan täytyy muun muassa toteuttaa asianmukaisia toimenpiteitä varojen ja varallisuuden alkuperän selvittämiseksi sekä järjestää tehostettu jatkuva seuranta.

Suomen toimilupamalli tekee tunnistautuneena pelaamisesta selkeän lähtökohdan

Rahapelilain 20 §:n mukaan yksinoikeustoimiluvanhaltijan ja rahapelitoimiluvanhaltijan on rekisteröitävä pelaaja ja todennettava tämän henkilöllisyys rekisteröinnin yhteydessä. Rekisteröitävän on oltava vähintään 18-vuotias. Sähköisiä rahapelejä varten voidaan rekisteröidä vain Suomessa vakinaisesti asuvia henkilöitä, ja asuinpaikka on todennettava säännöllisesti asiakassuhteen aikana.

Lain 28 § puolestaan velvoittaa varmistamaan, että pelaaja voi pelata vain tunnistautuneena rekisteröityneeksi pelaajaksi. Tämä kytkee henkilöllisyyden pelitiliin, tapahtumahistoriaan, peliestoihin ja vastuullisen pelaamisen rajoituksiin.

Rahapelilain KYC-vaatimukset eivät korvaa rahanpesulakia. Ne toimivat rinnakkain. Pelaajan henkilöllisyyden todentaminen voi siis olla kunnossa rahapelilain näkökulmasta, mutta yhtiö voi silti joutua pyytämään lisätietoja täyttääkseen rahanpesulain mukaisen selonotto- tai tehostetun tuntemisvelvollisuuden.

Miksi KYC-tarkistus voi osua juuri kotiutukseen?

Kotiutus on rahavirta asiakkaalle, joten se voi nostaa esiin tietoja, joita talletusvaiheessa ei vielä tarvittu. Esimerkiksi suuri tai asiakkaan aiempaan profiiliin nähden poikkeava maksutapahtuma voi johtaa lisäselvitykseen. Myös lain erityinen 2 000 euron sääntö mainitsee voiton maksamisen yhtenä tunnistamisen ajankohtana.

Hyvä valvontaprosessi ei kuitenkaan tarkoita sitä, että tarkistuksia pidetään tarkoituksella viimeiseen hetkeen asti. Toimiluvallisen toimijan pitäisi rakentaa asiakkaan tunteminen niin, että tarpeelliset tarkistukset tehdään oikea-aikaisesti ja että asiakkaalle kerrotaan ymmärrettävästi, mitä tietoa pyydetään ja miksi.

Jos asiakas ei toimita lain edellyttämiä tietoja, toimija ei välttämättä voi jatkaa asiakassuhdetta tai suorittaa liiketoimea normaalisti. Tämä on eri asia kuin se, että kotiutus evättäisiin ilman perustetta.

KYC-tietoja ei kerätä vain hetkellistä tarkistusta varten

Rahanpesulaki velvoittaa säilyttämään asiakkaan tuntemistietoja määräajan ja päivittämään niitä asiakassuhteen aikana. Säilytettäviin tietoihin voi kuulua henkilöllisyyden todentamiseen käytetty asiakirja tai tieto todentamismenettelystä sekä asiakkaan toiminnasta, taloudellisesta asemasta ja varojen alkuperästä hankittuja tarpeellisia tietoja.

Samalla tietojen käyttötarkoitus on rajattu. Rahanpesun estämiseksi hankittuja tietoja ei saa käyttää tarkoituksiin, jotka ovat yhteensopimattomia tämän tarkoituksen kanssa.