Att logga in på ett svenskt casino med BankID känns i dag som en självklarhet, men ordningen är yngre än man kan tro och den finns där av ett bestämt skäl. Legitimeringen är inte en bekvämlighet som bolagen valt utan en kontrollpunkt som lagen kräver, och den bär upp flera av de skydd som gäller på marknaden. Nedan går vi igenom hur det såg ut förr, vad kontrollen används till och vad den inte gör.
Hur legitimeringen gick till förr
Innan den svenska licensmarknaden öppnade såg registreringen ut som på vilken webbplats som helst. Du fyllde i namn, adress och e-post i ett formulär, valde ett lösenord och kunde börja spela direkt. Identiteten kontrollerades i regel först när du ville ta ut pengar, och då genom att du fick skicka in en kopia av passet eller körkortet tillsammans med ett kontoutdrag.
Den ordningen hade två svagheter som blev tydliga med tiden. Kontrollen kom i fel ände, eftersom ingen visste vem som spelade förrän det fanns pengar att betala ut, och den var långsam. Handläggningen av inskickade handlingar kunde ta dagar, och en spelare som väntade på sitt första uttag hade ofta hunnit spela vidare för det som väntade.
Åldersgränsen var i praktiken en ruta att kryssa i. Ett formulär kan fråga om födelsedatum men inte kontrollera svaret, och något register att stämma av mot fanns inte. Det var i det läget den svenska lagstiftaren landade i att identifieringen behövde flyttas till början av processen.
Lagen som gjorde identifieringen obligatorisk
Spellagen ställer krav på både registrering och kontroll. En spelare ska registreras med namn, adress och personnummer, och licenshavaren ska enligt 12 kap. 2 § i spellagen kontrollera identiteten på ett betryggande sätt genom en tillförlitlig elektronisk identifiering eller motsvarande. Lagen namnger inte BankID, men i praktiken är det den lösning som används.
Nästa paragraf är den som ändrar ordningen i grunden. Enligt 12 kap. 4 § får spel inte ske förrän spelarens identitet fastställts, och undantaget är ett tillfälligt spelkonto där identiteten i så fall ska vara fastställd senast vid den första utbetalningen. Kontrollen har flyttats från uttaget till registreringen, vilket är hela skillnaden mot hur det såg ut förr.
Till det kommer att varje registrerad spelare ska ha ett spelkonto hos licenshavaren. Kontot är den plats där gränser, historik och avstängningar hänger ihop, och det förutsätter att bolaget vet vem kontot tillhör. Utan en fastställd identitet i botten faller resten av konstruktionen.
Bakgrunden till kravet var inte bara ordning och reda. En marknad där bolagen konkurrerar om samma spelare behöver en gemensam punkt att kontrollera mot, annars blir varje skyddsåtgärd frivillig i praktiken. Personnumret fanns redan som en sådan punkt i svensk förvaltning, och den elektroniska legitimeringen fanns redan i bankerna, så lagstiftaren behövde inte bygga något nytt utan kunde peka på det som fanns.
Den som saknar BankID är samtidigt inte utestängd. Lagen kräver en tillförlitlig elektronisk identifiering eller motsvarande, vilket lämnar utrymme för andra lösningar, och en del bolag erbjuder alternativ för den som inte kan legitimera sig digitalt. I praktiken är BankID ändå den lösning som används i nästan alla fall, av det enkla skälet att den redan finns i telefonen hos de allra flesta.
Kontrollen mot Spelpaus är kärnan
Den mening i lagtexten som betyder mest står i samma paragraf och nämns sällan. Spel får inte ske innan licenshavaren har kontrollerat att spelaren inte stängt av sig från spel, vilket innebär att en kontroll mot Spelpaus ska göras innan du släpps in. Kontrollen görs mot personnumret, och personnumret kommer från legitimeringen.
Det är den kedjan som gör självavstängningen till något mer än en avsiktsförklaring. Har du stängt av dig gäller det hos samtliga bolag med svensk licens samtidigt, även hos varumärken du aldrig hört talas om, eftersom spärren följer personen och inte kontot. En avstängning som byggde på e-postadresser hade gått att kringgå på en minut.
Spelförordningen sätter samtidigt en gräns för vad bolaget får göra med uppgifterna. En licenshavare får endast behandla de identitetsuppgifter som behövs för att en avstängd spelare inte ska ges tillträde till spelet. Kontrollen är därför snäv och besvarar en fråga i taget, nämligen om den här personen har stängt av sig eller inte.
Vad legitimeringen används till moment för moment
Identifieringen återkommer på flera ställen under ett spelande, och varje gång fyller den en egen funktion. Tabellen nedan visar vad som kontrolleras och varför just då.
| Moment | Vad som kontrolleras | Varför |
|---|---|---|
| Registrering | Identitet och ålder | Spel får inte ske förrän identiteten är fastställd |
| Före första spelet | Avstängning i Spelpaus | Spel får inte ske om spelaren stängt av sig |
| Insättningsgräns | Att gränsen är knuten till dig | Gränsen ska vara satt innan spelandet börjar |
| Välkomsterbjudande | Om du spelat hos licenshavaren förut | Bonus får lämnas vid det första speltillfället |
| Utbetalning | Att mottagaren är kontoinnehavaren | Pengarna ska gå till rätt person |
Raden om välkomsterbjudandet är värd en precisering, eftersom uppgiften ofta återges fel. Regeln är inte att en spelare får ta emot en bonus i hela sitt liv, utan att en licenshavare får lämna bonus vid det första tillfället en spelare spelar hos just den licenshavaren. Byter du bolag kan du få ett nytt erbjudande, medan två varumärken under samma licens räknas som ett.
Just den regeln fungerar bara därför att identiteten är fastställd. Ett bolag som inte vet vem du är kan inte veta om du varit där förut, och en regel som knyter an till en person förutsätter att personen går att känna igen. Legitimeringen är därmed inte bara en inloggning utan förutsättningen för flera av de regler som marknaden bygger på. Mer om hur olika bonusar och free spins är uppbyggda finns att läsa på annat håll.
Insättningsgränsen vilar på samma konstruktion som avstängningen. Den ska vara satt innan spelandet börjar och gäller per dag, vecka och månad, och den är knuten till dig och inte till en webbläsare eller en e-postadress. Att öppna ett nytt konto hos samma bolag för att slippa gränsen fungerar därför inte, eftersom personen är densamma och kontot känns igen.
Vad BankID inte gör
En vanlig föreställning är att BankID skyddar dina personuppgifter hos casinot. Så fungerar sambandet inte riktigt i praktiken. BankID är en metod för att styrka vem du är i ett givet ögonblick, medan skyddet av uppgifterna därefter regleras av dataskyddsförordningen och av bolagets egna rutiner. De två sakerna har med varandra att göra men är inte samma sak.
En annan föreställning är att förekomsten av BankID i sig är ett kvitto på att en sajt är säker. Legitimeringen säger ingenting om utbetalningstider, villkor eller hur bolaget hanterar en tvist, och den säger heller ingenting om huruvida sajten har svensk licens. Det är licensregistret som besvarar den frågan, och legitimeringen är en följd av licensen snarare än ett bevis för den.
Den tredje är att en avstängning skulle gälla överallt. Spelpaus når samtliga bolag med svensk licens och ingen utanför, och sajter utanför licenssystemet använder i regel inte legitimering just därför. En inloggning med e-post och lösenord kan inte kontrolleras mot något register, vilket är en av de tydligaste skillnaderna mellan de två världarna.
Det finns dessutom en gräns för vad legitimeringen bevisar om vem som spelar. BankID styrker att en viss person legitimerat sig, inte att det är samma person som sedan sitter vid skärmen. Kontot kan lånas ut och det förekommer att någon spelar för en annans räkning, vilket är ett känt problem och ett av skälen till att bolagen även ska följa spelmönster och inte bara identiteter.
Ordningen har också fått betydelse långt utanför spelbranschen. Att en hel bransch bygger sina skyddsåtgärder på en elektronisk legitimering har använts som argument i andra sammanhang där ålderskontroll efterfrågas, och den svenska modellen brukar lyftas fram internationellt just för att avstängningsregistret fungerar. Att det gör det beror inte på tekniken i sig utan på att lagen kräver att kontrollen görs före spel och inte efter.
Så ser det ut i dag
Ordningen har blivit så invand att den knappt märks. En registrering tar sekunder i stället för dagar, uttag går till ett konto som redan är knutet till dig och åldersgränsen kontrolleras mot ett personnummer i stället för mot en ikryssad ruta. För den som spelade före 2019 är skillnaden påtaglig, och för den som började efteråt är det svårt att föreställa sig något annat.
Priset är att spelandet är knutet till en identitet på ett sätt det inte var förr. Det finns en historik, det finns gränser som följer med och det går inte att börja om anonymt hos ett annat bolag. För den som vill ha kontroll är det en fördel och för den som vill spela obemärkt en nackdel, och regelverket är byggt med den första gruppen i åtanke.
Framåt pekar utvecklingen mot fler kontrollpunkter snarare än färre. De förslag som diskuterats de senaste åren rör bland annat automatisk utloggning vid inaktivitet och tydligare krav på hur bolagen ska agera vid avvikande spelmönster. Samtliga förutsätter att bolaget vet vem som sitter vid skärmen. Punkterna nedan sammanfattar det som är värt att ta med sig.
En sista sak som ändrats med ordningen är hur en tvist ser ut. När identiteten är fastställd från början finns ett spår av vem som gjort vad och när. Det gör det enklare att reda ut saken om ett uttag inte kommer fram eller ett konto stängs. Förr fanns motsvarande underlag först efter att en handläggare gått igenom inskickade handlingar, och då ofta bara hos den ena parten.
- Identiteten ska vara fastställd innan spel får ske
- En kontroll mot Spelpaus ska göras innan du släpps in
- Bonusregeln följer licenshavaren och inte varumärket
- BankID är legitimering och inte ett skydd av dina uppgifter
- Förekomsten av BankID är inget bevis för att sajten har svensk licens