Hvorfor ber nettjenester om legitimasjon? KYC og AML forklart

Hva er forskjellen på KYC og AML?

KYC står for «Know Your Customer», ofte omtalt som «kjenn kunden». Det beskriver kundekontrollen: å avklare hvem kunden er og forstå kundeforholdet. AML står for «Anti-Money Laundering», altså tiltak mot hvitvasking. Kundekontroll er en del av dette arbeidet, ikke hele arbeidet.

Hvitvasking handler om å skjule at penger eller andre verdier stammer fra kriminalitet. Ifølge Finanstilsynet skal regelverket forebygge og avdekke transaksjoner knyttet til kriminelt utbytte og terrorfinansiering. Banker og andre rapporteringspliktige skal kontrollere opplysninger ved etablering av kundeforhold og følge opp kundene løpende.

Gjelder dette alle nettjenester?

Nei. At en tjeneste finnes på nett, betyr ikke automatisk at den omfattes av hvitvaskingsloven. Hvitvaskingsloven § 4 angir hvilke virksomheter som omfattes. Listen inkluderer blant annet banker, betalingsforetak, verdipapirforetak og kryptoeiendelstjenesteytere.

Hvis en tjeneste ber om en kopi av legitimasjonen din og bare forklarer det med «AML-regler», bør du be om en mer konkret begrunnelse. Spør hvilket selskap som mottar dokumentet, hvilket formål kontrollen har, og hvilket regelverk de viser til. Et faguttrykk erstatter ikke en forklaring.

Hvorfor får du spørsmål når du allerede er kunde?

Kundekontroll er ikke nødvendigvis en engangsoppgave. Finanstilsynet beskriver krav om løpende oppfølging av etablerte kundeforhold. Hvitvaskingsloven § 9 sier dessuten at kundetiltak skal bygge på en risikovurdering, blant annet ut fra kundeforholdets formål, kundemidler og transaksjonenes størrelse.

En ny forespørsel betyr derfor ikke i seg selv at du er mistenkt for noe. Samtidig bør du ikke anta at enhver forespørsel er legitim bare fordi du faktisk har en konto hos virksomheten.

Eksempel: Du får en melding som ser ut til å komme fra banken, med beskjed om å oppdatere kundeopplysninger. Åpne bankens app eller skriv inn den kjente nettadressen selv. Undersøk forespørselen der, eller kontakt banken gjennom en kontaktkanal du allerede kjenner. Bruk gjerne vår guide til å kjenne igjen phishing hvis meldingen presser deg til å handle raskt.

Slik kontrollerer du forespørselen før du sender dokumenter

1. Finn tjenesten uavhengig av meldingen. Ikke start med opplastingslenken i en uventet e-post eller SMS. Gå til tjenesten gjennom en kjent adresse eller app.
2. Bekreft mottakeren. Kontroller hvilket selskap som ber om dokumentene. Hvis opplastingen skjer hos en annen aktør, be tjenesten bekrefte hvem aktøren er og hvilken rolle den har. Se vår sjekkliste for å undersøke et nettsted.
3. Be om en presis dokumentliste. Avklar hvilke dokumenter som godtas, hvilke opplysninger som må være synlige, og om noe kan skjermes. Ikke anta at samme dokumentkrav gjelder hos alle tjenester.
4. Avklar innsendingsmåten. Bruk først opplastingsløsningen når du har bekreftet at den tilhører den aktuelle forespørselen. Ikke send dokumenter til en ny e-postadresse bare fordi noen oppgir den i en melding.
5. Spør om behandling av opplysningene. Be om informasjon om hvem som får tilgang, hva opplysningene brukes til, og hvordan lagring og sletting håndteres. Hvitvaskingsloven har egne bestemmelser om personopplysninger, lagring og informasjon til kunder i kapittel 6.
6. Ta vare på kommunikasjonen. Noter hva du ble bedt om, hva du sendte, og eventuell bekreftelse på mottak. Unngå unødvendige ekstra kopier av legitimasjonen.

Hvis du bruker en app til innsendingen, kan du også gå gjennom appens tilganger og personverninnstillinger. Sikre selve kontoen med tofaktorautentisering der tjenesten tilbyr det. Dette er separate tiltak fra dokumentkontrollen.

Hvis dokumentet blir avvist eller kontrollen stopper opp

Be om en konkret forklaring før du sender mer. Spør om problemet gjelder lesbarhet, dokumenttype, manglende opplysninger eller avvik mellom dokumentet og kontoen. Avklar hvilke opplysninger du skal rette, i stedet for å sende en stadig større samling dokumenter.

Eksempel: Du får beskjed om at et dokument ikke kan brukes, men ingen begrunnelse. Svar: «Hvilket krav oppfyller ikke dokumentet, og hvilken dokumentasjon godtar dere i stedet?» Hvis du blir bedt om å skjule eller endre opplysninger i kopien, få først bekreftet hva som skal være synlig.

Ikke legg en generell tidsfrist eller beløpsgrense til grunn for alle tjenester. Be om forventet behandlingstid for din sak og hvilken kontaktkanal du skal bruke ved forsinkelse. En bekreftelse på mottak er heller ikke det samme som en godkjent kontroll.

Dokumentkrav ved pengespill er ikke et kvalitetsstempel

For voksne over 18 år kan en kommersiell casino-guide illustrere hva dokumentinnsending kan innebære. Bruk den som et eksempel på terminologi og vilkår, ikke som dokumentasjon på at en tilbyder er trygg, godkjent eller vil gjennomføre et uttak. Pengespill innebærer økonomisk risiko. Lenken går til en publikasjon med samme eier som Norgeanalyse. Les mer om lenker og eierskap.

En utenlandsk lisens er ikke norsk tillatelse. Pengespilloven §§ 4, 5 og 7 regulerer blant annet tillatelse til tilbud rettet mot det norske markedet, forbud mot formidling av betalinger til og fra pengespill uten nødvendig tillatelse, og hovedregelen om 18-årsgrense. Identitetskontroll og tillatelse til å tilby pengespill er to forskjellige spørsmål.

Neste steg hvis du er usikker

Vent med dokumentinnsendingen og kontakt tjenesten gjennom en kjent kanal. Be dem bekrefte forespørselen, dokumentkravene og mottakeren. Du kan skrive: «Jeg har mottatt en forespørsel om legitimasjon. Kan dere bekrefte at den kommer fra dere, forklare formålet og oppgi riktig innsendingsmåte?» Flere praktiske guider finnes i temaoversikten om digital sikkerhet.