Du klickar på «registrera», fyller i namn, adress och personnummer, och möts av en ruta som ber dig fotografera passet och ta en selfie. Ingen BankID, ingen app, bara en kamera och en uppmaning att luta huvudet lite åt vänster. Det tar tre minuter. Det du lämnar ifrån dig kan ligga kvar i tio år. Allt fler nya casinon utan svensk licens använder den här typen av registrering, och frågan är sällan vad som händer med passnumret och bilden efter att kontot är öppnat.

Här finns en skillnad som är lätt att missa. BankID bekräftar vem du är utan att operatören får tillgång till något biometriskt material. Pass och selfie gör det motsatta. När en utländsk speloperatör kombinerar dokumentbilden med en ansiktsbild skapas en biometrisk profil, en matematisk beskrivning av ditt ansikte som kan jämföras maskinellt och lagras separat från själva kontot. Penningtvättslagstiftningen, AML, kräver att identitetshandlingar sparas i upp till tio år efter att kundförhållandet upphört. Det gäller även bolag som saknar svensk licens, eftersom kraven följer av EU-regler snarare än av Spelinspektionens villkor.

Spelpaus omfattar enbart bolag med svensk licens. Ett casino utan spelpaus står alltså utanför det nationella avstängningsregistret, och cirka 137 700 personer är i dag avstängda från licensierat spel i Sverige. Många av dem söker sig till sajter som drivs via white label-lösningar, där ny design och nytt namn sitter på samma tekniska infrastruktur som flera andra varumärken. Asino publicerar granskning av nya casinon utan svensk licens, och den här genomgången handlar om det som sällan syns i välkomstbonusen: vilka spår du faktiskt lämnar, hur länge de sparas och vad du kan göra åt saken innan du klickar på registrera.

Så identifieras du utan BankID: passnummer, selfie och biometriska profiler

Registreringen är första steget in på en spelsajt, och det är också där du lämnar ifrån dig mest information. Saknas BankID tvingas operatören lösa identitetskontrollen på annat sätt, ofta genom en kombination av dokument och bild. Det låter enkelt. I praktiken skapas en profil som är betydligt mer detaljerad än den du lämnar vid en vanlig inloggning.

Passnummer, körkort och selfie: de vanligaste alternativen

När BankID inte används finns i praktiken tre vägar in. Den första är att ladda upp en bild på pass eller nationellt ID-kort, fylla i dokumentnumret manuellt och komplettera med en selfie. Den andra är samma dokumentkontroll men med en kort videosekvens där du rör på huvudet eller läser upp en siffra. Den tredje är en ren självdeklaration med namn, adress och personnummer, vilket i praktiken bara fungerar hos operatörer med svag kontroll.

Passnummer plus selfie är den vanligaste kombinationen hos utländska operatörer. Anledningen är praktisk: det kräver ingen integration mot svenska myndigheter, bara en leverantör av dokumentverifiering och ansiktsmatchning. Nya casinon utan svensk licens drivs ofta av white label-lösningar, och där är just den här typen av identitetsmodul standardiserad och återanvändbar mellan varumärken.

Varför en selfie skapar en biometrisk profil

En selfie är inte bara en bild. När leverantören jämför ditt ansikte mot passfotot extraheras ansiktets geometri: avstånd mellan ögon, näsa och mun, käklinjens form, hudens struktur. Resultatet lagras som en matematisk mall, en så kallad ansiktsdeskriptor, och den kan användas för att matcha dig igen vid ett senare tillfälle. Det är skillnaden mot BankID, som bekräftar att du har tillgång till en enhet och en kod, men aldrig sparar ditt ansikte som data.

Lägg till passnumret och du har en unik, statisk identifierare knuten till en biometrisk mall. Kombinationen är svår att byta ut och svår att återkalla. Ett passnummer gäller i upp till tio år, och en ansiktsmall ändras inte för att du byter e-postadress.

Metod Vad som samlas in Biometrisk lagring Typisk tidsåtgång
BankID Namn, personnummer, signerad autentisering Nej Under en minut
Passbild + manuellt passnummer Dokumentbild, dokumentnummer, selfie Ja, ansiktsmall Några minuter till timmar
Passbild + videosekvens Dokumentbild, rörligt ansikte, liveness-data Ja, utökad profil 5 till 15 minuter
Manuell självdeklaration Namn, adress, personnummer Nej Under en minut
Banköverföring i eget namn Kontoinnehavare, transaktionshistorik Nej 1 till 3 bankdagar

Notera att den sista raden i tabellen ofta används som komplement snarare än ersättning. Operatören vill ha både ett dokument och en betalningsström som stämmer med namnet. För dig som spelare betyder det att uppgifterna samlas i flera lager, och att varje lager sparas separat. Casinon utan svensk licens saknar obligatoriska insättningsgränser, men de saknar också den svenska tillsyn som annars sätter ramar för hur identitetshandlingar får behandlas. Det är där nästa fråga blir relevant: hur länge uppgifterna faktiskt ligger kvar.

AML-lagstiftningen och de tio årens lagring av dina uppgifter

Penningtvättslagen, ofta förkortad AML, är den enskilt viktigaste anledningen till att ditt pass och din selfie inte försvinner ut i tomma intet efter att kontot öppnats. Lagen bygger på EU-direktiv och har implementerats i svensk rätt genom lagen om åtgärder mot penningtvätt och finansiering av terrorism. Kravet är enkelt formulerat men långtgående i praktiken: den som bedriver verksamhet som omfattas ska känna sin kund, verifiera identiteten med tillförlitliga handlingar och bevara dokumentationen i efterhand.

Själva lagringstiden regleras i 3 kap. 22 § av den lagen. Huvudregeln är fem år efter det att affärsförbindelsen upphört eller den enstaka transaktionen genomförts. Men det finns ett viktigt undantag: om det behövs för att förebygga, upptäcka eller utreda penningtvätt eller finansiering av terrorism får uppgifterna sparas i upp till tio år. I praktiken väljer många operatörer att lägga sig på den längre perioden, eftersom en tvist eller en tillsynsgranskning kan dyka upp långt efter att spelaren slutat. Tio år är alltså inte ett skrämselnummer, det är den övre gränsen för hur länge en kopia av ditt pass kan ligga kvar i ett system du inte längre har någon relation till.

Det som gör AML-spåret särskilt känsligt är vad som faktiskt sparas. Lagen kräver inte bara en bekräftelse på att identiteten är kontrollerad. Den kräver bevarande av själva underlaget: en bild av passet, ofta både fram- och baksida, en selfie tagen i realtid och i många fall en så kallad liveness-kontroll där användaren rör på huvudet eller läser upp en kod. Dessa filer är biometriska uppgifter i GDPR:s mening, eftersom de kan användas för att identifiera en fysisk person. De lagras typiskt i ett KYC-system hos en extern leverantör, ibland hos ett systerbolag inom samma koncern, och de kan komma att granskas av revisorer, compliance-avdelningar och i förlängningen myndigheter.

Här ligger kärnan i den insikt som många missar. När du legitimerar dig med BankID lämnar du en autentiseringssignal, inte en ansiktsbild. BankID bekräftar att du är du, men operatören får ingen fil att spara i tio år. När du i stället registrerar dig med passnummer och selfie skapas en beständig biometrisk profil som lever kvar i operatörens arkiv långt efter att spelkontot stängts. Det är samma AML-krav som gäller i båda fallen, men spåret ser helt olika ut. För den som spelar på en sajt med svensk licens är detta hanterat inom ramen för Spelinspektionens tillsyn och de dataskyddskrav som följer med licensvillkoren. För den som väljer ett casino utan svensk licens gäller fortfarande AML-kraven i operatörens hemland, men utan svensk myndighet som granskar hur filerna faktiskt hanteras. Därför publicerar Asino granskningar av nya casinon utan svensk licens, där https://asino-se.com/nya-casinon-utan-svensk-licens/ samlar just sådana genomgångar där datalagring och identitetsflöden vägs in, inte bara bonusar och spelutbud.

Det är värt att notera vad lagen inte kräver. Den säger inget om att biometrin måste lagras i tio år om en enklare metod hade räckt för att uppnå samma kundkännedom. Operatören väljer själv sin riskbaserade metod, och valet av pass plus selfie är ofta ett resultat av att det är billigt, snabbt och automatiskt. Spelaren får sällan veta vilken lagringstid som faktiskt tillämpas, hur länge bilderna ligger kvar eller vem som har åtkomst. Det svaret står i integritetspolicyn, och det är dit blicken bör riktas innan registreringen påbörjas.

Vad BankID gör annorlunda – identitetsbekräftelse utan lagrad biometri

BankID är i grunden en autentiseringstjänst, inte en identitetsbank. När du loggar in signerar du en transaktion med en nyckel som ligger på din enhet, och banken som utfärdat BankID bekräftar att nyckeln tillhör en viss person. Själva ansiktet, rösten eller fingeravtrycket lämnar aldrig din telefon i något format som operatören kan spara undan. Det finns inget foto i flödet, inget passnummer att kopiera och ingen biometrisk mall att lagra i tio år. Det är den tekniska skillnaden som sällan nämns i välkomstbannern.

Jämför det med pass plus selfie. Där skickar du en bild av en statlig identitetshandling med MRZ-kod, foto och personnummer till en leverantör som ofta sitter i ett annat land. Sedan tar du en selfie, ibland med en rörelse som att vrida på huvudet, och systemet jämför ansiktsgeometrin mot passfotot. Resultatet är inte bara ett «ja, det stämmer». Det är en ny datamängd: en ansiktsmall, en liveness-bedömning, en hash av dokumentet och en tidsstämpel. Den mallen är känsligare än ett passnummer eftersom den inte kan bytas ut om den läcker.

Här ligger kärnan i varför avsaknaden av BankID ökar mängden känsliga personuppgifter. AML-regelverket kräver att operatören kan visa vem du är, och när BankID inte finns att tillgå måste den bevisningen byggas upp på annat sätt. Operatören samlar då in mer, inte mindre: dokumentbild, selfie, ibland en video, ibland en adressbekräftelse via bankutdrag. Varje sådan artefakt är en separat personuppgift med egen lagringstid och egen riskprofil. Ett BankID-flöde lämnar i praktiken ett ja eller nej plus en transaktionslogg. Ett pass- och selfieflöde lämnar en hög med råmaterial.

Det finns en praktisk detalj som förstärker skillnaden. BankID bygger på att utfärdaren ansvarar för identiteten och att operatören bara får en bekräftelse. Pass- och selfieflöden bygger i stället på att operatören, eller dess underleverantör, själv ska bedöma och bevara beviset. Ansvaret flyttas alltså nedåt i kedjan, ofta till ett white label-bolag eller en KYC-leverantör som operatören inte har full insyn i. För dig som spelare betyder det att frågan «var lagras min selfie?» inte har ett enkelt svar, och att svaret kan ändras när som helst om leverantören byts ut.

Det gör också att valet av registreringsmetod är ett val av datamängd. Där BankID finns tillgängligt minskar du mängden biometri som lämnar din enhet dramatiskt. Där det inte finns, eller där du aktivt väljer bort det, måste du räkna med att passnummer, ansiktsbild och dokumenthash hamnar i ett register som lever kvar länge. Det är inte ett argument mot identitetskontroll i sig. Det är ett argument för att veta vilken typ av kontroll du går igenom, och vad den lämnar efter sig.

Riskerna med casino utan spelpaus och registrering hos olicensierade aktörer

Spelpaus är Spelinspektionens nationella verktyg för självexkludering, och det omfattar enbart bolag med svensk licens. I skrivande stund är cirka 137 700 personer avstängda från licensierat spel i Sverige. Den som vill tillbaka till spel men inte kan släppa spärren söker sig därför ofta till casinon utan svensk licens, och det är precis här spårfrågan blir praktiskt viktig. Ett casino utan spelpaus kan nämligen inte kontrollera dig mot avstängningsregistret, eftersom operatören står utanför Spelinspektionens system. Konsekvensen är att en spärr som du själv har satt upp inte följer med dig till sajten.

De flesta nya casinon utan svensk licens drivs ofta av white label-lösningar. Det innebär att en entreprenör hyr hela den tekniska infrastrukturen av en licenshållare i exempelvis Malta eller Curacao och trycker sitt eget varumärke ovanpå. Själva spelplattformen, betalningsflödena och ofta även kunddatabasen ligger kvar hos huvudlicenshavaren. För dig som registrerar dig betyder det att passnummer och selfie inte nödvändigtvis hamnar hos det företag du tror att du spelar hos, utan hos en underleverantör som du aldrig har hört talas om.

Här uppstår flera konkreta risker kopplade till dina identitetsuppgifter:

  • Otydligt lagringsansvar. När flera bolag delar samma infrastruktur är det inte alltid klart vem som är personuppgiftsansvarig. Vid en tvist om radering kan du få olika svar beroende på vilken part du kontaktar.
  • Längre lagring än nödvändigt. AML-regler kräver upp till tio års lagring, men utan svensk tillsyn finns ingen som granskar om operatören faktiskt gallrar när perioden är slut.
  • Varumärkeslansering som återanvänder data. Operatörer lanserar nya varumärken för att attrahera spelare igen, och en nyregistrering kan ske mot samma underliggande system där dina gamla uppgifter redan finns.
  • Bristande spelskydd. Utan obligatoriska insättningsgränser och utan koppling till Spelpaus saknas de inbyggda bromsar som svenska licensvillkor annars tvingar fram.
  • Oklar jurisdiktion. Om operatören är registrerad i ett land med svag dataskyddstillsyn blir det svårt att driva igenom dina rättigheter enligt GDPR.

Det är värt att understryka att casinon utan svensk licens saknar obligatoriska insättningsgränser. Den svenska modellen bygger på att gränserna sätts av operatören enligt licensvillkor, och utan den ramen faller en stor del av det strukturella spelskyddet bort. För en spelare med ett begynnande spelproblem är det en avgörande skillnad, eftersom möjligheten att själv sätta gränser inte är samma sak som att gränser finns från start.

En annan aspekt är att en olicensierad aktör inte heller omfattas av de svenska kraven på hur biometriska uppgifter får behandlas. Passnummer och selfie är känsliga personuppgifter, och ju fler led som hanterar dem, desto fler ställen kan ett dataintrång ske. Du kan läsa mer om hur dessa flöden granskas i Asinos genomgångar, där publicerar redaktionen granskning av nya casinon utan svensk licens med fokus på just registrering, lagring och spelskydd. Poängen är enkel: valet av sajt avgör inte bara vilka bonusar du får, utan också hur länge och hur säkert ditt passnummer och ditt ansikte förvaras någonstans i en serverhall.

Så minskar du dina digitala spår vid registrering på nya casinon utan svensk licens

Du kan inte trolla bort ett passnummer du redan lämnat. Men du kan bestämma vilka uppgifter som lämnas, till vem och varför. Det låter kanske självklart, men i praktiken är det få som läser integritetspolicyn innan de klickar på «registrera». Här är de konkreta greppen som faktiskt gör skillnad när du överväger nya casinon utan svensk licens eller ett nytt casino utan svensk licens.

Börja med att ifrågasätta varför just passnummer efterfrågas. En utländsk speloperatör med licens i Malta eller Curacao lyder under AML-regler som kräver identitetskontroll, men detaljnivån varierar mellan plattformar och mellan länder. Ett seriöst bolag förklarar i sin policy vilken rättslig grund insamlingen vilar på, hur länge uppgifterna sparas och vilka underleverantörer som får tillgång till dem. Hittar du ingen sådan förklaring, eller bara en rad om «nödvändig KYC», är det ett varningstecken snarare än ett tecken på noggrannhet.

Dataminimering i praktiken: skicka inte mer än nödvändigt

Dataminimering är principen att bara lämna ut det som faktiskt behövs för ändamålet. Vid en registrering utan BankID kan du ofta välja mellan flera legitimationsmetoder. Fråga då om det räcker med en kopia av körkortet i stället för hela passet, och om selfien verkligen måste tas i appen eller om en manuell granskning går att begära. Vissa operatörer erbjuder alternativ där en mänsklig handläggare tittar på dokumenten och sedan raderar bilderna, i stället för att ett automatiskt system bygger en biometrisk profil som lagras i tio år enligt penningtvättslagen.

Tre konkreta kontroller innan du registrerar dig:

  • Läs integritetspolicyn med fokus på lagringstid. Står det «upp till tio år» utan närmare förklaring, fråga vilka uppgifter som omfattas och om biometriska mallar sparas separat från själva bilden.
  • Kolla vilket bolag som står bakom varumärket. Nya casinon utan svensk licens drivs ofta av white label-lösningar, där samma tekniska infrastruktur och samma personuppgiftsansvariga bolag återkommer under flera namn. Ett systerbolag du redan lämnat uppgifter till kan redan ha dem.
  • Undvik dubbelregistreringar. Varje nyregistrering hos ett syskonvarumärke kan innebära en ny insamling av pass och selfie, även om operatören redan har dig i sitt register.

En annan sak att väga in: casinon utan svensk licens saknar de obligatoriska insättningsgränser som Spelinspektionen kräver, och de omfattas inte av Spelpaus. Cirka 137 700 personer är avstängda från licensierat spel i Sverige, och den som söker sig till casino utan spelpaus lämnar samtidigt ifrån sig känsliga uppgifter till en aktör utan svensk tillsyn. Det gör valet av registreringsmetod ännu viktigare, eftersom du inte har samma skydd om något går fel.

Vill du ändå gå vidare, begär ut dina uppgifter enligt dataskyddsförordningen och kontrollera vad som faktiskt sparats. Asino publicerar granskning av nya casinon utan svensk licens, och den typen av genomgång är ett rimligt första stopp innan du lämnar ifrån dig passnummer och selfie till ett varumärke du aldrig hört talas om tidigare.

Innan du klickar på «registrera» hos en aktör du inte känner igen, gör en snabb kontroll som tar fem minuter. Öppna integritetspolicyn och sök på orden «AML», «identitetsverifiering» och «lagringsperiod». Hittar du ingen tydlig uppgift om hur länge passkopior och selfies sparas, eller vilket land som är registerförare, är det i sig ett svar. Be sedan om att få veta vilket bolag som står bakom varumärket, eftersom nya casinon utan svensk licens ofta drivs via white label-lösningar där support, betalningar och identitetsdata hanteras av en annan part än den du tror du spelar hos. Som referens publicerar Asino granskning av nya casinon utan svensk licens, och den typen av genomgång är ett rimligt första stopp innan du lämnar ifrån dig ditt passnummer.

Ett konkret nästa steg: begär ut dina registrerade uppgifter. Enligt dataskyddsförordningen har du rätt till registerutdrag, och du kan skicka begäran till operatörens dataskyddsombud redan samma dag du registrerat dig. Då ser du svart på vitt vilka dokument, bilder och transaktionsloggar som faktiskt ligger sparade, och om något samlats in utöver vad som behövs för kundkännedom kan du begära rättelse eller radering. Passa också på att stänga av eventuella marknadsföringssamtycken i kontots inställningar, eftersom ett aktivt spelkonto utan spärr ofta triggar fler bonuserbjudanden än du bad om. Har du tidigare haft problem med spel ska du undvika casino utan spelpaus helt, eftersom självexkluderingen bara gäller hos bolag med svensk licens och inte följer med till en utländsk speloperatör. Väljer du ändå att spela vidare, sätt din egen insättningsgräns i kontot innan första insättningen, för casinon utan svensk licens saknar de obligatoriska gränser som Spelinspektionen annars kräver. Dina spår lever kvar i upp till tio år. Ditt beslut om var de hamnar behöver inte ta lika lång tid.