Weryfikacja tożsamości (KYC): czego kasyno może wymagać i dlaczego

Po co kasyno online chce skan twojego dowodu osobistego i dlaczego pyta o niego akurat teraz, a nie przy zakładaniu konta? Krótka odpowiedź brzmi: podmiot, który legalnie urządza gry hazardowe, jest z mocy prawa instytucją obowiązaną w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy i musi ustalić twoją tożsamość, zanim pozwoli ci grać na poważne stawki.

Weryfikacja konta w kasynie online nie jest więc kaprysem operatora ani sygnałem, że z twoim kontem jest coś nie tak. To procedura, którą po jednej stronie reguluje ustawa o przeciwdziałaniu praniu pieniędzy (AML), a po drugiej ustawa o ochronie danych osobowych. Pierwsza mówi, kiedy i co operator musi ustalić, druga wyznacza, gdzie kończy się jego uprawnienie do twoich danych. W tym artykule znajdziesz obie strony tej procedury: co kasyno musi zrobić, co mu wolno, a czego nie wolno mu ani żądać, ani zatrzymać na zawsze. Zasady bezpieczeństwa w kasynie online zaczynają się właśnie tutaj: od tego, kto i na jakiej podstawie prawnej pyta o twoje dane.

Dlaczego kasyno w ogóle pyta o twoje dane?

Kto odbiera twoje dane, gdy zakładasz konto w kasynie online, i na jakiej podstawie w ogóle może to robić? Odpowiedź daje ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, która wprost wymienia podmioty prowadzące działalność w zakresie gier losowych, zakładów wzajemnych, gier w karty i gier na automatach jako instytucje obowiązane.

Status ten powstaje z mocy samej ustawy, a nie z dobrowolnej decyzji operatora: Generalny Inspektor Informacji Finansowej (GIIF) potwierdza, że nabycie statusu instytucji obowiązanej przez podmiot urządzający gry hazardowe następuje z mocy przepisów ustawy AML i nie wymaga żadnego dodatkowego zgłoszenia. Z tego statusu wynika obowiązek stosowania wobec klientów środków bezpieczeństwa finansowego: identyfikacji klienta i weryfikacji jego tożsamości, ustalenia beneficjenta rzeczywistego, oceny stosunków gospodarczych oraz bieżącego monitorowania konta. Zakres i intensywność tych środków ustawa uzależnia od rozpoznanego ryzyka, co tłumaczy, dlaczego dwóch graczy dostaje różne pytania od tego samego operatora.

Drugą nogą obowiązku jest ustawa o grach hazardowych: regulamin odpowiedzialnej gry musi zawierać procedurę weryfikacji ukończenia 18. roku życia przez uczestników gry oraz procedurę rejestracji gracza na koncie gracza jako warunku rozpoczęcia i prowadzenia gry, a w grach hazardowych mogą uczestniczyć wyłącznie osoby, które ukończyły 18 lat. Co to oznacza w praktyce: pytanie o dokumenty u operatora z polskim zezwoleniem nie jest jego widzimisię, tylko wykonaniem dwóch odrębnych ustaw naraz.

Kiedy kasyno musi sprawdzić, kim jesteś?

Dlaczego dokumenty pojawiają się czasem dopiero przy wypłacie, a nie od razu po rejestracji? Ustawa AML wskazuje konkretne sytuacje, w których operator musi zastosować środki bezpieczeństwa finansowego, i wypłata jest tylko jedną z nich.

Zgodnie z art. 35 ust. 1 AML środki te stosuje się w czterech przypadkach, a te same sytuacje dla podmiotów urządzających gry hazardowe potwierdza komunikat nr 19 Ministerstwa Finansów:

• zakładanie konta gracza, czyli nawiązanie stosunków gospodarczych
• stawki lub wygrane o równowartości 2000 euro lub więcej, liczone też jako kilka powiązanych operacji razem
• podejrzenie prania pieniędzy lub finansowania terroryzmu
• wątpliwości co do prawdziwości lub kompletności danych, które kasyno już ma

Weryfikacja wraca też u dotychczasowych klientów, zwłaszcza gdy zmienił się charakter stosunków gospodarczych albo wcześniej ustalone dane. W działach compliance dobrze znane jest to, że dokumenty proszą się właśnie w takich momentach: suma stawek albo wygranej przekroczyła próg, zmieniło się zachowanie konta, dane przestały się zgadzać. To nie kara, tylko konsekwencja przepisu. Kwoty 2000 euro nie przelicza się tu na złote: w tekście ustawy i w tym artykule zostaje jako równowartość w euro, bez kursu i bez daty przeliczenia.

Weryfikacja konta w kasynie online: jakie dane i dokumenty może wymagać kasyno?

Jakie dokładnie dane operator ma prawo od ciebie zebrać, gdy prosi o weryfikację konta? Zakres identyfikacji osoby fizycznej wyznacza art. 36 ust. 1 AML.

• imię i nazwisko
• obywatelstwo
• numer PESEL, a jeśli go nie nadano, data urodzenia i państwo urodzenia
• seria i numer dokumentu stwierdzającego tożsamość
• adres zamieszkania, jeśli instytucja obowiązana nim dysponuje

Sposób weryfikacji określa art. 37 ust. 1: na podstawie dokumentu stwierdzającego tożsamość, dokumentu z aktualnymi danymi z właściwego rejestru lub innych danych i informacji pochodzących z wiarygodnego i niezależnego źródła, w tym (o ile są dostępne) ze środków identyfikacji elektronicznej. Ustawa nie wymienia więc konkretnego dokumentu ani metody, tylko zasadę: musi to być źródło wiarygodne i niezależne od samego gracza.

Pytanie o źródło pochodzenia środków pojawia się tylko w przypadkach uzasadnionych okolicznościami, nie przy każdej wpłacie czy wypłacie. Osoby zajmujące eksponowane stanowiska polityczne dostają dodatkowo formularz z klauzulą o odpowiedzialności karnej za złożenie fałszywego oświadczenia. To procedura obowiązująca wszystkich w tej kategorii, nie sygnał podejrzenia wobec konkretnej osoby. Legalny operator internetowy archiwizuje też numer rachunku płatniczego uczestnika gry oraz dane niezbędne do jego identyfikacji, zgodnie z rozporządzeniem Ministra Rozwoju i Finansów z 18 maja 2017 r.

Czego przepisy nie przesądzają: nie ma zamkniętej listy „dokumentów do weryfikacji”: ani selfie, ani konkretnego skanu, ani wyciągu z konta jako obowiązkowego elementu. Co to oznacza w praktyce: masz prawo zapytać, na podstawie którego przepisu i w jakim celu konkretny dokument jest potrzebny. To pytanie, nie sprzeciw.

Czy kasyno może zrobić kopię twojego dowodu osobistego?

Czy operator w ogóle ma prawo skopiować twój dowód osobisty, czy to już przesada? Ma, ale tylko wtedy, gdy kopia jest rzeczywiście potrzebna do zastosowania środków bezpieczeństwa finansowego.

Art. 34 ust. 4 AML pozwala instytucjom obowiązanym przetwarzać dane z dokumentów tożsamości klienta i sporządzać ich kopie na potrzeby tych środków, a art. 34 ust. 5 nakłada dodatkowy obowiązek: przed nawiązaniem stosunków gospodarczych operator musi poinformować klienta o przetwarzaniu jego danych, w szczególności o obowiązkach wynikających z ustawy. Prezes Urzędu Ochrony Danych Osobowych (UODO) doprecyzował tę granicę w 2022 r.: sporządzanie kopii dowodów tożsamości przez instytucje finansowe jest legalne jedynie wtedy, gdy jest konieczne do zastosowania środków przeciwdziałających praniu pieniędzy i finansowaniu terroryzmu, a przed ich zastosowaniem instytucja musi przeprowadzić ocenę ryzyka i uwzględnić zasady ograniczenia celu i minimalizacji danych z RODO.

W 2025 r. UODO ukarał jeden z banków kwotą ponad 18,4 mln zł za skanowanie dowodów tożsamości klientów poza obowiązkami wynikającymi z AML, między innymi przy zwykłych reklamacjach. Urząd przypomniał, że skanowanie dokumentów przez instytucje obowiązane jest legalne w kontekście ustawy AML jedynie wtedy, gdy wiąże się z koniecznym z punktu widzenia tej ustawy zastosowaniem środków bezpieczeństwa finansowego. Sprawa dotyczyła banku, nie kasyna, ale zasada jest ta sama dla każdej instytucji obowiązanej. Co to oznacza w praktyce: legalny operator może mieć twoją kopię, ale nie „na wszelki wypadek” przy każdym kontakcie z obsługą. Pytanie o cel takiego skanu jest zasadne i warto je zadać inspektorowi ochrony danych operatora.

Co się dzieje, gdy weryfikacja się nie uda albo wypłata stoi?

Co konkretnie robi kasyno, jeśli nie może cię zweryfikować albo ma wątpliwości co do transakcji? Art. 41 ust. 1 AML daje mu ograniczony wybór: nie nawiązuje stosunków gospodarczych, nie przeprowadza transakcji okazjonalnej albo rozwiązuje już nawiązane stosunki gospodarcze, jeśli nie może zastosować jednego ze środków bezpieczeństwa finansowego. Ustęp 2 tego artykułu dodaje, że operator ocenia wtedy, czy sytuacja nie jest podstawą do zawiadomienia Generalnego Inspektora Informacji Finansowej.

Przy podejrzeniu prania pieniędzy działa inna procedura: art. 86 zobowiązuje operatora do niezwłocznego zawiadomienia GIIF i wstrzymania transakcji do czasu odpowiedzi, nie dłużej jednak niż przez 24 godziny; GIIF może z kolei zażądać wstrzymania transakcji lub blokady rachunku na okres nie dłuższy niż 96 godzin, a w takiej sytuacji zawiadamia też właściwego prokuratora. To są terminy dla urzędu, a nie obietnica wypłaty. Kasyno nie musi wypłacić w cztery dni, jeśli te przepisy w ogóle zostały uruchomione.

Dlaczego operator czasem nie tłumaczy, co się dzieje? Art. 54 ust. 1 AML nakazuje instytucjom obowiązanym zachować w tajemnicy sam fakt przekazania GIIF informacji oraz informacje o planowaniu lub prowadzeniu analizy dotyczącej prania pieniędzy. Milczenie nie oznacza więc automatycznie zarzutu wobec ciebie. Zwykła weryfikacja przy zakładaniu konta, wysokiej wygranej czy niespójnych danych nie ma nic wspólnego z podejrzeniem prania pieniędzy. Warto też wiedzieć, że GIIF nie jest organem powołanym do ścigania przestępstw, więc zawiadomienia o przestępstwie kierujesz do policji lub prokuratury, a nie do niego.

Jak długo kasyno przechowuje twoje dane?

Czy możesz po prostu poprosić o usunięcie swoich danych, gdy zamkniesz konto? Zwykle nie od razu: art. 49 ust. 1 AML nakazuje instytucjom obowiązanym przechowywać kopie dokumentów i informacje uzyskane w ramach środków bezpieczeństwa finansowego, w tym dane z elektronicznych środków identyfikacji, przez 5 lat licząc od dnia zakończenia stosunków gospodarczych z klientem; GIIF może zażądać przedłużenia tego okresu o kolejne maksymalnie 5 lat.

Ustawa o grach hazardowych dokłada własny reżim: dane z gier urządzanych przez internet, w tym dane niezbędne do identyfikacji uczestnika, muszą być archiwizowane na serwerach w Unii Europejskiej lub w państwie EFTA-EOG, w czasie rzeczywistym, z dostępem Krajowej Administracji Skarbowej (także zdalnym). Po upływie 5 lat liczonych od końca roku kalendarzowego, w którym dane zarchiwizowano, operator musi je usunąć.

UODO przypomina przy tym, że prawo do bycia zapomnianym nie jest absolutne: nie przysługuje ono w sytuacji, gdy podmiot musi wykorzystywać twoje dane, aby zrealizować nałożony na niego obowiązek prawny. A to jest dokładnie ten przypadek. Co to oznacza w praktyce: po zamknięciu konta twoje dane identyfikacyjne i transakcyjne zostają zapisane jeszcze przez lata, natomiast to, co żadnym obowiązkiem prawnym nie jest objęte, na przykład zgoda na newsletter, możesz cofnąć od razu.

Co urząd naprawdę kontroluje – a czego nie sprawdza nikt?

Kto właściwie pilnuje, czy operator robi to wszystko zgodnie z przepisami, i czy ktokolwiek pilnuje tego samego u podmiotu bez polskiego zezwolenia? GIIF sprawuje kontrolę wykonywania przez instytucje obowiązane obowiązków w zakresie przeciwdziałania praniu pieniędzy, a przy podmiotach urządzających gry hazardowe kontrolują też naczelnicy urzędów celno-skarbowych. Sankcje wobec operatora obejmują między innymi cofnięcie koncesji lub zezwolenia oraz karę pieniężną w wysokości dwukrotności kwoty korzyści, do równowartości 1 mln euro. Do danych zarchiwizowanych przez legalnego operatora ma dodatkowo dostęp Krajowa Administracja Skarbowa, a nad przetwarzaniem danych osobowych czuwa UODO.

Czego nie kontroluje nikt: u podmiotu bez polskiego zezwolenia nie działa obowiązek archiwizacji danych w Unii Europejskiej ani dostęp KAS, więc nikt nie sprawdza, gdzie trafia skan twojego dowodu i komu jest udostępniany dalej. Ministerstwo Finansów podsumowuje to wprost jako brak ochrony gracza. W działach compliance krąży zasada, że dokument tożsamości wysłany takiemu podmiotowi jest stratą trwalszą niż sam depozyt. Wpłatę można było odzyskać reklamacją, numeru PESEL i numeru dowodu z powrotem nie dostaniesz.

Legalną stroną transakcji w Polsce jest podmiot z wykazu Ministerstwa Finansów „Legalny hazard”, powiązany z licencjami i zezwoleniami w hazardzie online. Dziś to Totalizator Sportowy (totalcasino.pl) oraz siedemnastu bukmacherów, nikt inny. Ile gry w Polsce odbywa się poza tym systemem, pokazuje osobny artykuł o tym, ile gry odbywa się poza polskim systemem. Jeśli skan twojego dowodu już trafił na podejrzaną stronę, możesz bezpłatnie i od razu zastrzec numer PESEL przez aplikację mObywatel, profil zaufany, bankowość internetową lub w urzędzie. To nie ochroni cię przed wszystkim, ale utrudni zaciągnięcie na twoje dane kredytu czy pożyczki, bo od 1 czerwca 2024 r. banki mają obowiązek sprawdzać to zastrzeżenie.

Jakie masz prawa i gdzie złożyć skargę?

Co możesz zrobić, jeśli uważasz, że operator przetwarza twoje dane niezgodnie z prawem? RODO daje ci prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, wniesienia sprzeciwu oraz prawo do informacji o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu; administrator musi też powiedzieć, jak długo będzie przechowywał twoje dane, i podać kontakt do inspektora ochrony danych. Odpowiedzi udziela bez zbędnej zwłoki, najpóźniej w ciągu miesiąca, z możliwością przedłużenia o kolejne dwa miesiące; pierwsza kopia danych jest bezpłatna.

Zanim złożysz skargę do urzędu, zgłoś się najpierw do administratora danych, czyli do operatora lub wyznaczonego przez niego inspektora ochrony danych. Dopiero potem, pisemnie lub przez e-doręczenia, możesz skierować skargę do Prezesa UODO, który może nakazać operatorowi spełnienie twojego żądania. Odszkodowania Prezes Urzędu nie przyzna. Tę kwestię rozstrzyga wyłącznie sąd powszechny. Spór o same pieniądze, na przykład o wysokość wygranej, to inna droga niż skarga na dane. Zaczyna się od reklamacji zgodnie z regulaminem operatora.

Ten tekst nie zastąpi porady prawnej i nie rozstrzygnie twojej sprawy – pokazuje tylko, gdzie kończy się uprawnienie kasyna do twoich danych, a zaczyna twoje prawo do ich ochrony. Jeśli czytasz go dlatego, że gra przestała być wyborem, a stała się przymusem, przepisy o weryfikacji konta w kasynie online nie są teraz najważniejsze. Telefon zaufania Krajowego Centrum Przeciwdziałania Uzależnieniom (KCPU) dla osób z zaburzeniami hazardowymi: 801 889 880 (koszt połączenia zgodny z taryfą operatora).

Najczęściej zadawane pytania

Źródła