Att få sitt konto kapat hos ett spelbolag är en sak. Att sedan få höra att man „själv ansvarar för sitt lösenord“ är en helt annan, och det är där många spelare gör sitt dyraste misstag. Den här guiden handlar om hur du undviker den fällan, med fokus på vad svensk spellagstiftning faktiskt kräver av licenshavare och var gränsen går mellan ditt ansvar och operatörens. Utgångspunkten är enkel: lösenordsansvar är inte automatiskt ditt, och du bör aldrig acceptera det påståendet utan att först kontrollera operatörens säkerhetsrutiner.
Misstaget att godta operatörens standardfras om lösenordsansvar
Det vanligaste misstaget är att läsa villkoren, se en mening om att kontoinnehavaren ansvarar för alla transaktioner som sker med giltiga inloggningsuppgifter, och sedan lägga ner ärendet. Bolag upprepar den formuleringen eftersom den är billig att skriva och sällan prövas. Men villkor är inte lag, och en klausul som flyttar hela ansvaret till kunden håller inte om operatören själv brustit i sina säkerhetskrav.
Enligt svensk rätt kan operatören vara ansvarig om den inte erbjudit tvåfaktorsautentisering, särskilt om den är licensierad i Sverige och därmed omfattas av Spelinspektionens säkerhetskrav. Det är den springande punkten. Spellagen gäller sedan 1 januari 2019 och ställer krav på licenshavare att ha rutiner mot penningtvätt, att skydda spelarens konto och att säkerställa att det är rätt person som spelar. Saknas tvåfaktorsautentisering är det en brist i operatörens system, inte i din lösenordshantering.
Många spelare accepterar också att bolaget „utreder“ i veckor utan att begära in något underlag. Det är ett misstag i sig. Begär skriftligt besked om vilka säkerhetsåtgärder som fanns på kontot vid intrånget, och kräv att få veta om inloggningen krävde något mer än användarnamn och lösenord. Ett seriöst bolag svarar. Ett oseriöst hoppar över frågan och hänvisar till villkoren igen.
Hur du avgör om operatören faktiskt brast i säkerheten
Innan du diskuterar ansvar med supporten behöver du veta vem du har att göra med. Ett casino utan svensk licens, till exempel Asino Casino, drivs av Hollycorn N.V., som är registrerat hos Antillephone på Curaçao och saknar svensk licens från Spelinspektionen. Asino är inte anslutet till Spelpaus, och bolaget listar Sverige som begränsat land i användarvillkoren. Libergos Limited driver sajten tillsammans med Hollycorn N.V., och licensen ligger alltså utanför det svenska systemet. Det påverkar vilka säkerhetskrav du kan åberopa.
För en svensk licenshavare är läget ett annat. Licenshavare måste vara anslutna till Spelpaus, och de omfattas av Spelinspektionens tillsyn inklusive krav på spelansvar och kontosäkerhet. Bonusgränsen på 100 kronor togs bort 15 november 2021, vilket ökade konkurrensen om spelarna men inte sänkte säkerhetskraven. Om ett svensklicensierat bolag inte erbjuder tvåfaktorsautentisering, eller erbjuder det men gör det valfritt och dolt, har du en starkare sak än om du spelat hos en operatör på Curaçao.
Praktiskt innebär det att du bör dokumentera allt innan du kontaktar supporten. Ta skärmbilder av inloggningssidan, av eventuella säkerhetsinställningar och av transaktionshistoriken. Notera tidpunkterna för de spel du inte känner igen. Skicka sedan ett sakligt mejl där du inte erkänner något ansvar, utan ställer frågan om vilken autentisering som krävdes vid inloggningen. Den formuleringen är viktig, för den flyttar bevisbördan dit den hör.
Fyra konkreta misstag som försvagar din sak
Även med en stark principiell ståndpunkt kan du förstöra ärendet genom handläggningen. Nedan är de misstag jag ser oftast, och hur du undviker dem.
- Att erkänna oaktsamhet i första mejlet. Skriv aldrig „jag kanske använde samma lösenord på flera sajter“ eller „jag klickade på en länk“. Håll dig till fakta: kontot har använts utan din vetskap, och du vill veta vilken autentisering som krävdes.
- Att acceptera en muntlig förklaring. Kräv allt skriftligt. En supportchatt som säger „vi utreder“ är värdelös i en tvist. Be om ett ärendenummer och en skriftlig sammanfattning av vad bolaget gjort.
- Att vänta för länge med att anmäla. Polisanmäl identitetsstölden och spara anmälningsnummer. Det kostar dig inget och ger tyngd åt kravet på återbetalning, oavsett om bolaget är licensierat i Sverige eller inte.
- Att blanda ihop skattefrihet med ansvarsfrihet. Spelvinster hos licensierade operatörer är skattefria i Sverige, men det säger inget om vem som bär förlusten vid ett intrång. Håll isär de två frågorna.
- Att spela vidare medan ärendet pågår. Stäng av kontot eller begär att det spärras. Ny aktivitet gör det svårare att visa vilka transaktioner som var obehöriga.
Notera också att insättningsgräns och förlustgräns som du själv satt kan bli ett argument mot dig om bolaget vill visa att du „borde ha märkt“ förändringar. Sätt därför gränser som du faktiskt håller koll på, och logga in regelbundet för att se kontohistoriken. Spelansvar handlar inte bara om att begränsa sig, utan också om att upptäcka när något är fel.
En sista detalj som många missar: åldersgränsen och identitetskontrollen. Licenshavare måste verifiera att spelaren är över 18 år och att kontot tillhör rätt person. Om bolaget godkänt en inloggning utan sådan verifiering, eller utan tvåfaktorsautentisering, har du ett konkret argument. Förordning 2020:495 preciserar flera av de tekniska kraven på licenshavarna, och Spelinspektionen kan granska hur de efterlevs. Hänvisa till regelverket, inte till känslor.
Sammanfattningsvis: behandla inte lösenordsansvaret som en självklarhet bara för att det står i villkoren. Kontrollera om operatören är licensierad i Sverige, om den är ansluten till Spelpaus och om den erbjuder tvåfaktorsautentisering. Dokumentera allt, kräv skriftliga svar och polisanmäl. Då står du på fast mark, oavsett om motparten är en svensk licenshavare eller ett bolag på Curaçao som listar Sverige som begränsat land.