Alt du trenger å vite om KYC og identitetsverifisering

Stadig flere digitale tjenester krever at du bekrefter identiteten din før du får tilgang. Enten du oppretter en bankkonto, registrerer deg hos en betalingstjeneste eller handler hos en utenlandsk nettbutikk, vil du ofte møte krav om identitetsverifisering – kjent som KYC. For mange forbrukere oppleves dette som tungvint og til dels inngripende, men prosessen er faktisk lovpålagt og finnes for å beskytte deg. I denne guiden forklarer vi hva KYC innebærer, hvorfor det kreves, og hvilke rettigheter du har gjennom hele prosessen.

Hva er KYC?

KYC står for «Know Your Customer» (kjenn din kunde) og er et sett med prosedyrer som finansinstitusjoner og andre regulerte virksomheter er pålagt å følge for å verifisere identiteten til kundene sine. Formålet er å forhindre hvitvasking av penger, terrorfinansiering og annen økonomisk kriminalitet.

I Norge er KYC-kravene forankret i hvitvaskingsloven (lov om tiltak mot hvitvasking og terrorfinansiering), som pålegger en rekke virksomheter å gjennomføre kundetiltak. Dette gjelder ikke bare banker, men også forsikringsselskaper, eiendomsmeglere, advokater, regnskapsførere og en rekke andre bransjer.

Hvem må gjennomføre KYC?

Følgende virksomheter er blant de som er pålagt å utføre KYC-kontroll etter norsk lov:

• Banker og kredittforetak
• Betalingsforetak og e-pengeforetak
• Forsikringsselskaper
• Verdipapirforetak
• Eiendomsmeglere
• Advokater og regnskapsførere
• Forhandlere av verdifulle gjenstander (ved transaksjoner over 40 000 kroner)
• Tilbydere av virtuell valuta

Hvordan fungerer identitetsverifisering i praksis?

Identitetsverifisering kan gjennomføres på flere måter, avhengig av tjenesten og risikonivået. I Norge er BankID den vanligste metoden for digital identifisering.

BankID – Norges digitale ID

BankID er den mest utbredte løsningen for elektronisk identifisering i Norge, med over 4,5 millioner brukere. BankID finnes i to varianter: BankID på mobil og BankID-app. Begge gir et høyt sikkerhetsnivå og er godkjent for å oppfylle KYC-kravene i de fleste sammenhenger.

Når en tjeneste ber deg om å identifisere deg med BankID, skjer følgende:

1. Du oppgir fødselsnummer eller personnummer.
2. Du bekrefter identiteten med BankID-appen eller mobilkode.
3. Tjenesten mottar en bekreftelse fra BankID-infrastrukturen om at du er den du utgir deg for å være.

Hele prosessen er kryptert og BankID deler bare den informasjonen som er nødvendig. For en grundigere gjennomgang, se vår artikkel om hva BankID er og hvordan det fungerer.

Andre verifiseringsmetoder

Noen tjenester, særlig internasjonale, benytter andre metoder for identitetsverifisering:

• Dokumentopplasting: Du laster opp bilde av pass eller førerkort, ofte kombinert med en «selfie» for å bekrefte at dokumentet tilhører deg.
• Videoverifisering: En operatør bekrefter identiteten din via videosamtale.
• Adresseverifisering: Du oppgir en adresse som bekreftes mot offentlige registre eller via tilsendt brev med kode.

Dine rettigheter under KYC-prosessen

Selv om du er pålagt å legitimere deg, har du en rekke rettigheter som forbruker gjennom hele prosessen.

Rett til informasjon

Virksomheten skal informere deg om hvorfor de samler inn opplysningene dine, hva de brukes til, hvor lenge de lagres, og hvem som har tilgang til dem. Dette følger av personopplysningsloven og GDPR.

Dataminimering

Selskapet har bare lov til å samle inn opplysninger som er nødvendige for å oppfylle formålet. Hvis en tjeneste ber om informasjon som virker urimelig eller irrelevant, har du rett til å stille spørsmål ved det.

Rett til innsyn og sletting

Du har rett til å se hvilke opplysninger som er lagret om deg, og i mange tilfeller rett til å kreve sletting. Merk at hvitvaskingsloven pålegger virksomheter å lagre KYC-dokumentasjon i minst fem år etter at kundeforholdet er avsluttet, noe som kan begrense retten til sletting.

For å beskytte deg selv ytterligere under disse prosessene, anbefaler vi vår guide om digital sikkerhet.

GDPR og personvern ved KYC

EUs personvernforordning (GDPR) gjelder fullt ut i Norge gjennom personopplysningsloven og har stor betydning for hvordan KYC-prosesser gjennomføres.

Rettslig grunnlag

For at en virksomhet skal kunne behandle personopplysninger i forbindelse med KYC, må den ha et rettslig grunnlag. Vanligvis er dette enten rettslig forpliktelse (hvitvaskingsloven) eller berettiget interesse.

Sikkerhetskrav

GDPR stiller strenge krav til hvordan personopplysninger lagres og beskyttes. Virksomheter som gjennomfører KYC må ha tilstrekkelige tekniske og organisatoriske tiltak for å beskytte dataene dine mot uautorisert tilgang, tap eller lekkasje.

Databehandleravtaler

Dersom virksomheten bruker en tredjepart til å gjennomføre identitetsverifiseringen, skal det foreligge en databehandleravtale som sikrer at personopplysningene dine behandles i henhold til GDPR.

Plattformer som bruker KYC aktivt

KYC-prosesser er ikke begrenset til tradisjonelle banker. Stadig flere digitale plattformer innfører strenge identitetsverifiseringskrav for å oppfylle regulatoriske krav og beskytte brukerne sine. Dette gjelder blant annet investeringsplattformer, kryptobørser og spillplattformer. Nettsider som casinooversikten.com gir oversikt over plattformer med strenge KYC-rutiner. Også fintech-selskaper som Revolut, Wise og norske betalingsapper krever grundig legitimering ved opprettelse av konto.

Internasjonale KYC-standarder

KYC-regler varierer mellom land, men det finnes flere internasjonale rammeverk som setter standarden:

FATF-anbefalingene

Financial Action Task Force (FATF) er den ledende internasjonale organisasjonen for bekjempelse av hvitvasking. FATFs 40 anbefalinger danner grunnlaget for de fleste lands KYC-lovgivning, inkludert Norges.

EUs hvitvaskingsdirektiver

Norge er gjennom EØS-avtalen forpliktet til å følge EUs hvitvaskingsdirektiver. Det sjette hvitvaskingsdirektivet (6AMLD) skjerpet kravene ytterligere og innførte strengere sanksjoner for brudd.

eIDAS-forordningen

EUs forordning for elektronisk identifisering (eIDAS) legger til rette for gjensidig anerkjennelse av elektronisk ID på tvers av landegrenser. BankID er godkjent under eIDAS, noe som betyr at norsk BankID kan brukes til å identifisere seg overfor tjenester i andre EØS-land.

Tips for trygg identitetsverifisering

For å beskytte deg selv under KYC-prosesser, bør du følge disse rådene:

• Verifiser avsender. Sjekk alltid at forespørselen om legitimering kommer fra en ekte virksomhet. Banker og seriøse tjenester sender aldri lenker via SMS eller e-post der du blir bedt om å taste inn BankID.
• Del aldri BankID med andre. BankID er personlig og skal aldri deles, uansett hvem som ber om det.
• Sjekk personvernerklæringen. Les hvordan opplysningene dine behandles og lagres før du gjennomfører verifiseringen.
• Bruk sikre kanaler. Gjennomfør identitetsverifisering kun over sikre nettverk og på enheter du stoler på.
• Vær oppmerksom på identitetstyveri. Dersom noen urettmessig har brukt identiteten din, les vår artikkel om hvordan du beskytter deg mot identitetstyveri.

Kilder

• Finanstilsynet – Hvitvasking og terrorfinansiering
• Datatilsynet – Dine rettigheter
• Lovdata – Hvitvaskingsloven
• NorSIS – Sikker bruk av BankID