Vad reglerar penningtvättlagen?
Penningtvättlagen är den vanliga benämningen på lag 2017:630 om åtgärder mot penningtvätt och finansiering av terrorism, och den tvingar banker, kortutgivare och andra finansiella aktörer att utföra kundkännedom (KYC), övervaka transaktioner och rapportera misstänkta beteenden till Finanspolisen. Lagen genomför EU:s fjärde och femte penningtvättsdirektiv i Sverige och kompletterades 2024 av lag 2024:1022 som skärpte kraven på kryptotillgångsleverantörer och förvaltare av digitala plånböcker.
För dig som söker ett kreditkort innebär penningtvättlagen att kortutgivaren alltid kontrollerar din identitet via BankID eller motsvarande, ber dig svara på frågor om syftet med kortet och inkomstkällan, samt fortlöpande övervakar dina kortköp. De största kortutgivarna i Sverige har egna AML-team (Anti-Money Laundering) som granskar avvikelser och kan tillfälligt frysa kortet om aktiviteten avviker från din normalprofil. Begrepp som KYC, PEP och tokenisering förklaras i ordlistan för kreditkort.
Vilka aktörer omfattas av penningtvättlagen?
Penningtvättlagen omfattar 25 olika verksamhetstyper, inklusive banker, betaltjänstleverantörer, kreditmarknadsbolag, försäkringsförmedlare, fastighetsmäklare och advokater. För kreditkortsmarknaden är det främst banker (Swedbank, Handelsbanken, SEB, Nordea), kreditmarknadsbolag (Resurs, Bank Norwegian, Marginalen) och betaltjänstleverantörer (Klarna, American Express) som är direkt påverkade.
Alla aktörer måste registrera sig hos Finansinspektionen och kan tappa tillståndet om de inte följer lagen. Tillsyn sker via Finansinspektionen, Lotteriinspektionen (för speltjänster) eller Bolagsverket beroende på verksamhetstyp.
Hur fungerar kundkännedom enligt penningtvättlagen?
Kundkännedom (KYC, Know Your Customer) är den process där kortutgivaren kontrollerar vem du är, varför du vill ha kortet och varifrån dina pengar kommer, och processen inleds alltid innan kortet utfärdas. Lagen kräver tre nivåer av kontroll: grundläggande kundkännedom för vanliga kunder, förstärkt kundkännedom vid hög risk och förenklad kundkännedom vid låg risk.
Vad ingår i grundläggande kundkännedom?
Grundläggande kundkännedom omfattar identifiering med giltig ID-handling, kontroll av personuppgifterna mot Skatteverkets folkbokföring och insamling av information om syfte och art av kundförhållandet. För svenska medborgare sker identifieringen vanligen via BankID, vilket räcker för 99 procent av alla kreditkortsansökningar. ID-kontrollen upprepas dessutom när du ska aktivera kreditkortet första gången, eftersom själva utlämningen behöver bindas till rätt person enligt KKL §10.
Information om syftet med kortet och förväntad användning samlas in via standardfrågor i ansökningsflödet, exempelvis “Hur ofta planerar du att använda kortet?” och “Vilken är din huvudsakliga inkomstkälla?”. Du måste också uppge anställning, arbetsgivare och bruttoinkomst för att kortutgivaren ska kunna kontrollera att kortköpen senare matchar din ekonomiska profil.
När krävs förstärkt kundkännedom?
Förstärkt kundkännedom krävs när kunden är en politiskt utsatt person (PEP), bosatt i ett högriskland enligt EU-listan, eller när transaktionen avviker tydligt från en normal kundprofil. PEP-kontrollen identifierar personer som har eller har haft viktiga offentliga uppdrag, deras nära familjemedlemmar och kända medarbetare, och listan inkluderar bland annat statschefer, riksdagsledamöter, höga militära befattningar och styrelseledamöter i statliga bolag.
För en PEP-kund måste kortutgivaren samla in extra information om förmögenhetens ursprung, godkänna kortet på högre handläggarnivå och övervaka transaktionerna mer aktivt. Praktiskt innebär det att en PEP-ansökan kan ta två till tre veckor istället för 24 timmar för en standardkund, och att kortutgivaren kräver dokumentation som lönespecifikationer eller skatteberäkningar.
Hur påverkar penningtvättlagen din kreditkortsansökan?
Penningtvättlagen påverkar din kreditkortsansökan på fyra konkreta sätt: identifieringen är obligatorisk, du måste svara på syftesfrågor, dina transaktioner övervakas löpande och stora kontantuttag rapporteras automatiskt. Detta läggs ovanpå standard-krav för kreditkort som ren UC, fast inkomst och svensk folkbokföring. Listan nedan visar de fyra mest påtagliga effekterna och vad de innebär för dig som kortinnehavare.
- Obligatorisk identifiering: Du måste identifiera dig med BankID eller giltig ID-handling vid varje kreditkortsansökan, även om du redan är kund hos banken sedan tidigare. Identitetskontrollen är tidsstämplad och loggas i kortutgivarens AML-system, vilket gör att kortet inte kan utfärdas utan en godkänd ID-koppling.
- Frågor om syfte och inkomst: Ansökningsformuläret innehåller alltid frågor om vad kortet ska användas till, inkomstkälla, anställning och förväntad månadsspend. Felaktiga uppgifter kan leda till att kortet sägs upp i efterhand om kortutgivaren upptäcker avvikelser vid sin AML-granskning.
- Löpande transaktionsövervakning: Alla köp granskas mot en algoritmisk riskmodell som flaggar avvikelser från din normalprofil, exempelvis köp i högriskländer, ovanligt stora belopp eller mönster som liknar penningtvätt. Vid larm kan kortet tillfälligt spärras tills du svarar på en kontrollfråga via app eller telefon.
- Rapporteringskrav vid kontantuttag: Kontantuttag på 15 000 EUR eller mer (cirka 175 000 kr 2026) rapporteras automatiskt till Finanspolisen, även om transaktionen är legitim. Mindre uttag rapporteras vid mönster av flera uttag som tillsammans kan utgöra strukturering, vilket är förbjudet enligt lagen.
Hur fungerar transaktionsövervakningen i praktiken?
Transaktionsövervakningen drivs av algoritmer som jämför varje köp mot din historiska normalprofil. När du har använt kortet i tre till sex månader bygger systemet upp en baslinje för normalt belopp, geografi, varugrupper och frekvens. Avvikelser flaggas automatiskt, men 95 procent av larmen är falska positiva, exempelvis vid utlandsresa, större möbelköp eller julhandel.
För dig betyder det att du kan få ett SMS eller appnotis med frågan “Var det du som genomförde detta köp?” vid avvikelser, och du måste bekräfta inom 30 minuter för att kortet inte ska spärras. Vid riktiga AML-larm kan banken kräva dokumentation, exempelvis kvitton, faktura eller förklaring av pengarnas ursprung, innan kortet aktiveras igen.
Vad händer om penningtvättlagen inte följs?
Om en kortutgivare bryter mot penningtvättlagen kan tre saker hända: Finansinspektionen utfärdar en sanktionsavgift, tillståndet att bedriva verksamhet kan dras in och enskilda chefer kan straffas personligt med böter. Sanktionsavgifterna kan uppgå till 10 procent av bolagets årsomsättning eller 50 000 000 kr, beroende på vilket belopp som är högst, vilket gjort att stora svenska banker fått sanktioner i miljardklass de senaste åren.
För dig som kortinnehavare betyder det att kortutgivaren har stark incitament att överrapportera snarare än underrapportera, eftersom konsekvensen av att missa ett misstänkt fall är mycket större än konsekvensen av att kontakta dig en gång för mycket. Det är förklaringen till att de flesta får minst ett AML-larm per år utan att ha gjort något fel.
Vad gör du om kortet spärras av AML-skäl?
Om kortet spärras av AML-skäl ska du kontakta kortutgivaren omedelbart via app eller telefon för att klargöra transaktionen. Vanligtvis räcker det att du bekräftar köpet och förklarar omständigheterna, varefter kortet aktiveras inom några minuter. Vid djupare AML-utredning kan banken kräva dokumentation om syftet med transaktionen, ursprunget av pengarna eller en förklaring av relationen till mottagaren.
I sällsynta fall kan banken välja att avsluta kundförhållandet helt, vilket sker i cirka 0,1 procent av AML-utredningar. Du har då rätt till skriftlig motivering och kan begära att Finansinspektionen prövar om beslutet följer lagen, men praktiskt är det svårt att överklaga ett beslut som fattats av AML-skäl eftersom banken inte alltid får dela detaljer.
Vilka kreditkort är extra känsliga ur AML-perspektiv?
Anonyma kort, förbetalda kort och kort utan kreditprövning är extra känsliga ur AML-perspektiv eftersom de erbjuder mindre transparens kring kortinnehavarens identitet och ekonomi. Sedan 2024 har EU skärpt kraven på dessa kort, och rena anonyma kreditkort är i praktiken förbjudna i Sverige. Förbetalda kort får utfärdas men begränsas till låga belopp och kräver alltid identifiering vid laddning över 150 EUR.
Kreditkort med vanlig kreditprövning, BankID-identifiering och fast adress är minst känsliga ur AML-perspektiv. Identifiering med BankID, kontroll mot folkbokföringsregistret och insamling av information om syfte och inkomstkälla räcker för full kundkännedom enligt KKL §10. Samtliga svenska utgivare följer AML-regelverket eftersom de står under Finansinspektionens tillsyn.
Ett mer transparent alternativ till anonyma kort är jämförelse av kreditkort utan UC, som använder Bisnode eller Creditsafe i stället för UC men ändå genomför full identifiering.