Nimissä avatun pelitilin selvittäminen ja ilmoitukset

Väärinkäytön ensimmäinen merkki on harvoin itse peli, vaan viesti, jota kukaan taloudessa ei ole pyytänyt: rekisteröitymisen vahvistus, salasanan palautuslinkki tai KYC-pyyntö palvelusta, jonka nimeä ei tunnisteta.

Toinen tavallinen havainto tulee tiliotteelta, jolla näkyy pieni talletus rahapeliyhtiölle, ja kolmas postilaatikosta, kun perintäkirje tai luottopäätös viittaa sopimukseen, jota ei ole tehty. Selvittely alkaa samalla tavalla riippumatta siitä, kuinka suuresta summasta on kyse, koska ratkaisevaa on se, kenen tunnistautumisella tili on avattu ja mitä toimijan lokitiedot siitä kertovat.

Kaksi eri tilannetta, kaksi eri todistustaakkaa

Tili on voitu avata varastetuilla henkilötiedoilla, jolloin kyse on identiteetin väärinkäytöstä ja asia kuuluu poliisille. Vaihtoehtoisesti aiemmin itse avattu tili on kaapattu esimerkiksi vuotaneella salasanalla, jolloin tapahtumat näkyvät järjestelmässä oikean pelaajan tunnuksilla ja selvitys painottuu siihen, mistä osoitteesta ja millä laitteella kirjautumiset tulivat. Ero on olennainen, koska jälkimmäisessä tapauksessa toimija kysyy ensimmäiseksi, oliko tilillä käytössä vahva tunnistautuminen vai pelkkä salasana.

Suomessa verkkopelaaminen ei ole ollut anonyymiä pitkään aikaan.

Arpajaislain 14 §:n mukaan sähköisesti välitettäviä rahapelejä toimeenpantaessa pelaajalle on avattava pelitili, ja tiliä avattaessa on todennettava pelaajan henkilöllisyys ja asuinpaikka; pelaaminen edellyttää tunnistautumista myös tilin avaamisen jälkeen. Kotimaisen toimijan järjestelmään jää siis jälki, jota voidaan verrata siihen, mitä oikea henkilö kertoo tehneensä, ja juuri tämä vertailu on selvityksen ydin.

Valvonta on kahden aikakauden välissä, ja se vaikuttaa suoraan siihen, kenelle ilmoitus kannattaa osoittaa.

Voimassa oleva laki on arpajaislaki 1047/2001, ja rahapelitoiminnan valvonta kuuluu Poliisihallitukselle. Uusi rahapelilaki 10/2026 on vahvistettu, mutta sen 106 §:n mukaan laki tulee voimaan vasta 1.7.2027; lain 2 ja 9 luku, 43 §:n 3 momentti sekä 44, 57, 63 ja 64 § tulivat voimaan aiemmin, 1.3.2026. Toimilupia on voitu hakea Poliisihallitukselta 1.3.2026 alkaen, ja luvanvarainen rahapelitoiminta voi alkaa 1.7.2027.

Rahapelilain mukaiset lupa- ja valvontatehtävät siirtyvät Lupa- ja valvontavirastolle 1.7.2027, ja siihen asti Veikkaus Oy:llä on yksinoikeus rahapelitoiminnan harjoittamiseen.

Uuden lain 20 § velvoittaa rekisteröimään pelaajan ja todentamaan hänen henkilöllisyytensä, ja 22 § edellyttää henkilökohtaista pelitiliä. Laki ei nimeä yhtään yksittäistä tunnistusvälinettä, vaan tarkemmista säännöksistä voidaan säätää valtioneuvoston asetuksella, joten lopullinen vaatimustaso täsmentyy vasta asetuksessa; suomalaisissa verkkopalveluissa vakiintunut tapa on vahva sähköinen tunnistaminen pankkitunnisteilla tai mobiilivarmenteella.

Ulkomaisella toimiluvalla toimivan sivuston kohdalla ilmoitus menee toimijalle ja tarvittaessa luvan myöntäneelle viranomaiselle. Yksittäisen sivuston lupaa ei pidä olettaa ennalta, vaan se tarkistetaan sivuston omista ehdoista ja lupaviranomaisen rekisteristä, koska valitusreitti määräytyy luvan mukaan.

Tietosuoja-asetus antaa keinon, joka toimii silloinkin, kun rikosprosessi on vielä kesken: rekisteröity voi pyytää jäljennöksen itseään koskevista tiedoista ja vaatia virheellisten tietojen oikaisemista tai poistamista.

Tietopyyntö kannattaa rajata siihen, mikä ratkaisee asian: rekisteröinnin ajankohta ja käytetty tunnistustapa, tilin yhteystiedot, talletusten ja nostojen maksuvälineet sekä kirjautumisten tekninen lokitieto. Rajattuun pyyntöön saa käytännössä nopeammin vastauksen kuin laajaan, ja juuri nämä tiedot osoittavat, onko tili avattu jonkun toisen välineillä.

Poisto-oikeus koskee tilanteita, joissa tietoja ei enää tarvita alkuperäiseen tarkoitukseen tai käsittelylle ei ole laillista perustetta. Jos rekisterinpitäjä katsoo, ettei poistolle ole edellytyksiä, sen on ilmoitettava kieltäytymisestä ja perusteltava se viimeistään kuukauden kuluessa pyynnön vastaanottamisesta. Monimutkaisissa tai lukuisissa pyynnöissä määräaikaa voidaan jatkaa enintään kahdella kuukaudella, ja jatkaminen on perusteltava rekisteröidylle.

Rekisterinpitäjän on lisäksi ilmoitettava poistosta mahdollisuuksien mukaan niille tahoille, joille tiedot on luovutettu, ja kerrottava pyynnöstä, keitä vastaanottajat ovat.

Koko tilin poisto ei silti aina onnistu, koska rahanpesun estämistä ja kirjanpitoa koskevat velvoitteet sitovat toimijaa riippumatta siitä, kuka tilin on avannut. Viranomainen ei julkaise yhtenäistä luetteloa siitä, mitkä rahapelitoimijan tiedot kuuluvat minkäkin säilytysvelvoitteen piiriin, joten säilytysajat on kysyttävä toimijalta ja pyydettävä kirjallisesti. Kielteisen vastauksen voi saattaa tietosuojavaltuutetun käsiteltäväksi.

Selvityksen lopputulos ratkeaa usein sillä, mitä lukijalla on tallessa siinä vaiheessa, kun ensimmäinen yhteydenotto tehdään.

Talteen otetaan rekisteröinti- ja vahvistusviestit otsikkotietoineen, kuvakaappaukset tilin näkymästä, jos tiliin on pääsy, sekä tiliotteen rivit, joilla talletukset näkyvät. Perintäkirjeet ja maksuvaatimukset säilytetään kokonaisina, koska niissä on sopimuksen tunniste, jolla toimija löytää tapauksen omasta järjestelmästään nopeammin kuin nimellä.

Salasanoja ei kannata vaihtaa ennen kuin kirjautumishistoria on tallennettu, jos tiliin ylipäätään on pääsy; sen jälkeen vaihto tehdään heti, ja kaksivaiheinen tunnistautuminen otetaan käyttöön kaikissa palveluissa, joissa on sama sähköpostiosoite. Samalla tarkistetaan, onko sähköpostitilille asetettu sääntö, joka siirtää rahapeliyhtiön viestit pois näkyvistä, sillä tämä on tavallinen tapa pitää väärinkäyttö piilossa.

Kaikki yhteydenotot kirjataan ylös: kenelle, mitä kanavaa pitkin ja mikä oli vastaus.

Sähköpostikeskusteluja ei kannata poistaa senkään jälkeen, kun asia näyttää ratkenneen, koska toimija voi palata tapaukseen myöhemmin ja pyytää samat tiedot uudelleen.

Ilmoitusten järjestyksellä on merkitystä, koska poliisin ilmoitusnumeroon viitataan sekä pankin reklamaatiossa että rahapeliyhtiön selvityspyynnössä, ja luottokielto estää vahinkoa laajenemasta sinä aikana, kun muut käsittelevät asiaa.

Osa vastauksista riippuu säännöksistä, joita ei ole vielä annettu, ja se kannattaa tietää ennen kuin odottaa selvitykseltä liikaa.

Vastuu tilillä syntyneistä tappioista ja mahdollisista veloista ratkeaa viime kädessä sopimusoikeuden yleisten periaatteiden ja tapauskohtaisen näytön perusteella: toisen henkilötiedoilla ilman suostumusta tehty sopimus ei lähtökohtaisesti sido sitä, jonka nimissä se on tehty, mutta kiistatilanteessa näyttö kulkee poliisin esitutkinnan ja toimijan oman selvityksen kautta. Yhtenäistä käsittelyaikaa tällaisille tapauksille ei ole säädetty, eikä viranomainen julkaise tilastoa siitä, kuinka nopeasti rahapelitoimijat ratkaisevat väärinkäyttöilmoituksia.

Myöskään tunnistautumisen vähimmäistasoa ei ole vielä kirjattu lakiin välinetarkkuudella, koska rahapelilain 20 § jättää tarkemmat säännökset valtioneuvoston asetukselle. Asetuksen sisältö vaikuttaa suoraan siihen, kuinka vaikeaa tilin avaaminen toisen nimissä on markkinan avauduttua.

Avoimeksi jää myös se, miten ulkomaisen toimijan ADR-menettelyssä annettu ratkaisu pannaan käytännössä täytäntöön Suomessa asuvan pelaajan hyväksi, sillä menettelyn kulku on kirjattu lupaehtoihin, ei Suomen lainsäädäntöön.

Valvontavastuu on jaettu ajassa, ei asiassa.

Ennen 1.7.2027 tehdyt ilmoitukset käsitellään arpajaislain 1047/2001 ja Poliisihallituksen valvonnan puitteissa, ja sen jälkeen sama asia kuuluu Lupa- ja valvontavirastolle. Siirtymä ei poista jo tehtyjä ilmoituksia, mutta se muuttaa osoitteen, johon myöhempi yhteydenotto lähetetään, joten aiempi kirjeenvaihto kannattaa säilyttää kokonaisuudessaan.