KYC je postopek preverjanja identitete uporabnika. Kratica izhaja iz angleškega izraza Know Your Customer, kar pomeni »poznaj svojo stranko«. Banke, menjalnice kriptovalut, plačilne aplikacije, investicijske platforme in nekateri drugi ponudniki morajo pred začetkom ali med uporabo storitve preveriti, kdo je njihova stranka.

Od slovenskega uporabnika lahko zato zahtevajo osebne podatke, fotografijo osebnega dokumenta, dokazilo o naslovu, fotografijo obraza ali pojasnilo o izvoru denarja.

KYC ni zgolj interna odločitev podjetja. Pri številnih ponudnikih je del zakonsko predpisanih ukrepov za preprečevanje pranja denarja, financiranja terorizma, finančnih prevar in uporabe storitev pod lažno identiteto.

Kaj pomeni KYC?

KYC oziroma Know Your Customer je postopek, s katerim ponudnik:

• ugotovi identiteto stranke,
• preveri pravilnost posredovanih podatkov,
• oceni morebitna finančna tveganja,
• ugotovi, kdo je dejanski uporabnik ali lastnik računa,
• spremlja, ali je uporaba računa skladna z informacijami, ki jih je uporabnik posredoval.

V slovenski zakonodaji se namesto izraza KYC pogosto uporablja izraz pregled stranke oziroma skrbni pregled stranke.

Slovenski Zakon o preprečevanju pranja denarja in financiranja terorizma, ZPPDFT-2, določa obveznosti za banke, finančne ustanove in številne druge zavezance. Med njimi so tudi nekateri ponudniki storitev, povezanih z virtualnimi valutami, menjalci, organizatorji iger na srečo ter druge dejavnosti, pri katerih obstaja povečano tveganje za pranje denarja.

Kratek odgovor: kaj je KYC?

KYC je preverjanje, ali je uporabnik res oseba, za katero se predstavlja.

Ponudnik lahko v postopku preveri:

• ime in priimek,
• datum rojstva,
• državljanstvo,
• naslov prebivališča,
• številko osebnega dokumenta,
• fotografijo ali videoposnetek uporabnika,
• davčno rezidentstvo,
• izvor denarja,
• namen uporabe računa.

Obseg preverjanja ni pri vseh uporabnikih enak. Odvisen je od vrste storitve, zneskov, načina poslovanja in ocene tveganja.

Zakaj ponudniki zahtevajo KYC?

Glavni namen KYC je preprečiti, da bi nekdo finančno storitev uporabljal za:

• pranje denarja,
• financiranje terorizma,
• prikrivanje nezakonito pridobljenega premoženja,
• krajo identitete,
• finančne prevare,
• izogibanje mednarodnim sankcijam,
• uporabo računov v imenu drugih oseb.

Banka Slovenije pojasnjuje, da morajo kreditne in finančne institucije izvajati ukrepe, določene v ZPPDFT-2. Nadzor na tem področju v Sloveniji med drugim izvajajo Banka Slovenije, Agencija za trg vrednostnih papirjev, Agencija za zavarovalni nadzor in Urad RS za preprečevanje pranja denarja.

KYC torej ni namenjen samo zaščiti ponudnika. Zmanjšuje tudi možnost, da bi nekdo odprl račun z ukradenim dokumentom ali v imenu druge osebe.

Kje se slovenski uporabniki najpogosteje srečajo s KYC?

Slovenski uporabnik lahko preverjanje identitete pričakuje predvsem pri:

• odprtju bančnega računa,
• registraciji v spletni ali mobilni banki,
• uporabi plačilnih aplikacij,
• odprtju računa na kriptomenjalnici,
• uporabi investicijskih in trgovalnih platform,
• najemu kredita ali drugih finančnih storitev,
• sklepanju določenih zavarovanj,
• uporabi reguliranih spletnih igralnic in stavnic,
• nekaterih večjih ali neobičajnih transakcijah.

Ponudnik lahko identiteto preveri že ob registraciji, lahko pa dodatna dokazila zahteva pozneje. To se pogosto zgodi pred prvim izplačilom, pri povečanju omejitev računa ali ob transakciji, ki odstopa od običajne uporabe.

Katere dokumente lahko zahteva ponudnik?

Najpogosteje se uporabljata:

• veljavna osebna izkaznica,
• veljavni potni list.

Ponudnik lahko zahteva fotografijo sprednje in zadnje strani dokumenta. Pri preverjanju na daljavo lahko zahteva tudi fotografijo obraza, kratek videoposnetek ali premik glave pred kamero, s katerim preveri, da dokument uporablja živa oseba.

Za potrditev naslova lahko zahteva:

• bančni izpisek,
• račun za elektriko, telefon ali drugo storitev,
• uradno potrdilo o prebivališču,
• drug dokument, na katerem sta razvidna ime in naslov.

Dokument mora biti praviloma dovolj nov, jasen, neobrezan in čitljiv. Podatki na njem se morajo ujemati s podatki v uporabniškem računu.

Ali lahko KYC opravimo prek spleta?

Da. Slovenska zakonodaja omogoča različne oblike preverjanja identitete brez osebne navzočnosti, vključno z videoidentifikacijo ter drugimi varnimi elektronskimi postopki.

ZPPDFT-2 je razširil možnosti videoelektronske identifikacije in pod določenimi pogoji omogočil tudi druge varne postopke preverjanja na daljavo.

Evropski bančni organ je sprejel tudi smernice za varno vključevanje strank na daljavo. Finančne ustanove morajo zagotoviti, da je postopek zanesljiv ter skladen s pravili o preprečevanju pranja denarja in varstvu osebnih podatkov.

Pri spletnem preverjanju lahko uporabnik pričakuje:

1. fotografiranje dokumenta,
2. samodejno branje podatkov,
3. preverjanje zaščitnih elementov dokumenta,
4. fotografiranje ali snemanje obraza,
5. primerjavo obraza s fotografijo na dokumentu,
6. dodatno potrditev s kodo ali drugim varnostnim postopkom.

Zakaj KYC včasih ni opravljen takoj?

Postopek lahko traja dlje, če:

• je fotografija dokumenta zamegljena,
• dokument ni v celoti viden,
• je dokument potekel,
• se podatki v računu ne ujemajo z dokumentom,
• fotografije ni mogoče zanesljivo primerjati,
• uporabnik uporablja dokument, ki ga sistem ne podpira,
• je potrebna ročna kontrola,
• je ponudnik zaznal povečano tveganje,
• mora uporabnik dokazati naslov ali izvor sredstev.

Zavrnitev prve fotografije še ne pomeni, da je uporabnik osumljen nepravilnosti. Pogosto gre samo za tehnično težavo.

Kaj pomeni preverjanje izvora sredstev?

V nekaterih primerih potrditev identitete ni dovolj. Ponudnik lahko uporabnika vpraša, od kod izvira denar, ki ga nakazuje ali uporablja.

Kot dokazilo lahko pridejo v poštev:

• plačilne liste,
• pogodba o zaposlitvi,
• bančni izpiski,
• pogodba o prodaji nepremičnine ali vozila,
• dokazilo o dedovanju,
• davčna dokumentacija,
• dokazila o poslovnih prihodkih,
• zgodovina nakupov in prodaj kriptovalut.

Dokazovanje izvora sredstev je še posebej pomembno pri večjih nakupih, na primer pri nakupu nepremičnine s kriptovalutami.

Preverjanje izvora sredstev ni isto kot osnovni KYC. KYC ugotavlja identiteto uporabnika, preverjanje izvora sredstev pa pojasnjuje, kako je uporabnik prišel do določenega denarja.

Dodatna vprašanja so verjetnejša pri večjih, neobičajnih ali s preteklim poslovanjem neskladnih transakcijah.

Ali lahko ponudnik zaradi KYC zadrži izplačilo?

Ponudnik lahko omeji uporabo računa ali začasno zadrži izvedbo posamezne storitve, dokler ne pridobi podatkov, ki jih mora preveriti.

Zakon zahteva, da zavezanci določene preglede opravijo pred začetkom poslovnega razmerja oziroma ob zakonsko določenih okoliščinah. Če pregleda ne morejo uspešno zaključiti, storitve v nekaterih primerih ne smejo izvesti ali nadaljevati. ZPPDFT-2 posebej ureja tudi ravnanje zavezanca, kadar pregleda stranke ni mogoče opraviti.

Pri spletnih platformah je zato smiselno KYC opraviti pred večjim nakazilom ali pred pričakovanim izplačilom. Uporabnik se tako izogne položaju, ko mora dokumentacijo urejati šele po zahtevi za dvig denarja.

Ali je pošiljanje osebnega dokumenta varno?

Pošiljanje dokumenta vedno pomeni določeno tveganje, zato je pomembno preveriti, komu ga uporabnik posreduje.

Pred nalaganjem dokumentov preverite:

• ali ste na uradni spletni strani ali v uradni aplikaciji,
• ali je povezava pravilna,
• ali je ponudnik jasno naveden,
• ali ima objavljeno politiko zasebnosti,
• zakaj dokument potrebuje,
• kako dolgo bo podatke hranil,
• ali uporablja varen sistem za nalaganje dokumentov.

Dokumenta ne pošiljajte prek neznanih povezav v elektronski pošti, zasebnih sporočilih ali aplikacijah za klepet, če ne morete potrditi, da zahteva prihaja od pravega ponudnika.

Informacijski pooblaščenec opozarja, da kopiranje dokumentov ni splošno dovoljeno brez omejitev. Obstajati mora ustrezna pravna podlaga, obdelava pa mora biti omejena na podatke, ki so potrebni za zakonit namen. Za kopije dokumentov, pridobljene na podlagi ZPPDFT-2, veljajo posebna pravila glede hrambe in varovanja.

Ali ponudnik lahko hrani kopijo dokumenta?

Pod določenimi pogoji jo lahko.

Informacijski pooblaščenec pojasnjuje, da ZPPDFT-2 omogoča hrambo digitalnih kopij uradnih osebnih dokumentov, pridobljenih v okviru zakonsko predpisanega ugotavljanja in preverjanja identitete. Takšne kopije se hranijo največ pet let od pridobitve, ponudnik pa mora zagotoviti njihovo ustrezno tehnično in organizacijsko varovanje.

To ne pomeni, da lahko vsako spletno mesto brez razloga zahteva in hrani kopijo osebnega dokumenta. Ponudnik mora imeti pravno podlago in uporabniku pojasniti namen obdelave.

KYC pri kriptovalutah

Kriptomenjalnice in drugi ponudniki storitev z virtualnimi sredstvi pogosto zahtevajo popolno preverjanje identitete.

Uporabnik lahko brez KYC vidi ponudbo ali odpre osnovni račun, vendar so lahko nakazila, trgovanje ali izplačila omejena. Pri nekaterih platformah je preverjanje potrebno že pred prvo uporabo.

Slovenski ZPPDFT-2 med zavezance uvršča tudi določene ponudnike storitev v zvezi z virtualnimi valutami.

Pomembno pa je naslednje:

Dejstvo, da kriptomenjalnica zahteva KYC, samo po sebi še ne dokazuje, da je varna, regulirana ali finančno stabilna.

KYC je samo eden od postopkov. Pred nakazilom je treba preveriti tudi podjetje, sedež, dovoljenja, pogoje poslovanja in možnosti pritožbe.

Več o tem smo pojasnili v članku Ali FURS vidi vaš Binance račun?

KYC pri spletnih igralnicah in stavnicah

Tudi organizatorji iger na srečo lahko preverjajo identiteto uporabnika. Preverjanje je lahko potrebno zaradi:

• potrditve starosti,
• preprečevanja več računov iste osebe,
• preprečevanja uporabe ukradenih plačilnih sredstev,
• pravil o preprečevanju pranja denarja,
• preverjanja, komu se izplačuje dobitek.

Uporabnik mora biti posebej previden pri ponudnikih iz držav zunaj Evropske unije. Ti lahko zbirajo podobne dokumente, vendar zanje morda ne veljajo enaka pravila, nadzor in možnosti pravnega varstva kot za ponudnike v Sloveniji ali EU.

Zahteva za KYC ni dokaz, da ima spletna igralnica dovoljenje za ponujanje storitev slovenskim uporabnikom.

Pred registracijo je treba ločeno preveriti pravni status ponudnika.

Kaj je ponovni KYC?

KYC ni vedno enkraten postopek.

Ponudnik lahko podatke ponovno preveri, kadar:

• dokument poteče,
• uporabnik spremeni naslov,
• se spremeni davčno rezidentstvo,
• se bistveno spremeni način uporabe računa,
• pride do večje ali neobičajne transakcije,
• mora ponudnik posodobiti stare podatke,
• se spremenijo pravila ali ocena tveganja.

Zato lahko tudi dolgoletni uporabnik banke ali spletne platforme prejme novo zahtevo za dokumente.

Ali lahko KYC zavrnem?

Uporabnik dokumentov načeloma ni dolžan poslati zasebnemu podjetju proti svoji volji. Vendar lahko ponudnik zaradi zavrnitve:

• zavrne odprtje računa,
• omeji funkcije,
• onemogoči nova nakazila,
• zahteva zaključek poslovnega razmerja,
• odloži transakcijo do zaključka preverjanja.

Kadar je preverjanje zakonsko obvezno, ponudnik storitve brez potrebnih podatkov praviloma ne more izvajati v običajnem obsegu.

Uporabnik ima pravico vprašati:

• kateri podatki so obvezni,
• na kateri pravni podlagi se zbirajo,
• za kakšen namen se uporabljajo,
• koliko časa bodo hranjeni,
• komu bodo lahko posredovani,
• kako lahko uveljavlja svoje pravice glede osebnih podatkov.

Kako prepoznati lažno zahtevo za KYC?

Goljufi izraz KYC pogosto uporabljajo kot izgovor za krajo osebnih dokumentov, gesel ali denarja.

Sumljiva je zahteva, pri kateri nekdo:

• zahteva vaše geslo,
• zahteva kodo za prijavo ali potrditev transakcije,
• zahteva podatke celotne plačilne kartice,
• želi dokumente prek aplikacije WhatsApp, Telegram ali podobnega kanala,
• pošlje povezavo z napačno ali nenavadno domeno,
• zahteva plačilo »pristojbine za KYC«,
• grozi z izgubo vsega denarja v nekaj minutah,
• zahteva namestitev programa za oddaljeni dostop,
• želi, da sredstva prenesete v »varno denarnico«.

Goljufi pri lažnih KYC zahtevah vse pogosteje uporabljajo tudi umetno inteligenco, lažna sporočila, klonirane glasove in deepfake posnetke.

Pravi KYC praviloma preverja identiteto. Ne zahteva, da neznani osebi razkrijete geslo ali ji omogočite nadzor nad računalnikom.

Kaj morajo slovenski uporabniki vedeti pred KYC?

Preden pošljete osebni dokument, upoštevajte pet osnovnih pravil:

1. Preverite ponudnika. Ugotovite, katero podjetje upravlja storitev in v kateri državi ima sedež.
2. Uporabite samo uradno stran ali aplikacijo. Ne odpirajte povezav iz nepričakovanih sporočil.
3. Preberite namen zbiranja podatkov. Ponudnik mora pojasniti, zakaj podatke potrebuje.
4. Pošljite samo zahtevane podatke. Ne posredujte gesel, varnostnih kod ali podatkov, ki za identifikacijo niso potrebni.
5. KYC opravite pravočasno. Pri finančnih, kripto in igralniških računih ga je smiselno zaključiti pred večjimi nakazili oziroma pred zahtevo za izplačilo.

Ali se bodo pravila KYC v Evropski uniji spremenila?

Evropska unija je leta 2024 sprejela nov zakonodajni sveženj za preprečevanje pranja denarja in financiranja terorizma. Pomemben del novih pravil se bo začel uporabljati 10. julija 2027.

Namen sprememb je bolj poenotiti preglede strank med državami članicami in natančneje določiti, katere informacije in dokumente morajo ponudniki pridobiti. Leta 2026 so potekale tudi priprave podrobnejših tehničnih standardov novega evropskega organa AMLA.

Za uporabnike to pomeni, da bodo postopki med evropskimi bankami in drugimi zavezanci verjetno postajali bolj enotni, digitalni in standardizirani.

Pogosta vprašanja o KYC

Povzetek

KYC je postopek preverjanja identitete uporabnika. Najpogosteje ga izvajajo banke, plačilne aplikacije, kriptomenjalnice, investicijske platforme in ponudniki iger na srečo.

Slovenski uporabniki morajo vedeti predvsem naslednje:

• KYC je pogosto zakonsko zahtevan postopek.
• Ponudnik lahko zahteva osebni dokument, fotografijo obraza, dokazilo o naslovu ali dokazilo o izvoru denarja.
• Preverjanje je mogoče opraviti tudi popolnoma prek spleta.
• Uporabnik mora dokumente pošiljati samo prek uradnih in varnih kanalov.
• Zahteva za KYC sama po sebi ne dokazuje, da je ponudnik varen ali licenciran.
• Brez uspešno opravljenega preverjanja so lahko račun, transakcije ali izplačila omejeni.
• Gesel, prijavnih kod in dostopa do računalnika se v postopku KYC ne posreduje.

KYC je danes običajen del uporabe finančnih storitev. Za uporabnika je najpomembneje, da razume, kdo njegove podatke zahteva, zakaj jih potrebuje in kako jih bo varoval.

Članek je informativne narave in ne predstavlja pravnega svetovanja.

Zunanji viri o KYC

Več informacij o zakonskih obveznostih preverjanja identitete najdete v Zakonu o preprečevanju pranja denarja in financiranja terorizma .

Zakaj banke in druge finančne ustanove preverjajo identiteto svojih strank, podrobneje pojasnjuje tudi Banka Slovenije v vsebini o preprečevanju pranja denarja in financiranja terorizma .

Pri pošiljanju kopije osebne izkaznice ali potnega lista je pomembno preveriti, kako bo ponudnik dokument hranil in varoval. Več o tem pojasnjuje Informacijski pooblaščenec v mnenju o hrambi osebnega dokumenta v digitalni obliki .

Slovenski nadzorni sistem, opozorila in aktualne informacije s tega področja objavlja Urad RS za preprečevanje pranja denarja .

Pri preverjanju identitete prek spleta morajo finančne ustanove upoštevati tudi evropske smernice za identifikacijo strank na daljavo .

Kako prepoznati lažno zahtevo za KYC?

Goljufi pri lažnih KYC zahtevah vse pogosteje uporabljajo tudi umetno inteligenco, lažna sporočila, klonirane glasove in deepfake posnetke. Več o teh metodah preberite v članku o kriptoprevarah s pomočjo umetne inteligence .