KYC/AML para operadores de juego en línea: obligaciones AMLD6 2026

Los operadores de juego en línea están clasificados como sujetos obligados en la legislación antibloqueo de capitales y financiación del terrorismo (AML/CFT) de la Unión Europea. Con la plena aplicación del Reglamento AMLR (UE 2024/1624) y la Sexta Directiva AMLD6 (UE 2024/1640) a partir del 10 de julio de 2027, las obligaciones de cumplimiento se armonizarán en los 27 Estados miembros. En España, la Dirección General de Ordenación del Juego (DGOJ) supervisa a los operadores licenciados, mientras que SEPBLAC es la Unidad de Inteligencia Financiera competente en materia de prevención del blanqueo de capitales.

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico ni regulatorio. Las referencias normativas son exactas en la fecha de publicación. Consulte a un profesional cualificado para orientación específica.

¿Qué operadores de juego están sujetos a AMLD6?

El Artículo 3(3)(e) del Reglamento UE 2024/1624 enumera explícitamente a los "proveedores de servicios de juego" entre las entidades obligadas (EUR-Lex, Reglamento UE 2024/1624). En España, la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo — que transpone las directivas europeas — aplica a todos los operadores con licencia DGOJ para apuestas deportivas, póker, ruleta, y otros juegos de azar en línea.

Los Estados miembros pueden aplicar exenciones para juegos de bajo riesgo, pero bajo criterios estrictos recogidos en el Artículo 19 de la Directiva 2024/1640. Esta excepción no alcanza a los operadores de alto volumen ni a los juegos de casino en línea.

Obligaciones de Diligencia Debida de Cliente (DDC)

La Diligencia Debida de Cliente estándar (DDC o CDD) se activa cuando la transacción alcanza 2.000 EUR en una única operación o de forma acumulada en un período de 24 horas. SEPBLAC y la DGOJ recuerdan que el umbral se aplica tanto a depósitos como a cobro de premios superiores a ese importe (SEPBLAC, Guía sectorial juego 2024).

Documentos requeridos para la identificación del cliente

La identificación estándar requiere:

• Documento de identidad oficial: DNI en vigor, pasaporte o NIE para residentes extranjeros
• Justificante de domicilio: recibo de suministros o extracto bancario con antigüedad inferior a 3 meses
• Verificación de edad: comprobación de mayoría de edad (18 años mínimo)
• Para personas jurídicas: escritura de constitución, certificado del Registro Mercantil, identificación del beneficiario efectivo (UBO)

La verificación puede realizarse por medios telemáticos cuando el sistema cumpla con los requisitos de identificación no presencial establecidos por el Reglamento UE 910/2014 (eIDAS) y las instrucciones técnicas de SEPBLAC.

CheckFile ofrece verificación documental multicapa para los flujos de incorporación de los operadores de juego, con análisis estructural, control de metadatos y verificación de coherencia entre documentos.

Enfoque basado en el riesgo

El enfoque basado en el riesgo exige segmentar a la clientela. Indicadores de riesgo específicos del sector del juego:

• Depósitos frecuentes que se acercan al umbral sin superarlo (estructuración o smurfing)
• Uso de criptodivisas o monederos electrónicos anónimos para los depósitos
• Patrones de juego deliberadamente perdedores (método habitual de conversión de fondos ilícitos)
• Retiradas inmediatas tras el depósito sin actividad de juego significativa

Diligencia Debida Reforzada (DDR): clientes de alto valor y PEP

La Diligencia Debida Reforzada (DDR o EDD) es obligatoria cuando el perfil de riesgo del cliente es elevado. El Artículo 36 del Reglamento AMLR exige DDR para las Personas Políticamente Expuestas (PEP), clientes de países de alto riesgo según el GAFI, y relaciones que presenten características atípicas (EUR-Lex, Reglamento UE 2024/1624, Art. 36).

En el sector del juego en línea, la DDR es específicamente necesaria para:

Jugadores VIP y de alto valor: los clientes cuyos depósitos acumulados superen EUR 25.000 en 12 meses continuados deben someterse a DDR, incluyendo verificación del origen de fondos (source of funds) y, si procede, del origen del patrimonio (source of wealth). El operador debe documentar la coherencia entre el nivel de juego y la capacidad económica del cliente.

Comportamientos atípicos: el operador debe aplicar DDR cuando detecte indicios de blanqueo, como pérdidas deliberadas repetidas, uso de múltiples métodos de pago, o solicitudes de transferencias a cuentas de terceros.

La plataforma CheckFile centraliza la documentación EDD y mantiene la pista de auditoría durante los 5 años que exige la normativa.

Comunicaciones al SEPBLAC (equivalente a TRACFIN en España)

Los operadores licenciados en España deben comunicar al SEPBLAC cualquier operación o intento de operación sobre la que tengan indicios de que los fondos proceden de actividades ilícitas o están vinculados a la financiación del terrorismo. Las comunicaciones de operaciones sospechosas del sector del juego representaron el 4,2% del total de declaraciones recibidas por SEPBLAC en 2024 (SEPBLAC, Informe anual 2024).

Supuestos típicos de comunicación en el sector del juego:

• Cliente con perfil de apostante de alto nivel sin justificación económica plausible
• Uso sistemático de criptomonedas o medios de pago anónimos
• Solicitudes de devolución de depósitos importantes sin juego previo significativo
• Comportamiento de juego orientado a la conversión de efectivo ilícito en premios legales

La prohibición de comunicación al interesado (tipping-off) impide al operador alertar al cliente de que ha realizado o se plantea realizar una comunicación.

Conservación de datos y Ley Orgánica de Protección de Datos

El Reglamento AMLR impone la conservación de los datos de identificación y transacciones durante 5 años tras la finalización de la relación comercial (Art. 77, Reglamento UE 2024/1624). Esta obligación coexiste con la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD) y el RGPD, que limita la conservación de datos al tiempo estrictamente necesario.

Para una guía detallada sobre la gestión documental conforme al RGPD, consulte la guía de gestión documental RGPD.

Controles internos y gobernanza

El Reglamento AMLR (Art. 8-9) y la Ley 10/2010 exigen a los sujetos obligados designar a un Representante ante el SEPBLAC (equivalente al MLRO anglosajón), implementar procedimientos internos documentados y formar periódicamente a su personal.

• Evaluación anual del riesgo: análisis de los riesgos específicos del operador según sus productos, clientela y canales de pago
• Formación continua: todo el personal en contacto con clientes y el equipo de fraude deben recibir formación anual sobre tipologías de blanqueo a través del juego
• Auditoría independiente: revisión bianual del sistema de control interno AML
• Manual de prevención: documento actualizado con los procedimientos KYC/DDR/comunicaciones

CheckFile se integra con los sistemas de incorporación de operadores mediante API para automatizar los controles documentales y generar registros de cumplimiento listos para la inspección regulatoria. Consulte también la guía para construir un programa de cumplimiento documental.

Preguntas frecuentes

¿Cuándo debe realizarse la verificación de identidad del jugador?

La verificación de identidad debe realizarse antes de permitir cualquier depósito o apuesta, independientemente del importe. Muchos operadores la realizan en el momento del registro. A efectos AML, la diligencia debida plena se activa cuando el cliente alcanza el umbral de EUR 2.000.

¿Qué ocurre si un operador no cumple con las obligaciones AML?

Las sanciones previstas por AMLD6 pueden alcanzar EUR 10 millones o el 10% del volumen de negocio anual. La DGOJ, por su parte, puede suspender o revocar la licencia del operador incumplidor. La Ley 10/2010 también prevé sanciones administrativas graduadas según la gravedad de la infracción.

¿Están sujetas las apuestas con criptomonedas a las mismas obligaciones KYC?

Sí. Las apuestas realizadas con criptomonedas están sujetas a las mismas obligaciones de DDC. Adicionalmente, el operador debe verificar que los activos criptográficos no procedan de actividades ilícitas y que las carteras no estén incluidas en listas de sanciones. Se recomienda aplicar DDR para cualquier depósito en criptomonedas que supere EUR 1.000.

¿Qué documentación necesita un jugador VIP para verificar el origen de sus fondos?

Para jugadores VIP, la documentación habitual de origen de fondos incluye: nóminas recientes, declaración de la renta, contratos laborales o certificados de actividad para autónomos. Si los fondos proceden de inversiones o herencias, se requieren extractos bancarios o documentación legal acreditativa.

¿Qué es el smurf ing y por qué es especialmente relevante en el juego en línea?

El smurfing consiste en fragmentar depósitos para mantenerse por debajo del umbral de DDC (EUR 2.000). En el juego en línea, es especialmente común realizar depósitos de EUR 1.999 de forma repetida. Los sistemas de monitorización deben detectar este patrón y activar controles adicionales cuando se aprecia de forma sistemática.