Finanstilsynet er en statslig myndighed under Erhvervsministeriet. Det fører tilsyn med pengeinstitutter, realkreditinstitutter, pensions- og forsikringsselskaber, investeringsforeninger, fondsmæglere, betalingsinstitutter og e-pengeinstitutter. Er en virksomhed under tilsyn, gælder det ikke kun kapitalkrav og regnskaber, men også hvordan kunderne bliver identificeret.
Uafhængigheden er skrevet ind
Erhvervsministeren kan ikke instruere Finanstilsynet i konkrete tilsynssager og kan ikke omgøre tilsynets afgørelser. Det er en vigtig detalje, når man læser om politisk pres i en sag. Ministeren kan lave lovgivning, men ikke gribe ind i den enkelte afgørelse.
Hvidvask
Finanstilsynet fører tilsyn efter hvidvasklovens § 47, stk. 1. Det dækker både hvidvaskreglerne og de finansielle sanktioner. Tilsynet er ikke det eneste på området: hvidvaskloven har fire tilsynsmyndigheder, hvor Erhvervsstyrelsen, Advokatrådet og Spillemyndigheden dækker resten af de omfattede brancher.
Finanstilsynet står også for PEP-listen. Efter hvidvasklovens § 18, stk. 7 fører og offentliggør erhvervsministeren en liste med navne, fødselsdatoer og stillingsbetegnelser på politisk eksponerede personer, og det er Finanstilsynet, der offentliggør den med særskilte lister for Danmark, Færøerne og Grønland. Listen dækker kun PEP'er selv. Nærtstående og nære samarbejdspartnere skal virksomheden finde frem til på egen hånd.
Stærk kundeautentifikation
Finanstilsynet påser også reglerne om stærk kundeautentifikation i lov om betalinger, § 130, stk. 1. Pligten står i § 128, og kravet om dynamisk kobling mellem kode, beløb og modtager i § 128, stk. 2.
Tilsynet har brugt beføjelsen konkret. I 2022 påbød Finanstilsynet danske pengeinstitutter at stoppe brugen af NemID-nøglekortet som element i stærk kundeautentifikation. Definitionen af stærk kundeautentifikation står i § 7, nr. 30 og kræver to eller flere elementer fra kategorierne viden, besiddelse og iboende egenskab, og elementerne skal være uafhængige af hinanden. Det er den samme logik, der ligger bag MitID, hvor et login på niveau Betydelig kræver to bekræftelser.
Hvorfor det rager en webshop
De fleste webshops er ikke under Finanstilsynets tilsyn og skal ikke lave KYC. Men grænsen er ikke altid, hvor man tror. Sælger man spil, kryptoaktivtjenester eller kunst for 50.000 kr. og opefter, er man inde i hvidvasklovens verden, og så skal identiteten kontrolleres mod en pålidelig og uafhængig kilde. Loven nævner udtrykkeligt elektroniske identifikationsmidler som en måde at gøre det på, og det er hjemlen til at bruge et eID i stedet for et scannet kørekort.