En España, la verificación de identidad del jugador online es obligatoria por ley con sanciones millonarias como aviso. Repasamos qué exige la Ley 10/2010, qué añade el Programa de Juego Seguro de la DGOJ, y qué llega con el Reglamento europeo AMLR en 2027.

En 2026 conviven en España dos marcos normativos que, aunque nacen de objetivos distintos, convergen en un mismo punto que no es otro que la identidad del jugador. Por un lado, la Dirección General de Ordenación del Juego (DGOJ) ha publicado su Programa de Juego Seguro 2026-2030, sucesor del Programa de Juego Responsable 2019-2022, centrado en la protección del participante y la prevención de la ludopatía. Por otro, la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo, vigente desde hace más de una década, obliga a los operadores de juego a identificar y a verificar a sus clientes de forma continua.

Ambas normativas hablan, cada una desde su ámbito de competencia, de un mismo problema de fondo: saber con certeza quién está detrás de cada cuenta de juego y mantener esa certeza en el tiempo. No son documentos aislados, puesto que detrás de cada una de ellas hay una colaboración institucional entre DGOJ, Ministerio de Economía, Tesoro Público y el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales (SEPBLAC) que sitúa la identificación del jugador como uno de los focos de supervisión más activos del sector en este momento.

Lo que dice el Programa de Juego Seguro de la DGOJ 2026-2030

El nuevo programa se estructura en tres prioridades: análisis y diagnóstico, prevención, y promoción del juego seguro desarrolladas en seis objetivos generales y veinticuatro medidas específicas. Es, ante todo, un programa de estudios, guías y divulgación que no introduce medidas técnicas nuevas de verificación de identidad del jugador online en España. Pero sí deja constancia, en varios puntos, de que la identidad del jugador es una pieza sobre la que se asientan buena parte de sus objetivos.

Algunas de las medidas

La Medida 1.1.e) aborda la presentación de un mecanismo de detección de juego de riesgo online, habilitado por el Real Decreto 176/2023. El objetivo es que todos los operadores apliquen los mismos parámetros para identificar comportamientos de riesgo. Pero este mecanismo solo tiene sentido si el operador puede garantizar que quien juega hoy es la misma persona que jugó ayer, la detección de patrones de riesgo depende, en última instancia, de una identificación consistente y fiable.

La Medida 1.1.f), dedicada al análisis de género en la práctica del juego, incluye «de forma tangencial» una evaluación sobre la suplantación de identidad, señalando que afecta fundamentalmente a las mujeres. Parece ser un dato relevante que confirma que el problema no es anecdótico, sino que tiene un patrón conocido y ya documentado por la administración.

Phishing Alert y el Protocolo de Actuación para Contribuyentes Suplantados (PACS)

Ambos ya existentes, aparecen citados en los antecedentes del programa y en la Medida 1.1.d), que propone estudiar el perfil sociodemográfico de las personas usuarias de estos servicios. Su sola mención es un reconocimiento explícito, por parte de la propia DGOJ, de que la suplantación de identidad es un problema que sigue vigente en el sector del juego online. Eso sí, la respuesta que articulan ambas herramientas es reactiva y ayudan a la persona ya suplantada, no preventiva en el momento del alta o del acceso.

Registro General de Interdicción de Acceso al Juego (RGIAJ)

Algo parecido ocurre con el RGIAJ, cuya interconexión automatizada con los registros autonómicos se ha reforzado en los últimos años. La autoexclusión y la autoprohibición solo protegen de verdad a la persona que las solicita si el operador puede verificar, sin margen de error, que quien intenta acceder es esa misma persona lo cual exige, de nuevo, una identificación fiable en origen, previa e independiente de la propia consulta al RGIAJ.

A esto se suma un dato de contexto que el propio programa recoge. Según el Estudio de prevalencia de juego 2022-2023, el 6,29% de la población de entre 18 y 25 años ha participado en juegos de azar, siendo el canal online el predominante. Es precisamente este perfil joven, digital, activo en redes sociales el que el programa identifica repetidamente como colectivo vulnerable y también el que más expuesto está a fenómenos como la suplantación de identidad o el uso de cuentas de terceros para eludir la autoexclusión.

Lo que ya obliga hoy la Ley 10/2010

Mientras el Programa de Juego Seguro opera en el terreno del control de acceso (menores, autoexcluidos), la Ley 10/2010 y su reglamento de desarrollo Real Decreto 304/2014 regulan, desde hace años, un terreno distinto y más exigente: la verificación de identidad del jugador online en España con fines de prevención del blanqueo de capitales y el mantenimiento de esa vigilancia durante toda la relación de negocio.

El artículo 7.6 de la Ley 10/2010 es, en este sentido, el más específico para la industria, ya que establece que los operadores de juego a través de medios electrónicos, informáticos, telemáticos e interactivos identificarán y comprobarán la identidad de cuantas personas pretendan participar en estos juegos o apuestas, en los términos que se prevean reglamentariamente. Es una obligación dirigida en exclusiva al canal online, distinta de la que aplica al juego presencial y no depende de que se alcance ningún umbral económico. Se aplica desde el momento en que alguien pretende participar, no solo cuando mueve una cantidad determinada de dinero. A partir de ahí, la ley añade obligaciones adicionales.

Obligaciones adicionales relevantes

• Identificación formal y del titular real del cliente antes de establecer la relación de negocio.
• Seguimiento continuo de la relación (artículo 6): no vale con verificar en el alta, hay que contar con documentos actualizados y vigilar el comportamiento del cliente de forma continua.
• Examen especial (artículo 17) ante operaciones inusuales o complejas, sin justificación económica o lícita aparente.
• Identificación reforzada cuando el cliente retire ganancias o realice apuestas por un valor igual o superior a 2.000 euros (artículo 7.6), en una operación única o en varias operaciones entre las que parezca existir relación.

El SEPBLAC, que supervisa el cumplimiento de esta ley, ha incrementado notablemente su atención sobre el sector en los últimos tiempos.

En febrero de 2025 se celebró la primera jornada sectorial sobre prevención del blanqueo de capitales y financiación del terrorismo dirigida específicamente a operadores de juego online, organizada conjuntamente por la DGOJ, el Tesoro Público y el propio SEPBLAC, con participación de operadores autorizados.

Poco después, el SEPBLAC añadió en su web una sección de preguntas frecuentes dedicada en exclusiva a este sector, en la que aborda cuestiones como la normativa aplicable a la identificación de clientes o el número de cuentas corrientes y medios de pago utilizados por un mismo jugador como posible indicador de riesgo de blanqueo. Este último punto es importante, ya que indica que no hace falta que cambie la ley para que el supervisor deje claro que vincular con solidez la identidad del jugador a sus medios de pago es ya, hoy, una prioridad de supervisión.

El coste real de no cumplir

Estas obligaciones no son papel mojado y el sector del juego online español ya lo está comprobando en dos frentes sancionadores distintos, que conviene no confundir.

Infracciones a la Ley 13/2011 de regulación del juego

Por un lado, la propia DGOJ sanciona infracciones a la Ley 13/2011 de regulación del juego, ésta es la norma que rige las licencias y la actividad del sector. En una sola tanda de resoluciones, la DGOJ impuso sanciones por infracciones graves y muy graves a más de una treintena de operadores del sector de apuestas y juego online, con multas que en conjunto superaron los 33 millones de euros, entre ellas, varias infracciones muy graves dirigidas a operadores extranjeros que funcionaban sin licencia en España.

Infracciones a la Ley 10/2010 de prevención del blanqueo de capitales

Por otro lado, y de forma independiente, el Ministerio de Economía, Comercio y Empresa sanciona los incumplimientos de la Ley 10/2010 de prevención del blanqueo de capitales, a propuesta del SEPBLAC. En 2026, el Boletín Oficial del Estado publicó la sanción firme a un operador de juego online con licencia en España por dos infracciones graves de esta ley: El incumplimiento del artículo 6 (seguimiento continuo de la relación de negocios) y del artículo 17 (obligación de examen especial). El resultado fue la imposición de dos multas de 275.976 euros cada una, además de amonestación pública en ambos casos, más de 550.000 euros en sanciones, sin contar el coste reputacional de ver el propio nombre publicado en el BOE junto a la palabra «infracción grave».

Conviene señalar que ninguna de estas resoluciones es una sentencia judicial ni genera jurisprudencia. Son resoluciones sancionadoras administrativas, firmes en vía administrativa. No sientan doctrina interpretativa sobre qué es suficiente seguimiento continuo o cuándo se activa exactamente un examen especial. Los textos publicados no detallan los hechos de cada expediente pero sí confirman que el sector del juego online en España está siendo inspeccionado y sancionado por dos autoridades distintas y bajo dos leyes distintas y en ambos casos el hilo conductor es la identificación y el seguimiento del jugador.

Ahora bien, ¿qué implica cumplir en la práctica?

Más allá del texto legal, cumplir con estos dos artículos suele traducirse en procesos operativos concretos.

Para el seguimiento continuo (artículo 6):

• Monitorización transaccional permanente de depósitos, retiradas y patrones de juego, no solo en el momento del alta.
• Actualización periódica de los datos e información de perfil de riesgo del cliente.
• Detección de incoherencias entre el perfil declarado por el cliente y su comportamiento real.
• Atención al número de cuentas corrientes o medios de pago asociados a un mismo jugador. El propio SEPBLAC lo señala como posible indicador de riesgo, lo que exige poder vincular con certeza cada medio de pago a una única identidad verificada.
• Trazabilidad documental de ese seguimiento y capacidad para demostrarlo ante una inspección.

Para el examen especial (artículo 17):

• Reglas de detección de operaciones atípicas (depósitos y retiradas rápidas sin apenas actividad de juego intermedia, uso de múltiples métodos de pago de terceros, fraccionamiento de depósitos para evitar umbrales, incoherencias geográficas).
• Examen documentado de cada alerta, con constancia escrita de qué se revisó y qué se concluyó.
• Un órgano de control interno que reciba y resuelva estos exámenes con representante designado ante el SEPBLAC.
• Comunicación al SEPBLAC dentro de los plazos establecidos cuando el examen revele indicios de blanqueo.

En otras palabras, el operador debe poder garantizar que quien juega hoy es la misma persona que verificó su identidad al registrarse y que esa identificación sigue siendo fiable con el paso del tiempo. Si la verificación inicial no es sólida o no se actualiza cuando es necesario, tanto el seguimiento continuo como el análisis de situaciones de riesgo parten de una base poco fiable.

El reto de proteger lo ya verificado

Todo lo anterior da por hecho que la verificación de identidad del jugador online funciona correctamente. Pero hay una pregunta que se queda fuera de la Ley 10/2010 y del propio Programa de Juego Seguro y que un incidente reciente en el sector del juego online en España ha vuelto a poner sobre la mesa: ¿qué pasa con los datos de identidad una vez capturados y verificados?

En verano de 2026, una plataforma española de loterías y apuestas sufrió un acceso no autorizado a un servicio empleado para la verificación de identidad de sus usuarios. Lo sustraído no fueron contraseñas ni datos bancarios, sino las imágenes del documento de identidad (ambas caras) y el selfie de verificación de una parte de sus usuarios. La empresa notificó el incidente a la Agencia Española de Protección de Datos, como exige la normativa, y a la Policía Nacional.

Riesgos de seguridad en la verificación de identidad del jugador online en España

Este acceso conlleva un riesgo de seguridad, puesto que quien dispone de la imagen de un DNI junto con el selfie de verificación de su titular tiene, en la práctica, el mismo combo que exigen muchos servicios online para abrir una cuenta desde neobancos hasta exchanges de criptomonedas, lo que abre la puerta a la suplantación de identidad en terceros servicios, no solo en el propio.

Este incidente no es un fallo de diligencia debida en el sentido de la Ley 10/2010, no se trata de identificar mal a un jugador ni de dejar de vigilar su comportamiento, sino de un problema distinto y complementario que gira en torno a la seguridad y minimización de los datos biométricos y documentales una vez capturados. Cumplir con la obligación de verificar no exime de la obligación de proteger los datos verificados, ni del cifrado, ni del control de accesos ni de la minimización del tiempo de conservación de las imágenes. De poco sirve identificar correctamente a un cliente si, después, esos mismos datos quedan expuestos a terceros.

Más allá de la verificación documental

La ley exige identificar y verificar al cliente, pero no impone un método único. Esto deja margen a los operadores para decidir cómo hacerlo. La verificación documental que consiste en comprobar la validez de un documento de identidad y su coincidencia con el titular sigue siendo la base, pero el incidente descrito en el apartado anterior deja clara una limitación de fondo: si el proceso se apoya únicamente en imágenes estáticas del DNI y un selfie, esas mismas imágenes, una vez robadas, bastan para intentar suplantar a la persona en otro servicio.

Es aquí donde entra la biometría facial con prueba de vida. A diferencia de una simple comparación de fotos, estas soluciones comprueban en el momento que hay una persona real frente a la cámara y no una fotografía, un vídeo grabado o una imagen generada, lo que impide que un documento y un selfie sustraídos de una brecha anterior sirvan, por sí solos, para superar una verificación en otro operador o servicio. La ley no exige este método en concreto de verificación de identidad del jugador online en España, pero sí exige identificar con certeza a la persona y cada vez son más los operadores que optan por esta capa adicional precisamente por el tipo de riesgo que ya se ha materializado en el sector.

Listas de informados

A esto se suma, dentro del proceso de diligencia debida, otra capa que ofrece Mobbbeel: el cribado o screening contra listas de sanciones y de personas con responsabilidad pública (PEP).

Este tipo de cribado encaja de forma natural con lo que exige el artículo 6, ya que puede pasar de una verificación puntual en el momento del alta a un control que puede repetirse de forma periódica, ayudando a detectar cambios de riesgo en el cliente que una verificación única, hecha solo al principio, nunca podría capturar. Y encaja también con la propia advertencia del SEPBLAC sobre los medios de pago. Si un mismo jugador aparece vinculado a varias cuentas o instrumentos de pago, solo una identificación robusta permite distinguir si se trata de la misma persona operando con normalidad o de un intento de eludir límites, autoexclusiones o controles de origen de fondos.

Lo que viene con el Reglamento europeo AMLR

El Reglamento (UE) 2024/1624, conocido como AMLR, es la pieza central del paquete antiblanqueo europeo aprobado por el Parlamento Europeo y el Consejo el 31 de mayo de 2024. A diferencia de una directiva, un reglamento europeo no necesita transposición, se aplicará de forma directa e idéntica en los 27 Estados miembros a partir del 10 de julio de 2027.

Para el sector del juego, el AMLR trae una noticia tranquilizadora en cuanto a continuidad. Su artículo 19.5 establece que los proveedores de servicios de juegos de azar aplicarán medidas de diligencia debida cuando el cliente retire ganancias, realice apuestas de valor monetario, o ambas cosas, a partir de un valor mínimo de 2.000 euros, ya sea en una operación única o en varias operaciones relacionadas. Es exactamente el mismo umbral que ya aplica hoy el artículo 7.6 de la Ley 10/2010. En materia de verificación de identidad del jugador online en España, en este punto concreto, ya cumple con el estándar que va a regir en toda la Unión Europea.

Lo que sí cambia de forma más amplia es el marco general

El umbral de diligencia debida para operaciones ocasionales en general sube a 10.000 euros (frente a los 1.000 euros que exige hoy la normativa española para otros sectores) y se crea una nueva autoridad de supervisión a escala europea, la AMLA (Autoridad Europea Antiblanqueo), que coordinará criterios entre países y trabajará junto a los supervisores nacionales. En España, esto no supone la desaparición del SEPBLAC como Unidad de Inteligencia Financiera, seguirá siendo el interlocutor directo de los operadores de juego, ahora bajo la coordinación técnica de la AMLA.

La obligación de seguimiento continuo de la relación de negocios, que hoy recoge el artículo 6 de la Ley 10/2010, pasa a formularse de forma equivalente en el artículo 26 del AMLR, de nuevo continuidad de fondo con un marco más armonizado y directamente aplicable en toda la UE.

Qué debe exigir un operador a su proveedor de verificación de identidad

Con todo lo anterior sobre la mesa, la pregunta práctica para cualquier operador de juego online en España es qué debe pedir, en concreto, a quien le proporciona la verificación de identidad del jugador online en España. Algunos criterios que se desprenden de todo lo visto:

Ninguno de estos puntos sustituye al siguiente. Verificar bien en el alta, vigilar de forma continua y proteger lo capturado son tres capas distintas y las tres son necesarias para la protección del jugador.

PÁGINA DE INDUSTRIA

Conoce todo lo que podemos hacer para el juego online

El juego online tiene una importancia vital para los negocios del azar y es por eso que las soluciones de identificación biométrica son necesarias en este sector.