Desde el 28 de octubre de 2026, identificar a un jugador ya no es suficiente. El Real Decreto 813/2026 modifica el artículo 21 del Reglamento de prevención del blanqueo de capitales y obliga a los operadores de juego online a comprobar, además, que el medio de pago con el que el jugador deposita y retira fondos es suyo.
Estos días se ha escrito mucho sobre la titularidad de los medios de pago. No pretendo repetir lo que ya cuenta el BOE, sino explicarte qué significa este cambio para el proceso de KYC de un operador de juego y apuestas online, desde el punto de vista de Mobbeel, una empresa que lleva años implantando la videoidentificación en entidades financieras que cumplen con los criterios del SEPBLAC.
El nuevo artículo 21.2 del Reglamento de la Ley 10/2010 exige a los operadores de juego online dos comprobaciones distintas: acreditar la identidad del jugador por alguna de las vías del artículo 21.1 y verificar que el titular del medio de pago coincide con el titular de la cuenta de juego. Las cuentas nuevas deben cumplirlo desde el 28 de octubre de 2026; los jugadores ya registrados tienen hasta el 28 de abril de 2027. Y si el operador elige la videoidentificación, los requisitos mínimos del SEPBLAC son exactamente los mismos que para un banco.
Qué dice el artículo 21.2 del Reglamento de la Ley 10/2010 tras el RD 813/2026
El Real Decreto 813/2026, de 7 de octubre, se publicó en el BOE el 8 de octubre y entró en vigor el 28 de octubre de 2026. Modifica, entre otras normas, el Reglamento de la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo (RD 304/2014). El artículo 21 a su vez regula las relaciones de negocio no presenciales y ahora tiene dos apartados.
El apartado 2 es la novedad para las empresas de juego:
La acreditación de la identidad del cliente en relación con los operadores de juego a través de medios electrónicos, informáticos, telemáticos e interactivos, además de la comprobación de las circunstancias del apartado anterior, requerirá la comprobación de que el titular del medio de pago usado en depósitos y retiradas es el titular de la cuenta de juego.
Por lo tanto, el artículo 21.2 no sustituye la identificación del jugador, sino que añade la comprobación del titular del medio de pago.
La justificación de este paso adoptado en la normativa la tenemos en el propio preámbulo del Real Decreto, que lo justifica en la necesidad de evitar los efectos negativos generados por la regulación anterior y que vamos a ver a continuación.
Por qué ahora: la suplantación de identidad en el juego online
Según los datos del Protocolo de Actuación para Contribuyentes Suplantados (PACS) del Ministerio de Derechos Sociales, Consumo y Agenda 2030, en 2025 se registraron 8.675 denuncias por suplantación de identidad en el juego online, un 12 % más que en 2024 (CEC-España).
Y el patrón es de sobra conocido por los operadores del sector del juego: alguien obtiene los datos personales de otra persona. Abre una cuenta de juego a su nombre. La verificación de datos da el visto bueno, porque los datos son reales. Y después deposita y retira dinero con tarjetas o monederos electrónicos que no son de esa persona.
La víctima no se entera de nada hasta que Hacienda le reclama impuestos por unas ganancias que nunca obtuvo porque quien realmente jugó, suplantó su identidad.
Además, el Ministerio recalca precisamente que quienes suplantan identidades recurren a medios de pago cuya titularidad es difícil de verificar en tiempo real, como tarjetas bancarias y monederos electrónicos (nota de prensa del Ministerio).
Comprobar que unos datos existen no es lo mismo que comprobar que quien está al otro lado de la pantalla es su titular. Ni que el dinero sea suyo.
Dos controles distintos: quién es el jugador y de quién es el dinero
Este es, para nosotros, el punto más importante del cambio y el que más confusión está generando. El artículo 21.2 obliga a responder dos preguntas diferentes:
- ¿Es esta persona quien dice ser? Lo resuelve la verificación de identidad: documento, biometría facial, prueba de vida y, si se opta por ella, videoidentificación (que ha de cumplir con el SEPBLAC)
- ¿El medio de pago es suyo? Lo resuelve la verificación de titularidad de la tarjeta, la cuenta bancaria, Bizum o el monedero, y depende de integraciones con bancos, PSP, esquemas de tarjetas o proveedores de Open Banking.
Un documento auténtico y un matching facial perfecto no demuestran quién es el titular de una tarjeta. Y una autorización de pago correcta no demuestra quién está jugando. Por ello, ambas verificaciones son complementarias.
No son controles intercambiables. Son dos piezas que deben diseñarse por separado y conectarse entre sí.
La verificación de identidad establece con garantías el nombre del titular de la cuenta de juego y la verificación del medio de pago compara contra ese nombre (aquí hay que reseñar que si la primera parte del KYC es débil, la segunda de validación del titular de la cuenta compara con un dato que no se ha validado bien).
Por eso la calidad del KYC biométrico gana peso y sale reforzado con esta norma.
Las cuatro vías de identificación no presencial del artículo 21.1 aplicadas al juego
El operador no está obligado a usar videoidentificación. Puede acreditar la identidad del jugador por cualquiera de las cuatro vías del artículo 21.1, y en todas ellas tendrá que añadir la comprobación de titularidad del medio de pago.
Hay un matiz en la nueva redacción de la letra d) que conviene no pasar por alto. Ahora vincula de forma expresa los procedimientos seguros a los requisitos mínimos de las autorizaciones generales publicadas por el SEPBLAC. El preámbulo lo presenta como un refuerzo de la seguridad jurídica y de la fiabilidad de estos procedimientos, con niveles de seguridad homogéneos.
Dicho de otra forma: ya no basta con que una solución capture un documento, lea sus datos y compare una cara. Hay que analizar el flujo completo.
Videoidentificación en el juego online: los requisitos del SEPBLAC
Si un operador opta por la videoidentificación, la pregunta que más nos están haciendo los operadores de juegos y apuestas online que quiern optar por la videoidentificación, es si ese proceso debe cumplir lo mismo que un banco. La respuesta corta es sí.
La autorización de procedimientos de vídeo-identificación del SEPBLAC (no asistida, de 2017) no distingue sectores. No existe una versión ligera para el juego. El enfoque basado en riesgo permite añadir medidas, nunca rebajarlas. Estos son sus requisitos mínimos, resumidos:
Hay una consecuencia directa en la experiencia de alta. En la modalidad no asistida, el jugador no puede depositar ni apostar hasta que se haya revisado su grabación.
Aquí es donde la experiencia previa marca la diferencia. En Mobbeel llevamos años implantando procesos de identificación remota y videoidentificación conforme a los criterios del SEPBLAC en entidades financieras.
Hemos acompañado a esas entidades en la adaptación de sus procesos a las exigencias de PBC/FT, y esa misma tecnología es la que hoy ponemos a disposición de los operadores de juego.
Un único vídeo, de principio a fin
Hay un detalle del proceso que, para nosotros, marca la diferencia y que rara vez se explica bien. En muchas soluciones del mercado, la videoidentificación es en realidad una sucesión de piezas: una foto del documento, después un selfie, después un vídeo corto de prueba de vida. A veces, incluso en momentos distintos. Cada corte es un agujero de seguridad en el proceso donde algo puede cambiar sin que quede registrado.
En Mobbeel lo planteamos de otra forma. Todo el proceso de identificación se realiza en un único acto de vídeo, continuo e ininterrumpido, desde que el usuario empieza hasta que termina.
Este planteamiento encaja de forma más precisa con lo que pide el SEPBLAC: un único dispositivo, imagen y sonido transmitidos en directo y sin alteración, y una grabación inmediata que da fe del proceso completo. Y aporta garantías que una secuencia de capturas sueltas no puede ofrecer:
- Continuidad: no hay hueco entre pasos para cambiar de persona, de documento o de dispositivo.
- Integridad de la evidencia: el revisor ve una sola grabación completa, con fecha y hora, sin tener que reconstruir el proceso a partir de fragmentos.
- Menos superficie de ataque: cada interrupción es una oportunidad para inyectar contenido manipulado. Sin interrupciones, esa posibilidad de realizar fraude, desaparece.
Un vídeo que no se interrumpe es un vídeo que no se puede recomponer.
No hace falta reinventar la rueda. Hace falta aplicar al juego lo que la banca ya tiene resuelto.
Qué tiene que cambiar un operador de juego en su proceso de KYC
Con el texto del Real Decreto en la mano y lo que vemos en los proyectos de identificación remota, estos son los cambios que recomendamos revisar:
- Diseñar los dos controles por separado y conectarlos. El resultado de la verificación de identidad debe quedar como referencia del titular de la cuenta, y la comprobación de cada medio de pago debe compararse contra ella, con trazabilidad de ambos resultados.
- Elegir y documentar la vía del artículo 21.1. Si es la letra d), hay que contrastar el flujo completo con la autorización general del SEPBLAC que corresponda, no solo la tecnología de captura.
- Revisar el catálogo documental. Solo documentos fehacientes y en vigor: DNI, TIE, pasaporte y documentos de identidad UE/EEE. El NIE sin soporte con fotografía no sirve.
- Reforzar la detección de fraude biométrico. Si la identidad verificada es la referencia contra la que se compara el medio de pago, la prueba de vida debe resistir tanto ataques de presentación (fotos, vídeos, máscaras) como ataques de inyección.
- Preparar el matching de nombres. Tildes, segundos apellidos, nombres compuestos o transliteraciones de documentos extranjeros generarán falsos rechazos si la comparación es literal. Conviene definir reglas y una vía de revisión manual.
- Mapear qué puede verificar cada medio de pago. Tarjetas, Bizum, IBAN vía Open Banking y wallets como Apple Pay o Google Pay no ofrecen la misma información sobre el titular. Depende del PSP, del emisor y de los servicios disponibles. Pregunta a tu PSP qué puede devolverte hoy. En Mobbeel nos centramos en la verificación de identidad: la comprobación del medio de pago la resuelve el PSP del operador, contrastándola con la identidad que hemos verificado.
- Planificar la migración de la base de jugadores. Los jugadores ya registrados pueden seguir depositando y jugando, pero no retirar premios hasta acreditar la coincidencia. Comunicarlo bien y pronto reduce fricción y reclamaciones.
- Asegurar las evidencias. Grabaciones, resultados de cada comprobación y la información obtenida por medios de identificación electrónica deben conservarse diez años desde el fin de la relación.
- Someter el procedimiento a revisión. El informe del experto externo debe pronunciarse sobre la adecuación y eficacia del procedimiento de identificación no presencial.
La tecnología de identidad y la de pagos tienen que hablar entre sí. Ese es el verdadero proyecto de adaptación.
Calendario de adaptación al RD 813/2026 para el juego online
Las cuentas abiertas desde el 28 de octubre de 2026 ya deben cumplir el artículo 21.2. Los jugadores registrados antes y los sistemas técnicos de los operadores tienen seis meses desde la entrada en vigor; en cambio, el plazo de 18 meses del DNI digital y de la conservación de la información de identificación electrónica se cuenta desde la publicación en el BOE.
Preguntas frecuentes sobre el RD 813/2026 y el KYC en el juego online
¿Qué exige el artículo 21.2 a los operadores de juego online?
Exige que, además de acreditar la identidad del jugador por alguna de las vías del artículo 21.1, el operador compruebe que el titular del medio de pago usado en depósitos y retiradas es el titular de la cuenta de juego.
¿Desde cuándo es obligatorio?
Desde el 28 de octubre de 2026 para las cuentas nuevas. Los jugadores registrados antes de esa fecha y los sistemas técnicos de los operadores tienen un periodo transitorio de seis meses, hasta el 28 de abril de 2027.
¿Qué pasa con un jugador que no acredita la titularidad de su medio de pago?
Durante el periodo transitorio puede seguir depositando y jugando, pero no puede retirar premios. Si al terminar el plazo no se ha verificado, el operador debe resolver el contrato, comunicarlo a la DGOJ y devolver los saldos, incluidos los premios pendientes.
¿Es obligatoria la videoidentificación en el juego online?
No. El operador puede usar cualquiera de las vías del artículo 21.1. Pero si elige la videoidentificación, debe cumplir los requisitos mínimos de las autorizaciones generales del SEPBLAC, los mismos que se aplican a una entidad financiera.
¿Por qué importa que la videoidentificación se haga en un único vídeo continuo?
Porque un único acto de vídeo, sin interrupciones, impide sustituir a la persona, el documento o el dispositivo entre pasos y deja una sola grabación íntegra como evidencia. Encaja de forma más precisa con los requisitos del SEPBLAC de un único dispositivo, transmisión en directo sin alteración y grabación inmediata. Es el enfoque que aplica Mobbeel en sus procesos de videoidentificación.
¿Sirve la verificación biométrica para comprobar la titularidad del medio de pago?
No por sí sola. La biometría y la verificación documental acreditan quién es el jugador. La titularidad del medio de pago requiere integraciones con bancos, PSP, esquemas de tarjetas o Open Banking. Son controles complementarios y deben conectarse.
¿Basta con que el primer ingreso venga de una cuenta a nombre del jugador?
En nuestra lectura, no para el juego. La vía c) del 21.1 solo mira el primer ingreso, mientras que el 21.2 se refiere a los medios de pago usados en depósitos y retiradas.
¿Afecta el RD 813/2026 a otros sectores?
Sí. El artículo 21.2 es exclusivo del juego, pero el Real Decreto también afecta a todos los sujetos obligados en la identificación no presencial, el DNI digital, la conservación de evidencias y los procedimientos de sanciones financieras.
¿Qué relación tiene con el AMLR europeo?
El Reglamento (UE) 2024/1624 (AMLR) será aplicable desde el 10 de julio de 2027 y armonizará la diligencia debida en la UE, incluidos los proveedores de juegos de azar. Son normas complementarias, con calendarios distintos.
Conclusión: identidad y pago, un mismo proceso
En realidad, el RD 813/2026 no crea un régimen de KYC nuevo para el juego, pero sí obliga a que la identidad del jugador y el origen y destino de su dinero estén totalmente alineados.
Los operadores que traten el artículo 21.2 como un simple parche en la pasarela de pagos se quedarán a medias. Los que lo aprovechen para revisar su proceso de identificación completo llegarán al 28 de abril de 2027 con un onboarding más sólido frente a la suplantación.
Para nosotros, nada nuevo en el horizonte, ya que la banca ya pasó por esto en el pasado.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.
Fuentes: BOE-A-2026-20915, Real Decreto 813/2026 · SEPBLAC, autorización de procedimientos de vídeo-identificación · Ministerio de Derechos Sociales, Consumo y Agenda 2030 · CEC-España
Escríbenos si quieres saber cómo puede ayudarte nuestra tecnología a adaptar tu proceso de identificación al nuevo reglamento. Habla con nuestro equipo →
Soy Ingeniero Informático y amante del Marketing, Comunicación e Internacionalización de empresas, tareas que desarrollo como CMO de Mobbeel. Soy muchas cosas, algunas buenas, muchas malas… perfectamente imperfecto.
PÁGINA DE INDUSTRIA
Conoce todo lo que podemos hacer para el juego online
El juego online tiene una importancia vital para los negocios del azar y es por eso que las soluciones de identificación biométrica son necesarias en este sector.
