MGA-licensen: så fungerar Malta Gaming Authority i praktiken

Vad MGA är – från lotterimonopol 1962 till Gaming Act 2018

Det första du behöver greppa: MGA är inte en EU-myndighet. Det är en självständig maltesisk tillsynsmyndighet vars beslut bara är bindande inom Maltas jurisdiktion. Men eftersom Malta är medlem i EU och bolagsrätten är förenlig med EU-fördraget kan en MGA-licens marknadsföras inom hela unionen – med vissa lokala undantag som Sverige, Tyskland och Spanien.

Den maltesiska speltillsynen växte fram i tre etapper. Den första statliga lotteriverksamheten lanserades 1962. År 2001 etablerades Lotteries and Gaming Authority (LGA), som blev Malta Gaming Authority år 2015 efter en omorganisation. Den nuvarande lagstiftningen – Gaming Act (Cap. 583) – trädde i kraft 1 augusti 2018 och ersatte ett halvdussin tidigare regelverk. Innan dess hade Malta fem separata licenstyper baserade på spelens tekniska form. Reformen 2018 reducerade detta till två fundamentala kategorier (B2C och B2B) med fyra licensklasser, vilket gjorde regelverket mer förutsägbart för operatörer och tydligare för spelare.

Storleken är värd att nämna eftersom den styr både MGA:s resurser och deras incitament. Enligt MGA Annual Report 2023 administrerar myndigheten över 300 aktiva licenstagare som tillsammans står för en betydande del av Maltas BNP. Det är både MGA:s styrka och svaghet: stora budgetar för kontroll, men också ett betydande beroende av licensavgifter som inkomstkälla. Du ska vara medveten om det när du läser sanktionsbeslut – MGA är samtidigt regulator och näringspolitisk aktör.

De fyra licensklasserna – Class 1, 2, 3 och 4

Gaming Act 2018 delar in alla MGA-licenser i fyra klasser. Du som spelare möter främst Class 1 (casino), Class 2 (sportbetting) och Class 3 (peer-to-peer), medan Class 4 är osynlig för dig men kritisk – det är där spelleverantörerna sitter. Här är hur de förhåller sig till varandra, vad minimikraven på aktiekapital är, och vilka spel som faller under vilken klass:

En operatör som driver både slots och sportbook behöver alltså både Class 1 och Class 2 – och deras totala kapitalkrav blir därmed €200 000 i issued share capital plus motsvarande beloppsmässig täckning för spelarmedel. Class 4 är osynlig för dig som spelare, men det är dessa B2B-leverantörer (Evolution, Pragmatic Play, NetEnt med flera) som producerar de spel du faktiskt spelar på. Att de också står under MGA-tillsyn är ett centralt skäl till att MGA-licensen ger en helhetslösning för operatören.

Kapitalkrav och tekniska revisioner – så kontrolleras operatören

Kapitalkravet är bara en av tre granskningsnivåer en operatör måste klara för att få och behålla MGA-licensen. De andra två är den tekniska systemrevisionen (System Audit) och den löpande compliance-granskningen. Du bör känna till alla tre eftersom de tillsammans avgör om operatören överhuvudtaget kan betala ut dina vinster.

Den första nivån är kapitalet. Som tabellen ovan visar ligger minsta aktiekapital på €40 000 eller €100 000 beroende på klass. Utöver detta måste operatören separera spelarmedel från driftskapital på ett särskilt klientmedelskonto. Detta är en av de viktigaste skillnaderna mot en oreglerad operatör: om operatören skulle gå i konkurs ska spelarpengarna teoretiskt vara skyddade från fordringsägarna. I praktiken bygger detta skydd dock på att operatören faktiskt följt reglerna kontinuerligt – om medel har sammanblandats är skyddet i värsta fall värdelöst.

Vid en betydande operatör är detta en bråkdel av reservkravet jämfört med UKGC, som tillämpar en proportionell beräkning baserad på spelarsaldon.

Den andra nivån är System Audit. Innan en operatör får sin slutgiltiga licens måste den genomgå en oberoende teknisk revision av sin spelplattform, RNG-implementation och rapportsystem. Audit-rapporten lämnas till MGA. Operatörer som redan har en provisorisk licens har sedan 90 dagar på sig att slutföra fullständig audit – om de inte gör det dras licensen in. Den tredje nivån, compliance-granskningen, är löpande. MGA:s avdelning Compliance & Enforcement granskar verksamheten på riskbasis och publicerar årligen en översikt över ärenden, sanktioner och tillbakadragna licenser. Enligt MGA:s offentliga sanktionsregister vidtogs hundratals åtgärder mot licensierade operatörer under den senaste rapporteringsperioden – från varningar till definitiv återkallelse av licensen.

Player Protection Framework i praktiken

Player Protection Framework är samlingsnamnet på de skyddsåtgärder MGA kräver att operatören erbjuder dig. Det är inte en valfri policy – det är paragrafer i Gaming Act och tillhörande Player Protection Directive, och brist på efterlevnad leder till sanktioner. Du har minst sex konkreta rättigheter som spelare på en MGA-licensierad sajt.

Det första är möjligheten att sätta egna gränser. Operatören måste erbjuda insättningsgräns, förlustgräns, sessionsgräns och tidsgräns – och de måste vara tillgängliga från första registreringen, inte gömda tre klick ner. Det andra är reality checks, som visar dig hur länge du spelat och vad nettoutfallet är. Det tredje är cooling-off-period: en kort, automatisk paus du själv kan aktivera. Det fjärde är självavstängning – minst sju dagar upp till permanent. Det femte är åldersverifiering och KYC innan första uttag. Det sjätte är information om ansvarsfullt spelande på framträdande plats, ofta via länkar till externa hjälporganisationer som ExpertGam eller GamCare.

Här finns dock en viktig lucka som vi tycker du ska känna till: MGA har inget motsvarande Spelpaus.se. Självavstängningen är operatörsspecifik. Stänger du av dig på ett MGA-casino kan du fortfarande registrera dig på ett annat MGA-casino utan att flagga uppstår – så länge du inte använder samma e-post eller telefonnummer. I praktiken kan en spelare alltså spela vidare på 20–50 andra MGA-licensierade sajter trots självavstängning på en. Det är en av de viktigaste skälen till att vår guide om självavstängningens effektivitet rekommenderar nationella system där sådana finns.

Tvistlösning och ADR-processen steg-för-steg

Tvistlösningen är ett av MGA:s starkaste skydd – och samtidigt det skydd där flest spelare missar sin egen process. Reglerna är tydliga: du måste först eskalera internt hos operatören, sedan kan du gå vidare till ett oberoende ADR-organ, och i sista hand till MGA Player Support Unit. Steget mellan dem är där de flesta tvister fastnar.

Kortversionen: efter att du skickat in din formella klagomålshandling till operatören har de 21 dagar på sig att svara med en slutgiltig position. Får du inget svar inom 21 dagar – eller är svaret oacceptabelt – har du då rätt att eskalera ärendet till det ADR-organ som operatören listat i sina villkor. ADR-beslutet är bindande för operatören om du accepterar det. Du behåller dessutom rätten att gå till civilrättslig domstol om du föredrar det.

Vi ser regelmässigt två misstag i den här processen. Det första är att spelaren chattar med operatörens support, inte får hjälp, och sedan ger upp – utan att någonsin lämna in en formell klagomålshandling. Den 21-dagarsklockan börjar inte ticka förrän du skickat in en formell skriftlig klagomålshandling enligt operatörens publicerade rutin. Det andra är att spelaren går direkt till MGA istället för till operatörens utsedda ADR-organ. MGA är sista anhalten, inte första. Vår erfarenhet är att ADR-organen löser merparten av tvister inom 60 dagar, medan ärenden som hamnar hos MGA direkt utan ADR-steg ofta avvisas och måste startas om.

KYC och AML – penningtvättskraven under MGA

KYC (Know Your Customer) och AML (Anti-Money Laundering) är inte byråkratisk friktion – de är skydd som syftar till att hindra penningtvätt, finansiering av terrorism och att en oidentifierad person rånar ditt konto. MGA tillämpar EU:s 5:e penningtvättsdirektiv och Maltas FIAU-regler, vilket gör reglerna minst lika strikta som UKGC:s motsvarande krav.

Innan ditt första uttag kräver MGA-licensierade operatörer en standard-KYC: bekräftelse av identitet (pass eller ID-kort), bostadsadress (utdrag från bank eller folkbokföring), och betalmetodens ägarskap (kort/banköverföring registrerad på dig). Detta sker oftast vid uttag, inte vid insättning, vilket är en känd kritik mot ramverket – pengar in är friktionsfritt, pengar ut kräver dokumentation. För större belopp tillkommer förstärkt due diligence (EDD): Source of Funds-frågor, eventuellt anställningsbevis och kontoutdrag som styrker varifrån spelpengarna kommer.

Tröskelvärdena är värda att känna till. Vid en enskild transaktion över €2 000 eller kumulativa transaktioner över €15 000 inom en rullande 24-timmarsperiod måste operatören utföra ytterligare KYC-kontroll. Vid €35 000 totalt aktiveras EDD enligt FIAU:s riktlinjer. Operatören har dessutom skyldighet att rapportera misstänkta transaktioner till FIAU genom så kallade STR (Suspicious Transaction Reports). En spelare som plötsligt sätter in stora belopp via flera betalmetoder utan trovärdig förklaring kommer därför nästan alltid att bli ombedd att förklara medlens ursprung.

MGA jämfört med UKGC, SGA, Spillemyndigheden och GGL

För att se vad MGA är – och vad den inte är – måste vi jämföra den med de andra stora europeiska licenserna. Sverige (SGA/Spelinspektionen), Storbritannien (UKGC), Danmark (Spillemyndigheden) och Tyskland (GGL) representerar fyra olika tillsynsfilosofier. Här är en sammanställning av de mest relevanta skillnaderna för dig som spelare:

Notera den fjärde raden. Bara två av fem regulatorer i tabellen erbjuder en lagstadgad nationell självavstängning som täcker alla licenstagare i marknaden samtidigt – Storbritannien (GAMSTOP), Sverige (Spelpaus) och Danmark (ROFUS) plus Tyskland (OASIS). MGA gör det inte. För en spelare som är osäker på sitt spelande är detta en konkret skillnad värd att väga in – och samtidigt skälet till att vi alltid rekommenderar att lokalt licensierade casinon väljs i första hand när du bor i en marknad som har sin egen reglering.

Verifiera ett casino på authorisations.mga.org.mt

Att verifiera att ett casino verkligen har den MGA-licens de hänvisar till tar mindre än två minuter. Vi använder samma checklista internt varje gång vi recenserar ett MGA-casino, och rekommenderar att du gör samma sak innan du sätter in en krona. Det här är den officiella metoden via myndighetens publika register.

1. Scrolla till casinots footer och hitta MGA-licensnumret (typiskt format: MGA/B2C/123/2007 eller MGA/CRP/123/2018).
2. Öppna authorisations.mga.org.mt i webbläsaren – detta är MGA:s officiella publika register.
3. Sök på licensnumret eller företagsnamnet. Företagsnamnet ska matcha det namn som står i casinots Terms & Conditions, inte nödvändigtvis varumärket.
4. Kontrollera att statusen är "Authorised" eller "Active". Är den "Suspended", "Expired" eller "Cancelled" ska du inte sätta in pengar oavsett vad casinots hemsida säger.
5. Bekräfta att casinots domän (eller en närstående domän) finns listad bland "Authorised URLs" i registret. Detta är den oftast missade kontrollen – många bedrägerisajter använder ett legitimt licensnummer men sitter på en domän som aldrig auktoriserats.
6. Kontrollera att licensklassen matchar det som casinot erbjuder. Ett casino som erbjuder både slots och sportbetting måste ha både Class 1 och Class 2, inte bara en av dem.
7. Notera datum för "License Issued" och "License Expiry". MGA-licenser har typiskt en löptid på 5 eller 10 år. En licens som närmar sig utgång ska normalt sett ha en pågående förnyelseprocess – om det inte syns något om förnyelse i registret är det värt att kontakta supporten och fråga.

Om något steg inte stämmer – domänen saknas i registret, statusen är inte "Authorised", eller licensklassen täcker inte det som erbjuds – ska du avstå från att sätta in pengar och kontakta MGA via support.mga@mga.org.mt. Vi rapporterar löpande sådana avvikelser till MGA Player Support Unit och har sett att de tas på allvar – flera operatörer har över åren förlorat sina licenser efter sådana rapporter.

Om operatören vägrar betala – din stegplan

Det värsta scenariot för en spelare är när vinsten är låst, operatören vägrar svara, och du står med tusentals kronor inlåsta. Det händer på alla licenstyper – även MGA – men på en MGA-licensierad operatör har du en strukturerad stegplan att följa. Här är den, med tidsfrister så att du vet vad du har rätt att kräva när:

1. Dokumentera allt direkt: skärmdumpar på saldot före och efter, transaktions-ID, datum och tid för uttagsbegäran, e-postkonversation med supporten. Spara även operatörens villkor som de var formulerade vid tillfället – villkor kan ändras retroaktivt.
2. Skicka in formellt skriftligt klagomål till operatörens officiella klagomålsadress (ofta complaints@operatorname.com). Använd ärendenamnet "Formal Complaint under MGA Player Protection Directive" och hänvisa till ditt kontonummer.
3. Vänta 21 dagar på operatörens "final response". Får du inget svar inom 21 kalenderdagar betraktas det som avslag och du har rätt att eskalera direkt till nästa steg.
4. Eskalera till det ADR-organ operatören listar i sina villkor. eCOGRA och IBAS är de vanligaste. Inkludera all tidigare skriftväxling, dokumentation och operatörens villkor. ADR-beslutet är bindande för operatören om du accepterar det.
5. Är ADR-beslutet inte verkställt inom 30 dagar, eller är ärendet utanför ADR-mandatet, lämnar du in en formell anmälan till MGA Player Support Unit via support.mga@mga.org.mt. Inkludera ADR-beslutet och alla tidigare handlingar.
6. MGA utreder ärendet och kan vidta åtgärder mot operatören – från föreläggande och vite till indragning av licensen. För dig som spelare innebär ett MGA-beslut antingen utbetalning enligt beslut eller skriftlig motivering varför ärendet avvisas.
7. Sista anhalten är civilrättslig domstol i Malta. Det är ovanligt men möjligt om beloppet är tillräckligt stort. Vi tycker att de flesta tvister löses i ADR-steget – det är därför vi alltid rekommenderar att välja operatörer som tydligt listar ett känt ADR-organ i sina villkor från början.

En sak att vara medveten om: tidsfristerna ovan är minimum, inte maximum. ADR-organ som eCOGRA hanterar tusentals ärenden per år och utredningar tar typiskt 30–60 dagar. MGA Player Support Unit ligger ofta på 60–90 dagar för komplexa fall. Räkna alltså med 3–6 månader från första klagomål till slutligt utfall i värsta fall. Det är inte snabbt – men det är fundamentalt mycket bättre skydd än vad du har på en oreglerad operatör utan ADR-koppling.

Vanliga frågor om MGA-licensen