Mikä on KYC ja miksi se on olemassa? Opas asiakkaan tuntemiseen ja tunnistautumiseen

Moni törmää lyhenteeseen KYC luodessaan tiliä kryptopörssiin, verkkopankkiin tai muuhun rahoituspalveluun. Palvelu pyytää henkilötietoja, kuvaa henkilöllisyystodistuksesta ja joskus jopa selfie-videon – ja käyttäjä jää usein miettimään, miksi näin tehdään ja mihin tiedot menevät. Tässä artikkelissa selitetään neutraalisti, mitä KYC tarkoittaa, miksi se on lakisääteinen, miten prosessi etenee ja mitä oikeuksia käyttäjällä on omiin tietoihinsa. Tarkoitus on antaa tietoa, ei ohjeita sääntelyn kiertämiseen – KYC on osa laillista ja valvottua rahoitusjärjestelmää. Jos kryptovaluuttojen perusteet ovat vielä epäselviä, voit lukea erikseen siitä, mikä on Bitcoin.

Mitä KYC tarkoittaa

KYC on lyhenne englannin sanoista ”Know Your Customer”, eli suomeksi asiakkaan tunteminen. Se tarkoittaa prosessia, jossa palveluntarjoaja varmistaa asiakkaan henkilöllisyyden ja selvittää tämän toiminnan taustoja siinä laajuudessa kuin asiakassuhde edellyttää. Kyse ei ole vain nimen tarkistamisesta, vaan sen ymmärtämisestä, kuka asiakas on ja millaista hänen toimintansa on.

KYC liittyy läheisesti toiseen lyhenteeseen, AML (Anti-Money Laundering), joka tarkoittaa rahanpesun estämistä. KYC on käytännön työkalu, jolla AML-tavoitteet toteutetaan: kun palvelu tuntee asiakkaansa, se pystyy paremmin havaitsemaan epätavallista tai epäilyttävää toimintaa. Näin nämä kaksi asiaa kulkevat aina käsi kädessä.

Miksi KYC on olemassa

Yleisin väärinkäsitys on, että KYC olisi palveluiden oma keksintö tai tapa hankaloittaa asiakkaan elämää. Todellisuudessa kyse on lakisääteisestä velvoitteesta. Suomessa asiakkaan tunteminen perustuu lakiin rahanpesun ja terrorismin rahoittamisen estämisestä (444/2017), jota kutsutaan arkikielessä rahanpesulaiksi.

Lain tarkoitus on estää rikollista rahaa soluttautumasta lailliseen talouteen. Kun rahoituspalvelut tuntevat asiakkaansa ja seuraavat liiketoimia, rikollisen on vaikeampi liikuttaa laittomasti hankittuja varoja huomaamatta. Tämä suojaa koko rahoitusjärjestelmän luotettavuutta – ja välillisesti myös tavallista käyttäjää, jonka varat ovat turvatummassa ja valvotummassa ympäristössä.

KYC:llä on lisäksi kuluttajansuojaan liittyvä puoli. Tunnistautuminen vaikeuttaa identiteettivarkauksia ja tilien väärinkäyttöä, koska palveluun on vaikeampi luoda tili toisen henkilön nimissä. Se auttaa myös estämään alaikäisten pääsyä palveluihin, joihin heillä ei ole oikeutta.

Miten KYC-prosessi etenee

Vaikka yksityiskohdat vaihtelevat palvelusta toiseen, KYC etenee tyypillisesti kolmessa vaiheessa. Prosessi on monissa palveluissa pitkälle automatisoitu ja vie usein vain muutamasta minuutista muutamaan tuntiin.

Ensimmäinen vaihe on tunnistaminen. Asiakas todistaa henkilöllisyytensä luotettavalla tavalla. Kotimaisissa palveluissa tämä hoituu usein verkkopankkitunnuksilla tai mobiilivarmenteella, kansainvälisissä palveluissa yleensä lataamalla kuva passista tai henkilökortista ja joskus osoitetodistus.

Toinen vaihe on varsinainen asiakkaan tunteminen (Customer Due Diligence, CDD). Tässä selvitetään asiakassuhteen luonne ja tarvittaessa varojen alkuperä, riskiin suhteutettuna. Kolmas vaihe on jatkuva seuranta: asiakassuhdetta seurataan, ja poikkeavat liiketoimet selvitetään. Jos toimi vaikuttaa epäilyttävältä, palvelulla on velvollisuus ilmoittaa siitä viranomaiselle.

Mitä tapahtuu, jos toiminta on epäilyttävää

Rahanpesulaki asettaa ilmoitusvelvollisille tahoille selonotto- ja ilmoitusvelvollisuuden. Jos asiakkaan liiketoimi poikkeaa tavanomaisesta tai vaikuttaa epäilyttävältä, palvelun on selvitettävä asiaa ja tarvittaessa tehtävä ilmoitus. Suomessa nämä ilmoitukset menevät keskusrikospoliisin yhteydessä toimivalle rahanpesun selvittelykeskukselle.

Ilmoitusten määrä on merkittävä: Suomessa tehtiin vuonna 2025 yli 36 000 ilmoitusta epäilyttävistä liiketoimista. Tämä antaa käsityksen siitä, kuinka laajasta ja jatkuvasta valvonnasta on kyse. Suuremmissa tai riskialttiimmissa tapauksissa palvelu voi soveltaa tehostettua tuntemista (enhanced due diligence), jolloin asiakkaalta voidaan pyytää esimerkiksi selvitys varojen alkuperästä, kuten palkkakuitti tai muu asiakirja.

Ketä KYC-velvoite koskee

Rahanpesulaki ei koske kaikkia yrityksiä, vaan laissa erikseen nimettyjä ilmoitusvelvollisia. Näihin kuuluvat muun muassa pankit ja muut finanssialan toimijat, kryptovaluuttapalvelut, tilitoimistot ja kirjanpitäjät, kiinteistönvälittäjät sekä oikeudellisten palvelujen tarjoajat. Yhteistä näille on kohonnut rahanpesun riski.

Valvonta on jaettu toimialoittain eri viranomaisille. Finanssivalvonta valvoo muun muassa pankkeja ja kryptopalveluita, kun taas muita toimialoja valvovat esimerkiksi Lupa- ja valvontavirasto, Patentti- ja rekisterihallitus sekä Suomen Asianajajaliitto. Esimerkiksi kotimainen kryptopörssi on Finanssivalvonnan valvonnan alainen ja lain nojalla velvoitettu tuntemaan asiakkaansa. Käytännössä tämä näkyy siinä, että Bitcoinin ostaminen säännellystä palvelusta edellyttää aina tunnistautumista – aihetta käsitellään tarkemmin oppaassa siitä, miten ostaa Bitcoinia turvallisesti.

KYC pörsseissä ja pelipalveluissa

KYC-käytännöt ovat samankaltaisia eri toimialoilla, mutta niissä on myös eroja. Kryptovaluuttapörsseissä tunnistautuminen tehdään yleensä heti tilin luonnin yhteydessä, ennen kuin varsinainen kaupankäynti on mahdollista. Tämä on lakisääteinen edellytys, ei valinnainen lisäominaisuus.

Rahapelipalveluissa käytännöt vaihtelevat sen mukaan, minkä maan lainsäädännön ja lisenssin alla palvelu toimii. Osa palveluista tekee tunnistautumisen vasta kotiutuksen yhteydessä. On kuitenkin syytä huomata, että myös ”ilman tunnistautumista” markkinoivien palveluiden ehdoissa on lähes poikkeuksetta pykälä, joka sallii henkilöllisyyden tarkistuksen esimerkiksi väärinkäytös- tai petosepäilyssä tai suuremmissa kotiutuksissa. ”Ilman tunnistautumista” ei siis tarkoita, ettei tunnistusta voitaisi missään tilanteessa vaatia. Rahapelaamiseen liittyy Suomessa oma sääntelynsä ja verotuksensa, eikä tämä artikkeli kannusta pelaamiseen.

EU-sääntely ja tulevaisuus

Rahanpesun estäminen ei ole vain kansallinen asia, vaan sitä ohjataan yhä enemmän EU-tasolla. Kryptovaluuttojen osalta EU:n MiCA-asetus toi yhtenäiset toimilupavaatimukset, ja rahanpesun torjunnassa siirrytään kohti suoraan sovellettavaa EU-sääntelyä.

Merkittävä uudistus on EU:n uusi rahanpesuntorjuntaviranomainen AMLA, joka antaa tarkentavia ohjeita ja teknisiä standardeja vuosina 2026–2027. Samalla Suomen rahanpesulakia uudistetaan niin, että se kulkee jatkossa rinnakkain suoraan sovellettavan EU-asetuksen kanssa; kansallinen laki keskittyy tällöin etenkin riskiarvioihin, valvontaan ja seuraamuksiin. Käyttäjän kannalta KYC-velvoitteet pysyvät sisällöltään pitkälti samoina, mutta valvonnan odotetaan tiukentuvan.

Käyttäjän oikeudet ja tietosuoja

Koska KYC edellyttää henkilötietojen luovuttamista, on luonnollista miettiä, miten tiedot suojataan. Henkilötietojen käsittelyä ohjaa EU:n yleinen tietosuoja-asetus (GDPR), joka asettaa palveluille velvollisuuksia tietojen turvallisesta käsittelystä ja säilyttämisestä. Palvelu saa kerätä vain tarpeellisia tietoja ja käyttää niitä lain edellyttämään tarkoitukseen.

Käyttäjällä on lähtökohtaisesti oikeus tietää, mitä tietoja hänestä on kerätty ja mihin niitä käytetään. On kuitenkin hyvä ymmärtää, että rahanpesulaki velvoittaa palveluita säilyttämään tunnistetietoja tietyn ajan, joten tietoja ei voi aina poistaa heti asiakassuhteen päätyttyä. Luotettava, säännelty palvelu kertoo tietosuojaselosteessaan avoimesti, miten tietoja käsitellään.

Yleinen turvaohje pätee tässäkin: tunnistautumistietoja ja henkilöllisyystodistuksen kuvia kannattaa toimittaa vain palveluihin, joiden luotettavuudesta on varmistunut. Huijaussivustot voivat kalastella juuri näitä tietoja, joten palvelun tausta ja sääntelyasema on syytä tarkistaa ennen tietojen luovuttamista.

Miksi KYC:n kiertäminen on riski

Koska KYC on lakisääteinen, sen kiertämiseen tähtäävät palvelut toimivat usein sääntelyn ulkopuolella tai sen harmaalla alueella. Tällaisiin palveluihin liittyy tavallista suurempi riski: käyttäjän oikeusturva on heikompi, varojen palautuminen ongelmatilanteissa on epävarmempaa, ja palvelu voi itsessään olla huijaus.

Sääntelyn noudattaminen ei siis ole pelkkä muodollisuus, vaan se on osa sitä turvaverkkoa, joka suojaa käyttäjän varoja ja tietoja. Sääntelemättömän tai tunnistautumista välttelevän palvelun käyttö voi altistaa sekä taloudellisille menetyksille että tietojen väärinkäytölle.

Usein kysytyt kysymykset

Mitä KYC tarkoittaa?

KYC on lyhenne sanoista ”Know Your Customer” eli asiakkaan tunteminen. Se tarkoittaa prosessia, jossa palvelu varmistaa asiakkaan henkilöllisyyden ja selvittää tämän toiminnan taustoja rahanpesun estämiseksi.

Miksi palvelut vaativat henkilöllisyystodistuksen?

Kyseessä on lakisääteinen velvoite, ei palvelun oma keksintö. Suomessa se perustuu rahanpesulakiin (444/2017), jonka tarkoitus on estää rahanpesua ja terrorismin rahoittamista sekä suojata rahoitusjärjestelmän luotettavuutta.

Kuka valvoo KYC-velvoitteita Suomessa?

Valvonta on jaettu toimialoittain. Finanssivalvonta valvoo muun muassa pankkeja ja kryptopalveluita, ja muita toimialoja valvovat esimerkiksi Lupa- ja valvontavirasto, Patentti- ja rekisterihallitus sekä Suomen Asianajajaliitto.

Mitä tapahtuu, jos liiketoimi vaikuttaa epäilyttävältä?

Palvelulla on velvollisuus selvittää asiaa ja tarvittaessa tehdä ilmoitus keskusrikospoliisin rahanpesun selvittelykeskukselle. Suomessa tehdään vuosittain kymmeniä tuhansia tällaisia ilmoituksia.

Voiko kryptopörssiä käyttää ilman tunnistautumista?

Säännellyssä ja Finanssivalvonnan valvomassa palvelussa ei voi – tunnistautuminen on lakisääteinen edellytys. Palvelut, jotka lupaavat kaupankäyntiä täysin ilman tunnistautumista, toimivat usein sääntelyn ulkopuolella, mihin liittyy tavallista suurempi riski.

Miten henkilötietoni suojataan KYC-prosessissa?

Henkilötietojen käsittelyä ohjaa EU:n tietosuoja-asetus (GDPR). Palvelu saa kerätä vain tarpeellisia tietoja ja käyttää niitä lain edellyttämään tarkoitukseen. Rahanpesulaki kuitenkin velvoittaa säilyttämään tunnistetietoja tietyn ajan.

Miten KYC-sääntely muuttuu lähivuosina?

EU:n uusi rahanpesuntorjuntaviranomainen AMLA antaa tarkentavia standardeja vuosina 2026–2027, ja Suomen rahanpesulakia uudistetaan kulkemaan rinnakkain EU-asetuksen kanssa. KYC-velvoitteet pysyvät sisällöltään pitkälti samoina, mutta valvonta todennäköisesti tiukkenee.