Casino sans KYC c'est quoi

Définition de KYC dans les jeux d'argent

KYC est l'abréviation anglaise de know your customer, littéralement connaître son client. Dans le vocabulaire réglementaire européen, la formule désigne l'ensemble des vérifications qu'un opérateur régulé doit conduire avant d'entrer en relation d'affaires avec une personne physique. Nom, prénom, date et lieu de naissance, adresse de résidence, justificatif de domicile récent, pièce d'identité officielle en cours de validité, parfois preuve d'origine des fonds au-delà de certains seuils. Cette liste n'est pas une lubie administrative. Elle protège la banque contre le blanchiment de capitaux, elle protège le joueur contre l'usurpation de son identité par un tiers qui aurait ouvert un compte à son insu, elle protège le foyer contre l'apparition brutale de flux qu'il n'a pas générés lui-même.

Pour une lectrice ou un lecteur qui n'a jamais fréquenté ce vocabulaire, le point important est double. Premièrement, les vérifications KYC sont un dispositif de protection du consommateur autant qu'un dispositif d'ordre public. La banque française qui exige de voir votre passeport à l'ouverture d'un compte courant fait précisément ce travail, et personne ne songerait à s'en plaindre au titre de l'anonymat. Deuxièmement, l'expression sans KYC, quand elle apparaît en accroche sur un site de jeu, ne signifie pas absence totale de vérification pendant toute la relation. Elle signifie, dans la très grande majorité des cas rapportés à la rédaction, absence de vérification à l'entrée. Le moment où la vérification arrive vraiment, souvent au retrait, n'est ni mentionné ni chiffré dans l'accroche.

Différence entre sans KYC, sans compte et pay-n-play

Trois formules distinctes cohabitent dans les résultats de recherche français et sont couramment confondues, y compris par les rédactions commerciales qui les emploient comme des synonymes. Sans KYC désigne un site qui n'exige aucune pièce d'identité au moment de l'inscription et parfois pas non plus au premier retrait modeste. Sans compte désigne un modèle où l'inscription est réduite à un formulaire minimal, souvent une adresse électronique et un pseudonyme, sans profil persistant apparent côté joueur. Pay-n-play désigne un modèle spécifique aux pays nordiques dans lequel la banque du joueur transmet elle-même l'identité au moment du dépôt via un dispositif d'identification bancaire type BankID en Suède ou MitID au Danemark. Ces trois modèles ne sont pas équivalents et ne produisent pas les mêmes conséquences pour un foyer français.

Le foyer français est concerné en pratique par les deux premiers modèles seulement. Le pay-n-play véritable n'existe pas côté banque française, faute de dispositif d'identification bancaire équivalent à ceux des pays nordiques mis à disposition de particuliers pour ce type d'usage. Un site qui prétendrait offrir le pay-n-play à un joueur français emploie l'expression au sens marketing, pas au sens technique. Il s'appuiera alors, dans le meilleur des cas, sur un rapprochement du nom titulaire du compte bancaire avec le pseudonyme choisi côté site, ce qui reste très éloigné d'un authentique BankID. Cette précision de vocabulaire n'est pas académique. Elle évite au foyer de croire qu'il bénéficie d'une garantie technique qu'il n'a jamais eue.

Exemple chiffré

Un foyer qui verse cent cinquante euros sur un site présenté comme sans KYC pourra effectivement jouer sans avoir envoyé la moindre pièce d'identité. Le même foyer qui, quelques semaines plus tard, souhaite retirer huit cents euros de gains cumulés déclenchera dans neuf cas sur dix, selon les remontées internes de la rédaction, une demande de vérification approfondie. Photo recto-verso de la carte nationale d'identité ou du passeport, selfie tenant la pièce à côté du visage, justificatif de domicile de moins de trois mois au nom du titulaire du compte joueur, parfois un relevé bancaire couvrant les trois derniers mois pour attester de la cohérence des dépôts avec les revenus déclarés. L'écart entre les cent cinquante euros de départ et les huit cents demandés au retrait est précisément l'espace où la promesse initiale se dissout.

KYC différé vs KYC externalisé vs pay-n-play

Le sans-KYC intégral, au sens strict, est rare et concerne essentiellement des sites installés dans des juridictions très permissives, opérant en cryptomonnaies exclusivement, et acceptant de fermer un compte sans motif dès qu'un montant significatif y transite. Le KYC différé, majoritaire, repousse la vérification jusqu'à un événement précis, généralement un seuil cumulé de dépôts, un premier retrait dépassant un plafond interne, ou un signal automatique déclenché par l'outil antifraude du site. Le KYC externalisé confie la vérification à un prestataire spécialisé, souvent situé à Chypre, Malte ou en Israël, qui traite les documents dans ses propres locaux et transmet uniquement une décision oui ou non à l'opérateur de jeu. Le pay-n-play, comme rappelé plus haut, suppose une infrastructure bancaire nordique.

Pour un foyer français, la conséquence pratique est identique dans les trois premiers cas. Les données personnelles finissent par circuler entre plusieurs entités successives dont aucune n'est établie en France, dont aucune n'a de représentant local que le foyer pourrait joindre en cas de litige, et dont la conformité au règlement général sur la protection des données ne peut être vérifiée par la lectrice ou le lecteur d'un simple bandeau cookies. Le règlement européen s'applique en théorie dès qu'un site vise le public français, y compris depuis l'étranger. Sa mise en œuvre effective, en revanche, suppose une saisine et une capacité d'exécution que le foyer n'a pratiquement jamais devant lui. C'est cette asymétrie d'exécution qui rend la promesse sans KYC particulièrement risquée pour la vie privée.

Ce que le site sait déjà sans documents

Le fait qu'aucun document ne soit demandé à l'inscription ne signifie pas que le site ignore qui utilise ses pages. Une session de navigation ordinaire transmet spontanément une adresse IP, souvent traçable jusqu'au fournisseur d'accès et donc jusqu'au foyer contractant de l'abonnement, une empreinte de navigateur qui combine version, extensions, résolution d'écran, polices installées, fuseau horaire et paramètres audio, un identifiant de session persistant via cookie ou stockage local, ainsi que la géolocalisation approximative dérivée de l'adresse IP. Aucune pièce d'identité n'est jointe à ces éléments, mais leur combinaison forme un profil suffisamment stable pour reconnaître le même appareil d'une visite à l'autre, y compris quand le joueur change de pseudonyme.

Le paiement, quand il intervient, apporte le maillon manquant. Une carte bancaire française porte le nom complet du titulaire, ce nom est transmis à la passerelle de paiement de l'opérateur au moment de l'autorisation, et la passerelle en conserve trace dans ses journaux pour des motifs de conformité et de contentieux. Un virement porte la même mention, souvent enrichie du BIC et de l'IBAN d'origine. Un dépôt en cryptomonnaies remonte à la plateforme d'échange qui a permis l'achat des jetons, laquelle a elle-même appliqué un KYC complet à son propre client. À aucun moment le foyer n'est réellement anonyme du point de vue de l'opérateur, même quand aucun document n'a été formellement joint au dossier joueur. Cette information change souvent la perception qu'un lecteur se fait du sans-KYC.

Quand la vérification se déclenche vraiment

Le moment où la vérification cesse d'être virtuelle et devient contraignante suit une petite grammaire assez régulière d'un site à l'autre. Premier événement possible, un cumul de dépôts qui franchit un seuil interne, souvent situé entre huit cents et deux mille euros selon les opérateurs, seuil que le règlement ne mentionne pas nommément mais que le service conformité applique par consigne interne. Deuxième événement, une demande de retrait dépassant un plafond interne également, souvent situé entre cinq cents et mille cinq cents euros, indépendamment du solde du compte joueur. Troisième événement, un signal automatique déclenché par l'outil antifraude, par exemple un changement d'adresse IP jugé incohérent, un moyen de paiement inhabituel ou un motif de risque documenté par le prestataire de paiement lui-même.

À partir du déclenchement, le compte joueur passe en statut de vérification et les fonds y restent gelés jusqu'à décision. Le foyer reçoit un courriel énumérant les pièces attendues, souvent avec un délai de réponse mentionné en jours ouvrés selon un calendrier étranger. La réception des pièces ne garantit rien. Un dossier peut être refusé sans motif détaillé, en pratique parce que le prestataire de vérification a considéré la pièce non conforme, la photo trop floue, le justificatif de domicile trop ancien de quelques jours, l'incohérence entre l'IP de connexion et la ville figurant sur le justificatif jugée problématique. Une contestation est possible auprès du support du site, elle prend plusieurs semaines et n'ouvre aucun recours effectif auprès d'une autorité française si la décision reste défavorable. Cet enchaînement est vécu comme brutal parce qu'il intervient précisément au moment où le foyer espérait toucher un montant.

Exemple chiffré

Un cas remonté à la rédaction en début d'année illustre bien la mécanique. Un foyer avait déposé mille deux cents euros sur plusieurs semaines sur un site présenté comme sans KYC, avait constitué un solde de deux mille trois cents euros incluant un gain, et avait demandé un retrait de mille euros dans une première étape prudente. La vérification a été déclenchée immédiatement. La demande listait huit pièces distinctes, incluant un extrait de compte bancaire couvrant les trois derniers mois et un justificatif d'origine des fonds. Le dossier a été refusé une première fois, accepté partiellement à la deuxième soumission après six semaines d'échanges. Le retrait a fini par intervenir à hauteur de six cents euros, le reste étant retenu au titre d'un motif de conformité que le support n'a jamais détaillé. La perte nette pour le foyer, sur l'ensemble de la relation, atteint six cents euros sans aucun recours pratique possible en France.

Ce qui reste vraiment anonyme et ce qui ne l'est pas

Il est utile de séparer clairement, dans le vocabulaire, ce qui relève de l'anonymat vrai et ce qui relève du pseudonymat. Le pseudonymat consiste à porter un identifiant qui n'est pas immédiatement le nom civil, tout en laissant subsister ailleurs les éléments qui permettent de rétablir le lien. Une adresse IP est pseudonyme, elle est reliée au foyer par le fournisseur d'accès. Un pseudonyme sur un site est pseudonyme, il est relié au moyen de paiement associé au compte joueur. Une adresse bitcoin est pseudonyme, elle est reliée à la plateforme d'échange qui a servi à l'acquérir. Rien de tout cela ne constitue un anonymat au sens strict, c'est-à-dire une impossibilité pratique de rattachement pour un tiers qualifié à l'issue d'une enquête ordinaire.

L'anonymat vrai suppose une chaîne qui n'a jamais impliqué d'euros bancarisés, jamais impliqué de plateforme d'échange régulée européenne, jamais impliqué d'adresse IP identifiée. Cette chaîne théorique est extrêmement difficile à construire en pratique et sort du cadre légal courant. Aucun foyer ordinaire ne l'atteint réellement dans le cadre d'une pratique récréative du jeu en ligne. La conséquence est simple. L'anonymat que promet un site sans KYC ne concerne, quand il existe, que l'accroche visible et le fichier client interne. Il ne concerne jamais l'ensemble des tiers qui interviennent dans la chaîne des paiements, ni les registres publics qui conservent les traces des versements et des retraits. Ce point est important pour le foyer qui prend sa décision.

Ce que dit la directive européenne 5AMLD sur le seuil

La cinquième directive européenne de lutte contre le blanchiment, dite 5AMLD, transposée en droit français par l'ordonnance numéro 2020-115 du 12 février 2020, fixe pour les casinos physiques un seuil de vigilance identifié à deux mille euros par session pour les cercles autorisés et par opération pour les autres organisateurs de jeux, seuil codifié à l'article L561-13 du code monétaire et financier. Ce seuil est applicable aux opérateurs de jeu physiques établis en France. Il ne fait pas magiquement disparaître les obligations en dessous, il déclenche seulement un régime renforcé au-dessus. Un versement de mille cinq cents euros vers un site de jeu, effectué depuis un compte français, reste soumis à la vigilance de la banque qui exécute le paiement, indépendamment du fait qu'il soit inférieur au seuil casino.

Pour un site de jeu offshore installé hors Union européenne, le seuil européen n'a d'application directe que dans la mesure où le site tombe sous une législation nationale équivalente ou coopère avec les autorités du pays du joueur. Beaucoup d'opérateurs sous licence lointaine adoptent formellement des seuils équivalents dans leurs conditions générales pour paraître conformes à un standard reconnu, mais leur application effective dépend uniquement de leur bon vouloir. Un foyer français qui verse deux mille cinq cents euros vers un tel site relève, côté banque française, du seuil européen tel que la banque l'a intégré dans ses propres procédures de contrôle interne. Ce point mérite d'être compris parce qu'il montre pourquoi la banque du foyer sera, en pratique, plus attentive que l'opérateur lui-même sur ce type de flux.

Résumé et signaux à retenir

Un casino sans KYC est un site qui affiche ne pas demander de document à l'inscription. Il n'est presque jamais un site qui renonce à demander des documents au retrait significatif. Le foyer qui envisage un premier versement gagnera à lire attentivement le paragraphe des conditions générales consacré au retrait, aux plafonds internes et à la clause de vérification renforcée, plutôt que la seule accroche marketing en gros titre. La distance entre les deux est le premier signal utile pour évaluer la loyauté commerciale du site. Un règlement qui prévoit expressément une vérification différée dès un seuil clair, exprimé en euros et en jours, reste plus loyal qu'un règlement flou renvoyant à la discrétion du service conformité.

Un second signal concerne les mentions légales. Un opérateur qui indique clairement sa raison sociale, son siège, son immatriculation, la juridiction compétente en cas de litige et le nom du prestataire chargé de la vérification d'identité fournit un socle vérifiable, même quand ce socle reste éloigné du droit français. Un opérateur qui masque une partie de ces informations sous couvert de simplicité de l'interface prive volontairement le foyer d'une capacité de vérification élémentaire. La rédaction encourage à cet égard un réflexe simple. Lire la page mentions légales avant tout premier versement, y compris et surtout quand cette page est difficile à trouver depuis la page d'accueil. Ce petit détour prend trois minutes et évite parfois plusieurs heures de démarches ultérieures en cas de désaccord.

À lire ensuite

• Légalité en France et rôle de l'ANJ
• KYC, LCB-FT et rôle de Tracfin
• Risques concrets pour le joueur offshore
• Paiements anonymes et cryptomonnaies
• Fiscalité des gains offshore et crypto

Questions fréquentes