Den 29 april 2026 publicerade Spelinspektionen en ny föreskrift, SIFS 2026:3, som innebär att Spelpaus API-mandatet träder i kraft den 1 augusti 2026 — och med det ändras grunden för hur alla svensklicensierade operatörer måste kontrollera sina spelare mot det nationella självavstängningsregistret. Kort sammanfattat: daglig batchkontroll räcker inte längre. Från och med 1 augusti 2026 krävs ett realtidsanrop mot Spelinspektionens API vid tre specifika tillfällen — registrering, inloggning och direkt marknadsföring — och varje kontroll ska gå mot det API som är avsett för just det ändamålet.

Den här guiden reder ut vad SIFS 2026:3 faktiskt kräver, varför den gamla batchmodellen var otillräcklig och vad övergången till realtidskontroll betyder i praktiken — för operatören, för tredjepartsleverantörer och för dig som spelare. Den redaktionella linjen är strikt informativ: inga affiliatelänkar och inga sponsrade omnämnanden förekommer.

Innehållsförteckning

Vad är SIFS 2026:3 och Spelpaus API-mandatet?

SIFS 2026:3 är den förkortade beteckningen för Spelinspektionens föreskrifter om det nationella självavstängningsregistret. Föreskriften beslutades den 23 april 2026 och publicerades den 29 april 2026; den träder i kraft den 1 augusti 2026. Lagstödet är 12 kap. 1 § Spellagen (2018:1138), som förpliktar licenshavare som registrerar spelare att kontrollera dem mot det nationella självavstängningsregistret Spelpaus.

Föreskriften ställer upp två kärnkrav. Det första är att licenshavaren ska använda de unika anslutningsuppgifter — Actor ID och API-nyckel — som tilldelats av Spelinspektionen. Det andra är att kontrollen ska utföras mot det API som motsvarar syftet med kontrollen. Det betyder att ett inloggningsanrop inte kan återanvändas för ett marknadsföringsändamål, och vice versa. En kontroll betraktas som genomförd när den har visat om personen är avstängd från spel eller inte — inget mer, inget mindre.

Teknisk kontakt hos Spelinspektionen nås via spelpaus@spelinspektionen.se. En testmiljö tillhandahålls för operatörer som behöver validera sin integration före ikraftträdandet.

Skillnaden mot tidigare krav

Innan SIFS 2026:3 var en daglig batchkontroll — där operatören synkroniserade sin kundlista mot Spelpaus-registret en gång per dygn — ett vanligt förekommande tillvägagångssätt. Föreskriften gör detta otillräckligt. Från och med 1 augusti 2026 krävs ett realtidsanrop vid varje kontrolltillfälle, inte en periodvis synkronisering. Det är en principiell förändring: systemet går från en asynkron modell till en synkron, händelsedriven kontroll där svar krävs omedelbart.

Vem omfattas av föreskriften?

Föreskriften gäller samtliga licenshavare som enligt 12 kap. 1 § Spellagen är skyldiga att registrera sina spelare. Det inkluderar onlinecasinon, vadhållningsbolag, pokersajter och lotterier med spelarkonton — kortfattat alla aktörer med svensk spellicens som för ett spelarkonto per kund. Landbaserade verksamheter som kräver registrering omfattas likaså. Olicensierade aktörer faller per definition utanför föreskriftens tillämpningsområde.

Bakgrund: varför kom mandatet?

Spelpaus.se öppnade den 1 januari 2019 som en central funktion i den nya Spellagen 2018:1138. Idén är att en spelare som registrerar en avstängning omedelbart skyddas från att kunna spela hos alla licensierade svenska operatörer. Systemet har fungerat, men en specifik svaghet i implementationen visade sig över tid: den dagliga batchkontrollen lämnade ett tidsfönster på upp till 24 timmar där en spelare som nyligen registrerat en Spelpaus-avstängning ändå kunde logga in på ett befintligt konto — eller ta emot marknadsföring — innan operatörens lista hunnit synkroniseras.

Föreskriften är en del av en bredare skärpning av det svenska spelregelverket under 2026. Kreditkortsförbudet vid köp av speltjänster trädde i kraft den 1 maj 2026 med stöd i Spellagen. Spelpaus API-mandatet (SIFS 2026:3) med realtids-API-anrop träder i kraft den 1 augusti 2026. Därefter väntas ytterligare en skärpning via SIFS 2026:2 (AML-åtgärder) den 1 september 2026. Lästa tillsammans är de tre reformerna en sammanhängande rörelse mot ett tätare konsumentskyddsnät.

Daglig batch — den gamla modellens svaga punkt

Den dagliga batchfilen fungerade ungefär som ett postutskick: operatören skickade en lista på sina kunder till Spelpaus en gång per dygn och fick tillbaka information om vem som var avstängd. Det innebär att om en spelare registrerade sin Spelpaus-avstängning kl. 08:00 och operatörens nästa batchsynkronisering kördes kl. 02:00 nästa natt, kunde spelaren fortfarande logga in och spela i upp till 18 timmar. Samma fördröjning gällde för direktmarknadsföring: kampanjutskick som lämnade CRM-systemet innan batchen uppdaterats kunde nå en spelare som just beslutat sig för att stänga av sig. Det är den glipan som SIFS 2026:3 är designad att stänga.

Hur föreskriften togs fram

Spelinspektionen genomförde ett remissförfarande inför beslut. Föreskriften beslutades den 23 april 2026 och publicerades officiellt den 29 april 2026. Operatörerna fick ett implementeringsfönster på ungefär tre månader — fram till 1 augusti 2026 — för att anpassa sina system och säkerställa korrekt teknisk integration. Implementeringsfönstret är relativt kortare än vad branschen ibland önskar vid teknikinvesteringar av den här storleken, men tre månader är det tidsspann Spelinspektionen bedömde som tillräckligt för operatörer med ett fungerande PAM-system (spelarhanteringssystem) på plats.

De tre kontrolltillfällena

Spelpaus API-mandatet (SIFS 2026:3) specificerar tre situationer då en kontroll mot Spelpaus-registret är obligatorisk. Operatören väljer inte själv när kontroll ska ske — föreskriften definierar varje tillfälle, och vid träff (det vill säga om spelaren är registrerad i Spelpaus) är åtgärden likaledes definierad.

KontrolltillfälleAPI som användsÅtgärd vid träff
Registrering av nytt spelkontoLogin-/registrerings-APIRegistreringen nekas; spelaren hänvisas till spelpaus.se
Inloggning på befintligt kontoLogin-APIInloggning avvisas; uttag av befintligt saldo tillåts
All direkt marknadsföring (e-post, SMS, push, riktade annonser)Marknadsförings-APIUtskicket stoppas innan det lämnar operatörens system

Branschpress (iGamingBusiness, Gambling Insider, maj 2026) rapporterar att tillsynspraxis under Q3–Q4 2026 kan komma att inkludera realtidsanrop även vid insättningar och vid sessioner som överstiger ungefär 60 minuter. Det är dock viktigt att notera att detta är journalistisk tolkning av tillsynsmyndighetens signaler — föreskriftstexten anger principen “vid varje syftesenligt kontrolltillfälle” utan att räkna upp minutgränser explicit. Operatörer bör följa Spelinspektionens officiella vägledning och inte enbart branschpress vid implementeringen.

Skillnaden mellan login-API och marknadsförings-API

Föreskriftens krav på att kontrollen ska ske mot det API som “motsvarar syftet” är inte ett tekniskt särdrag utan en principiell ändamålsbegränsning. Systemet är utformat så att ett anrop till marknadsförings-API:et inte kan återanvändas som grund för ett inloggningsbeslut — och omvänt. Det handlar om att minimera datadelning: kontrollen ska bara svara på om personen är avstängd eller inte, anpassat till den specifika situation som motiverade kontrollen. Att återanvända ett marknadsföringsanrop för ett inloggningsbeslut (eller vice versa) strider mot ändamålsbegränsningsprincipen i föreskriften och kan vara ett självständigt överträdelseskäl.

Vad händer för spelaren vid en träff?

Om en realtidskontroll returnerar en träff — det vill säga spelaren är registrerad i Spelpaus — är operatörens skyldigheter tydliga. Befintligt saldo på kontot kan och ska kunna tas ut; spelaren ska inte förlora sina pengar för att kontot spärras. All bonus- och marknadsföringskommunikation upphör omedelbart. Spelaren hänvisas till spelpaus.se och, vid behov, till Stödlinjen 020-81 91 00 för samtalsstöd. Kontot spärras för spel tills en eventuell avregistrering från Spelpaus genomförs av spelaren själv.

Tekniska komponenter: Actor ID och API-nyckel

Varje licenshavare som träffas av SIFS 2026:3 tilldelas av Spelinspektionen två unika anslutningsuppgifter:

  • Actor ID — operatörens unika identifierare i Spelpaus-systemet. Varje anrop identifieras med detta värde, vilket gör det möjligt för Spelinspektionen att i efterhand verifiera att rätt licenshavare utfört rätt antal kontroller.
  • API-nyckel — autentiseringstoken som medföljer varje anrop och bekräftar att anropet kommer från den auktoriserade parten. API-nyckeln ska behandlas med samma sekretess som ett lösenord.

En viktig detalj: ansvaret för korrekt användning av anslutningsuppgifterna åvilar licenshavaren, oavsett om det tekniska anropet utförs av en intern plattform eller av en extern tredjepartsleverantör. Det räcker inte att delegera uppgiften — operatören är ytterst ansvarig som “data controller” i förhållande till den behandling av personuppgifter som kontrollen innebär.

Datadelningen är minimerad enligt GDPR- och Brottsdatalagens principer: svaret från API:et visar enbart om personen är avstängd eller inte, inte detaljer om avstängningsperiodens längd eller skälet till registreringen.

Tredjepartsleverantörer (PAM-system och BankID-integratörer)

Många operatörer använder externa PAM-leverantörer (spelarhanteringssystem) eller KYC-integratörer som hanterar identitetsverifiering och sessionshantering. Det är fullt möjligt att låta en tredjepartsleverantör utföra det tekniska API-anropet mot Spelpaus — men det förändrar inte ansvarsfördelningen. Licenshavaren måste säkerställa att ett personuppgiftsbiträdesavtal (DPA — Data Processing Agreement) är på plats med varje leverantör som hanterar Spelpaus-data, och att leverantören implementerar kontrollen korrekt och i rätt tid. Om leverantörens system felar är det licenshavaren — inte leverantören — som Spelinspektionen riktar sitt tillsynsbeslut mot.

Säkerhet och loggning

API-nyckeln ska skyddas mot obehörig åtkomst på samma sätt som andra autentiseringsuppgifter. Loggning av anrop rekommenderas starkt och förväntas utgöra en del av den dokumentation som kan begäras in vid en tillsynsrevision. Om en operatör kan visa att anrop utförts korrekt och i tid men en teknisk störning uppstod, är det avgörande att det finns loggposter som dokumenterar händelseförloppet. En komprometterad API-nyckel eller hanteringsbrist avseende anslutningsuppgifterna kan i sig vara ett självständigt skäl för sanktionsåtgärder.

Övergång och implementering

Tidslinjerna för Spelpaus API-mandatets ikraftträdande är tydliga och bör vara förankrade i operatörens projektplan nu:

  • 23 april 2026 — Spelinspektionen beslutar om SIFS 2026:3.
  • 29 april 2026 — Föreskriften publicerades officiellt på spelinspektionen.se.
  • Maj–juli 2026 — Implementeringsfönster. Operatörer begär eller verifierar sina anslutningsuppgifter via spelpaus@spelinspektionen.se och testar integrationen mot Spelinspektionens testmiljö.
  • 1 augusti 2026 — Föreskriften träder i kraft. Alla anrop ska gå mot rätt API i realtid.
  • Q3–Q4 2026 — Tillsynsperiod. Branschpress (iGamingBusiness, BSN, maj 2026) rapporterar att Spelinspektionen indikerat oannonserade tekniska revisioner för att verifiera att realtidsanropen faktiskt genomförs korrekt. Det är branschpressens bedömning av myndighetens signaler, inte ett publicerat tillsynsbeslut.

Praktiska implementeringssteg för operatören:

  1. Begär Actor ID och API-nyckel från Spelinspektionen via spelpaus@spelinspektionen.se om detta inte redan är på plats.
  2. Säkerställ att registreringsflödet, inloggningsflödet och CRM-/marknadsföringsflödet behandlas separat i PAM-systemet och anropar rätt API vid respektive tillfälle.
  3. Implementera realtidsanrop i alla tre kontrolltillfällena och verifiera svarshanteringen vid träff (kontostängning, saldobetalning, avbruten marknadsföring).
  4. Definiera en fail-safe-rutin för tekniska störningar: vid systemfel bör standardbeteendet vara att avvisa åtgärden, dokumentera felet och eskalera internt.
  5. Säkerställ att eventuella tredjepartsleverantörer av PAM eller CRM-system har ett personuppgiftsbiträdesavtal på plats och att de implementerar föreskriftens krav korrekt.

Sanktioner vid bristande efterlevnad

Spellagen 19 kap. ger Spelinspektionen en graderad verktygslåda vid bristande efterlevnad av Spelpaus API-mandatet. Sanktionstrappan ser ut som följer:

  1. Föreläggande — Spelinspektionen förelägger operatören att åtgärda bristen inom en angiven frist. Föreläggandet kan förenas med vite.
  2. Varning — utfärdas när bristen är allvarligare eller om ett föreläggande inte följts.
  3. Sanktionsavgift — kan uppgå till upp till 10 procent av licenshavarens omsättning föregående räkenskapsår, enligt 19 kap. 16 § Spellagen. Det är en potentiellt mycket stor summa för en operatör med hög omsättning.
  4. Återkallelse av licens — den yttersta åtgärden, tillämplig vid allvarliga eller upprepade överträdelser.

Branschpress (iGamingBusiness, BSN, maj 2026) rapporterar att Spelinspektionen planerar oannonserade tekniska revisioner under Q3–Q4 2026 för att kontrollera att operatörernas API-anrop sker i realtid och mot rätt ändpunkt. Det är branschpressens beskrivning av myndighetens indikerade tillsynsplan — inte ett publicerat tillsynsbeslut. Det innebär ändå att operatörer inte bör räkna med att bristande efterlevnad förblir oupptäckt under lång tid.

En central princip som inte kan understrykas nog: operatören kan inte avlasta sitt ansvar genom att hänvisa till att det var en tredjepartsleverantör som felade. Licenshavaren bär huvudansvaret och är Spelinspektionens motpart i ett eventuellt sanktionsärende.

Vad ett föreläggande betyder i praktiken

Ett föreläggande är inte detsamma som en ekonomisk sanktion — det är ett krav på rättelse inom en given frist, i regel kombinerat med ett vite som aktiveras om fristen inte hålls. Uppfyller operatören föreläggandet i tid och kan visa att bristen är åtgärdad, stannar ärendet ofta vid föreläggandestadiet. Uppfylls inte fristen, eller visar operatören ett mönster av bristande efterlevnad, eskalerar Spelinspektionen till varning och därefter sanktionsavgift.

Vad betyder mandatet för spelaren?

Spelpaus API-mandatets praktiska innebörd för dig som spelare är enkel att beskriva: om du registrerar en Spelpaus-avstängning idag, ska ingen licensierad operatör kunna ta emot dig imorgon — inte vid registrering, inte vid inloggning, inte i en marknadsföringskampanj. Den 24-timmarsglipa som den gamla batchmodellen lämnade är borta. Realtidskontrollen innebär att din avstängning får effekt i samma ögonblick som operatörens system tar emot svaret från Spelpaus-API:et.

Det finns dock en viktig begränsning att känna till: Spelpaus blockerar enbart licensierade operatörer under Spelinspektionens tillsyn. Olicensierade .com-casinon utan svensk licens är inte anslutna till Spelpaus och kan fortfarande nås. Det är registrets mest påtagliga kvarvarande begränsning — och ett skäl att vara medveten om risken med att spela utanför den svenska licensmarknaden, där du varken har konsumentskydd, omsorgsplikt från operatören eller tillgång till svensk tvistelösning.

Om du vill komplettera Spelpaus med ytterligare verktyg finns spelgränser (insättnings-, förlust- och tidsgränser) och reality check-funktioner hos de flesta licensierade operatörer. Vid behov av samtalsstöd kan du ringa Stödlinjen 020-81 91 00 — dygnet runt, kostnadsfritt och anonymt — eller kontakta Spelberoendes Riksförbund på spelberoende.se för peer-stöd och lokala föreningar. Spel kan vara beroendeframkallande. Spela ansvarsfullt.

Slutsats

SIFS 2026:3 och Spelpaus API-mandatet som träder i kraft den 1 augusti 2026 sluter den 24-timmarsglipa som batchmodellen lämnade och gör Spelpaus till en realtidsspärr vid alla tre kontrolltillfällena: registrering, inloggning och direkt marknadsföring. Det är en principiellt viktig förändring — från asynkron synkronisering till en händelsedriven kontroll som svarar i stunden.

För operatören innebär det ett konkret teknikarbete före 1 augusti: hämta Actor ID och API-nyckel från Spelinspektionen, separera login- och marknadsföringsflödena och säkerställ att tredjepartsleverantörer har ett korrekt personuppgiftsbiträdesavtal på plats. För dig som spelare innebär mandatet ett starkare skydd — förutsatt att du väljer licensierade operatörer, eftersom olicensierade casinon fortfarande befinner sig utanför registrets räckvidd.

Behöver du registrera en Spelpaus-avstängning, gör det direkt på spelpaus.se med BankID, Mobilt BankID eller Freja eID+. Behöver du stöd, ring Stödlinjen 020-81 91 00 — dygnet runt, anonymt, kostnadsfritt. Spela ansvarsfullt. Stöd: Stödlinjen 020-81 91 00 — stodlinjen.se.