Kort svar: Det går inte att säkert avgöra vem en biljettköpare hejar på. Men VSK kan upptäcka misstänkta köp digitalt, genom att analysera köpmönster, konton och beteenden. Det ger signaler, inte bevis. Och det måste göras utan att vanliga supportrar känner sig övervakade.
Klubben har redan datan
VSK arbetar datadrivet. Klubben vet vilka som går på matcherna och använder publikdata för att rikta utskick, enligt klubbchefen Robin Hals. I år har VSK sålt 3 009 årskort. Det är 25 procent fler än 2024.
Klubben har redan tagit bort förturen för den som blev medlem från och med den 6 november. Men uppgifterna som behövs för att upptäcka fler finns redan i biljettsystemet. Det handlar om kontots ålder, tidigare köp, mejladress, telefonnummer, adress, betalkort, antal biljetter och tidpunkten för köpet.
VSK har sagt att den ska använda "data och beteenden" för att hitta misstänkta köp. Frågan är vilka signaler den tittar på.
Så fungerar transaktionsriskanalys
Banker och e-handel använder transaktionsriskanalys för att hitta misstänkta köp i tid. Systemet letar efter avvikelser: många köp på kort tid, samma kort eller adress bakom flera konton, nya konton som köper dyra varor direkt, eller köp som sker sekunder efter ett släpp.
Samma logik går att använda på biljetter. Ett konto som skapades efter den 3 november och som saknar tidigare köp, men plötsligt köper fyra biljetter till hemmaläktaren, är en signal. Flera konton med samma adress eller samma betalkort är en annan. Ett köp som går igenom snabbare än en människa hinner klicka är en tredje.
Men en signal är inte ett bevis. En nybliven VSK-supporter kan också ha ett nytt konto. En årskortsinnehavare kan köpa en biljett till en vän. Systemet måste flagga, inte döma.
Var gränsen går
Här blir det känsligt. Enligt GDPR får ett automatiskt system inte ensamt fatta ett beslut som påverkar en person i betydande grad. Det betyder att klubben kan använda en riskbedömning för att flagga ett köp, men en människa måste granska innan biljetten dras in eller köpet nekas.
Klubben måste också vara tydlig med vilka uppgifter den använder. Device fingerprinting, alltså identifiering via enhetens tekniska egenskaper, räknas som personuppgift. Adress och namn är känsliga signaler. Att flagga någon för att den bor i Stockholm är fel, eftersom VSK har många supportrar där. Samma sak gäller namn. Det är beteendet i köpet som ska granskas, inte personen.
Vad VSK kan göra nu
Klubben kan börja med det enkla. En biljett per medlem. Förtur för medlemmar som fanns före ett visst datum. Krav på tidigare köphistorik för att få köpa i förturen. Det stoppar opportunister utan att kränka någon.
Sedan kan klubben lägga på riskflaggor. Nya konton, samma kort, samma adress, många biljetter på en gång. Flaggan går till en människa som granskar köpet. Om det finns tydliga tecken på vidareförsäljning kan klubben neka framtida köp med stöd av villkoren. Klubben kan också följa annonser på andrahandsmarknaden och agera mot årskortsinnehavare som säljer vidare.
Till sist: digitala biljetter som inte går att skärmdumpa. Det gör det svårare att skicka biljetten vidare.
Depo Studios rekommendation
Upptäckt är inte samma sak som verifiering. VSK kan inte veta säkert vem en person hejar på, och bör inte försöka. Men klubben kan göra det svårare att köpa biljetter i fel syfte genom att titta på beteenden i köpet, inte på identiteten.
Om du bygger en tjänst med begränsat antal platser, bygg en riskflagga i stället för en grind. Flagga, granska och agera. Berätta vilka uppgifter du använder. Målet är inte att stoppa varje försök. Målet är att skydda den vanliga kundens upplevelse.
För VSK betyder det att reglerna måste vara klara innan nästa släpp. Vilka signaler leder till granskning? Vem granskar? Och vad händer med en biljett som redan är köpt? Utan de svaren är det bara en kö till.