- Início
- Áreas de atuação
- iGaming e Apostas Esportivas
- LGPD e Proteção de Dados
LGPD para bets: dados de apostadores sob controle
Cadastro, biometria, pagamento e comportamento de jogo formam um dos bancos de dados mais sensíveis do mercado. Dois reguladores olham para ele ao mesmo tempo.
LGPD para bets é a adequação da operadora de apostas à Lei 13.709/2018 somada às regras de dados da SPA/MF. Envolve base legal para cada tratamento, cuidado com biometria, armazenamento seguro, direitos do apostador e resposta a incidentes. Procure um advogado ao estruturar a plataforma, trocar fornecedor de tecnologia ou sofrer um incidente.
LGPD para bets não é um capítulo à parte do compliance: é parte da licença. A operadora trata identificação civil, CPF, dados bancários, geolocalização, biometria facial e o histórico de apostas de cada cliente, e responde por isso perante a Lei 13.709/2018 (LGPD) e perante a Secretaria de Prêmios e Apostas do Ministério da Fazenda (SPA/MF).
As regras do setor se sobrepõem às da LGPD. A Portaria SPA/MF nº 722/2024 fixa requisitos técnicos e de segurança e determina que sistemas e dados fiquem em centrais localizadas no Brasil, admitindo exceção para países com acordo de cooperação jurídica internacional com o Brasil. A Portaria SPA/MF nº 1.231/2024 prevê reconhecimento facial em hipóteses definidas e protege o apostador autoexcluído, e a Portaria SPA/MF nº 1.857/2024 regula a transferência de dados entre empresas do mesmo grupo.
Enxergamos o tema como engenharia jurídica: cada dado precisa de uma finalidade, uma base legal, um prazo de guarda e um responsável. Quando isso está desenhado, a operadora responde ao titular, ao regulador e à imprensa com a mesma versão dos fatos.
Quando procurar um advogado
Plataforma ou fornecedor de KYC em mudança
Troca de provedor de plataforma, de verificação de identidade ou de nuvem altera onde os dados ficam e quem os acessa. Sem contrato e avaliação, a operadora herda o risco do fornecedor.
Dados processados fora do Brasil
Grupos estrangeiros costumam centralizar dados no exterior. A Portaria 722/2024 restringe essa escolha e a LGPD exige mecanismo válido de transferência internacional.
Uso de biometria e perfil comportamental
Biometria é dado sensível na LGPD. Monitorar comportamento para jogo responsável também exige base legal e transparência bem definidas.
Pedido de titular, reclamação ou vazamento
Pedido de acesso ou exclusão, reclamação em órgão de defesa do consumidor ou suspeita de incidente mostram se o processo existe de verdade.
O que acontece quando se deixa para depois
- Sanções da ANPD (Autoridade Nacional de Proteção de Dados) previstas na LGPD, que incluem advertência, multa, publicização da infração e bloqueio ou eliminação dos dados envolvidos.
- Apuração pela SPA/MF quando a falha de dados também viola requisito técnico ou de segurança exigido para a autorização.
- Ações de apostadores e demandas de consumidores após incidente, com custo de defesa e de atendimento que se soma à multa.
- Dano reputacional imediato: vazamento de dados financeiros de apostadores repercute na imprensa, nos parceiros de pagamento e na renovação da autorização.
Como conduzimos
Mapeamento de dados
Inventariamos os dados tratados em cadastro, KYC, pagamentos, jogo responsável, marketing e atendimento, com origem, finalidade, local de armazenamento e fornecedores envolvidos.
Base legal e regras do setor
Definimos a base legal de cada tratamento, incluindo as hipóteses de dado sensível do art. 11 da LGPD para biometria, e cruzamos o resultado com as portarias da SPA/MF.
Documentos e contratos
Redigimos política de privacidade, avisos de cookies, relatório de impacto quando cabível e cláusulas de proteção de dados com plataforma, KYC, meios de pagamento, afiliados e nuvem.
Governança e direitos do titular
Estruturamos a função do encarregado, o canal de atendimento ao apostador, os prazos de guarda e o fluxo de transferência internacional ou entre empresas do grupo.
Plano de resposta a incidentes
Montamos o protocolo de contenção, avaliação e comunicação à ANPD e aos titulares, fazemos simulações e atuamos se o incidente virar processo administrativo ou judicial.
O que você recebe
- Inventário de dados pessoais com finalidade, base legal e prazo de guarda.
- Política de privacidade e avisos ao apostador em linguagem clara.
- Relatório de impacto à proteção de dados para os tratamentos de maior risco.
- Aditivos e cláusulas de proteção de dados para os principais fornecedores.
- Plano de resposta a incidentes com matriz de decisão e modelos de comunicação.
Por que o escritório
LGPD lida com a lente do regulador de apostas
Não aplicamos um modelo genérico de privacidade. A adequação considera, ao mesmo tempo, a LGPD e as portarias da SPA/MF que a operadora precisa cumprir.
Jogo responsável sem conflito com privacidade
Monitorar sinais de dependência e respeitar a autoexclusão exige dados. Desenhamos esse uso com finalidade clara e transparência ao apostador.
Da prevenção à defesa
A mesma equipe que estrutura o programa atua na resposta a incidente, na interlocução com autoridades e no contencioso.
Situação ilustrativa
Cenário hipotético, apenas ilustrativo. Um grupo estrangeiro obtém autorização para operar no Brasil e pretende manter a plataforma e o banco de dados no data center que já usa no exterior, com o provedor de verificação facial em um terceiro país. Nesse tipo de situação, o trabalho começa pela checagem do que a Portaria 722/2024 permite quanto à localização dos dados, segue com a análise do mecanismo de transferência internacional exigido pela LGPD e com a revisão dos contratos de cada fornecedor. O objetivo é chegar a uma arquitetura de dados que a operadora consiga explicar ao regulador, com riscos conhecidos e decisões documentadas.
Cenário hipotético, apresentado só para ilustrar o método. Cada caso depende dos seus fatos.Perguntas frequentes
A LGPD para bets tem regras específicas?
Não há uma LGPD própria para apostas, mas a operadora cumpre a Lei 13.709/2018 somada às regras de dados da SPA/MF. Entre elas estão a Portaria 722/2024, sobre requisitos técnicos e localização de sistemas e dados, a Portaria 1.231/2024, sobre autenticação e jogo responsável, e a Portaria 1.857/2024, sobre transferência de dados dentro do grupo. A adequação precisa olhar para as duas camadas ao mesmo tempo.
Os dados dos apostadores podem ficar fora do Brasil?
Em regra, não. A Portaria SPA/MF nº 722/2024 determina que sistemas e dados fiquem em centrais de dados no Brasil e admite exceção para países com acordo de cooperação jurídica internacional com o Brasil em matéria civil e penal. Mesmo na exceção, a transferência precisa observar as regras de transferência internacional da LGPD.
Biometria facial do apostador é dado sensível?
Sim. A LGPD classifica o dado biométrico vinculado a uma pessoa como dado pessoal sensível, o que restringe as bases legais aplicáveis e exige cuidado reforçado de segurança. Na prática, a finalidade de autenticação exigida pela regulação e o prazo de guarda precisam estar documentados.
O que fazer se houver vazamento de dados de apostadores?
Contenha o incidente, preserve evidências e avalie o risco aos titulares imediatamente. Se houver risco ou dano relevante, a LGPD exige comunicação à ANPD e aos apostadores afetados, no prazo e na forma que a autoridade regulamenta. Ter o protocolo pronto antes do incidente é o que evita decisões improvisadas.
A operadora de apostas precisa de encarregado de dados?
Sim, a LGPD exige que o controlador indique um encarregado, que atende os titulares e se relaciona com a ANPD. Numa operadora de apostas, essa função precisa de acesso direto à governança e de interação com compliance, segurança da informação e atendimento.
Pode enviar publicidade para apostador autoexcluído?
Não. A Portaria SPA/MF nº 1.231/2024 proíbe o envio de material publicitário a apostadores que pediram autoexclusão ou foram excluídos por decisão judicial. Isso exige que as bases de marketing, inclusive as de afiliados, sejam atualizadas com a lista de impedidos.
Assuntos relacionados
Os dados dos seus apostadores estão protegidos e documentados?
Fale com a equipe de iGaming. Começamos pelo mapeamento dos dados e entregamos um plano de adequação com prioridades claras.