Jogos de azar: como aplicar o GDPR ao tratamento de dados dos jogadores? Guia prático da ANJ e CNIL

O que muda com o novo guia ANJ-CNIL?

Se você trabalha com jogos de azar online, sabe que lidar com dados pessoais é tão divertido quanto ler os Termos e Condições de um site – ou seja, uma verdadeira chatice. Mas a Autoridade Nacional de Jogos da França (ANJ) e a CNIL acabam de publicar um guia prático que promete tornar essa tarefa menos dolorosa. O documento, lançado em fevereiro de 2025, oferece orientações operacionais imediatas para operadores do setor conciliarem o Regulamento Geral de Proteção de Dados (GDPR) com as obrigações específicas da indústria de jogos.

Por que isso é importante?

O setor de jogos de azar coleta uma quantidade imensa de dados sensíveis: desde informações financeiras até padrões de comportamento dos jogadores. E, com a crescente pressão regulatória, um deslize pode custar caro – multas de até 4% do faturamento global anual. O guia da ANJ e CNIL chega para esclarecer pontos nebulosos, como o tratamento de dados para prevenção de lavagem de dinheiro e a obrigação de conservar dados por longos períodos.

Principais recomendações do guia

• Base legal para tratamento: O guia reforça que o consentimento não é a única base legal. Operadores podem usar o interesse legítimo ou obrigação legal, desde que documentem adequadamente.
• Minimização de dados: Coletar apenas o necessário para a finalidade específica. Exemplo: não precisa saber o time de futebol favorito do jogador para processar uma aposta.
• Prazo de conservação: Dados devem ser apagados assim que a finalidade for cumprida, salvo obrigações legais (ex: prevenção à lavagem de dinheiro).
• Direitos dos titulares: Jogadores têm direito de acessar, retificar e até solicitar a exclusão de seus dados, mas com limites quando há obrigações legais de retenção.

Como aplicar na prática?

Imagine que você é um operador de cassino online. Um jogador pede para excluir sua conta e todos os dados. Pelo GDPR, você deve atender, mas a lei de prevenção à lavagem de dinheiro exige que mantenha registros por 5 anos. O guia sugere uma solução: anonimizar os dados após o período legal, mantendo apenas o necessário para cumprir a lei. Parece óbvio, mas muitos operadores ainda erram nesse ponto.

Outro exemplo: o uso de cookies para rastrear comportamento de jogo. O guia lembra que cookies não essenciais exigem consentimento explícito, e que o operador deve fornecer informações claras sobre a finalidade. Nada de esconder nas entrelinhas da política de privacidade.

O que esperar da fiscalização?

A CNIL já deixou claro que vai fiscalizar o setor com lupa. Em 2024, multou várias empresas por falhas na gestão de dados. O guia é uma oportunidade de ouro para se antecipar e evitar dores de cabeça. Como diz o ditado: “É melhor prevenir do que remediar” – e no mundo dos dados, remediar custa caro.

Para se aprofundar, consulte o texto oficial do GDPR no EUR-Lex e o guia completo no site da ANJ.