Segurança de Dados Pessoais nas Casas de Apostas em Portugal

Os Seus Dados Pessoais Nas Plataformas de Apostas

Quando me registei pela primeira vez numa casa de apostas online, forneci o meu Cartão de Cidadão, o número de contribuinte, comprovativo de morada, dados bancários e um email. Parei e pensei: estou a entregar mais informação pessoal a esta plataforma do que ao meu banco. E era verdade. Com mais de 4,9 milhões de contas registadas em plataformas licenciadas em Portugal, essa mesma informação está replicada milhões de vezes em servidores de operadores de jogo.

A pergunta que muitos jogadores nunca fazem — mas deveriam — é: o que acontece a esses dados? Quem os protege? Que garantias existem de que não são partilhados, vendidos ou comprometidos? As respostas dependem fundamentalmente de um fator: se o operador é licenciado ou não.

Obrigações dos Operadores Sob o RGPD

Uma das vantagens concretas de apostar em operadores licenciados que raramente é discutida é a proteção de dados pessoais ao abrigo do RGPD — o Regulamento Geral sobre a Proteção de Dados da União Europeia.

Todos os operadores licenciados pelo SRIJ estão obrigados a cumprir o RGPD na sua totalidade. Isto significa, na prática, que o operador deve informar o jogador de forma clara sobre que dados recolhe, para que finalidade os utiliza, durante quanto tempo os conserva e com quem os partilha. O jogador tem direito de acesso, retificação, apagamento e portabilidade dos seus dados — direitos que pode exercer em qualquer momento.

O RGPD obriga também a medidas técnicas de segurança: encriptação de dados em trânsito e em repouso, controlos de acesso, testes de vulnerabilidade e planos de resposta a incidentes. Os operadores devem designar um Encarregado de Proteção de Dados (DPO) e notificar a Comissão Nacional de Proteção de Dados em caso de violação de dados.

Na prática, o nível de cumprimento varia. Os operadores de maior dimensão — frequentemente subsidiárias de grupos internacionais cotados em bolsa — tendem a ter infraestruturas de segurança robustas, com auditorias regulares e certificações como ISO 27001. Os operadores mais pequenos cumprem o mínimo legal, que é já exigente, mas podem ter menos recursos dedicados à cibersegurança.

O SRIJ, como parte do processo de licenciamento, avalia a capacidade técnica do operador, incluindo a segurança da plataforma. Mas a fiscalização contínua da cibersegurança é mais limitada — o regulador tem competências na área do jogo, mas a proteção de dados é domínio da CNPD. É uma divisão de responsabilidades que, na minha opinião, poderia ser mais articulada.

Boas Práticas de Segurança Para o Jogador

Independentemente do quão seguro é o operador, o jogador é sempre o elo mais vulnerável da cadeia. E a maioria dos incidentes de segurança que acompanhei ao longo dos anos teve origem no comportamento do utilizador, não em falhas do operador.

A primeira boa prática é usar uma palavra-passe única e forte para cada plataforma de apostas. “Única” significa que não é a mesma que usa no email, nas redes sociais ou no homebanking. “Forte” significa pelo menos 12 caracteres, com mistura de letras, números e símbolos. Um gestor de palavras-passe elimina a necessidade de memorizar dezenas de combinações diferentes.

A segunda é ativar a autenticação de dois fatores (2FA) sempre que disponível. Nem todos os operadores portugueses a oferecem, mas os que oferecem adicionam uma camada de proteção que torna o acesso não autorizado à conta significativamente mais difícil. Se o operador onde tem conta disponibiliza 2FA, ative-a. Se não disponibiliza, é um ponto negativo na avaliação desse operador.

A terceira é verificar a legitimidade das comunicações. Emails de phishing que se fazem passar por casas de apostas são comuns — pedem que o jogador “verifique a conta” ou “atualize os dados” através de links falsos. Nenhum operador legítimo pede a palavra-passe por email. Em caso de dúvida, aceda à plataforma diretamente pelo browser, nunca através de links recebidos por email ou mensagem.

A quarta é utilizar redes seguras. Apostar através de redes Wi-Fi públicas (cafés, aeroportos, centros comerciais) expõe os dados a interceção. Se precisa de aceder à plataforma fora de casa, utilize os dados móveis ou uma VPN.

A quinta, que pode parecer óbvia mas que vale a pena referir: não partilhe as suas credenciais de acesso com ninguém. Parece elementar, mas já encontrei casos de pessoas que partilhavam conta com amigos ou familiares para “aproveitar bónus”. Para além de violar os termos de utilização do operador, partilhar credenciais significa partilhar o acesso a dados pessoais, dados bancários e histórico de apostas — informação que deve ser estritamente privada.

Proteção de Dados: Licenciado vs. Sem Licença

É aqui que a diferença entre apostar num operador licenciado e num ilegal se torna mais alarmante — e é uma diferença que vai muito além das odds ou dos bónus.

Um operador ilegal não está sujeito ao RGPD, não é fiscalizado pela CNPD, não tem obrigação de proteger os dados dos jogadores e não responde perante nenhuma autoridade portuguesa em caso de violação de dados. Os 40% de jogadores portugueses que apostam em plataformas ilegais estão a entregar os seus dados pessoais — incluindo documentos de identidade, dados bancários e moradas — a entidades sobre as quais não existe qualquer controlo.

Os riscos são concretos: venda de dados pessoais a terceiros, utilização de dados bancários para transações fraudulentas, roubo de identidade e exposição a chantagem. Um operador ilegal que encerrar a atividade (algo que acontece com frequência) pode simplesmente desaparecer com toda a base de dados dos jogadores — e o jogador não tem recurso legal em Portugal para recuperar essa informação ou ser compensado.

Nos meus anos de análise, vi casos de jogadores que forneceram cópias do Cartão de Cidadão a plataformas ilegais para “verificação de conta” e que, meses depois, descobriram que os seus dados tinham sido usados para abrir contas noutras plataformas ou para fins fraudulentos. São situações que nenhum bónus ou odd mais competitiva justifica.

A minha posição é clara: a segurança dos dados pessoais é, por si só, razão suficiente para apostar exclusivamente em operadores licenciados. As odds podem ser marginalmente menos competitivas, mas a proteção dos dados é incomparavelmente superior. Para quem quer perceber o enquadramento completo dos operadores regulados, o guia de apps de casas de apostas em Portugal aborda a segurança mobile em detalhe.

Dúvidas Sobre Segurança de Dados