\u00c0 medida que se aproxima o prazo previsto na Resolu\u00e7\u00e3o CD\/ANPD 19\/2024 para que agentes de tratamento de dados pessoais regularizem seus contratos envolvendo transfer\u00eancia internacional de dados mediante a incorpora\u00e7\u00e3o das cl\u00e1usulas padr\u00e3o-contratuais, at\u00e9 agosto de 2025, novas regulamenta\u00e7\u00f5es setoriais t\u00eam adicionado camadas adicionais de complexidade \u00e0 conformidade.<\/p>\n
No setor de apostas esportivas e jogos online, a Portaria SPA\/MF 722\/2024 estabelece requisitos t\u00e9cnicos e de seguran\u00e7a que impactam diretamente a forma como dados pessoais devem ser tratados e armazenados por empresas autorizadas a operar loterias de apostas de quota fixa no Brasil, conhecidas como bets.<\/p>\n
A Portaria disciplina os requisitos t\u00e9cnicos e operacionais para os sistemas e plataformas a serem utilizados pelos agentes operadores[1]<\/a>. Segundo o normativo, considera-se sistema de apostas o sistema informatizado que possibilita o cadastro dos apostadores, o gerenciamento das carteiras virtuais e demais funcionalidades necess\u00e1rias \u00e0 opera\u00e7\u00e3o. J\u00e1 a plataforma de apostas \u00e9 o canal eletr\u00f4nico integrado ao sistema, por meio do qual s\u00e3o ofertadas as apostas e os jogos online aos usu\u00e1rios finais[2]<\/a>.<\/p>\n O artigo 4\u00ba da referida Portaria[3]<\/a> determina que agentes operadores mantenham o sistema de apostas e os respectivos dados dos jogadores em centrais de dados localizadas em territ\u00f3rio brasileiro.<\/p>\n O par\u00e1grafo primeiro \u00a0do mesmo artigo prev\u00ea uma exce\u00e7\u00e3o: a possibilidade de que esses sistemas e dados estejam localizados fora do Brasil quando o pa\u00eds de destino tenha acordo de coopera\u00e7\u00e3o jur\u00eddica internacional com o Brasil, em mat\u00e9ria civil e penal conjuntamente, observado o inciso VIII do caput do art. 33 da Lei Geral de Prote\u00e7\u00e3o de Dados (LGPD)[4]<\/a>, e que se cumpram ainda outros requisitos cumulativos, previstos nos incisos I a III, entre eles:<\/p>\n Autoriza\u00e7\u00e3o espec\u00edfica e pr\u00e9via do titular para a transfer\u00eancia internacional; Essa regra, embora aberta \u00e0 possibilidade de transfer\u00eancias internacionais, condiciona fortemente a opera\u00e7\u00e3o a controles r\u00edgidos de localiza\u00e7\u00e3o e espelhamento dos dados no Brasil.<\/p>\n A LGPD, por sua vez, n\u00e3o imp\u00f5e como regra a obrigatoriedade de que os dados pessoais sejam armazenados exclusivamente em territ\u00f3rio nacional. Em seu artigo 33, a lei estabelece hip\u00f3teses em que a transfer\u00eancia internacional de dados pode ocorrer de forma leg\u00edtima, como nos casos em que o pa\u00eds destinat\u00e1rio oferece grau de prote\u00e7\u00e3o adequado ou quando o controlador oferece garantias suficientes por meio de instrumentos jur\u00eddicos como cl\u00e1usulas-padr\u00e3o contratuais, pol\u00edticas corporativas globais (BCRs) ou termos espec\u00edficos.<\/p>\n A Resolu\u00e7\u00e3o CD\/ANPD 19\/2024 regulamenta a aplica\u00e7\u00e3o desses mecanismos, trazendo procedimentos e cl\u00e1usulas-padr\u00e3o contratuais que buscam viabilizar a conformidade com o artigo 33. A l\u00f3gica do regime da LGPD \u00e9 permitir a transfer\u00eancia internacional sempre que forem asseguradas salvaguardas adequadas \u00e0 prote\u00e7\u00e3o dos titulares.<\/p>\n Assim, a geolocaliza\u00e7\u00e3o dos dados, como exigida pela Portaria, n\u00e3o constitui, por si s\u00f3, um requisito previsto na LGPD ou na Resolu\u00e7\u00e3o<\/strong>, tampouco \u00e9 um crit\u00e9rio necess\u00e1rio para a legitimidade da opera\u00e7\u00e3o internacional de dados.<\/p>\n Apesar de partirem de l\u00f3gicas distintas, \u00e9 poss\u00edvel identificar converg\u00eancias e tens\u00f5es entre a Portaria SPA\/MF n\u00ba 722\/2024 e a LGPD. Ambas compartilham o objetivo comum de assegurar maior prote\u00e7\u00e3o aos dados pessoais de usu\u00e1rios brasileiros, mas divergem significativamente quanto \u00e0 abordagem regulat\u00f3ria.<\/p>\n Enquanto a LGPD adota um modelo baseado em riscos, proporcionalidade e salvaguardas adequadas, a Portaria recorre a um enfoque prescritivo e territorialista<\/strong>, exigindo, al\u00e9m do controle da transfer\u00eancia internacional, a replica\u00e7\u00e3o obrigat\u00f3ria dos dados em solo nacional e a garantia de acesso irrestrito, remoto e presencial \u00e0 autoridade fiscalizat\u00f3ria.<\/p>\n Essa duplicidade de exig\u00eancias pode ser interpretada como uma sobreposi\u00e7\u00e3o ou at\u00e9 mesmo incongru\u00eancia com a LGPD<\/strong>, especialmente porque a Portaria imp\u00f5e crit\u00e9rios adicionais e cumulativos que n\u00e3o est\u00e3o previstos na legisla\u00e7\u00e3o espec\u00edfica de prote\u00e7\u00e3o de dados. A LGPD, por exemplo, n\u00e3o condiciona a transfer\u00eancia internacional a requisitos diplom\u00e1ticos, mas sim \u00e0 presen\u00e7a de garantias adequadas de prote\u00e7\u00e3o de dados por meio de qualquer um dos mecanismos previstos na lei.<\/p>\n Al\u00e9m disso, a aus\u00eancia de uma lista oficial por parte da Secretaria de Pr\u00eamios e Apostas (SPA) com os pa\u00edses que satisfazem esse crit\u00e9rio aumenta a incerteza jur\u00eddica e operacional<\/strong>, dificultando a defini\u00e7\u00e3o de estrat\u00e9gias de infraestrutura tecnol\u00f3gica por parte dos agentes operadores de apostas que operam internacionalmente.<\/p>\n Merece ainda uma reflex\u00e3o cr\u00edtica a sobreposi\u00e7\u00e3o de requisitos similares, quando n\u00e3o id\u00eanticos, prevista no artigo 4\u00ba, par\u00e1grafo primeiro, e respectivo inciso I, da Portaria SPA\/MF 722\/2024. Al\u00e9m de condicionar a exce\u00e7\u00e3o ao armazenamento nacional \u00e0 exist\u00eancia de acordo bilateral de coopera\u00e7\u00e3o jur\u00eddica, tamb\u00e9m \u00e9 exigido ao agente operador a observ\u00e2ncia do inciso VIII do artigo 33 da LGPD<\/strong>, que trata do consentimento espec\u00edfico e em destaque<\/strong> do titular.<\/p>\n Posteriormente, o inciso I do pr\u00f3prio par\u00e1grafo primeiro repete expressamente a exig\u00eancia de autoriza\u00e7\u00e3o <\/strong>espec\u00edfica e pr\u00e9via do titula para a realiza\u00e7\u00e3o da transfer\u00eancia internacional. Essa duplicidade, al\u00e9m de redundante, transmite a equivocada percep\u00e7\u00e3o de preval\u00eancia do consentimento para fundamentar a transfer\u00eancia internacional de dados, o que \u00e9 incompat\u00edvel com a sistem\u00e1tica estabelecida pela LGPD, que prev\u00ea diversos mecanismos leg\u00edtimos. A \u00eanfase exagerada e repetitiva no consentimento, somada \u00e0 exig\u00eancia de acordos bilaterais de escopo amplo, revela uma rigidez desproporcional<\/strong>, que carece de respaldo na estrutura legal mais ampla do pa\u00eds em mat\u00e9ria de prote\u00e7\u00e3o de dados.<\/p>\n Al\u00e9m disso, cabem pondera\u00e7\u00f5es sobre a efetiva validade do consentimento exigido pela Portaria. Na pr\u00e1tica, se o agente operador adotar uma infraestrutura t\u00e9cnica localizada no exterior, o titular que se recusar a consentir para a transfer\u00eancia de seus dados estar\u00e1, automaticamente, impedido de utilizar a plataforma de apostas.<\/p>\n Nessa hip\u00f3tese, o consentimento deixa de ser uma manifesta\u00e7\u00e3o livre e informada<\/strong>, e passa a operar como um verdadeiro pr\u00e9-requisito de acesso ao servi\u00e7o<\/strong>. Tal situa\u00e7\u00e3o compromete sua legitimidade jur\u00eddica \u00e0 luz da pr\u00f3pria LGPD, que exige que o consentimento seja uma manifesta\u00e7\u00e3o livre, informada e inequ\u00edvoca<\/strong>. Em \u00faltima an\u00e1lise, o titular \u201cconsente\u201d apenas para n\u00e3o ser exclu\u00eddo da experi\u00eancia de jogo, o que fragiliza o princ\u00edpio da autodetermina\u00e7\u00e3o informativa,\u00a0 um pilar fundamental da prote\u00e7\u00e3o de dados pessoais.<\/p>\n Outro aspecto que merece ser examinado sob a \u00f3tica de sua efetiva utilidade<\/strong> \u00e9 o requisito previsto no inciso III do mesmo par\u00e1grafo primeiro, que imp\u00f5e ao agente operador a obriga\u00e7\u00e3o de replicar sua base de dados e informa\u00e7\u00f5es no Brasil. Na pr\u00e1tica, tal exig\u00eancia compromete a pr\u00f3pria l\u00f3gica da exce\u00e7\u00e3o prevista no par\u00e1grafo primeiro.<\/p>\n Se, para manter dados fora do Brasil, a empresa ainda assim for obrigada a manter c\u00f3pias atualizadas e completas desses mesmos dados em territ\u00f3rio nacional, a excepcionalidade perde efetividade, tornando-se, na ess\u00eancia, um desvio apenas aparente da obriga\u00e7\u00e3o de geolocaliza\u00e7\u00e3o.<\/p>\n Essa duplica\u00e7\u00e3o integral dos dados, com sincroniza\u00e7\u00e3o em tempo real, representa um \u00f4nus t\u00e9cnico, financeiro e operacional consider\u00e1vel, que parece desproporcional aos eventuais benef\u00edcios que proporciona, em tensionamento com a razoabilidade, a proporcionalidade e a efici\u00eancia, sobretudo para empresas com infraestrutura baseada em computa\u00e7\u00e3o em nuvem e atua\u00e7\u00e3o internacional.<\/p>\n A justificativa impl\u00edcita para esse rigor adicional parece estar associada \u00e0 necessidade de fiscaliza\u00e7\u00e3o e combate a il\u00edcitos no setor de apostas, como fraudes e lavagem de dinheiro. A replica\u00e7\u00e3o dos dados em territ\u00f3rio nacional e o acesso direto por parte do Minist\u00e9rio da Fazenda seriam, nesse sentido, instrumentos de suporte \u00e0 atua\u00e7\u00e3o fiscalizat\u00f3ria, conferindo maior celeridade e efic\u00e1cia \u00e0s investiga\u00e7\u00f5es, especialmente diante do risco inerente do setor de apostas.<\/p>\n Contudo, n\u00e3o est\u00e1 claro em que medida essa duplica\u00e7\u00e3o de dados efetivamente contribui para a prote\u00e7\u00e3o de dados pessoais ou para o controle da atividade econ\u00f4mica, especialmente considerando que o acesso remoto irrestrito aos dados j\u00e1 est\u00e1 garantido por outro inciso do mesmo artigo. Em termos pr\u00e1ticos, a replica\u00e7\u00e3o pode apenas agravar a complexidade t\u00e9cnica e elevar os custos de conformidade, sem necessariamente agregar valor proporcional.<\/p>\n Por fim, tamb\u00e9m \u00e9 relevante destacar o escopo subjetivo de aplica\u00e7\u00e3o do artigo 4\u00ba da Portaria. As obriga\u00e7\u00f5es ali previstas se aplicam exclusivamente aos agentes operadores (B2C), ou seja, \u00e0s pessoas jur\u00eddicas que obt\u00eam outorga junto ao Minist\u00e9rio da Fazenda para ofertar apostas de quota fixa.<\/p>\n Assim, quando o sistema de apostas for fornecido por empresas desenvolvedoras terceirizadas, em modelos white label<\/em> \u2013 cada vez mais comuns neste mercado \u2013, tais empresas n\u00e3o estariam sujeitas diretamente \u00e0s exig\u00eancias da Portaria, salvo se tamb\u00e9m atuarem como agentes operadores.<\/p>\n Entretanto, quando a desenvolvedora dos jogos for respons\u00e1vel pela infraestrutura de SaaS e pela hospedagem dos dados, ainda que n\u00e3o seja agente operador, poder\u00e1 ser compelido contratualmente a se alinhar \u00e0s exig\u00eancias regulat\u00f3rias. O agente operador, como respons\u00e1vel final perante a SPA, pode estabelecer em contrato que os servidores estejam localizados no Brasil ou em pa\u00edses que tenham acordos de coopera\u00e7\u00e3o jur\u00eddica com o Brasil, nos moldes exigidos pela Portaria.<\/p>\n Dessa forma, contratos firmados entre agentes operadores e os fornecedores da tecnologia do jogo podem gerar obriga\u00e7\u00f5es indiretas de conformidade<\/strong>, como a exig\u00eancia de replica\u00e7\u00e3o da base de dados em solo nacional ou a restri\u00e7\u00e3o da localiza\u00e7\u00e3o dos servidores a pa\u00edses reconhecidos.<\/p>\n Isso imp\u00f5e, na pr\u00e1tica, que empresas estrangeiras que atuam como parceiras tecnol\u00f3gicas de agentes operadores licenciados avaliem cuidadosamente a viabilidade jur\u00eddica de seus modelos operacionais<\/strong>, revisem seus contratos de hospedagem e licenciamento. Al\u00e9m da conformidade com a Portaria SPA\/MF 722\/2024, tais contratos devem observar os mecanismos de transfer\u00eancia internacional previstos na LGPD e na Resolu\u00e7\u00e3o ANPD 19\/2024, incluindo, quando aplic\u00e1vel, cl\u00e1usulas-padr\u00e3o contratuais que garantam salvaguardas adequadas \u00e0 prote\u00e7\u00e3o dos titulares.<\/p>\n Trata-se, portanto, de uma norma que imp\u00f5e desafios significativos aos agentes operadores de apostas, considerando que a manuten\u00e7\u00e3o dos dados em territ\u00f3rio brasileiro revela-se a alternativa jur\u00eddica menos onerosa para atender aos rigorosos padr\u00f5es estabelecidos pela Portaria SPA\/MF 722\/2024.<\/p>\n [1]<\/strong><\/a> Lei 14.790\/2023. Art. 2\u00ba X \u2013 agente operador de apostas: pessoa jur\u00eddica que recebe autoriza\u00e7\u00e3o do Minist\u00e9rio da Fazenda para explorar apostas de quota fixa;<\/p>\n [2]<\/a> Portaria SPA\/MF 722\/2024 Art. 2\u00ba Para os fins desta Portaria, considera-se:<\/p>\n I \u2013 sistema de apostas: sistema informatizado gerido e disponibilizado pelos operadores aos apostadores que possibilita o cadastro dos apostadores, o gerenciamento de suas carteiras virtuais e outras funcionalidades necess\u00e1rias para gerenciamento, opera\u00e7\u00e3o e comercializa\u00e7\u00e3o das apostas de quota-fixa;<\/p>\n II \u2013 plataforma de apostas: canal eletr\u00f4nico integrado ao sistema de apostas utilizado para ofertar as apostas esportivas e os jogos on-line aos apostadores.<\/p>\n
\nAcesso seguro e irrestrito do Minist\u00e9rio da Fazenda, de forma remota e presencial, aos sistemas, \u00e0s plataformas e aos dados da opera\u00e7\u00e3o;
\nReplica\u00e7\u00e3o da base de dados no Brasil, com atualiza\u00e7\u00e3o cont\u00ednua e equival\u00eancia entre inst\u00e2ncias.<\/p>\n