O que as plataformas sabiam sobre cada apostador
Em 25 de setembro de 2026, o governo federal publicou a Medida Provisória nº 1.394/2026, que proíbe a exploração, a oferta, a intermediação e a publicidade das apostas de quota fixa, o que inclui os jogos online como o chamado “jogo do tigrinho”. Os sites e aplicativos saíram do ar em 6 de outubro, e a devolução dos saldos, feita por CPF, ocorre entre 9 e 14 de outubro. Nós observamos que a conversa pública gira em torno do vício e do dinheiro, e raramente pergunta o que sobra depois: os dados pessoais que milhões de pessoas entregaram para apostar.
Desde a regulamentação da Lei nº 14.790/2023, as operadoras autorizadas precisavam confirmar quem era o apostador antes de ativar a conta. Isso significava validar o CPF e fazer reconhecimento facial, em geral por uma selfie com prova de vida, além de acompanhar o comportamento de jogo para identificar sinais de risco. Somavam-se a isso os dados de pagamento, já que depósitos e saques passavam por contas e chaves Pix vinculadas ao titular.
Quando juntamos essas peças, o resultado é um retrato detalhado: quem a pessoa é, como é seu rosto, quanto ela gasta, em que horários joga e como reage a perdas. Um motorista de aplicativo que apostava à noite, entre uma corrida e outra, deixou nas plataformas muito mais do que o saldo: deixou um perfil financeiro e comportamental.
Dados sob tratamento regulado versus dados em plataforma clandestina
Essa distinção parece teórica, porém ela decide a quem o titular pode recorrer. Diante de uma operadora que tinha autorização, o apostador sabia o nome da empresa, podia questioná-la e, se necessário, recorrer à ANPD. Diante de um site clandestino, nem sempre existe um responsável identificável.
O mapa dos dados e o que o titular pode pedir
A tabela abaixo organiza os principais tipos de dado de um apostador, o motivo original da coleta, o risco que permanece depois do encerramento e o que a LGPD permite pedir:
| Tipo de dado | Finalidade original | Risco após o encerramento | O que o titular pode pedir |
|---|---|---|---|
| CPF e dados cadastrais | Identificação do apostador e conferência de regularidade | Fraude de identidade, abertura de contas em nome do titular | Confirmação do tratamento, acesso e correção |
| Selfie e biometria facial | Verificação de identidade antes da ativação da conta | Dado sensível: vazamento permite fraudes de autenticação e deepfakes | Informação sobre guarda e compartilhamento e eliminação quando não houver obrigação de manter |
| Histórico de apostas e padrão de gastos | Monitoramento de risco e jogo responsável | Perfilamento do apostador, venda ou reaproveitamento para marketing | Acesso, bloqueio ou eliminação do que for desnecessário e informação sobre compartilhamento |
| Dados de pagamento (Pix, cartão, conta) | Depósitos, saques e devolução de saldos | Golpes de falso resgate e cobrança indevida | Acesso aos registros e informação sobre com quem foram compartilhados |
Esse quadro mostra por que o apostador deve olhar além do saldo. O dinheiro tem rota de devolução. Já os dados dependem de o titular saber que pode perguntar e de cobrar a resposta.
O que acontece com a base agora que as operadoras encerram
A LGPD determina que o tratamento termine quando a finalidade é alcançada, e que os dados sejam eliminados nesse momento, salvo nos casos em que a lei permite a conservação, como o cumprimento de obrigação legal ou regulatória. Algumas operadoras provavelmente terão de manter parte dos registros por exigências fiscais ou de prevenção à lavagem de dinheiro. Todavia, essa permissão cobre apenas o que a lei exige, e não toda a base de clientes.
O risco aparece justamente na diferença entre o que precisa ficar e o que simplesmente ficou. Uma empresa que encerra as operações com pressa, sem plano de descarte, pode deixar servidores, backups e planilhas com CPFs e selfies sem dono claro. Essa base pode ser vendida, vazada ou reaproveitada. Quando isso acontece, o incidente envolve dado sensível e exige avaliação de comunicação à ANPD e aos titulares.
Perfilamento: quando o dado de proteção vira dado de estímulo
Há um ponto delicado em toda a história. O monitoramento do comportamento de jogo existia para proteger o apostador, identificando sinais de uso compulsivo. O mesmo conjunto de dados, no entanto, serve para o contrário: descobrir quem aposta mais, quando é mais vulnerável e que mensagem o faz voltar à plataforma.
A LGPD responde a isso pelo princípio da finalidade: o dado coletado para um propósito não pode ser desviado para outro incompatível. Dados reunidos para proteger o apostador não podem ser usados para estimulá-lo a apostar mais. A lei também garante ao titular o direito de pedir a revisão de decisões tomadas exclusivamente por tratamento automatizado que afetem seus interesses, o que inclui definições de perfil.
Plataformas clandestinas e golpes: o terreno que cresce com a proibição
Quando um mercado regulado é proibido, parte da demanda migra. As próprias associações do setor alertaram que a proibição poderia empurrar usuários para cassinos online clandestinos, e o governo reconheceu o risco de migração. Nessas plataformas, o apostador entrega CPF, dados bancários e biometria facial a quem não tem identificação, não responde perante ninguém e frequentemente é divulgado por influenciadores, com promessas de ganhos fáceis.
Há também um cuidado específico com o momento atual. A devolução de saldos por CPF cria o cenário ideal para golpes de falso resgate: mensagens que se passam por banco, operadora ou órgão público e pedem senha, código recebido por SMS, pagamento de taxa ou envio de selfie para “liberar” o valor. O apostador que não está esperando contato nenhum deve desconfiar de todo contato que chega. Entretanto, quem de fato tem saldo a receber deve consultar apenas os canais oficiais do banco, e nunca links recebidos por mensagem.
O que fazer na prática
Primeiro, o apostador pode exercer seus direitos de titular perante a operadora em que tinha conta: perguntar quais dados ela mantém, por quanto tempo e com quem os compartilhou, e pedir a eliminação do que não precisa ser guardado. Segundo, convém monitorar o CPF e as contas bancárias nos meses seguintes, em busca de movimentações ou cadastros que a pessoa não reconheça. Terceiro, vale reforçar a segurança dos acessos, com senhas novas e autenticação em duas etapas nos aplicativos de pagamento usados nas apostas.
Se a operadora não responder ou responder de forma insatisfatória, o titular pode recorrer à ANPD, que recebe petições de titulares contra controladores. Se houver fraude ou uso indevido do CPF, o registro de boletim de ocorrência é o passo seguinte. Uma pessoa que perceba que seus dados foram usados em plataforma clandestina deve, além disso, preservar provas, como capturas de tela e comprovantes, antes de qualquer outra providência.
Conclusão
O fim das bets resolve uma discussão sobre saúde pública e endividamento, mas abre outra, bem menos visível, sobre o destino dos dados de milhões de apostadores. O dinheiro tem cronograma de devolução. Os dados dependem de a empresa cumprir a LGPD, de o titular exercer seus direitos e de a atenção ao golpe se manter alta. Como a MP ainda precisa passar pelo Congresso, o cenário pode mudar, mas os cuidados com CPF, biometria e histórico de gastos continuam valendo em qualquer hipótese.
Para aprofundar temas relacionados, vale consultar os artigos Sua Cara e Sua Voz Não São de Domínio Público: Deepfakes, Eleições e o Que a LGPD Diz sobre Isso e Como Criar um Plano de Retenção e Descarte de Dados Pessoais no blog da DPOnet.
Perguntas frequentes (FAQ)
Dúvidas comuns sobre o destino dos dados de apostadores após o fim das bets
1. Que dados as bets coletavam dos apostadores?
A regulamentação exigia verificação de identidade com CPF e reconhecimento facial, e as operadoras também registravam o histórico de apostas, o padrão de gastos e os dados de pagamento. A biometria facial é considerada dado sensível pela LGPD.
2. Com o fim das bets, as empresas são obrigadas a apagar meus dados?
Elas devem eliminar os dados quando a finalidade do tratamento termina, salvo se alguma lei permitir ou exigir a conservação, como obrigações fiscais ou de prevenção à lavagem de dinheiro. O que não tiver amparo legal para ficar guardado deve ser eliminado, e o titular pode pedir essa confirmação.
3. Como posso saber quais dados a operadora mantém sobre mim?
O titular pode pedir à operadora, pelos canais de privacidade da empresa, a confirmação do tratamento, o acesso aos dados e a informação sobre com quem eles foram compartilhados. Se a resposta não vier ou for insuficiente, é possível recorrer à ANPD.
4. Como me proteger de golpes durante a devolução de saldos?
Desconfie de qualquer mensagem, ligação ou link que peça senha, código de SMS, pagamento de taxa ou selfie para liberar valores. Consulte o saldo e o andamento da devolução somente pelos canais oficiais do seu banco ou dos órgãos responsáveis.
