Passatempos e geolocalização: segmentar por zona sem violar o RGPD

Como restringir geograficamente um passatempo sem violar o RGPD?

As empresas regionais, franquiadas ou sujeitas a restrições legais (álcool, jogos de azar, produtos farmacêuticos) devem segmentar os participantes por zona geográfica. No entanto, a geolocalização em tempo real constitui uma recolha de dados de localização, classificada como dado sensível pelo RGPD. Para permanecer em conformidade, deve obter um consentimento explícito e específico antes de qualquer recolha, documentar a sua base legal (interesse legítimo ou obrigação legal) e minimizar a quantidade de dados recolhidos, privilegiando soluções leves que identifiquem uma zona sem rastrear o utilizador continuamente.

O que é o dado de localização segundo o RGPD?

O dado de localização é definido pelo RGPD como qualquer informação que permita determinar a posição física de uma pessoa. Consta do artigo 4.º do regulamento, que o torna um elemento-chave da proteção dos dados pessoais. Contrariamente aos mitos comuns, a geolocalização não é explicitamente classificada como «dado sensível» da mesma forma que a biometria ou a origem racial. No entanto, pode revelar indiretamente dados sensíveis: a localização numa consulta médica, numa mesquita, num bar ou num casino expõe informações sobre a saúde, as convicções religiosas ou os hábitos. É por isso que as CNIL (incluindo a CNIL francesa) recomendam uma vigilância reforçada.

No contexto de um passatempo, recolhe portanto um dado pessoal que merece um tratamento jurídico rigoroso: consentimento prévio, transparência total na política de privacidade, direito de acesso e de eliminação para o utilizador.

Técnicas de verificação de zona sem rastreador contínuo

Em vez de utilizar uma geolocalização GPS ativa ou um rastreio de posição contínuo (muito invasivo), vários métodos legítimos permitem validar que um utilizador se encontra numa zona elegível:

Verificação via endereço IP (levantar de cortina progressivo)

O endereço IP do utilizador pode ser utilizado para estimar a sua região, sem consentimento RGPD específico se já for recolhido a título de dado de registo (server log). Bases de dados como MaxMind GeoIP2 ou similares mapeiam as faixas de IP para zonas geográficas com uma precisão de 50 a 100 km, dependendo do ISP. Vantagem: sem pop-up de consentimento adicional, pois o IP é um elemento técnico padrão. Limite: precisão insuficiente para um bairro ou um estabelecimento comercial preciso, e não robusta face às VPN.

Geolocalização HTML5 (com consentimento explícito)

Se utilizar a API Geolocation do navegador (W3C), esta requer um pop-up de consentimento nativo antes de qualquer primeira utilização. O utilizador vê «Este site pede acesso à sua localização» e pode recusar. Tecnicamente, este consentimento não está ligado ao consentimento RGPD de cookies, mas à permissão da plataforma (SO ou navegador). No entanto, a CNIL recomenda associar este consentimento ao seu pedido RGPD: no seu banner de cookies/consentimento, indique explicitamente que vai utilizar a geolocalização do navegador para validar a elegibilidade do passatempo.

Dados declarativos (self-service do utilizador)

Alguns passatempos pedem simplesmente ao utilizador que indique o seu código postal ou a sua cidade no momento da inscrição, sem recolha automática. Continua a ser um dado pessoal, mas é menos invasivo porque é voluntário e claro. O utilizador sabe exatamente o que é recolhido e pode recusar ou mentir. É um bom compromisso RGPD/UX para os passatempos não críticos. Para as atividades estritamente reguladas (casinos, PMU), uma verificação de endereço posterior (aquando do pagamento do prémio, por exemplo) reforça a fiabilidade.

Combinação IP + endereço declarado

Uma abordagem híbrida saudável: recolher o IP (técnico, pouco invasivo) e depois pedir ao utilizador para confirmar o seu código postal. Compare os dois: se o IP indicar a região Île-de-France e o utilizador declarar o 75001, é coerente. Se o IP indicar a Suíça e o código postal for 75001, subsiste uma dúvida (VPN ou mentira), e pode pedir uma verificação adicional antes de declarar o prémio.

Gestão dos falsos positivos: VPN, roaming e turismo

Porque é que as VPN falseiam as restrições geográficas?

Um utilizador pode mascarar a sua verdadeira localização utilizando uma VPN (rede privada virtual), que faz aparecer o IP como o de um servidor situado noutra região ou país. Para um passatempo restrito a França, uma pessoa na Bélgica pode ligar-se através de uma VPN francesa e contornar a restrição. O seu sistema deve antecipar este caso sem violar o RGPD nem bloquear os utilizadores legítimos que viajam.

Estratégias de deteção sem sobrecarga RGPD

Método 1: Fuso horário do navegador + IP Se o IP indicar França (GMT+1) mas o fuso horário do navegador estiver configurado para UTC-5 (América do Norte), é um indício de VPN ou de viagem. Pode decidir emitir um alerta, mas não bloquear automaticamente (o utilizador pode estar a viajar legitimamente).

Método 2: Verificação diferida via SMS ou email No momento da validação do prémio, envia um SMS ou um email de confirmação para o endereço fornecido. Se o endereço IP utilizado na inscrição diferir massivamente da localização real (determinada por dados de negócio posteriores), pode pedir uma prova documental (extrato bancário, fatura de eletricidade) antes do pagamento.

Método 3: Sem rastreio contínuo, snapshot na inscrição Limite a recolha a um único momento: ao clicar em «Participar». Após este snapshot, não reatualiza a localização. Assim, um utilizador que se liga a partir da VPN uma única vez e ganha o prémio não é rastreado continuamente. Isto reduz drasticamente a invasividade RGPD.

Método 4: Bónus/malus de confiança para os casos-limite Se um IP corresponder a uma VPN comercial conhecida (o que pode ser detetado através de bases de dados VPN públicas), pode classificar este utilizador na categoria «A verificar» e reforçar a verificação de identidade antes do pagamento, sem o bloquear instantaneamente.

Alternativas à geolocalização em tempo real

Parceiros locais e códigos de promoção

Em vez de recolher dados de localização, forneça códigos promocionais distribuídos localmente: um código único válido apenas para pontos de venda físicos (lojas, restaurantes) ou partilhado em emails segmentados para clientes registados numa zona. Isto cria uma barreira ao acesso que não implica rastreio.

Base de dados de clientes existente (CRM)

Se for uma franquia ou uma cadeia, já dispõe de uma base de clientes com endereço conhecido. Restrinja o passatempo aos clientes registados no seu CRM, em vez de o estender a toda a web. Este método pressupõe um consentimento prévio para o CRM (já obtido na compra) e minimiza a recolha de novos dados.

Limitação por dispositivo móvel ou app

Se possuir uma app móvel, o passatempo pode ser acessível apenas através da app, onde os direitos de acesso às permissões são mais estritos e melhor compreendidos pelo utilizador. Uma app permite também verificar a subscrição, a localização da última compra, etc., através de dados de negócio já na sua posse.

Restrições por língua, domínio de email ou pagamento

Um passatempo reservado aos residentes da Suíça pode ser limitado a:

• Domínios de email .ch ou endereços de bancos suíços
• Pagamento apenas via cartões bancários suíços (verificáveis através do código BIC)
• Um formulário com seleção de cantão obrigatória (autodeclaração)

Estes métodos contornam a geolocalização técnica ao identificar o utilizador através de outros sinais, menos invasivos.

Quadro legal: bases jurídicas e consentimento

Base legal: interesse legítimo vs. consentimento

Segundo o artigo 6.º do RGPD, a recolha de dados exige uma base legal. Para um passatempo com restrição geográfica, as bases possíveis são:

Consentimento (artigo 6.º, n.º 1, alínea a)) : o utilizador aceita explicitamente que recolha a sua localização para verificar a sua elegibilidade. É a base mais simples de justificar e recomendada pela CNIL para os passatempos. O consentimento deve ser dado antes da recolha, através de uma escolha explícita (caixa de seleção), não de uma caixa pré-selecionada.

Interesse legítimo (artigo 6.º, n.º 1, alínea f)) : pode argumentar que a restrição geográfica é necessária para cumprir uma obrigação legal (por exemplo, os jogos de azar proibidos a menores de 18 anos em certas zonas) ou para proteger os seus direitos. No entanto, isto deve ser equilibrado por uma avaliação de impacto CNIL. Um interesse legítimo isolado («proteger a nossa marca») raramente é suficiente para a geolocalização.

Obrigação legal (artigo 6.º, n.º 1, alínea c)) : se estiver sujeito por lei a uma restrição (exemplo: a PMU só pode operar legalmente em certos departamentos), esta base protege-o juridicamente. Documente esta obrigação na sua política de privacidade.

Para a maioria dos passatempos comerciais, o consentimento é o mais seguro.

Redação de uma cláusula de consentimento geo-específica

Eis um modelo de cláusula conforme:

«Geolocalização para a elegibilidade ao passatempo

Para participar neste passatempo, recolhemos a sua localização (via endereço IP da sua ligação e/ou o seu código postal declarado) a fim de verificar que reside em [ZONA ELEGÍVEL: França metropolitana / Île-de-France / Suíça / etc.].

Este dado:

• É recolhido apenas no momento da sua inscrição
• É conservado durante [DURAÇÃO: 6 meses / até ao pagamento do prémio]
• É tratado em conformidade com a nossa [LINK política de privacidade]
• Pode ser eliminado a pedido via [EMAIL/FORMULÁRIO]
• Não é partilhado com terceiros comerciais

[CAIXA DE SELEÇÃO] Aceito a recolha da minha localização para verificar a minha elegibilidade.»

Esta cláusula deve aparecer antes do botão «Participar», e o utilizador não pode prosseguir sem a ter assinalado. Deve também ser repetida na política de privacidade completa.

Casos de uso setoriais

PMU e jogos de azar

Os operadores de jogos de azar online (PMU, FDJ, casinos) estão sujeitos a regulações estritas: os menores são proibidos, as zonas de exploração são limitadas por licença. Um passatempo PMU deve verificar que nenhum menor participa e que o utilizador reside em zona de exploração legal.

Abordagem recomendada:

1. Recolha da idade (via data de nascimento declarada) - base legal: obrigação legal
2. Restrição IP + código postal - base legal: obrigação legal + consentimento para a localização
3. Verificação KYC (Know Your Customer) reforçada antes do pagamento do prémio (identidade, endereço, documento de identidade) - base legal: obrigação legal

A CNIL e a ARJEL (Autoridade de Regulação dos Jogos Online) aceitam esta abordagem multicamada porque concilia a proteção dos menores e a conformidade RGPD.

Marcas de álcool e tabaco

Como os jogos de azar, estes setores são regulados: restrição de idade, limitação geográfica em certos países (exemplo: o tabaco na Austrália). Um passatempo de uma marca de rum deve verificar a idade E a zona.

Abordagem:

• Pedido de idade obrigatório (consentimento parental possível para os menores, consoante o contexto)
• Restrição por zona se aplicável (por vezes apenas certos países, não regiões)
• Sem rastreio contínuo após a inscrição, pois a idade e a zona não mudam

Marcas regionais e franquias

Uma padaria em franquia no Grande Lyon que lança um passatempo regional deve assegurar-se de que os participantes estão na zona de entrega. Uma farmácia na Alsácia oferece um vale de compra ao vencedor, válido apenas no seu departamento.

Abordagem:

• Recolha simples: código postal + endereço declarado
• Base legal: interesse legítimo (garantir a viabilidade do prémio) + consentimento
• Verificação posterior: antes do envio do prémio, confirmar o endereço via email/SMS

Estes casos são menos regulados do que o álcool/jogos, pelo que um consentimento claro é suficiente.

E-commerce com expedição limitada

Um site de venda online organiza um passatempo em França, mas só entrega na metrópole e na Córsega. Restringe os participantes a essas zonas.

Abordagem:

• Pedido do código postal ou do endereço completo de entrega
• Base legal: interesse legítimo (validade da entrega) + consentimento opcional
• Não é necessária geolocalização ativa; o endereço declarado é suficiente

Colocação em conformidade prática: checklist

1. Audite a sua base legal: obrigação legal, interesse legítimo ou consentimento? Documente-a.
2. Escolha a tecnologia mínima: IP + código postal declarado é frequentemente suficiente. Evite o GPS/Bluetooth contínuo.
3. Redija uma cláusula clara: antes do botão «Participar», explique por que e como recolhe a localização.
4. Integre no consentimento de cookies: indique a geolocalização no seu banner de cookies inicial ou num consentimento separado.
5. Documente a conservação: especifique a duração (ex.: 6 meses, ou até ao pagamento do prémio).
6. Prepare os direitos de acesso: o utilizador deve poder pedir os seus dados e fazer eliminá-los.
7. Gira os falsos positivos: antecipe as VPN, as viagens, e não bloqueie automaticamente; peça antes uma verificação adicional.
8. Teste o seu formulário: assegure-se de que o consentimento é realmente pedido e registado.
9. Forme a sua equipa: o serviço de apoio ao cliente, a moderação e o pagamento devem saber justificar as recusas geográficas.
10. Consulte um DPO se necessário: para os setores regulados (álcool, jogos, farmacêutica), um parecer interno ou externo reforça a legitimidade.

Os erros a evitar

Recolher o IP sem o dizer: mesmo que o IP seja um registo técnico, indicá-lo na política de privacidade no contexto de um passatempo é transparente.

Geolocalização permanente: após a inscrição, não reatualize a localização do utilizador. Um snapshot é suficiente.

Banimento de VPN: bloquear sistematicamente as VPN falseia os resultados (utilizadores legítimos em viagem) e gera reclamações. Tolere-as e verifique antes do pagamento.

Partilha não divulgada: se partilhar os dados de localização com um parceiro (servidor API externo), declare-o explicitamente no consentimento.

Ausência de política de privacidade: um passatempo sem política de privacidade viola o RGPD, independentemente da tecnologia.

Consentimento pré-selecionado: uma caixa já assinalada não é um consentimento válido segundo a CNIL.

Conclusão: um equilíbrio entre segmentação e respeito

A geolocalização não é proibida pelo RGPD, mas exige um enquadramento rigoroso. Para um passatempo restrito geograficamente, combine uma base legal clara (consentimento ou obrigação legal), uma tecnologia mínima (IP + código postal > GPS contínuo) e uma transparência total (cláusula de consentimento explícita). Esta abordagem permite-lhe segmentar eficazmente os participantes respeitando a vida privada e a conformidade. Para os setores regulados (álcool, jogos, farmacêutica), reforce a verificação no momento do pagamento do prémio. Documente tudo para justificar a sua conformidade em caso de controlo da CNIL.