KYC/AML para operadores de jogos de azar online: obrigações AMLD6 2026

Os operadores de jogos de azar online estão classificados como entidades obrigadas ao abrigo da legislação europeia de prevenção do branqueamento de capitais e financiamento do terrorismo (PBC/FT). Com a plena aplicação do Regulamento AMLR (UE 2024/1624) e da Sexta Diretiva AMLD6 (UE 2024/1640) a partir de 10 de julho de 2027, as obrigações de conformidade serão harmonizadas nos 27 Estados-Membros. Em Portugal, os operadores licenciados pelo Serviço de Regulação e Inspeção de Jogos (SRIJ) estão sujeitos à Lei n.º 83/2017, de 18 de agosto, relativa às medidas de combate ao branqueamento de capitais e ao financiamento do terrorismo, com supervisão do Banco de Portugal e articulação com o DCIAP (Departamento Central de Investigação e Ação Penal).

Este artigo tem caráter informativo e não constitui aconselhamento jurídico ou regulatório. As referências normativas são exatas na data de publicação. Consulte um profissional qualificado para orientação específica.

Quais operadores de jogos são abrangidos pelo AMLD6?

O Artigo 3.º, n.º 3, alínea e) do Regulamento UE 2024/1624 enumera explicitamente os "prestadores de serviços de jogo" entre as entidades obrigadas (EUR-Lex, Regulamento UE 2024/1624). Em Portugal, a Lei n.º 83/2017 aplica-se aos operadores licenciados pelo SRIJ para apostas desportivas à quota, poker online, bingo online e outros jogos de azar em linha.

A Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) e o Banco de Portugal partilham responsabilidades de supervisão PBC/FT no sector financeiro, mas para os operadores de jogos, o SRIJ é a entidade licenciadora e tem obrigações de articulação com as autoridades PBC/FT.

Obrigações de Diligência Devida do Cliente (DDC)

A Diligência Devida do Cliente padrão (DDC) é acionada quando a transação atinge EUR 2.000 numa única operação ou de forma acumulada num período de 24 horas. O Banco de Portugal e o SRIJ recordam que este limiar se aplica tanto a depósitos como ao pagamento de prémios superiores a este valor (Banco de Portugal, Guia setorial PBC/FT 2024).

Documentos exigidos para identificação do cliente

A identificação padrão exige:

• Documento de identificação oficial: Cartão de Cidadão (CC) em vigor, passaporte ou Autorização de Residência para cidadãos não comunitários
• Comprovativo de morada: fatura de serviços públicos ou extrato bancário com data inferior a 3 meses
• Verificação de idade: confirmação da maioridade (18 anos mínimo)
• Para pessoas coletivas: certidão da Conservatória do Registo Comercial, estatutos, identificação do beneficiário efetivo (UBO)

A verificação pode ser feita por meios telemáticos quando o sistema cumpra os requisitos de identificação não presencial estabelecidos pelo Regulamento eIDAS (UE 910/2014) e as orientações do Banco de Portugal.

CheckFile oferece verificação documental multicamada para os fluxos de incorporação dos operadores de jogos, com análise estrutural, controlo de metadados e verificação de consistência entre documentos.

Abordagem baseada no risco

A abordagem baseada no risco exige a segmentação da clientela. Indicadores de risco específicos do setor dos jogos:

• Depósitos frequentes próximos do limiar sem o ultrapassar (estruturação)
• Utilização de criptomoedas ou carteiras eletrónicas anónimas para depósitos
• Padrões de jogo deliberadamente perdedores (método de conversão de fundos ilícitos)
• Levantamentos imediatos após depósito sem atividade de jogo significativa

Diligência Devida Reforçada (DDR): clientes de alto valor e PPE

A Diligência Devida Reforçada (DDR) é obrigatória quando o perfil de risco do cliente é elevado. O Artigo 36.º do Regulamento AMLR exige DDR para Pessoas Politicamente Expostas (PPE), clientes de países de alto risco segundo o GAFI, e relações que apresentem características atípicas (EUR-Lex, Regulamento UE 2024/1624, Art. 36.º).

No setor dos jogos online, a DDR é especificamente necessária para:

Jogadores VIP e de alto valor: os clientes cujos depósitos acumulados ultrapassem EUR 25.000 em 12 meses consecutivos devem ser sujeitos a DDR, incluindo verificação da origem dos fundos (source of funds) e, se necessário, da origem do património (source of wealth). O operador deve documentar a coerência entre o nível de jogo e a capacidade económica do cliente.

Comportamentos atípicos: o operador deve aplicar DDR quando detetar indícios de branqueamento, como perdas deliberadas repetidas, utilização de múltiplos métodos de pagamento, ou pedidos de transferências para contas de terceiros.

A plataforma CheckFile centraliza a documentação DDR e mantém o rasto de auditoria durante os 5 anos exigidos pela regulamentação.

Comunicações ao DCIAP / Unidade de Informação Financeira

Os operadores licenciados em Portugal devem comunicar às autoridades competentes (em articulação com o DCIAP e a Unidade de Informação Financeira — UIF) qualquer operação sobre a qual tenham suspeita de que os fundos provêm de atividades ilícitas ou estão associados ao financiamento do terrorismo. As comunicações de operações suspeitas do setor dos jogos têm registado um crescimento consistente nas estatísticas anuais do Banco de Portugal e do DCIAP (DCIAP, Relatório PBC/FT 2024).

Situações típicas de comunicação no setor dos jogos:

• Cliente com perfil de apostador de alto nível sem justificação económica plausível
• Uso sistemático de criptomoedas ou meios de pagamento anónimos
• Pedidos de reembolso de depósitos importantes sem jogo prévio significativo
• Comportamento de jogo orientado para a conversão de numerário ilícito em prémios legais

A proibição de comunicação ao interessado (tipping-off) impede o operador de alertar o cliente de que efetuou ou pondera efetuar uma comunicação.

Conservação de dados e conformidade com o RGPD

O Regulamento AMLR impõe a conservação dos dados de identificação e transações durante 5 anos após o fim da relação comercial (Art. 77.º, Regulamento UE 2024/1624). Em Portugal, a Lei n.º 83/2017 prevê igualmente o prazo mínimo de 5 anos. Esta obrigação coexiste com o RGPD e com a Lei n.º 58/2019 relativa à proteção de dados pessoais.

Para orientação prática sobre conservação de documentos em diferentes jurisdições, consulte o guia de conservação de documentos.

Controlos internos e governação

O Regulamento AMLR (Art. 8.º-9.º) e a Lei n.º 83/2017 exigem que os operadores de jogos designem um Responsável pelo Cumprimento Normativo PBC/FT (equivalente ao MLRO anglo-saxónico), implementem procedimentos internos documentados e forneçam formação regular ao pessoal.

• Avaliação anual do risco: análise dos riscos específicos do operador em função dos seus produtos, clientela e canais de pagamento
• Formação contínua: todo o pessoal em contacto com clientes e a equipa de fraude devem receber formação anual sobre tipologias de branqueamento via jogos
• Auditoria independente: revisão bianual do sistema de controlo interno PBC/FT
• Manual de prevenção: documento atualizado com os procedimentos KYC/DDR/comunicações

CheckFile integra-se com os sistemas de incorporação dos operadores via API para automatizar os controlos documentais e gerar registos de conformidade prontos para inspeção regulatória.

Consulte também o guia sobre conformidade AMLD6 para entidades obrigadas e o guia de diligência devida reforçada.

Perguntas frequentes

Os operadores de jogos online já eram sujeitos às normas AML antes do AMLD6?

Sim. Os prestadores de serviços de jogo têm sido entidades obrigadas desde a Quarta Diretiva (AMLD4, 2015) para todos os serviços de jogo acima do limiar de EUR 2.000. O AMLD6 e o Regulamento AMLR 2024 reforçam e harmonizam diretamente estas obrigações em toda a UE sem necessidade de transposição nacional.

Qual é o limiar de DDC para operadores de jogos online?

O limiar padrão de DDC é EUR 2.000 por transação ou como total acumulado de transações ligadas num período de 24 horas. Muitos operadores aplicam DDC a partir da criação da conta, independentemente do valor do depósito inicial, prática considerada de excelência pelas autoridades de supervisão europeias.

O que acontece se um operador não cumprir as obrigações AML?

Ao abrigo do AMLD6, as coimas podem atingir EUR 10 milhões ou 10% do volume de negócios anual para pessoas coletivas. O SRIJ pode adicionalmente suspender ou revogar a licença do operador infrator. A Lei n.º 83/2017 prevê também sanções administrativas graduadas segundo a gravidade da infração.

Os depósitos com criptomoedas requerem tratamento KYC específico?

Sim. Os depósitos com criptomoedas requerem diligência devida reforçada porque podem dificultar a rastreabilidade da origem dos fundos. Os operadores devem verificar a origem dos criptoativos, controlar que as carteiras não constem em listas de sanções e aplicar a Travel Rule do GAFI quando aplicável.

Como deve o operador lidar com jogadores que recusam fornecer documentação?

Se um cliente recusar fornecer a documentação exigida para DDC, o operador deve abster-se de estabelecer ou manter a relação de negócio. Nos casos em que já exista uma relação estabelecida, o operador deve ponderar efetuar uma comunicação ao DCIAP se a recusa for acompanhada de outros indícios de suspeita.