João SantosA 14.ª edição do Troféu Cinco Violinos coloca hoje, 25 de julho de 2026, o Sporting CP frente ao AS Mônaco no Estádio de Alvalade — e com ela emerge uma dimensão que os adeptos raramente consideram: a enorme quantidade de dados pessoais e biométricos que circula entre as duas organizações, tanto em contexto desportivo como negocial, a propósito da transferência em curso de Flávio Nazinho para o Principado do Mônaco. O Regulamento Geral sobre a Proteção de Dados (RGPD) aplica-se a esta realidade com todo o rigor — e a maioria dos intervenientes no futebol português ainda não está preparada para isso.
O que se passa nos bastidores de um encontro desta dimensão
O futebol profissional moderno é inseparável da recolha massiva de dados. Nos treinos e jogos do Sporting CP, sensores GPS integrados nas camisolas de cada jogador registam, em tempo real, cada deslocamento, velocidade máxima de sprint, aceleração e distância total percorrida. Dispositivos cardíacos monitorizam a frequência cardíaca, a variabilidade entre batimentos e a recuperação pós-esforço. Plataformas de análise de vídeo como o Wyscout compilam centenas de horas de imagens com dados de posicionamento sobrepostos. Testes laboratoriais — análises ao sangue e urina, medições de lactato, avaliações de composição corporal — completam um perfil digital que nenhum adepto vê, mas que vale milhões nas negociações de mercado.
Quando dois clubes como o Sporting e o Mônaco se encontram — seja para um jogo de pré-época, seja para negociar uma transferência — esta informação é partilhada. O clube cedente partilha o historial médico do jogador, os relatórios de desempenho físico, as avaliações psicológicas e os dados de testes laboratoriais. Trata-se de dados de saúde, categoria especial ao abrigo do artigo 9.º do RGPD, sujeitos a um regime de proteção mais exigente do que os dados comuns.
O Mônaco não é membro da União Europeia. Uma transferência de dados pessoais de Portugal para o Principado — mesmo que seja apenas o ficheiro médico de um atleta — exige, nos termos do artigo 46.º do RGPD, a existência de garantias adequadas: cláusulas contratuais-tipo aprovadas pela Comissão Europeia, regras vinculativas para empresas ou outra salvaguarda reconhecida. Sem estas garantias, a transferência é ilegal, independentemente do valor de mercado do jogador ou do prestígio dos clubes envolvidos.
O que diz o perito: o RGPD aplica-se dentro e fora do campo
Para um especialista em informática e proteção de dados, o futebol profissional representa um dos setores com maior exposição ao risco de incumprimento do RGPD em Portugal — precisamente porque o volume e a sensibilidade dos dados tratados raramente são acompanhados de processos de conformidade equivalentes.
Os clubes de futebol tratam regularmente três categorias de dados de alto risco: dados de localização contínuos (GPS em tempo real), dados de saúde (relatórios médicos, biométricos e de desempenho físico) e dados relativos à situação pessoal e contratual dos atletas. Estes dados geram obrigações específicas ao abrigo do RGPD: nomeação obrigatória de um Encarregado de Proteção de Dados (DPO) quando o tratamento em larga escala de categorias especiais é sistemático; realização de uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) antes de implementar sistemas de monitorização biométrica; e registo de todas as atividades de tratamento, conforme impõe o artigo 30.º do RGPD.
A CNPD — Comissão Nacional de Proteção de Dados — já demonstrou, em deliberações anteriores, que a recolha de biometria em contexto laboral está sujeita a controlo rigoroso em Portugal. A relação entre um clube e um jogador profissional é uma relação laboral, e o jogador é um trabalhador com todos os direitos de proteção de dados que isso implica. O consentimento, quando invocado como base legal para o tratamento de dados de saúde, tem de ser "livre, específico, informado e inequívoco" (artigo 4.º, n.º 11 do RGPD) — condição difícil de preencher numa relação em que existe clara assimetria de poder entre o empregador-clube e o atleta.
Segundo o portal da CNPD sobre transferências internacionais de dados, qualquer fluxo de dados pessoais para países terceiros como o Mônaco deve ser documentado e sujeito a garantias adequadas. A violação pode implicar coimas de até 20 milhões de euros ou 4% do volume de negócios anual global do clube, ao abrigo do artigo 83.º, n.º 5 do RGPD — valores que colocam o incumprimento no mesmo patamar de risco financeiro que uma cláusula de rescisão de um jogador de topo.
O que acontece durante a transferência de Nazinho: dados além da cláusula de rescisão
A transferência de Flávio Nazinho do Cercle Brugge para o AS Mônaco, com encaixe financeiro para o Sporting, é o pano de fundo do Troféu desta noite. Do ponto de vista da proteção de dados, este tipo de operação envolve um fluxo de informação que vai muito além do valor de mercado publicado nos jornais.
O clube cedente tem de partilhar com o Mônaco o historial de saúde completo do jogador — lesões passadas, resultados de exames físicos, dados de ressonância magnética, avaliações de risco de nova lesão. Estes dados de saúde, classificados como categoria especial pelo artigo 9.º do RGPD, só podem ser comunicados a terceiros com base legal reforçada e documentada. O Sporting, enquanto detentor de direitos económicos sobre o jogador, pode ter acesso a parte desta informação contratual — o que gera uma relação trilateral de responsabilidade de tratamento de dados que poucos contratos desportivos contemplam com o detalhe exigido pelo RGPD.
O jogador tem o direito de saber, em qualquer momento, quais os seus dados que foram partilhados e com quem — direito de acesso garantido pelo artigo 15.º do RGPD. Se o pedido de acesso não for respondido no prazo de 30 dias, o atleta pode apresentar queixa junto da autoridade de proteção de dados do país em causa, ou recorrer diretamente à CNPD se a violação tiver origem em Portugal.
Caso concreto: um atleta distrital e os seus 47 registos GPS
O risco de incumprimento do RGPD não é exclusivo dos grandes clubes com departamentos jurídicos. O seguinte cenário é corrente no futebol português amateur e semi-profissional:
Um jogador de 24 anos que atua num clube do campeonato distrital de Lisboa recebe uma proposta de um clube da Ligue 2 francesa. O clube português acumulou, ao longo de 8 meses de época, os seguintes dados sobre este atleta: registos GPS de 47 sessões de treino com dados de localização, velocidade e aceleração; ficheiro médico com historial de duas lesões musculares — dado de saúde classificado como categoria especial ao abrigo do artigo 9.º do RGPD; e relatório de avaliação física com resultados de testes de força, resistência e agilidade.
Se o clube enviar este ficheiro por e-mail não encriptado para o clube francês, está a violar o artigo 32.º do RGPD, que obriga à adoção de medidas técnicas adequadas ao risco — incluindo encriptação em trânsito para dados de saúde. A coima aplicável por esta violação das obrigações de segurança pode atingir 10 milhões de euros ou 2% do volume de negócios anual global do responsável pelo tratamento, ao abrigo do artigo 83.º, n.º 4 do RGPD.
Se o jogador não foi informado, no momento em que os dados foram recolhidos, de que poderiam ser partilhados com clubes estrangeiros, o tratamento carece de base legal válida para esta finalidade específica. O consentimento dado na inscrição inicial no clube não abrange comunicações a terceiros não identificados para finalidades não descritas. Neste caso, o jogador pode exigir a eliminação dos dados partilhados indevidamente e apresentar queixa à CNPD.
A boa notícia para os dirigentes de clubes: um especialista em informática e proteção de dados pode ajudar a implementar, em dois a três dias de trabalho, um sistema básico de conformidade RGPD que cobre estas obrigações — desde um registo de atividades de tratamento até um modelo de consentimento atualizado para atletas e um procedimento seguro de partilha de ficheiros com clubes externos.
O que fazer agora: direitos concretos para jogadores, clubes e adeptos
Para jogadores profissionais e amadores: antes de assinar qualquer documento de transferência, exerça o direito de acesso previsto no artigo 15.º do RGPD junto do clube atual. Solicite, por escrito ou por e-mail, a lista completa dos dados pessoais que o clube mantém sobre si — incluindo dados de treino, médicos e contratuais. O clube tem 30 dias para responder. Se não responder, ou se responder de forma incompleta, pode apresentar queixa à CNPD sem custo.
Para dirigentes de clubes de todos os escalões: realizem uma auditoria mínima ao tratamento de dados de atletas. Identifiquem todos os sistemas que recolhem dados — aplicações GPS, plataformas de vídeo, apps de bem-estar, software de gestão clínica — e verifiquem se existe base legal documentada para cada operação de tratamento. Se o clube partilha dados com entidades fora da UE, incluindo o Principado do Mônaco, o Reino Unido ou os EUA, é necessário confirmar a existência de garantias adequadas ao abrigo do artigo 46.º do RGPD antes de qualquer partilha.
Para adeptos que compram bilhetes online para eventos como o Troféu Cinco Violinos: leiam a política de privacidade antes de aceitar a compra. Têm o direito de se opor ao tratamento de dados para fins de marketing direto, mesmo após ter dado consentimento anteriormente, ao abrigo do artigo 21.º do RGPD.
A crescente internacionalização do futebol português — da qual o Sporting CP e as suas ligações ao Mônaco são um exemplo atual e concreto — torna a proteção de dados pessoais uma questão urgente para organizações desportivas de todas as dimensões. Consultar um especialista em informática e segurança de dados pode ser o primeiro passo para garantir que o seu clube está em conformidade com o RGPD antes de a próxima transferência — ou o próximo jogo internacional — acontecer.
Este artigo tem finalidade informativa e não substitui aconselhamento técnico ou jurídico especializado em proteção de dados.
