Deixa eu te dizer qual é a história que todo mundo está contando sobre a autoexclusão da SPA, porque ela é boa. É convincente. E em grande parte, ela está certa.

A história é assim: a partir de 1º de janeiro de 2026, com o regime da Lei 14.790/2023 plenamente operacional, o Brasil passou a ter um cadastro de autoexclusão amarrado ao seu CPF. Você se inscreve uma vez — não em cada casa, uma vez — e como o CPF é a chave universal de identificação do apostador, e como a verificação de CPF é obrigatória para abrir conta em qualquer operadora licenciada, o bloqueio se propaga. Betano, Bet365 Brasil, Sportingbet, KTO, Stake. Todas elas. Você fecha a porta uma vez e ela tranca em todo o quarteirão.

E o argumento mais forte a favor dessa leitura é que ele já funciona assim em outros lugares. O Reino Unido tem o GAMSTOP. A Alemanha tem o OASIS. Países sérios construíram exatamente esse mecanismo — um registro central, uma inscrição, bloqueio em todos os operadores licenciados — e ele funciona. O Brasil copiou o desenho certo. Por que duvidar?

Por Que Isso é Verdade

Não vou fingir que essa leitura está errada, porque na arquitetura ela está certa. O CPF realmente é a chave que faltava nos modelos mais frágeis. Em jurisdições onde a identificação é por e-mail ou documento auto-declarado, o apostador autoexcluído abre conta nova com outro e-mail e contorna o bloqueio em dez minutos. O CPF fecha essa fenda: é único, é verificável, e a SPA, vinculada ao Ministério da Fazenda, tornou a checagem obrigatória na abertura de conta. Sem CPF válido e batido, não há conta. Esse é o alicerce.

E o modelo de referência existe, no registro público, há anos. O GAMSTOP do Reino Unido cobre automaticamente todo operador licenciado pela UKGC. Uma inscrição bloqueia depósitos em todas as marcas por um período escolhido — seis meses, um ano ou cinco anos. São cerca de 420 mil pessoas registradas, com crescimento anual de 35%. Não é teoria. É um sistema com mais de uma década de telemetria provando que o desenho central-mais-CPF-equivalente funciona quando a cobertura é compulsória.

A Alemanha foi além. O sistema OASIS, operado pela autoridade federal de jogo, não só faz autoexclusão cruzada como impõe um teto de depósito de 1.000 euros mensais somados entre todas as operadoras licenciadas — você não escapa abrindo conta em três casas, porque o sistema lê o total agregado. Isso é vigilância cross-operadora de verdade, em tempo real.

Então quando alguém te diz que o cadastro SPA por CPF cria um bloqueio que atravessa todas as casas, essa pessoa está descrevendo um desenho real, testado, e legalmente compulsório. Concedo o ponto inteiro. O Brasil não inventou uma fantasia regulatória. Ele importou a melhor prática.

Mas tem uma coisa que esse enquadramento esconde por completo — e é exatamente o buraco por onde o dinheiro de quem mais precisa de proteção continua vazando.

Onde Isso Desmorona

O bloqueio cross-operadora da SPA cobre todo operador licenciado pela SPA. Leia essa frase de novo, devagar, porque a palavra que carrega o peso é "licenciado". O cadastro não bloqueia o que está fora do cadastro. E o que está fora do cadastro, no Brasil de 2026, ainda é enorme.

A Lei 14.790/2023 entrou em operação em janeiro de 2025, com a SPA emitindo mais de 60 licenças iniciais a R$ 30 milhões cada, sobre uma carga de 12% de GGR mais 15% de IR retido na fonte sobre prêmios acima de R$ 2.259,20. Isso criou uma fronteira nítida: de um lado, as casas que pagaram para entrar; do outro, o mercado cinza. E o mercado cinza não é pequeno. A própria Bet365, no registro público, opera em cerca de 170 países com exposição a mercado cinza estimada em 22% da operação. Esses sites .com offshore não consultam o cadastro SPA antes de aceitar seu depósito via PIX. Eles não estão no sistema. Seu CPF autoexcluído não significa nada para eles.

Aqui é onde dois documentos primários se contradizem de um jeito que ninguém te explica. O modelo do GAMSTOP, no registro público, define escopo como "todo operador licenciado pela UKGC" — bloqueio de marca, binário, você dentro ou fora. O modelo alemão, também no registro público, define cross-operadora como vigilância de depósito agregado — ele te deixa apostar, mas soma tudo e trava no teto. São duas coisas diferentes chamadas pelo mesmo nome. Ambas operativas. O Brasil escreveu a Lei 14.790 mirando o modelo binário tipo GAMSTOP — exclusão total — sem o aparato de monitoramento de fluxo agregado que a Alemanha construiu. Resultado: o bloqueio SPA é forte na fronteira que controla e cego para a fronteira que não controla.

E tem o intervalo entre inscrição e execução. Inscrever-se no cadastro é um ato. Cada operadora licenciada propagar esse bloqueio nos próprios sistemas é outro — e nos primeiros meses de qualquer registro central, essa propagação tem latência. O registro público de operadores da UKGC mostra 268 operadores online licenciados, e levou anos de multas e ajustes até o GAMSTOP fechar suas frestas de sincronização. O cadastro SPA é jovem. A latência ainda está sendo calibrada.

A Regra Que Eu Uso

Então aqui está como eu penso nisso, e é a regra que eu daria pra um irmão mais novo que me dissesse que quer parar.

Não trate a autoexclusão SPA como um muro. Trate como uma das três camadas — e a única que depende de terceiros para funcionar. A camada um é o cadastro CPF: faça, é gratuito, e fecha a porta de todas as casas licenciadas de uma vez. Mas você está delegando a execução a 60+ empresas e a um regulador novo. A camada dois é o seu banco. Bloqueie transações de jogo no Nubank, no Itaú, no Banco do Brasil — vários já oferecem o bloqueio de categoria de comerciante. Isso intercepta o PIX antes de ele sair, e não depende de a casa offshore te reconhecer. A camada três é o dispositivo: bloqueador de aplicativos, filtro de DNS.

Por que três camadas? Porque cada uma cobre o ponto cego da outra. O cadastro SPA é cego ao offshore. O bloqueio bancário é cego a nada — ele vê o dinheiro saindo, licenciado ou não. Mas o bloqueio bancário você pode desligar sozinho num momento de fissura, enquanto a autoexclusão SPA, uma vez feita, tem prazo mínimo travado por lei. Uma protege do mercado, a outra protege de você mesmo.

A aritmética importa aqui. A casa que te custa mais não é a que está no cadastro — é a que está fora dele, aceitando seu PIX às três da manhã sem checar nada. Foi por isso que a Alemanha construiu o teto agregado de 1.000 euros em vez de confiar só na exclusão binária: porque no registro público das próprias autoridades europeias, o comportamento de quem quer continuar apostando é migrar para a borda do sistema, não parar. Sua regra tem que cobrir a borda.

Quando a Regra Antiga Ainda Vence

Vou ser honesto: para um perfil específico de apostador, o muro de camada única funciona, e adicionar as outras duas é zelo desnecessário. Se você só joga em casas licenciadas SPA, nunca tocou num .com offshore, paga tudo via PIX rastreável e seu problema é mais hábito do que compulsão — o cadastro CPF sozinho resolve. Você não vai caçar a borda do sistema porque a borda nunca fez parte do seu jogo. Para você, o desenho importado do GAMSTOP faz exatamente o que promete.

Então observe três sinais para saber em qual perfil você está, e quando atualizar sua leitura. Primeiro: a SPA publicar dados de propagação do bloqueio — quanto tempo entre inscrição e execução em todas as casas. Segundo: qualquer operadora licenciada multada por aceitar depósito de CPF autoexcluído, o que mostraria que a execução tem dentes. Terceiro: o surgimento de um teto de depósito agregado nos moldes alemães na regulamentação brasileira. Enquanto esses três não aparecerem no registro público, opere como se o muro tivesse um portão dos fundos. Porque tem.

Perguntas frequentes

A autoexclusão por CPF na SPA bloqueia mesmo todas as casas de uma vez?

Bloqueia todas as casas licenciadas pela SPA de uma vez — esse é o desenho da Lei 14.790/2023, com o CPF como chave única e verificação obrigatória na abertura de conta. O que ela não bloqueia são operadores offshore fora do cadastro, que não consultam o registro antes de aceitar seu PIX. Dentro do perímetro licenciado, é cross-operadora real. Fora dele, seu CPF autoexcluído é invisível.

Quanto custa fazer a autoexclusão no cadastro da SPA?

Nada. A inscrição no cadastro de autoexclusão é gratuita para o apostador — o custo regulatório recai sobre as operadoras, que pagaram R$ 30 milhões pela licença e arcam com 12% de GGR mais a estrutura de compliance. Você não paga para se proteger. Desconfie de qualquer serviço que cobre para "fazer a autoexclusão por você"; o canal é oficial e direto.

Por quanto tempo o bloqueio fica ativo e dá para reverter antes?

A autoexclusão tem prazos mínimos travados por lei — o desenho brasileiro espelha modelos como o GAMSTOP, que oferece janelas de seis meses, um ano ou cinco anos. O ponto da trava é justamente impedir reversão por impulso: uma vez dentro do prazo, você não desliga num momento de fissura. Isso é uma proteção, não um defeito — é o que distingue o cadastro do bloqueio bancário, que você pode desfazer sozinho.

Sites .com de apostas conseguem furar o bloqueio por CPF?

Não furam o bloqueio — eles simplesmente não estão sujeitos a ele. Um operador offshore sem licença SPA não integra o cadastro e não tem obrigação legal de consultá-lo. No registro público, casas como a Bet365 mostram exposição a mercado cinza de cerca de 22% da operação global. Por isso o bloqueio bancário do PIX, que intercepta o dinheiro na saída independentemente da casa, cobre o ponto cego que o CPF deixa.

O sistema brasileiro é igual ao GAMSTOP do Reino Unido ou ao OASIS alemão?

É mais próximo do GAMSTOP — exclusão binária, você dentro ou fora de todas as casas licenciadas. O modelo alemão vai além: além de excluir, impõe um teto agregado de 1.000 euros mensais somando todas as operadoras. O Brasil adotou o desenho de exclusão total sem o monitoramento de fluxo agregado, o que o deixa forte na exclusão e mais frágil contra quem migra para a borda do sistema.

Se eu já me autoexcluí, ainda preciso bloquear no banco?

Depende do seu perfil. Se você só joga em casas licenciadas e nunca tocou em offshore, o cadastro CPF basta. Se há risco de procurar a borda do sistema num momento ruim, sim — o bloqueio de transações de jogo no Nubank, Itaú ou Banco do Brasil intercepta o PIX antes de sair e não depende de a casa te reconhecer. As duas camadas cobrem pontos cegos diferentes: uma te protege do mercado, a outra de você mesmo.

Como saber se a execução do bloqueio está realmente funcionando?

Observe o registro público. Três sinais valem o acompanhamento: a SPA publicar tempos de propagação entre inscrição e execução em todas as casas; qualquer multa a operadora licenciada por aceitar depósito de CPF autoexcluído, o que prova que a execução tem dentes; e o surgimento de um teto de depósito agregado nos moldes alemães. Enquanto esses indicadores não aparecerem, opere assumindo que existe latência e um portão dos fundos no offshore.