Vivemos numa economia em que os dados circulam constantemente.

Quando uma empresa pede o nome e o contacto de um cliente, quando uma clínica regista informações de um paciente, quando uma entidade guarda documentos dos seus trabalhadores, quando um hotel recolhe dados dos seus hóspedes ou quando uma empresa utiliza câmaras de videovigilância, existe uma realidade jurídica que muitas organizações ainda subestimam:

estão a tratar dados pessoais.

E tratar dados pessoais não significa simplesmente recolher e armazenar informação.

Significa assumir responsabilidades.

Em Angola, essa matéria é regulada, essencialmente, pela Lei n.º 22/11, de 17 de Junho — Lei da Protecção de Dados Pessoais (LPDP), e é fiscalizada pela Agência de Protecção de Dados (APD). A própria APD esclarece que a legislação alcança entidades dos sectores público, privado e cooperativo.

Mas afinal, o que é a APD? O que são dados pessoais? Quem está sujeito à legislação? E quais são os riscos para uma empresa que ignora estas obrigações?

1. O que são, afinal, dados pessoais?

Muitas empresas associam dados pessoais apenas a documentos de identificação.

A realidade é muito mais ampla.

A Lei n.º 22/11, de 17 de Junho considera dados pessoais qualquer informação, independentemente da sua natureza ou suporte, relacionada com uma pessoa singular identificada ou identificável.

Isso pode incluir, por exemplo:

• nome;

• número de telefone;

• endereço;

• e-mail;

• data de nascimento;

• informações sobre saúde;

• dados biométricos;

• informações relativas à vida privada;

• imagem e som;

• entre outros elementos que permitam identificar uma pessoa.

A própria APD esclarece que até a imagem e o som podem constituir dados pessoais.

Por isso, uma empresa pode estar a tratar dados pessoais sem sequer utilizar um sistema sofisticado.

Uma simples ficha de cliente pode conter dados pessoais.

Uma folha de funcionários pode conter dados pessoais.

Uma base de contactos de WhatsApp pode conter dados pessoais.

Uma gravação de videovigilância pode conter dados pessoais.

2. O que significa “tratar” dados pessoais?

Outro erro comum é pensar que tratamento significa apenas “guardar dados”.

Não.

Segundo a APD, o tratamento inclui operações como recolher, registar, organizar, conservar, consultar, utilizar, comunicar, transmitir, alterar, bloquear ou destruir dados pessoais.

Ou seja:

se uma empresa recolhe dados de clientes, já está perante uma actividade que pode estar sujeita às regras de protecção de dados.

Imagine uma empresa que recebe os seguintes dados através de um formulário:

Nome + telefone + e-mail + localização.

Se posteriormente utiliza esses dados para contactar o cliente, enviar publicidade, prestar um serviço ou partilhar a informação com terceiros, existem diferentes operações de tratamento envolvidas.

É por isso que a protecção de dados não deve ser vista apenas como um assunto de informática.

É também uma questão jurídica, organizacional e de gestão.

3. Quem está sujeito à Lei da Protecção de Dados em Angola?

Aqui está uma das questões mais importantes para os empresários.

“A minha empresa é pequena. A lei também se aplica a mim?”

A resposta, em termos gerais, é sim.

A Lei n.º 22/11, de 17 de Junho estabelece que estão sujeitos à sua aplicação os tratamentos de dados pessoais realizados por pessoas e entidades dos sectores público, privado ou cooperativo.

Portanto, a dimensão da empresa não é, por si só, aquilo que determina se existe ou não responsabilidade.

Uma pequena empresa pode tratar dados de:

• clientes;

• trabalhadores;

• fornecedores;

• candidatos a emprego;

• parceiros;

• visitantes;

• utilizadores de um website;

• membros de uma comunidade;

• entre outros.

A questão fundamental é:

que dados são recolhidos, para que finalidade, como são tratados, quem tem acesso e que medidas existem para os proteger?

4. E onde entra a Agência de Protecção de Dados?

É aqui que surge a APD — Agência de Protecção de Dados.

A APD é a entidade que desempenha funções de fiscalização, controlo, orientação e sensibilização no domínio da protecção de dados pessoais em Angola. A própria Agência explica que tem entre as suas atribuições fiscalizar a forma como entidades públicas e privadas tratam dados pessoais e promover a consciencialização sobre os direitos dos titulares.

Portanto, a APD não deve ser vista simplesmente como uma entidade que “aplica multas”.

O seu papel é muito mais amplo.

A existência de uma autoridade de protecção de dados significa que existe uma estrutura institucional destinada a acompanhar a forma como os dados pessoais são recolhidos, utilizados, armazenados e protegidos.

Para as empresas, isso significa uma mudança importante de mentalidade:

protecção de dados não deve começar quando chega uma fiscalização.

Deve começar muito antes.

5. Uma empresa pode recolher qualquer dado que quiser?

Não.

Um dos princípios fundamentais da protecção de dados é que os dados devem ser recolhidos para finalidades determinadas, explícitas e legítimas e devem ser adequados, pertinentes e não excessivos relativamente às finalidades para as quais são tratados.

Imagine, por exemplo, uma empresa que precisa apenas do nome e telefone de um cliente para realizar determinado serviço.

Será que precisa necessariamente de recolher informações que não têm relação com essa finalidade?

É precisamente este tipo de questão que uma política adequada de protecção de dados deve ajudar a responder.

Recolher informação só porque é possível não significa que seja juridicamente adequado.

6. O cliente tem direitos sobre os seus dados

Outro ponto frequentemente ignorado é que os dados podem estar armazenados nos sistemas da empresa, mas isso não significa que a empresa possa utilizá-los de qualquer maneira.

A legislação reconhece direitos aos titulares dos dados, incluindo direitos relacionados com informação, acesso, rectificação, actualização, oposição e eliminação, nos termos aplicáveis.

Isso significa que as organizações precisam de estar preparadas para responder adequadamente às solicitações dos titulares.

Por exemplo:

Onde estão os meus dados?

Para que finalidade estão a ser utilizados?

Que dados a empresa possui sobre mim?

Posso corrigir uma informação incorrecta?

Posso opor-me a determinado tratamento?

Uma empresa que não sabe responder a estas perguntas pode ter um problema que vai muito além da tecnologia.

Pode ter um problema de conformidade jurídica.

7. E se a empresa sofrer uma fuga de dados?

Este é um dos cenários mais preocupantes.

Imagine que uma base de dados contendo informações de clientes é indevidamente acedida, divulgada, perdida ou comprometida.

As consequências podem envolver:

• prejuízos financeiros;

• exposição de informações pessoais;

• danos reputacionais;

• perda de confiança dos clientes;

• responsabilidades legais;

• intervenção das autoridades competentes.

A própria APD tem chamado a atenção para as obrigações relacionadas com acidentes e incidentes de segurança envolvendo dados pessoais.

Por isso, proteger dados não significa simplesmente colocar uma palavra-passe num computador.

A legislação prevê a adopção de medidas técnicas e organizativas adequadas para proteger os dados contra destruição, perda, alteração, difusão ou acesso não autorizado.

8. Videovigilância também envolve protecção de dados

Este é um ponto particularmente relevante para empresas, condomínios, hotéis, lojas, instituições e outros espaços que utilizam câmaras.

Uma câmara de segurança não captura apenas “imagens”.

Ela pode captar pessoas identificáveis.

E, por isso, o tratamento dessas imagens pode estar sujeito às regras de protecção de dados.

A APD inclui expressamente a videovigilância no âmbito das questões relacionadas com tratamento de dados pessoais e disponibiliza procedimentos específicos para a respectiva notificação.

Assim, instalar câmaras não deve ser apenas uma decisão técnica.

É também uma decisão que precisa de ser analisada do ponto de vista jurídico.

9. A empresa precisa de notificar a APD?

Esta é uma das perguntas que qualquer organização que trate dados pessoais deveria colocar.

A APD informa que o responsável pelo tratamento deve, em determinadas situações previstas na legislação, notificar previamente a Agência sobre a realização de tratamentos ou conjuntos de tratamentos de dados pessoais, bem como comunicar alterações posteriores relevantes.

E este ponto deixou de ser apenas uma questão teórica.

Em Agosto de 2026, a APD tornou pública uma decisão contra a Lizíria, Lda. — Hotel Diamante, envolvendo uma multa equivalente em kwanzas a USD 115.000.

Segundo a APD, entre as infracções estavam o incumprimento do dever de notificação e obtenção de autorização prévia para o tratamento de dados dos clientes e a ausência de medidas técnicas e organizativas suficientemente adequadas para proteger esses dados.

Este caso merece atenção.

Não porque toda empresa enfrentará necessariamente uma penalização semelhante, mas porque demonstra uma realidade importante:

A conformidade com a protecção de dados já tem consequências concretas no ambiente empresarial angolano.

10. A protecção de dados é apenas responsabilidade do departamento de informática?

Não.

Este é talvez um dos maiores equívocos.

A protecção de dados envolve diferentes áreas da organização.

Administração: define políticas e responsabilidades.

Jurídico: avalia obrigações, riscos e conformidade.

Recursos Humanos: trata dados dos trabalhadores e candidatos.

Marketing: recolhe e utiliza dados de clientes e potenciais clientes.

Tecnologia: implementa mecanismos de segurança e controlo de acesso.

Atendimento: lida diariamente com informações de clientes.

Ou seja:

a protecção de dados é uma responsabilidade transversal.

Uma falha de um funcionário pode comprometer dados que pertencem a milhares de clientes.

11. O verdadeiro risco não é apenas a multa

Quando se fala em protecção de dados, muitas empresas pensam imediatamente:

“Quanto vou pagar se for multado?”

Mas essa é apenas uma parte do problema.

Imagine uma empresa que perde a confiança dos seus clientes depois de uma fuga de dados.

Quanto vale essa confiança?

Imagine uma instituição que passa a ser vista pelos seus parceiros como pouco segura.

Quanto pode custar essa reputação?

Imagine uma empresa que precisa interromper operações para investigar um incidente.

Qual é o custo dessa paralisação?

A protecção de dados é também uma questão de reputação, continuidade e confiança.

E a própria APD tem destacado que a conformidade pode contribuir para a credibilidade das organizações e para a protecção efectiva dos direitos dos cidadãos.

12. O que uma empresa deve começar a fazer?

Antes de perguntar “como evitar uma multa?”, a organização deveria perguntar:

1. Que dados pessoais recolhemos?

Faça um levantamento dos dados tratados pela organização.

2. De quem são esses dados?

Clientes? Trabalhadores? Fornecedores? Visitantes? Candidatos?

3. Para que finalidade recolhemos esses dados?

A finalidade deve estar definida e ser legítima.

4. Quem tem acesso?

Nem todos os colaboradores precisam de acesso a todas as informações.

5. Onde os dados são armazenados?

Computadores? Servidores? Sistemas na nuvem? Documentos físicos?

6. Durante quanto tempo permanecem armazenados?

A organização deve ter critérios para conservação e eliminação.

7. Os titulares são devidamente informados?

A transparência é uma componente essencial do tratamento responsável.

8. Existem medidas de segurança adequadas?

É necessário avaliar os riscos e implementar medidas técnicas e organizativas adequadas.

9. A organização cumpriu as obrigações aplicáveis perante a APD?

Esta análise deve ser feita de acordo com a natureza concreta dos tratamentos realizados.

10. Existe alguém responsável por acompanhar a conformidade?

A protecção de dados não deve ser tratada como uma tarefa ocasional.

13. Protecção de dados é uma questão de confiança

No fundo, esta discussão não é apenas sobre computadores, formulários ou bases de dados.

É sobre pessoas.

Quando alguém entrega os seus dados a uma empresa, está a entregar informação sobre a sua identidade, vida profissional, actividade, saúde, família, hábitos ou outras dimensões da sua vida.

Essa informação exige responsabilidade.

Uma organização que protege adequadamente os dados demonstra que compreende o valor da confiança que lhe foi depositada.

E uma organização que ignora essa responsabilidade pode descobrir que o custo da negligência é muito superior ao custo da prevenção.

Conclusão: a sua empresa trata dados. Mas está preparada para responder por eles?

A protecção de dados deixou de ser um tema distante ou exclusivamente tecnológico.

Está presente no quotidiano das empresas e instituições angolanas.

Está no cadastro do cliente.

Está no contrato de trabalho.

Está no formulário do website.

Está no WhatsApp.

Está na câmara de vigilância.

Está na ficha médica.

Está no sistema de recursos humanos.

Está na base de dados comercial.

E onde existem dados pessoais, existem responsabilidades.

A Agência de Protecção de Dados desempenha um papel central nesse ecossistema, fiscalizando, orientando e promovendo a conformidade com as normas aplicáveis.

Por isso, a pergunta que toda empresa e instituição deveria fazer não é apenas:

“Temos dados dos nossos clientes?”

A pergunta é:

“Estamos preparados para demonstrar que os tratamos de forma legal, segura e responsável?”

Porque, no actual ambiente empresarial angolano, proteger dados já não é apenas uma boa prática. É uma questão de responsabilidade jurídica, institucional e empresarial.

LAW LIFE — Escritório de Advogados e Consultoria Jurídica

Direito. Estratégia. Protecção.