Quase todas as empresas recolhem dados pessoais todos os dias: o nome e o telefone de quem preenche o formulário do site, o número de BI numa ficha de cliente, a lista de contactos do WhatsApp Business, o Excel com as moradas de entrega. Em Angola, tudo isto está abrangido pela Lei n.º 22/11, de 17 de Junho, a Lei da Protecção de Dados Pessoais.
Durante muito tempo, muitas empresas trataram este tema como burocracia distante. Isso está a mudar. A Agência de Protecção de Dados (APD) já aplicou multas de centenas de milhares de dólares a empresas angolanas. Este artigo explica, de forma prática, o que a lei pede e por onde uma PME pode começar.
Nota: este texto é informativo e não substitui aconselhamento jurídico. Para casos concretos, fale com um advogado ou com a própria APD.
O que conta como dado pessoal
Dado pessoal é qualquer informação que identifica uma pessoa ou que permite identificá-la. No dia-a-dia de uma empresa, isto inclui:
- Nome, número de telefone e endereço de e-mail.
- Número do Bilhete de Identidade ou NIF de pessoa singular.
- Morada, data de nascimento e dados de pagamento.
- Conversas de WhatsApp e gravações de chamadas com clientes.
- Imagens de videovigilância.
Se a sua empresa guarda alguma destas informações, num sistema, numa folha de Excel ou num telemóvel, está a fazer tratamento de dados pessoais.
O que a Lei n.º 22/11 exige às empresas
A lei define várias obrigações para quem trata dados pessoais. Para uma PME, estas são as mais importantes.
1. Notificar ou pedir autorização à APD
O tratamento de dados pessoais está sujeito a notificação prévia ou a autorização prévia da Agência de Protecção de Dados, consoante o tipo de dados e a finalidade. Quando basta a notificação, a APD tem 30 dias para se pronunciar. O registo tem taxas fixadas pelo Decreto Presidencial n.º 60/21, de 10 de Março, que vão de 4.315 a 350.450 kwanzas.
Este é o ponto que mais empresas desconhecem, e foi precisamente a falta de notificação e de autorização que esteve na origem de uma das multas mais recentes.
2. Ter uma base legal, em regra o consentimento
A empresa deve obter e conservar o consentimento do titular dos dados para os tratar. Na prática, isto significa explicar para que servem os dados no momento em que os recolhe e pedir uma autorização clara, por exemplo com uma caixa de confirmação no formulário do site. Guardar prova desse consentimento é tão importante como pedi-lo.
3. Respeitar os direitos dos titulares
Os clientes têm direito a ser informados, a aceder aos seus dados, a corrigi-los ou eliminá-los e a opor-se ao tratamento. A empresa precisa de saber onde estão os dados de cada pessoa para conseguir responder a estes pedidos.
4. Proteger os dados com medidas técnicas e organizativas
A lei obriga a adoptar medidas técnicas e organizativas que impeçam o acesso não autorizado, a perda ou a divulgação dos dados. Aqui entram a segurança do site, o controlo de acessos, as palavras-passe, as cópias de segurança e as regras internas sobre quem pode ver o quê.
5. Ter cuidado com transferências para fora de Angola
Guardar dados num serviço alojado noutro país também é uma transferência internacional. Para países com protecção adequada, exige notificação à APD. Para os restantes, exige autorização.
As multas já não são teoria
A APD tem aplicado a lei. Três casos públicos mostram o que está em causa:
- Em Julho de 2024, a APD multou a ENDE em 225 mil dólares e a COSAL em 75 mil dólares, em valor equivalente em kwanzas. Ambas tinham sofrido ataques de ransomware em Setembro de 2023, e a APD concluiu que não tinham medidas técnicas, organizativas e de segurança adequadas.
- Em Agosto de 2026, pela Deliberação n.º 006/2026, a APD multou a empresa proprietária do Hotel Diamante em valor equivalente a 115 mil dólares. Segundo a notícia, o hotel tratava dados de clientes sem ter notificado nem obtido a autorização prévia da APD e sem medidas técnicas e organizativas adequadas.
Para referência, a Lei n.º 22/11 prevê coimas entre 75 mil e 150 mil dólares para falhas de notificação e entre 65 mil e 130 mil dólares para violações dos princípios, como tratar dados sem consentimento. A lei prevê ainda responsabilidade criminal em alguns casos.
O que muda no site e no WhatsApp da empresa
Para a maioria das PME, os dados entram por três portas: o site, o WhatsApp e as folhas de cálculo internas. Estas são as medidas que fazem mais diferença.
No site:
- Formulários que pedem apenas os dados necessários, com uma explicação curta da finalidade e uma caixa de consentimento que não vem marcada por defeito.
- Uma página de política de privacidade clara, com o contacto para pedidos de acesso, correcção ou eliminação.
- Ligação segura (HTTPS) em todas as páginas e mensagens de formulário enviadas para um e-mail ou sistema com acesso restrito.
No WhatsApp Business:
- Verificação em dois passos activada e o número associado a um telemóvel controlado pela empresa, não pessoal.
- Mensagem de boas-vindas que indica para que serão usados os dados partilhados na conversa.
- Regras sobre quem pode exportar conversas ou listas de contactos.
Nos sistemas internos:
- Acesso por perfil: cada colaborador vê apenas o que precisa.
- Cópias de segurança regulares e testadas, uma das defesas mais eficazes contra ransomware.
- Um registo simples de que dados existem, onde estão e há quanto tempo são guardados.
Um plano de 30 dias para começar
Semana 1: faça o inventário. Liste todos os pontos onde a empresa recolhe dados pessoais e onde os guarda.
Semana 2: reveja os formulários e textos. Acrescente a finalidade, a caixa de consentimento e a política de privacidade no site.
Semana 3: reforce a segurança. Active a verificação em dois passos no e-mail, no WhatsApp e nas contas críticas, reveja quem tem acesso a quê e confirme que as cópias de segurança funcionam.
Semana 4: trate da parte formal. Informe-se junto da APD sobre a notificação ou autorização aplicável à sua actividade e defina quem, na empresa, responde a pedidos dos clientes.
Perguntas frequentes
A lei aplica-se a pequenas empresas?
Sim. A Lei n.º 22/11 aplica-se ao tratamento de dados pessoais em geral, não apenas às grandes empresas. Se a sua PME guarda dados de clientes, está abrangida.
Angola tem regras sobre cookies?
Segundo o guia da CMS sobre Angola, actualizado em Outubro de 2025, não existe uma regra específica sobre cookies. Os dados recolhidos através deles continuam, no entanto, sujeitos aos princípios gerais da lei.
Tenho de avisar alguém se sofrer um ataque?
A Circular n.º 02/APD/2024 da APD exige a notificação imediata de violações de dados pessoais. Ter um plano de resposta preparado evita decisões apressadas.
A lei vai mudar?
A APD colocou em consulta pública, entre Março e Abril de 2025, uma proposta de revisão da Lei n.º 22/11. Vale a pena acompanhar as novidades.
Como a Kituxi pode ajudar
A Kituxi trabalha em criação de websites, desenvolvimento de software, automação de processos e cibersegurança. Podemos ajudar na parte técnica: rever os formulários do seu site, implementar consentimento e política de privacidade, configurar acessos e cópias de segurança e reforçar a segurança dos sistemas onde guarda dados de clientes.
Se quer saber por onde começar na sua empresa, fale connosco em kituxi.com/contacto.
Fontes
- CMS, Expert Guide to Data Protection and Cyber Security Laws: Angola (Outubro de 2025): cms.law/en/int/expert-guides/cms-expert-guide-to-data-protection-and-cyber-security-laws/angola
- Forbes África Lusófona, multas à ENDE e COSAL (22 de Julho de 2024): forbesafricalusofona.com/?p=105133
- Forbes África Lusófona, multa ao Hotel Diamante (19 de Agosto de 2026): forbesafricalusofona.com/?p=175340
- Expansão, taxas da APD, Decreto Presidencial n.º 60/21: expansao.co.ao/legislacao/interior/taxas-para-tratamento-e-proteccao-de-dados-vao-de-4-mil-a-350-mil-kz-101459.html