Nome, telefone, e-mail, morada, NIF. Quase todas as empresas angolanas recolhem estes dados todos os dias: no formulário do site, no WhatsApp, no balcão ou numa folha de Excel. Em Angola, esses dados estão protegidos pela Lei n.º 22/11, de 17 de Junho (Lei da Protecção de Dados Pessoais), e a fiscalização está a apertar.
Segundo o Portal de TI (PTI), a Agência de Protecção de Dados (APD) aplicou, até meados de Agosto de 2026, cerca de 1,1 milhão de dólares em multas a seis entidades. É o valor anual mais alto desde que a APD começou a sancionar. Entre os motivos estão a falta de notificação, medidas de segurança insuficientes e o envio de dados para uma cloud no estrangeiro sem autorização.
Este guia explica, em linguagem simples, o que a lei pede e sete cuidados práticos para o site, o WhatsApp e os sistemas da sua empresa. Não substitui aconselhamento jurídico: para o seu caso concreto, fale com um jurista ou com a própria APD.
O que diz a Lei n.º 22/11, em resumo
- O tratamento de dados pessoais está sujeito a notificação prévia ou, em certos casos, a autorização da APD.
- A notificação é feita por finalidade: gestão de clientes, marketing, recursos humanos, videovigilância, entre outras.
- Em regra, é preciso o consentimento do titular, e os dados só devem ser usados para a finalidade com que foram recolhidos.
- Os titulares têm direito à informação, ao acesso, à rectificação, à eliminação e à oposição, incluindo ao marketing directo.
- A empresa tem de aplicar medidas técnicas e organizativas contra a perda, a alteração e o acesso ou a divulgação não autorizados.
- Enviar dados para fora de Angola exige notificação ou autorização da APD, conforme o país de destino.
A APD submeteu um projecto de revisão da Lei n.º 22/11, que esteve em consulta pública entre Março e Abril de 2025. Até à data deste artigo, a lei em vigor continua a ser a referência.
O que a APD já multou em 2026
Os casos divulgados mostram que a fiscalização não se limita a bancos e operadoras de telecomunicações:
- Hotel Diamante, 115 mil dólares: falta de notificação e de autorização prévia para tratar dados de clientes e falta de medidas técnicas e organizativas adequadas.
- Standard Bank de Angola, 150 mil dólares: medidas de segurança insuficientes, que permitiram o acesso não autorizado a dados de 51 clientes.
- Crescer Tech, 505 mil dólares, a maior multa do ano: falta de notificação e de autorização para a transferência internacional de dados, guardados numa infra-estrutura de cloud no exterior.
A lição é simples: o que dá multa não são só grandes fugas de dados. Também conta não ter avisado a APD, não ter protegido bem os acessos ou guardar dados lá fora sem o processo certo.
7 cuidados práticos para a sua empresa
1. Faça o inventário dos dados que recolhe
Liste por onde entram os dados (site, WhatsApp, balcão, e-mail, câmaras), onde ficam guardados, quem tem acesso e durante quanto tempo. Sem esta lista não consegue notificar a APD nem proteger o que importa.
2. Notifique a APD por finalidade
Clientes, marketing, recursos humanos e videovigilância são finalidades diferentes e cada uma deve ser notificada. Segundo o guia da CMS, a APD tem 30 dias para se pronunciar sobre uma notificação. Comece pelas finalidades principais e mantenha a informação actualizada quando algo mudar. Site da APD: https://www.apd.ao/ao/
3. Formulários do site: só o necessário e com informação clara
Peça apenas os campos de que precisa para responder ao cliente. Junto ao botão de envio, diga para que servem os dados e ligue para a política de privacidade. Para newsletters e promoções, use uma caixa de consentimento separada e não pré-marcada. E garanta que o site usa HTTPS. Veja também os elementos que um site empresarial deve ter: https://kituxi.com/blog/site-empresarial-angola-elementos-contactos/
4. WhatsApp e marketing: consentimento e saída fácil
Envie promoções só a quem aceitou recebê-las e respeite logo quem pede para sair. Não partilhe listas de contactos com terceiros. Proteja as contas da empresa com a verificação em dois passos (PIN de 6 dígitos) e evite telemóveis partilhados sem controlo.
5. Cloud e fornecedores fora de Angola
E-mail, CRM, alojamento do site e cópias de segurança guardam muitas vezes os dados em servidores no estrangeiro. Isso não é proibido, mas é uma transferência internacional: para países com nível de protecção adequado é preciso notificar a APD; para os restantes, é preciso autorização. Quando um fornecedor trata dados por sua conta, a lei pede um contrato escrito que o obrigue a cumprir as suas instruções. Foi este o ponto que custou 505 mil dólares a uma empresa em 2026.
6. Segurança: acessos, palavras-passe e cópias
Uma conta por pessoa, com as permissões mínimas necessárias. Verificação em dois passos nos e-mails e sistemas. Actualizações em dia, cópias de segurança protegidas e acessos retirados a quem sai da empresa. Segundo a CMS, a Circular n.º 02/APD/2024 exige que os incidentes sejam comunicados de imediato à APD, por isso defina já quem trata disso.
7. Responda aos pedidos dos clientes
Crie um processo simples para pedidos de acesso, correcção ou eliminação de dados: um e-mail dedicado, um responsável e um prazo interno de resposta. É um direito dos titulares e um sinal de confiança.
Perguntas frequentes
A minha empresa é pequena. A lei também se aplica?
A Lei n.º 22/11 aplica-se ao tratamento de dados pessoais em geral, não só às grandes empresas. Entre as entidades multadas em 2026 estão um hotel e empresas de tecnologia.
Usar o Gmail, o Google Drive ou outra cloud é ilegal?
Não. Mas, se guardar lá dados de clientes ou de trabalhadores, trata-se de uma transferência internacional, que exige notificação ou autorização da APD.
É obrigatório ter um encarregado de protecção de dados?
Segundo o guia da CMS, actualizado em Outubro de 2025, não é obrigatório em Angola.
Quanto pode custar não cumprir?
As multas divulgadas em 2026 foram de 75 mil a 505 mil dólares por entidade. Para além da multa, há o custo de reputação junto dos clientes.
Como a Kituxi pode ajudar
A Kituxi desenvolve websites, software e automação com a segurança pensada desde o início: formulários com consentimento, HTTPS, controlo de acessos, cópias de segurança e registo de onde ficam os dados. A notificação à APD e as questões jurídicas devem ser tratadas com um jurista; a parte técnica é connosco.
Quer rever o site ou os sistemas da sua empresa? Fale connosco em https://kituxi.com/
Fontes
- Portal de TI (PTI), "APD já aplicou mais de 1 milhão de dólares em multas este ano", 17/08/2026: https://pti.ao/apd-ja-aplicou-mais-de-1-milhao-de-dolares-em-multas-este-ano/
- Menos Fios, "Angola: multas por violação de dados ultrapassam 1,1 milhão USD em 2026", 17/08/2026: https://www.menosfios.com/angola-multas-por-violacao-de-dados-ultrapassam-11milhao-usd-em-2026/
- CMS, guia de protecção de dados e cibersegurança: Angola (actualizado em 08/10/2025): https://cms.law/en/int/expert-guides/cms-expert-guide-to-data-protection-and-cyber-security-laws/angola
- Afriwise, "Personal data in Angola": https://www.afriwise.com/blog/personal-data-in-angola