Convidado 
Por: Gaspar Micolo – advogado e consultor em Direito da Protecção de Dados
As recentes decisões sancionatórias da Agência de Protecção de Dados começam a revelar uma realidade preocupante: muitas organizações angolanas ainda não estão preparadas para cumprir as exigências legais, técnicas e organizacionais impostas pela protecção de dados pessoais.
Quem acompanha e pesquisa o Direito da Protecção de Dados em Angola já consegue identificar alguns padrões, tanto na actuação do regulador como no comportamento dos operadores, sobretudo dos principais responsáveis pelo tratamento de dados pessoais. Ao longo dos últimos anos, foi possível observar uma certa evolução. De uma fase inicial marcada pela sensibilização e pelo incentivo ao cumprimento voluntário, a Agência de Protecção de Dados parece estar a entrar numa fase mais interventiva, em que a fiscalização e a responsabilização começam a assumir um papel mais evidente.
No caso do regulador, porém, há um elemento que foge ao padrão observado até aqui. Depois de, no mês passado, ter sancionado duas empresas por incumprimento das normas de protecção de dados, eis que a APD publica uma nova deliberação, aplicando multas a mais dois responsáveis pelo tratamento de dados. Trata-se de um momento inédito na actividade regulatória angolana e que merece uma análise mais profunda, não apenas pelo valor das multas aplicadas, mas sobretudo pelo sinal que transmite ao mercado.
Antes de entrar no mérito da questão, importa lembrar que as autoridades de protecção de dados, em qualquer sistema jurídico maduro, instruem normalmente um número elevado de processos, mas apenas uma pequena parte termina com a aplicação de sanções. Aliás, sou um dos críticos desta realidade quando ela revela uma fiscalização insuficiente, porque temos consciência e verificamos diariamente que muitas organizações, públicas e privadas, há muito mereciam uma intervenção mais firme por parte do regulador, sobretudo por violações dos direitos dos titulares de dados pessoais.
No entanto, é importante distinguir duas realidades. Uma autoridade forte não é necessariamente aquela que aplica mais multas, mas aquela que consegue investigar, orientar, corrigir comportamentos e sancionar quando necessário. A sanção deve ser vista como o último instrumento de uma política regulatória eficaz, e não como o único indicador da actividade de uma autoridade de controlo. Apenas a título de comparação, em Portugal, a Comissão Nacional de Protecção de Dados (CNPD) instrui um elevado número de processos, mas apenas uma pequena parte culmina na aplicação de coimas. Segundo o Relatório de Actividades de 2025, a autoridade abriu 2.037 processos de averiguação, instaurou 88 processos de contraordenação, emitiu 267 projectos de acusação e proferiu 262 deliberações finais, aplicando apenas duas coimas. A própria CNPD esclarece que este reduzido número de sanções não significa ausência de actividade fiscalizadora, uma vez que muitos processos permanecem em instrução ou aguardam decisão final, podendo resultar em sanções nos anos seguintes.
Esta realidade demonstra que a maturidade de um sistema de protecção de dados não deve ser avaliada apenas pelo número de multas aplicadas, mas também pela capacidade institucional de investigar, instruir processos, produzir decisões fundamentadas e promover uma mudança efectiva de comportamento nos responsáveis pelo tratamento.
Voltemos, então, à realidade angolana. No mês passado analisámos as sanções aplicadas à Crescer Tech – Comércio e Prestação de Serviços, Lda., pelo incumprimento da obrigação de notificação e obtenção de autorização da Agência de Protecção de Dados para a transferência internacional de dados pessoais, através do envio e armazenamento dos respectivos dados numa cloud localizada no exterior do país, tendo sido aplicada uma multa equivalente a 505.000 USD. Analisámos igualmente a sanção aplicada à Fast Digital Center – Comércio e Serviços, Lda., por incumprimento do dever de adopção de medidas técnicas e organizativas adequadas para proteger os dados pessoais dos seus clientes, bem como pelo incumprimento da obrigação de notificação e obtenção de autorização prévia da APD para o tratamento desses dados, tendo a multa sido fixada no equivalente a 112.000 USD.
Agora, poucas semanas depois, a autoridade reguladora volta a demonstrar uma postura mais activa, publicando novas decisões sancionatórias contra responsáveis pelo tratamento de dados pessoais. Independentemente da análise jurídica de cada caso concreto, há aqui um elemento relevante: a APD começa a consolidar uma prática decisória e a criar referências que poderão influenciar o comportamento futuro das organizações.
Mas, além deste facto inédito, existe outro padrão que merece atenção. As recentes decisões voltam a envolver empresas públicas que tratam elevados volumes de dados pessoais e que, aparentemente, continuam a revelar dificuldades no cumprimento das exigências legais, técnicas e organizacionais impostas pela legislação de protecção de dados.
Refiro-me, particularmente, à ENDE e à EPAL. A Empresa Nacional de Distribuição de Electricidade (ENDE) foi sancionada, em Julho de 2024, com uma multa equivalente a 225.000 USD pelo incumprimento do dever de implementar medidas técnicas, organizativas e de segurança adequadas para proteger os dados pessoais dos seus clientes e colaboradores, na sequência do ataque cibernético do tipo ransomware ocorrido em Setembro de 2023.
O incidente demonstrou uma realidade que tem sido repetida internacionalmente: muitas organizações investem em infra-estruturas tecnológicas, mas continuam a subvalorizar a governação da informação, a gestão de riscos e a implementação de controlos adequados de segurança. A protecção de dados pessoais não depende apenas da existência de sistemas informáticos, mas de uma combinação entre tecnologia, processos internos, formação dos colaboradores e cultura organizacional.
O ataque à ENDE resultou na indisponibilidade e no acesso não autorizado a diversos dados pessoais, incluindo contactos telefónicos, endereços, localização geográfica, identificação pessoal, nome completo, data de nascimento, filiação, número de Bilhete de Identidade e Número de Identificação Fiscal.
Agora, em Julho de 2026, num período particularmente relevante depois das sanções aplicadas em Junho, é a vez da Empresa Pública de Águas (EPAL) ser sancionada pelo incumprimento do dever de adopção de medidas técnicas e organizativas adequadas para proteger os dados pessoais dos seus clientes, bem como pelo incumprimento da obrigação de notificação e obtenção de autorização prévia da APD para determinados tratamentos de dados.
O problema torna-se cada vez mais evidente: precisamente as empresas públicas que concentram alguns dos maiores volumes de dados pessoais dos cidadãos continuam a apresentar fragilidades significativas na conformidade regulatória. Isto significa que os nossos dados pessoais podem não estar suficientemente protegidos justamente nas entidades que mais informação possuem sobre cada cidadão.
E quando falamos de empresas públicas, inevitavelmente a reflexão deve estender-se à Administração Pública directa e indirecta. Contudo, este é um tema que merece uma análise autónoma, sobretudo tendo em conta o processo em curso para transformar a APD numa entidade administrativa independente, de acordo com a Convenção de Malabo. Essa independência será fundamental para reforçar a confiança dos cidadãos e garantir que o regulador possa exercer as suas competências com maior autonomia.
Voltando às recentes sanções, estas decisões reforçam uma conclusão que tenho defendido há algum tempo. Embora muitas organizações disponham de gabinetes jurídicos competentes, a protecção de dados pessoais exige competências multidisciplinares. Não basta conhecer a lei. É necessário compreender tecnologia, segurança da informação, arquitectura de sistemas, gestão de riscos e processos organizacionais.
É precisamente neste contexto que a figura do Encarregado de Protecção de Dados (EPD/DPO) assume uma importância crescente. O DPO não deve ser visto como uma função meramente formal ou burocrática, mas como uma estrutura de governação capaz de aproximar o direito, a tecnologia e a gestão empresarial.
Mais do que uma questão jurídica, estas decisões revelam também a necessidade urgente de investimento na formação e especialização dos profissionais que trabalham nesta área. Juristas, engenheiros, profissionais de TI, gestores de risco e responsáveis de compliance precisam de desenvolver uma visão integrada da protecção de dados e da cibersegurança.
As organizações têm aqui uma oportunidade para reforçar a sua cultura interna de protecção de dados e segurança da informação. E os desafios serão ainda maiores com a futura entrada em vigor da Lei da Cibersegurança, uma vez que muitas entidades terão de responder simultaneamente às exigências da APD e do Centro Nacional de Cibersegurança, já criado legalmente.
Ou seja, o cenário regulatório será cada vez mais exigente. As empresas que hoje não investirem em conformidade, governação de dados e segurança da informação poderão enfrentar riscos ainda maiores no futuro. Por agora, uma conclusão parece evidente: os padrões que começam a surgir são preocupantes do lado das organizações que tratam os nossos dados pessoais. A actuação recente da APD demonstra que a fase da sensibilização está gradualmente a dar lugar a uma fase de responsabilização. Resta saber se as organizações estarão preparadas para acompanhar esta mudança de paradigma.
