Regulação tecnológica: o que muda quando a lei chega depois

Em Angola, a Lei de Proteção de Dados Pessoais — Lei n.º 22/11 — existe desde 2011. Durante anos, para muitas empresas, foi mais uma referência legal do que uma prática do dia a dia.

Isso mudou. A Agência de Proteção de Dados (APD) tem vindo a aplicar coimas reais, a empresas reais, por incumprimento da lei — e é aqui que a regulação deixa de ser teórica.

A lei sempre existiu. A fiscalização é que chegou depois

Segundo notícias da imprensa angolana, a APD já aplicou mais de 2,5 milhões de dólares em coimas desde 2022. Três casos tornados públicos mostram o padrão:

• TAAG e BDA, multadas em 250 mil dólares, por violação de medidas de proteção de dados pessoais.
• ENDE e COSAL, multadas em 300 mil dólares, por violações à Lei n.º 22/11 — decisão do Conselho de Administração da APD de julho de 2024.
• Maxam — Companhia de Pólvoras e Explosivos de Angola, multada em 150 mil dólares, por transferência ilegal de dados pessoais de um cidadão angolano para o Reino Unido, sem autorização.

Nenhuma destas empresas mudou a lei que tinha de cumprir — a Lei n.º 22/11 é a mesma desde 2011. O que mudou foi a probabilidade real de uma violação ser identificada e ter consequência.

É este o padrão que dá título a este artigo: a lei chega primeiro, silenciosa. A fiscalização chega depois, e obriga a operação a adaptar-se duas vezes — uma vez, tarde, para cumprir o que já devia estar cumprido; e outra vez, sob pressão, quando a fiscalização já está a bater à porta.

O que isto muda na prática

Para uma empresa que opera em Angola, isto tem implicações concretas:

• Guardar dados fora do país (num servidor de outro território, por exemplo) exige base legal e, em muitos casos, autorização prévia — não é uma decisão só técnica.
• Recolher dados pessoais — de clientes, colaboradores, fornecedores — exige consentimento e uma finalidade definida, não "pode ser útil um dia".
• Não notificar a APD sobre o tratamento de dados, quando exigido, já por si constitui incumprimento — independentemente de haver ou não uma fuga de informação.

Nenhum destes pontos depende de a empresa ser grande. Depende de lidar com dados pessoais — o que praticamente todas as empresas com clientes fazem.

Não esperar pela fiscalização

O erro mais caro não é desconhecer a lei. É tratá-la como algo que só se aplica depois de haver um problema visível.

As empresas que já foram multadas não escolheram ignorar a lei — simplesmente nunca a trataram como prioridade operacional, até deixar de ser opcional. Rever agora onde e como os dados pessoais são recolhidos, guardados e partilhados custa uma fração do que custa corrigir depois de uma coima.