Decisões automatizadas e perfilagem: a proposta angolana quer mais explicação e mais controlo

Papel · Prova · Prontidão — Protecção de Dados e Cibersegurança com evidência.

Quando um algoritmo decide sobre o acesso a crédito, a uma vaga de emprego ou ao preço de um seguro, as consequências para a vida do cidadão são directas e, por vezes, severas. A crescente automatização de decisões com impacto humano é uma das realidades mais complexas que o Direito da Protecção de Dados é chamado a regular. A proposta de actualização da lei angolana, materializada na minuta em apreciação, procura dar uma resposta robusta a este desafio, exigindo mais transparência, mais controlo e, em última análise, mais justiça nos processos decisórios que dependem de tecnologia.

A minuta da nova Lei de Protecção de Dados Pessoais de Angola, caso venha a ser promulgada, introduz um quadro jurídico específico para as decisões individuais automatizadas, incluindo a definição de perfis. O objectivo é claro: garantir que a eficiência trazida pelos algoritmos não se sobrepõe aos direitos e liberdades fundamentais dos cidadãos. A proposta legislativa angolana alinha-se, assim, com as mais modernas legislações a nível mundial, como o Regulamento Geral sobre a Protecção de Dados (RGPD) da União Europeia, que já consagra o direito a não sujeição a decisões puramente automatizadas com efeitos significativos.

Este artigo aprofunda o regime proposto para as decisões automatizadas e a perfilagem, explicando o que a minuta propõe, as principais diferenças face à Lei n.º 22/11, de 17 de Junho, e o que estas mudanças significam na prática para as organizações que operam em Angola. Analisaremos como a exigência de explicação, o direito à contestação e a necessidade de supervisão humana se tornam pilares para a construção de um ecossistema digital mais confiável e equitativo.

O que a minuta propõe: mais controlo sobre as decisões dos algoritmos

A proposta de actualização da Lei de Protecção de Dados Pessoais dedica um artigo específico ao tratamento de dados que envolve decisões automatizadas e definição de perfis. A minuta estabelece, como regra geral, o direito do titular dos dados a não ficar sujeito a nenhuma decisão tomada exclusivamente com base num tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afecte significativamente de modo similar.

Esta proibição, contudo, não é absoluta. A minuta prevê três excepções principais que permitem a tomada de decisão exclusivamente automatizada: quando a decisão for necessária para a celebração ou execução de um contrato; quando for autorizada por legislação específica (desde que com garantias adequadas); ou quando se basear no consentimento explícito do titular dos dados. É crucial notar que, mesmo com consentimento, a minuta impõe que o responsável pelo tratamento deve garantir o direito do titular a obter intervenção humana, a manifestar o seu ponto de vista e a contestar a decisão.

Para além destas excepções, a minuta impõe um conjunto de obrigações de transparência ao responsável pelo tratamento. Sempre que houver lugar a decisões automatizadas, o titular dos dados deve ser informado, de forma clara e acessível, sobre a existência de tais decisões, a lógica subjacente ao tratamento, bem como a importância e as consequências previstas. Esta “obrigação de explicação” é fundamental para desmistificar a “caixa negra” dos algoritmos e permitir que o cidadão compreenda por que razão uma determinada decisão foi tomada.

A definição de perfis (profiling) é tratada com igual seriedade, sendo definida como qualquer forma de tratamento automatizado de dados para avaliar aspectos pessoais de uma pessoa singular (desempenho profissional, situação económica, saúde, preferências, etc.). A criação de perfis, especialmente quando usada para prever comportamentos e tomar decisões, fica sujeita às mesmas regras e garantias, reforçando a protecção do indivíduo contra a categorização e o julgamento algorítmico.

O que muda face à Lei n.º 22/11

A Lei n.º 22/11, de 17 de Junho, já continha um embrião de protecção no seu artigo 15.º, estabelecendo o direito de não ficar sujeito a uma decisão de efeitos significativos baseada exclusivamente em tratamento automatizado para avaliar aspectos da personalidade. No entanto, a abordagem da lei vigente é consideravelmente menos detalhada do que a proposta na minuta.

A primeira grande diferença reside no âmbito e nas definições. A lei actual foca-se na avaliação de “aspectos da personalidade”, uma formulação mais restritiva. A minuta abrange qualquer decisão que “produza efeitos na sua esfera jurídica ou que o afecte significativamente de modo similar”. Mais importante, a Lei n.º 22/11 não define nem regula explicitamente a “definição de perfis”, uma lacuna crítica face à realidade tecnológica actual. A minuta preenche esta lacuna, dando densidade jurídica a uma prática central da economia digital.

Em segundo lugar, as excepções e condições são mais robustas na proposta. A lei em vigor prevê apenas duas excepções. A minuta, ao acrescentar o “consentimento explícito”, moderniza o quadro, mas impõe, de forma mais clara e imperativa, a salvaguarda do direito à intervenção humana, à expressão do seu ponto de vista e à contestação da decisão. A proposta é, portanto, mais granular e garantística para o cidadão.

Finalmente, as obrigações de transparência são significativamente reforçadas. A Lei n.º 22/11 não estabelece uma “obrigação de explicação” tão explícita como a minuta. Embora o direito à informação já obrigue a informar sobre a “lógica subjacente ao tratamento”, a minuta detalha esta obrigação no contexto específico das decisões automatizadas, exigindo informação sobre a “importância e as consequências previstas”. Este reforço é crucial para capacitar o titular dos dados a exercer eficazmente os seus direitos. Em suma, a minuta representa uma evolução de um princípio geral para um regime jurídico operativo e alinhado com os desafios da inteligência artificial.

Exemplos práticos em Angola

Para compreender o alcance prático das novas regras, vejamos dois cenários concretos no contexto empresarial angolano.

Exemplo 1: Scoring de crédito num banco comercial

Um banco comercial em Angola implementa um novo sistema de scoring de crédito para acelerar a aprovação de crédito ao consumo. O sistema, baseado em inteligência artificial, analisa o historial de crédito, dados de utilização da conta, padrões de consumo e outras informações. Com base nesta análise, o algoritmo atribui uma pontuação de risco e decide, de forma totalmente automatizada, se o crédito é aprovado ou recusado. Um cliente de longa data, com um historial de pagamentos impecável, vê o seu pedido de crédito ser recusado instantaneamente. Ao contactar o banco, é informado de que “o sistema não aprovou”.

Com a minuta em apreciação, o cenário muda substancialmente. Primeiro, o banco teria de informar o cliente, no momento da recolha dos dados, sobre a existência da decisão automatizada, a lógica subjacente e as consequências. Segundo, após a recusa, o cliente teria o direito explícito a obter intervenção humana, a manifestar o seu ponto de vista (por exemplo, explicando uma transacção atípica) e a contestar a decisão. O banco seria obrigado a ter um processo claro para esta contestação e a fornecer uma explicação sobre os principais factores que conduziram à decisão, permitindo ao cliente, por exemplo, corrigir uma informação errada.

Exemplo 2: Recrutamento numa empresa de telecomunicações

Uma grande operadora de telecomunicações em Luanda adopta uma plataforma de recrutamento que utiliza algoritmos para analisar os currículos e perfis públicos dos candidatos. O sistema faz uma pré-selecção automatizada, descartando candidaturas que não correspondem ao “perfil ideal” definido pela empresa, que inclui critérios como a universidade de formação ou a experiência em determinados projectos. Uma engenheira recém-formada numa universidade angolana, com excelentes notas mas sem a experiência internacional que o algoritmo valoriza, é automaticamente descartada, sem que a sua candidatura chegue a ser vista por um recrutador humano.

Com a minuta, a empresa teria de informar, no seu portal de carreiras, que utiliza ferramentas de selecção automatizada. A candidata, ao não ser seleccionada, poderia exercer o seu direito de acesso para saber se a sua candidatura foi avaliada por um humano e, caso não tenha sido, poderia contestar a decisão e solicitar uma revisão manual. Isto força a organização a pensar nos critérios do seu algoritmo, a mitigar possíveis enviesamentos e a garantir um grau de justiça no seu processo de recrutamento, sob pena de escrutínio pela Agência de Protecção de Dados (APD).

O que isto significa na prática

A introdução de um regime mais detalhado para decisões automatizadas e perfilagem na minuta da nova Lei de Protecção de Dados não é uma mera actualização cosmética. É uma mudança estrutural que impõe novas obrigações de governação, de gestão de risco e de transparência às organizações em Angola. Na prática, as empresas e entidades públicas que utilizam ou pretendem utilizar estas tecnologias terão de:

• Mapear e Identificar: Realizar um levantamento exaustivo de todos os processos que envolvam decisões exclusivamente automatizadas ou a criação de perfis com impacto significativo nos indivíduos (e.g., marketing, RH, finanças, seguros).
• Avaliar a Base de Legitimidade: Para cada processo, determinar a base jurídica que o legitima (execução de contrato, consentimento explícito, previsão legal). O “interesse legítimo” não será, em regra, uma base válida para este tipo de tratamento com impacto legal.
• Implementar Transparência: Rever e actualizar as políticas de privacidade e os avisos de informação para incluir, de forma clara, a existência de decisões automatizadas, a sua lógica e as suas consequências.
• Desenvolver Procedimentos para Direitos: Criar canais e procedimentos internos para que os titulares possam, de forma eficaz, solicitar intervenção humana, expressar o seu ponto de vista e contestar as decisões.
• Garantir a Supervisão Humana: A automatização não pode significar a abdicação da responsabilidade. As organizações precisam de garantir que existe um ponto de controlo humano nos seus processos, seja por defeito ou, no mínimo, a pedido.
• Documentar para Evidenciar Conformidade: Todo este processo deve ser documentado. A capacidade de demonstrar à APD que a organização tem um programa de conformidade robusto será crucial para mitigar riscos operacionais e sancionatórios. O nexo entre a norma, a governação interna e a produção de evidência torna-se central.

Em última análise, a proposta da minuta força as organizações a olharem para a inteligência artificial e a automatização não apenas como uma ferramenta de eficiência, mas como uma prática que tem de ser juridicamente enquadrada e eticamente orientada. A confiança do mercado e dos cidadãos em Angola dependerá da capacidade das empresas em demonstrar que os seus algoritmos são justos, transparentes e responsáveis. A preparação para este novo paradigma, que pode envolver serviços como DPO as a Service, não é apenas uma questão de conformidade legal, mas um factor de competitividade. Se precisar de ajuda, entre em contacto.