Apagamento, limitação e portabilidade: os novos direitos que reforçam o poder do titular

Papel · Prova · Prontidão — Protecção de Dados e Cibersegurança com evidência.

A digitalização da economia e da sociedade angolana trouxe consigo uma conveniência sem precedentes, mas também uma nova e complexa questão: quem controla o rasto de informação que deixamos para trás? Cada transacção bancária, cada consulta médica, cada interacção com um serviço público ou privado gera dados. A proposta de actualização da Lei de Protecção de Dados Pessoais, actualmente em apreciação, procura dar uma resposta robusta a esta questão, movendo o pêndulo do poder de volta para o cidadão, o titular dos dados.

No centro desta reconfiguração estão novos direitos que prometem transformar a relação entre as organizações e os indivíduos. Falamos do direito ao apagamento (muitas vezes apelidado de "direito a ser esquecido"), do direito à limitação do tratamento e do direito de portabilidade. Estes não são meros ajustes técnicos ao quadro legal vigente; são instrumentos de controlo efectivo que, caso a minuta venha a ser promulgada, exigirão das empresas e entidades públicas em Angola uma nova postura de transparência, responsabilidade e, acima de tudo, de prontidão operacional.

Este artigo aprofunda o significado de cada um destes novos direitos. Mais do que uma análise puramente teórica, o nosso objectivo é traduzir o texto pré-legislativo em implicações concretas para a governação de dados nas organizações. Analisaremos o que muda face à Lei n.º 22/11, exploraremos exemplos práticos no contexto angolano e detalharemos o que a introdução destes direitos significa para a rotina de qualquer entidade que trate dados pessoais no país.

O que a minuta propõe: Um Catálogo de Direitos Reforçado

A proposta de nova lei dedica uma secção inteira a densificar os direitos dos titulares, indo muito além do quadro actual. A ideia central é dar aos cidadãos ferramentas concretas para gerir o ciclo de vida dos seus dados pessoais. Vejamos em detalhe os três novos pilares deste controlo.

Direito ao Apagamento dos Dados (“Direito a ser Esquecido”)

Este é, talvez, o mais emblemático dos novos direitos. Consiste na possibilidade de o titular dos dados obter do responsável pelo tratamento a eliminação dos seus dados pessoais, sem demora injustificada. A minuta estabelece um conjunto de circunstâncias específicas em que este direito pode ser exercido, nomeadamente quando:

• Os dados pessoais deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento;
• O titular retira o consentimento em que se baseava o tratamento (e não existe outro fundamento jurídico para o mesmo);
• O titular se opõe ao tratamento e não existem interesses legítimos prevalecentes que o justifiquem;
• Os dados pessoais foram tratados ilicitamente;
• Os dados pessoais têm de ser apagados para o cumprimento de uma obrigação jurídica.

Contudo, o direito ao apagamento não é absoluto. A própria minuta prevê excepções importantes, por exemplo, quando o tratamento é necessário para o exercício da liberdade de expressão e informação, para o cumprimento de obrigações legais que exijam a conservação dos dados, por motivos de interesse público no domínio da saúde pública, para fins de arquivo de interesse público, ou para a declaração, exercício ou defesa de um direito num processo judicial. Este equilíbrio mostra a maturidade da proposta, que reconhece a necessidade de proteger o indivíduo sem paralisar a actividade económica e a administração da justiça.

Direito à Limitação do Tratamento

Menos discutido, mas igualmente poderoso, o direito à limitação permite ao titular obter do responsável uma "marcação" dos seus dados pessoais com o objectivo de limitar o seu tratamento no futuro. Na prática, é um direito a "congelar" temporariamente o uso dos dados, sem os apagar. O titular pode requerer a limitação quando:

• Contesta a exactidão dos dados pessoais, durante um período que permita ao responsável verificar a sua exactidão;
• O tratamento é ilícito e o titular se opõe ao apagamento dos dados, solicitando, em contrapartida, a limitação da sua utilização;
• O responsável já não precisa dos dados para fins de tratamento, mas esses dados são requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial.

Quando o tratamento é limitado, os dados pessoais só podem, à excepção da conservação, ser tratados com o consentimento do titular, ou para fins de declaração, exercício ou defesa de um direito num processo judicial, de defesa dos direitos de outra pessoa singular ou colectiva, ou por motivos de interesse público importante. O responsável pelo tratamento deve informar o titular antes de ser anulada a limitação.

Direito de Portabilidade dos Dados

Este é um direito pensado para a era digital e para a economia das plataformas. O direito de portabilidade confere ao titular a possibilidade de receber os dados pessoais que lhe digam respeito e que tenha fornecido a um responsável pelo tratamento, num formato estruturado, de uso corrente e de leitura automática. Além disso, permite-lhe transmitir esses dados a outro responsável pelo tratamento sem que o primeiro a quem os dados foram fornecidos o possa impedir.

Este direito aplica-se apenas quando o tratamento se baseia no consentimento ou num contrato, e quando o tratamento é realizado por meios automatizados. O objectivo é claro: promover a concorrência entre serviços e evitar o "aprisionamento" do consumidor (vendor lock-in). Um cliente de um banco, por exemplo, poderia solicitar o seu histórico de transacções num formato que lhe permitisse submetê-lo a uma fintech para obter uma proposta de crédito concorrente. A portabilidade é um catalisador de mercado e um instrumento de poder negocial para o consumidor.

O que muda face à Lei n.º 22/11

A Lei n.º 22/11, de 17 de Junho, embora pioneira no contexto de Angola, apresenta um catálogo de direitos mais restrito e menos detalhado. A lei vigente consagra o direito à informação, o direito de acesso, o direito de oposição e o direito à rectificação ou eliminação. No entanto, a "eliminação" prevista na lei actual é conceptualmente diferente e mais limitada que o "apagamento" proposto na minuta.

A Lei n.º 22/11 condiciona a eliminação, na maioria dos casos, à prova de que os dados estão incompletos ou inexactos, ou que o seu tratamento é proibido. A minuta, por outro lado, cria o direito ao apagamento como uma figura autónoma, ligada à finalidade do tratamento e à vontade do titular, aproximando-se do "direito a ser esquecido" consagrado em jurisdições como a europeia. É uma mudança de paradigma: de um direito reactivo (corrigir um erro) para um direito proactivo (controlar o ciclo de vida do dado).

Os direitos à limitação do tratamento e à portabilidade dos dados são, por sua vez, inovações completas da minuta. Não encontram qualquer correspondente directo na Lei n.º 22/11. A sua introdução reflecte uma adaptação da legislação angolana às novas realidades tecnológicas e aos padrões internacionais mais exigentes em matéria de protecção de dados, que vêem no controlo granular do titular um pilar da confiança digital. A proposta legislativa, neste ponto, não está a remendar a lei antiga, mas sim a construir um novo andar no edifício da protecção de dados em Angola.

Exemplos práticos em Angola

Para compreender o alcance destas mudanças, é fundamental transportá-las para o quotidiano das empresas angolanas. Os exemplos que se seguem ilustram como estes novos direitos se materializariam em sectores críticos da economia.

Exemplo 1: Um pedido de apagamento num Banco

Imaginemos a Sra. Kátia, que foi cliente de um banco em Luanda durante cinco anos. Após encerrar a sua conta e liquidar todas as suas obrigações, a Sra. Kátia decide que não quer que o banco continue a deter o seu histórico de transacções, os seus dados de perfil e os seus contactos. Ao abrigo da minuta, ela poderia contactar o banco e exercer o seu direito ao apagamento, argumentando que os seus dados já não são necessários para a finalidade que motivou a sua recolha (a gestão da sua conta-corrente).

O banco, por sua vez, teria de ter um processo interno para analisar este pedido. Não poderia simplesmente apagar tudo. Teria de verificar se não subsiste uma obrigação legal (por exemplo, legislação de combate ao branqueamento de capitais que obrigue à conservação de registos por um determinado período) ou a necessidade de defender um direito em processo judicial. O banco poderia apagar os dados de marketing e perfil, mas informar a Sra. Kátia de que, por força da regulação do Banco Nacional de Angola, certos dados transaccionais teriam de ser conservados por mais X anos, em estado de bloqueio, acessíveis apenas para fins de supervisão. Este cenário exige canais de atendimento preparados, um registo de pedidos e uma análise jurídica criteriosa caso a caso.

Exemplo 2: Portabilidade de dados num Hospital

Consideremos o Sr. João, que realizou um conjunto extenso de exames e análises numa clínica privada em Benguela ao longo de vários anos. Ele decide procurar uma segunda opinião médica num outro hospital e quer que o seu novo médico tenha acesso fácil e rápido a todo o seu historial clínico. Com o direito de portabilidade, o Sr. João poderia solicitar à primeira clínica que lhe entregasse todos os seus dados de saúde (resultados de exames, relatórios de consultas, historial de medicação) num formato digital estruturado e de leitura automática, como um ficheiro XML ou JSON.

A clínica teria de ter a capacidade técnica para extrair essa informação dos seus sistemas e fornecê-la de forma segura ao Sr. João, talvez através de um portal online ou de um dispositivo de armazenamento. Ele poderia então, por sua iniciativa, entregar esse ficheiro ao novo hospital, que o poderia importar para os seus próprios sistemas. Este direito não só capacita o paciente, colocando-o no centro da gestão da sua saúde, como também estimula a qualidade e a competitividade no sector, uma vez que a dificuldade em transferir dados deixa de ser uma barreira à mudança.

O que isto significa na prática

A introdução destes novos direitos, caso a minuta seja aprovada nos seus termos actuais, representa uma mudança operacional significativa para todas as organizações em Angola. Não se trata de uma questão meramente jurídica ou de conformidade documental. É um desafio de governação, processos e tecnologia.

Na prática, as organizações precisarão de:

1. Mapear os dados: É impossível apagar, limitar ou portar dados que não se sabe onde estão. O primeiro passo é ter um inventário claro de que dados são recolhidos, para que finalidades, onde são armazenados e com quem são partilhados.
2. Criar canais de atendimento: As empresas terão de estabelecer e divulgar canais claros e acessíveis para os titulares exercerem os seus direitos. Isto pode ser um endereço de e-mail dedicado, um formulário no site ou uma funcionalidade na área de cliente. O importante é que o processo seja simples para o titular.
3. Desenvolver procedimentos internos: É crucial ter um fluxo de trabalho definido para receber, analisar, registar e responder a cada pedido. Quem recebe o pedido? Quem verifica a identidade do titular? Quem faz a análise jurídica das excepções? Quem executa a acção técnica no sistema? Quem comunica a decisão ao titular? Estas perguntas precisam de respostas claras e documentadas.
4. Manter um registo de pedidos: A minuta, alinhada com as melhores práticas, exigirá que as organizações mantenham um registo de todos os pedidos de exercício de direitos, incluindo a data, a natureza do pedido, as medidas tomadas e a resposta dada. Este registo é uma evidência fundamental para demonstrar conformidade perante uma fiscalização da Agência de Protecção de Dados (APD).
5. Adaptar os sistemas de informação: Os sistemas informáticos devem ter a capacidade técnica de executar estas acções. Apagar um dado pode não ser tão simples como parece, especialmente em sistemas complexos com múltiplas cópias de segurança. A portabilidade exige a capacidade de extrair dados em formatos interoperáveis. A prontidão tecnológica é um factor crítico de sucesso.

Em suma, os novos direitos dos titulares obrigam as organizações a passar de uma gestão passiva para uma gestão activa e responsável dos dados pessoais. O foco deixa de ser apenas a recolha e o uso, e passa a ser todo o ciclo de vida do dado, incluindo o seu fim. Para as empresas que virem esta mudança não como um fardo, mas como uma oportunidade para construir confiança com os seus clientes, o resultado será uma vantagem competitiva duradoura. Se precisar de ajuda para navegar estas águas, pode sempre entrar em contacto ou considerar um serviço de DPO as a Service.