A 15 de agosto de 2026, a Agência de Protecção de Dados (APD) de Angola publicou a Deliberação 006/2026, datada de 10 de agosto de 2026, que sancionou a Lizíria, Lda, sob a forma de Hotel Diamante, com uma multa equivalente a 115 000 USD por infracções à Lei n.º 22/11 de 17 de Junho (Lei da Protecção de Dados Pessoais). O hotel tratou dados pessoais de clientes sem a notificação prévia e a autorização exigidas pelos artigos 30.º e 31.º da Lei 22/11 e não adoptou medidas técnicas e organizativas adequadas para proteger esses dados. A sanção foi aplicada ao abrigo do artigo 51.º, n.º 1, alínea a), ponto i), combinado com o n.º 2 do mesmo artigo.
Esta é a primeira sanção pública da APD nomeando uma entidade do sector da hotelaria e confirma que a acção inspectiva da agência atingiu qualquer responsável pelo tratamento de dados de clientes em Angola sem a respectiva legalização, e não apenas empresas de tecnologia e telecomunicações. Para os responsáveis de compliance de hotéis, operadores turísticos, bancos, seguradoras e prestadores de cuidados de saúde que operam em Angola, a deliberação transforma o que era, até há pouco, um dever de notificação teórico numa exposição financeira concreta, à escala de milhares de dólares.
O que falhou concretamente o Hotel Diamante?
A APD identificou duas violações cumulativas. Primeiro, o hotel não notificou a APD do tratamento de dados dos seus clientes e não obteve a autorização prévia da agência antes de os tratar, deveres consagrados nos artigos 30.º (notificação) e 31.º (autorização prévia) da Lei 22/11. Segundo, não implementou medidas técnicas e organizativas suficientemente adequadas para proteger os dados pessoais dos clientes, obrigação geral de segurança que a lei faz depender do regime de autorização.
Nos termos da Lei 22/11, os responsáveis pelo tratamento devem legalizar o tratamento junto da APD antes de o iniciar: as categorias de maior risco, incluindo dados sensíveis e certos tratamentos biométricos ou de saúde, exigem autorização prévia expressa, enquanto os demais tratamentos exigem notificação. Os dados dos hóspedes, englobando documentos de identificação, dados de pagamento e registos de estadia, integram-se plenamente no regime, e a APD considerou a ausência de ambos os passos como um único curso infracional.
Como foi fixado o valor de 115 000 USD e pode ser reduzido?
A deliberação regista que a penalidade corresponde a uma atenuação extraordinária. A APD aplicou a redução porque a entidade se prontificou a cooperar no esclarecimento dos factos e demonstrou empenho e compromisso na melhoria dos processos e procedimentos internos, com vista à protecção efectiva dos dados pessoais sob sua posse. A cooperação não eliminou a multa, mas reduziu-a materialmente, sinalizando que os responsáveis que se autocorrigem e dialogam com a agência podem esperar uma sanção inferior àqueles que o não fazem.
O teto legal para esta categoria de infracção consta do artigo 51.º da Lei 22/11, que prevê multas administrativas, expressas em Kwanzas, aplicáveis quer ao responsável pelo tratamento quer, quando aplicável, às pessoas singulares responsáveis. Os responsáveis devem ler o valor publicado como uma figura atenuada, e não máxima: um arguido não cooperante, perante violações comparáveis, poderia enfrentar uma penalidade superior.
Quem mais está exposto e o que devem fazer os responsáveis pelo tratamento agora?
A sanção inscreve-se numa fase mais ampla de execução da APD. Em junho de 2026, a agência já havia aplicado multas totalizando cerca de 617 000 USD a Crescer Tech e Fast Digital Center, e a análise especializada tem acompanhado uma transição deliberada da sensibilização para a fiscalização activa. A hotelaria é apenas o sector mais recentemente nomeado; qualquer responsável pelo tratamento em Angola que trate dados pessoais sem legalização está exposto pelo mesmo fundamento jurídico.
| Passo de compliance | Base na Lei 22/11 | Acção |
|---|---|---|
| Notificar a APD do tratamento | Artigo 30.º | Submeter uma notificação por cada operação de tratamento não autorizada |
| Obter autorização prévia | Artigo 31.º | Requerer antes de iniciar tratamentos de alto risco ou de dados sensíveis |
| Implementar medidas de segurança | Deveres dos artigos 30.º / 31.º | Documentar medidas técnicas e organizativas proporcionais aos dados tratados |
| Responder a diligências da APD | Cooperação do artigo 51.º, n.º 2 | Designar interlocutor e colaborar de imediato para aceder à atenuação |
Os responsáveis que ainda não legalizaram o tratamento devem ler a multa ao Hotel Diamante como um sinal de prazo, e não como um dado para esperar para ver: a APD está a publicar sanções nominativas ao abrigo do artigo 53.º, n.º 3, e a próxima deliberação pode nomear qualquer sector. O monitorização contínuo, por jurisdição e em tempo real, faz surgir um aviso de execução como este no momento em que é publicado, antes de se tornar um padrão.
Aproveite esta vigilância em tempo real
Para os próximos passos imediatos: verifique se o seu tratamento em Angola foi notificado ou autorizado junto da APD; se não, submeta a notificação ou o pedido de autorização antes do próximo ciclo de fiscalização; documente as medidas técnicas e organizativas em que se baseia; e sensibilize a equipa que gere registos de hóspedes, clientes ou doentes para o novo custo concreto da inacção. O aviso oficial e o texto integral da deliberação estão disponíveis no site da APD.
