Resumo rápido
O quadro legal e a CNPD
O regime geral de proteção de dados pessoais de Cabo Verde assenta em três diplomas que se completam. A Lei n.º 133/V/2001 criou o regime geral, a Lei n.º 41/VIII/2013 atualizou-o e a Lei n.º 121/IX/2021 fez a reforma mais profunda, aproximando-o do Regulamento Geral sobre a Proteção de Dados (RGPD) europeu. Entrou em vigor a 17 de abril de 2021.
A reforma de 2021 trouxe, entre outras novidades, direitos novos para os titulares (como o apagamento, a limitação do tratamento e a portabilidade), o dever de privacy by design e by default, a avaliação de impacto, o encarregado de proteção de dados, a notificação de violações em 72 horas e novos crimes.
A fiscalização cabe à Comissão Nacional de Proteção de Dados (CNPD), uma entidade administrativa independente criada pela Lei n.º 42/VIII/2013, com sede na Praia. A CNPD autoriza certos tratamentos e transferências, recebe notificações e queixas, fiscaliza o cumprimento da lei, aplica coimas e promove a sensibilização.
Quem está abrangido
A lei aplica-se a qualquer pessoa ou organização, pública ou privada, que trate dados pessoais de pessoas singulares, seja qual for a sua dimensão. Uma PME, um hotel, um banco, um ministério ou uma associação estão no mesmo plano. Só ficam de fora as pessoas singulares que tratam dados em atividades exclusivamente pessoais ou domésticas.
Âmbito territorial
- Organizações com estabelecimento em Cabo Verde. A lei aplica-se aos tratamentos feitos no âmbito da atividade desse estabelecimento, mesmo que os dados sejam processados noutro país.
- Organizações sem estabelecimento em Cabo Verde. Aplica-se também a quem trata dados de pessoas que estão em Cabo Verde, quando lhes oferece bens ou serviços ou acompanha o seu comportamento.
- Videovigilância. Os sistemas que captam imagens ou sons que permitam identificar pessoas também estão abrangidos.
Princípios e licitude do tratamento
Os princípios
Os dados têm de ser:
- Tratados de forma lícita, transparente e de boa-fé.
- Recolhidos para finalidades determinadas, explícitas e legítimas, sem serem usados depois de forma incompatível.
- Adequados, pertinentes e limitados ao necessário para essas finalidades.
- Exatos e atualizados.
- Conservados apenas durante o tempo necessário.
Quando o tratamento é permitido
Só se pode tratar dados quando houver uma base legal: o consentimento do titular, a execução de um contrato, o cumprimento de uma obrigação legal, a defesa de interesses vitais, o interesse público ou os interesses legítimos do responsável (desde que não prevaleçam os direitos do titular).
O consentimento tem de ser livre, específico e informado, dado por um ato positivo inequívoco, e o titular pode retirá-lo a qualquer momento sem prejuízo. Quem trata os dados tem de conseguir demonstrar que o obteve. Para crianças, o consentimento próprio só vale a partir dos 16 anos.
Dados especiais
O tratamento de dados sobre convicções políticas, fé religiosa, filiação sindical, origem racial ou étnica, vida sexual, saúde, dados genéticos e biométricos é, em regra, proibido, com exceções limitadas: consentimento expresso, autorização legal, ou autorização da CNPD por interesse público importante ou interesse legítimo com garantias de não discriminação.
Direitos dos titulares
Quem é titular de dados pode exigir às organizações que tratam os seus dados:
| Direito | O que significa na prática |
|---|---|
| Informação | Saber quem trata os dados, para quê, com que base legal, durante quanto tempo e a quem são comunicados |
| Acesso | Confirmar se os dados estão a ser tratados e obter uma cópia, incluindo a lógica de eventuais decisões automatizadas |
| Retificação | Corrigir, sem demora injustificada, dados inexatos ou incompletos |
| Apagamento | Pedir a eliminação quando os dados já não são necessários, o consentimento é retirado, há oposição justificada ou o tratamento é ilícito |
| Limitação | Suspender o tratamento enquanto se contesta a exatidão ou a licitude |
| Portabilidade | Receber os dados num formato estruturado, de uso corrente e de leitura automática, e transmiti-los a outro responsável |
| Oposição | Opor-se ao tratamento por razões ponderosas e legítimas, e opor-se gratuitamente ao marketing direto |
A lei prevê também regras para os dados de pessoas falecidas e para o exercício de direitos por representantes de menores. Confirme o regime exato nos diplomas.
Obrigações das organizações
Quem decide para que e como se tratam os dados (o «responsável pelo tratamento») tem de ser capaz de demonstrar que cumpre. Na prática, isto implica:
| Obrigação | Em que consiste |
|---|---|
| Informar os titulares | Avisos de privacidade claros no momento da recolha: identidade, finalidades, base legal, destinatários, direitos |
| Segurança do tratamento | Medidas técnicas e organizativas adequadas contra destruição, perda, alteração, divulgação ou acesso não autorizados; a pseudonimização é uma das medidas previstas |
| Privacy by design e by default | Pensar na proteção de dados desde a conceção dos sistemas e, por defeito, tratar só os dados necessários |
| Registo das atividades | Manter registos atualizados das finalidades, categorias de dados, destinatários, transferências e medidas de segurança, e entregá-los à CNPD se esta pedir |
| Avaliação de impacto | Obrigatória em tratamentos de risco elevado, como perfis com decisões automatizadas, dados especiais em grande escala ou vigilância sistemática de zonas públicas |
| Encarregado de proteção de dados | Obrigatório nas entidades públicas e quando a atividade principal exige acompanhamento regular e sistemático em grande escala ou o tratamento em grande escala de dados especiais; a identidade e o contacto são comunicados à CNPD |
| Subcontratantes | Contratos escritos com os prestadores que tratam dados em seu nome (alojamento, email, software, contabilidade) |
| Violações de dados | Detetar, registar e notificar nos prazos (ver abaixo) |
Notificação e autorização prévia à CNPD
Ao contrário do RGPD europeu, o regime cabo-verdiano mantém mecanismos de controlo prévio pela CNPD:
- Notificação prévia. O responsável deve notificar a CNPD antes de realizar um tratamento (ou conjunto de tratamentos) total ou parcialmente automatizado, salvo as exceções e simplificações que a CNPD autorizar (Lei n.º 41/VIII/2013, art. 23.º). A CNPD disponibiliza no seu site um formulário de notificação.
- Autorização prévia. É necessária para o tratamento de dados especiais, de dados sobre solvabilidade e crédito, para a interconexão de dados e para a utilização dos dados para finalidade diferente da que justificou a recolha (art. 24.º).
O formulário pede, entre outros elementos, a identificação do responsável, as finalidades, as categorias de dados, a forma de recolha, os destinatários, as interconexões, as transferências internacionais, o prazo de conservação, o modo de exercício dos direitos e as medidas de segurança.
Violações de dados pessoais
Uma violação de dados é um incidente de segurança que provoca, de forma acidental ou ilícita, a destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais. Um ataque de ransomware, um email enviado ao destinatário errado ou um portátil roubado com dados de clientes são exemplos.
- À CNPD, em 72 horas após ter conhecimento, a menos que seja improvável que a violação represente risco para os direitos e liberdades das pessoas.
- Aos titulares, sem demora injustificada, quando o risco for elevado. Há dispensas, por exemplo se os dados estavam protegidos de forma adequada (cifrados) ou se o risco foi entretanto afastado.
- O que comunicar: a natureza da violação, as categorias e o número aproximado de titulares afetados, as consequências prováveis e as medidas tomadas ou propostas.
Na prática, quem não tem um plano de resposta a incidentes dificilmente cumpre as 72 horas. É por isso que a proteção de dados e a cibersegurança andam juntas. Se a sua organização também está abrangida pela NIS2 ou pela DORA, os prazos de notificação de incidentes dessas regras correm em paralelo.
Transferências internacionais
Os dados só podem ser transferidos para um país fora de Cabo Verde se esse país assegurar um nível de proteção adequado, cabendo à CNPD decidir se o assegura (Lei n.º 41/VIII/2013, art. 19.º). Há exceções (art. 20.º): consentimento inequívoco do titular, execução de um contrato ou diligências pré-contratuais pedidas pelo titular, interesse público ou processos judiciais, defesa de interesses vitais e consulta de registos públicos. Também é possível transferir com garantias suficientes, por exemplo através de cláusulas contratuais adequadas.
Isto afeta quem usa serviços de cloud, email, CRM ou software alojados no estrangeiro, o que hoje é quase toda a gente. É preciso saber para onde vão os dados e com que garantias.
Coimas e sanções
A CNPD aplica coimas, por deliberação, e a lei prevê também sanções criminais. As coimas previstas na Lei n.º 41/VIII/2013 são fixadas em escudos cabo-verdianos:
| Infração | Pessoas singulares | Pessoas coletivas |
|---|---|---|
| Não cumprir ou cumprir mal a obrigação de notificar a CNPD, ou prestar informação falsa (art. 33.º) | 50 000$00 a 500 000$00 | 300 000$00 a 3 000 000$00 |
| Outras infrações, como violar princípios, direitos dos titulares ou deveres de segurança (art. 34.º) | 100 000$00 a 1 000 000$00 | |
Os limites das coimas duplicam nos casos sujeitos a controlo prévio e nas infrações mais graves (por exemplo, dados especiais e transferências internacionais). A negligência e a tentativa são puníveis. Estes valores constam da lei de 2013, e a reforma de 2021 pode tê-los afetado. Confirme os montantes em vigor no diploma ou junto da CNPD.
- Crimes. A lei criminaliza o acesso indevido, o desvio de dados, a utilização incompatível, a interconexão ilegal e a inserção de dados falsos, com penas de prisão até 1 ou 2 anos (ou multa), consoante o crime, e agravamentos quando há dados especiais ou prejuízo.
- Outras consequências. Os titulares podem pedir indemnização pelos danos sofridos, e a CNPD pode proibir tratamentos ou advertir publicamente.
- Risco que pesa mais do que a coima. Perda de clientes e de contratos, sobretudo com parceiros europeus que exigem cumprimento do RGPD, e dano reputacional após uma violação.
Como o fazemos
Ajudamos a passar do «será que estamos em conformidade?» a um plano concreto, em seis passos.
- Mapeamento dos dados. Identificamos que dados pessoais a organização trata, onde estão, quem lhes acede e para onde vão.
- Bases legais e avisos. Verificamos a base legal de cada tratamento e revemos avisos de privacidade, formulários e consentimentos.
- Análise de lacunas. Comparamos a situação atual com a lei: direitos, segurança, subcontratantes, conservação e transferências.
- Notificação e autorização. Preparamos as notificações ou pedidos de autorização à CNPD, e o registo das atividades.
- Segurança e resposta a violações. Reforçamos os controlos técnicos e criamos um plano de resposta que permita notificar dentro das 72 horas.
- Formação e acompanhamento. Formamos a gestão e as equipas, apoiamos o encarregado de proteção de dados e acompanhamos a evolução da lei.
Perguntas frequentes
A minha pequena empresa tem de cumprir?
Sim. A lei aplica-se a qualquer organização que trate dados pessoais, independentemente da dimensão. Se tem clientes, colaboradores ou um formulário no site, trata dados pessoais. O esforço é proporcional ao risco, mas o dever de cumprir existe.
Preciso de um encarregado de proteção de dados?
É obrigatório para as entidades públicas e para quem, como atividade principal, faz acompanhamento regular e sistemático de pessoas em grande escala ou trata dados especiais em grande escala (por exemplo, hospitais, seguradoras ou empresas de videovigilância). Nos outros casos não é obrigatório, mas designar um responsável interno ajuda muito.
Já cumpro o RGPD. Isso chega para Cabo Verde?
Ajuda bastante, porque a reforma de 2021 se inspirou no RGPD. Mas há diferenças importantes, como a notificação e a autorização prévias à CNPD e as regras de transferência de dados. Convém fazer uma análise específica.
O que fazer se sofrermos uma violação de dados?
Contenha o incidente, registe os factos e avalie o risco para as pessoas. Se houver risco, notifique a CNPD em 72 horas e, se o risco for elevado, informe os titulares. Se não tem um plano preparado, é melhor tê-lo antes de precisar dele.
Como apresento uma queixa à CNPD?
Através do site da CNPD (cnpd.cv), na secção de queixas, ou por email para cnpd@cnpd.cv. Recomendamos tentar primeiro resolver a situação com a organização em causa.
Fontes e nota legal
- Lei n.º 121/IX/2021, CNPD Cabo Verde
- Lei n.º 41/VIII/2013, CNPD Cabo Verde
- CNPD, O que somos e quem somos
- CNPD, Obrigações dos responsáveis
- CNPD, Formulário de notificação de tratamento de dados
- VPQ Advogados, Guia Prático do Regime Geral de Proteção de Dados em Cabo Verde
- Legal MCA, Amendment of the Law on Personal Data Protection in Cape Verde
- DLA Piper, Data protection laws in Cape Verde