Lei de Proteção de Dados no Ruanda: O Que as Empresas Devem Fazer para Cumprir a Lei Nº 058/2021

O A lei de proteção de dados no Ruanda deixou de ser um projeto de conformidade futuro: o período transitório de dois anos para as empresas existentes terminou, e o regulador regista agora as organizações, autoriza transferências internacionais e recebe notificações de violações. Este guia expõe o que a lei exige, a quem se aplica, quanto pode custar o incumprimento e os passos a dar desde já. Para um apoio prático, a nossa equipa de proteção de dados e cibersegurança assessora organizações de todos os setores.

O Que É a Lei de Proteção de Dados no Ruanda?

O diploma aplicável é a Lei Nº 058/2021 de 13/10/2021 relativa à proteção dos dados pessoais e da privacidade, publicada no número especial do Jornal Oficial de 15 de outubro de 2021. Entrou em vigor na data da sua publicação. As empresas que já estavam em atividade dispuseram de um prazo não superior a dois anos a contar da publicação para adequarem as suas operações, pelo que esse período de tolerância já terminou.

A lei designa como «autoridade de controlo» a autoridade pública responsável pela cibersegurança. Na prática, trata-se da Autoridade Nacional de Cibersegurança (NCSA), que supervisiona a lei através do seu Gabinete de Proteção de Dados e Privacidade (DPO).

A Quem Se Aplica a Lei?

A lei aplica-se a qualquer tratamento de dados pessoais, automatizado ou não, efetuado por um responsável pelo tratamento, subcontratante ou terceiro que:

• esteja estabelecido ou resida no Ruanda e trate dados pessoais enquanto se encontra no Ruanda; ou
• não esteja estabelecido nem resida no Ruanda, mas trate dados pessoais de titulares localizados no Ruanda.

Assim, uma empresa sem escritório no Ruanda pode, ainda assim, ficar abrangida se servir clientes no Ruanda, devendo designar por escrito um representante no Ruanda.

Dados Pessoais e Dados Pessoais Sensíveis

Dados pessoais são qualquer informação relativa a uma pessoa singular identificada ou identificável, como um nome, um número de identificação, dados de localização ou um identificador em linha. Os dados pessoais sensíveis, que incluem informações que revelem o estado de saúde, os registos criminais, as convicções religiosas, as opiniões políticas ou os dados genéticos, estão sujeitos a condições mais rigorosas e às sanções penais mais pesadas.

Obrigações Essenciais dos Responsáveis pelo Tratamento e dos Subcontratantes

Registo na NCSA

Quem pretenda atuar como responsável pelo tratamento ou subcontratante deve registar-se junto da autoridade de controlo. O pedido deve descrever, entre outros elementos, os dados pessoais a tratar, as categorias de titulares, as finalidades do tratamento, os destinatários, os países para os quais os dados serão transferidos e os riscos envolvidos, bem como as medidas para os mitigar. A autoridade emite um certificado ao requerente que reúna os requisitos no prazo de 30 dias úteis a contar da receção do pedido. O guia de registo do DPO e os formulários de pedido estão publicados em linha.

O registo não é um ato único: as alterações devem ser notificadas no prazo de 15 dias úteis, e a renovação pode ser requerida nos 45 dias úteis anteriores ao termo da validade.

Fundamento de Licitude, Transparência e Registos

O tratamento só é lícito quando assenta num dos fundamentos previstos na lei, incluindo o consentimento, a execução de um contrato, uma obrigação legal, interesses vitais, uma missão de interesse público, interesses legítimos e investigação autorizada. Ao recolher os dados, o responsável pelo tratamento deve informar as pessoas, entre outros aspetos, da finalidade da recolha, de quem os recebe, do prazo de conservação e dos direitos que lhes assistem.

Os responsáveis pelo tratamento e os subcontratantes devem também manter um registo de todas as atividades de tratamento, aplicar medidas técnicas e organizativas de segurança adequadas e realizar uma avaliação de impacto sobre a proteção de dados (DPIA) sempre que o tratamento seja suscetível de resultar num risco elevado. Entre os fatores desencadeantes contam-se o tratamento em grande escala de dados sensíveis, a definição automatizada de perfis e as novas tecnologias, o que é diretamente relevante para as empresas que utilizam análise de dados ou AI e infraestruturas de centros de dados.

Encarregado da Proteção de Dados

Deve ser designado um encarregado da proteção de dados em vários casos, nomeadamente quando o tratamento é efetuado por uma pessoa coletiva ou entidade jurídica pública ou privada (com exceção dos tribunais). Numa leitura literal, isto abrange a maioria das empresas. O encarregado pode ser um trabalhador ou um prestador externo, e os seus contactos devem ser publicados e comunicados à autoridade. O DPO publica um guia de designação para apoiar este passo.

Direitos dos Titulares dos Dados que as Empresas Devem Respeitar

A lei confere às pessoas um conjunto definido de direitos, exercíveis por escrito ou por via eletrónica:

• Acesso: informação sobre as finalidades do tratamento, uma cópia dos seus dados, a respetiva origem e se foram transferidos para o estrangeiro.
• Oposição: incluindo um direito incondicional de fazer cessar o tratamento para fins de marketing direto.
• Portabilidade: receber os seus dados num formato estruturado e legível ou transmiti-los a outro responsável pelo tratamento.
• Limitação, retificação e apagamento, sob reserva das exceções enumeradas.
• Não ficar sujeito a decisões tomadas exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, com exceções limitadas.
• Designação de um herdeiro dos seus dados pessoais e representação, por exemplo no caso de crianças com menos de 16 anos.

Para a maioria dos direitos, o responsável pelo tratamento deve responder no prazo de 30 dias a contar do pedido. A pessoa insatisfeita pode recorrer para a autoridade de controlo no prazo de 30 dias, e a autoridade responde no prazo de 60 dias. As equipas de recursos humanos, apoio ao cliente e marketing necessitam, por isso, de um processo documentado. Os empregadores devem articular este processo com os seus contratos de trabalho e políticas internas, uma vez que os registos dos trabalhadores também são dados pessoais.

Transferências Transfronteiriças, Armazenamento e Notificação de Violações

Transferências e Armazenamento Fora do Ruanda

A regra geral é que os dados pessoais são armazenados no Ruanda. O armazenamento fora do Ruanda só é permitido quando o responsável pelo tratamento ou o subcontratante dispõe de um certificado de registo válido que o autorize. As transferências para terceiros no estrangeiro são permitidas com fundamentos específicos, incluindo a autorização da autoridade de controlo após prova de garantias adequadas, o consentimento da pessoa ou a necessidade para um contrato ou para uma ação judicial. Um contrato escrito deve definir as responsabilidades de cada parte, e a autoridade pode suspender ou proibir transferências.

As empresas que utilizam alojamento em nuvem no estrangeiro ou sistemas de RH de grupo devem analisar, junto do DPO, o serviço de autorização de transferências e incorporar estes termos nos seus contratos comerciais. Para o contexto político mais amplo, consulte a nossa análise sobre fluxos transfronteiriços de dados em África.

Violações de Dados Pessoais

Os prazos aplicáveis às violações são curtos e frequentemente mal citados:

• O responsável pelo tratamento deve comunicar uma violação de dados pessoais à autoridade de controlo no prazo de 48 horas a contar do momento em que dela tome conhecimento.
• A subcontratante deve notificar o responsável pelo tratamento no prazo de 48 horas a contar do momento em que dela tome conhecimento.
• O responsável pelo tratamento deve, em seguida, apresentar um relatório de violação à autoridade, o mais tardar no prazo de 72 horas, abrangendo a natureza da violação, as pessoas e os registos afetados, as medidas adotadas e uma proposta para informar as pessoas afetadas.
• Quando uma violação for suscetível de resultar num risco elevado para as pessoas, o responsável pelo tratamento deve também informá-las, salvo se se aplicar uma exceção legal.

O DPO disponibiliza um canal para comunicar uma violação de dados. Um plano que identifique antecipadamente os decisores é essencial para cumprir estes prazos.

Sanções ao Abrigo da Lei de Proteção de Dados no Ruanda

Infrações administrativas. Falhas como não manter registos das atividades de tratamento, operar sem certificado de registo, utilizar um certificado caducado, não designar um encarregado da proteção de dados ou não notificar ou comunicar uma violação dão lugar a uma coima administrativa não inferior a RWF 2,000,000 nem superior a RWF 5,000,000, ou de 1% do volume de negócios mundial do exercício anterior. Para as pessoas coletivas ou entidades jurídicas, a lei prevê 1% do volume de negócios mundial do exercício anterior.

Infrações penais. O acesso, a recolha, a utilização, a partilha ou a divulgação ilícitos de dados pessoais são puníveis com pena de prisão de um a três anos e multa de RWF 7,000,000 a RWF 10,000,000, ou apenas uma destas penas. A venda ilícita de dados e o tratamento ilícito de dados sensíveis implicam penas mais pesadas. Uma pessoa coletiva condenada incorre numa multa de 5% do seu volume de negócios anual do exercício anterior, e as pessoas que sofram danos graves podem pedir indemnização em tribunal.

Lista de Verificação Prática de Conformidade

• Mapeie os seus dados: que dados detém, onde se encontram e para onde circulam.
• Confirme a sua função e registe-se como responsável pelo tratamento, subcontratante ou ambos, e agende a renovação.
• Nomeie um encarregado da proteção de dados e comunique os respetivos dados à autoridade.
• Atualize avisos e consentimentos em sítios web, aplicações, formulários e documentos dos trabalhadores.
• Crie um registo das atividades e um processo de DPIA para projetos de alto risco.
• Obtenha as autorizações de transferência e de armazenamento e celebre contratos de transferência escritos com os fornecedores.
• Teste um plano de resposta a violações à luz dos prazos de 48 e de 72 horas.
• Proteja os ativos conexos: as bases de dados de clientes e o software necessitam frequentemente também de proteção ao abrigo da lei de propriedade intelectual no Ruanda.
• Implemente a governação: reporte o risco relativo aos dados ao conselho de administração no âmbito de uma sólida governação corporativa, e inclua a proteção de dados na diligência prévia relativa a aquisições e a investimento internacional.

Perguntas frequentes

Como se chama a lei de proteção de dados no Ruanda?

É a Lei Nº 058/2021 de 13/10/2021 relativa à proteção dos dados pessoais e da privacidade. Entrou em vigor com a publicação no Jornal Oficial em 15 de outubro de 2021, e o período transitório de dois anos para as empresas existentes já terminou.

Quem regula a proteção de dados no Ruanda?

A Autoridade Nacional de Cibersegurança (NCSA) supervisiona a lei através do seu Gabinete de Proteção de Dados e Privacidade. Regista os responsáveis pelo tratamento e os subcontratantes, autoriza transferências para o estrangeiro, trata reclamações e aplica sanções administrativas.

As empresas estrangeiras têm de se registar na NCSA?

A lei aplica-se aos responsáveis pelo tratamento e subcontratantes fora do Ruanda que tratem dados pessoais de pessoas localizadas no Ruanda. Essas empresas devem também designar por escrito um representante no Ruanda. As empresas estrangeiras que servem clientes ruandeses devem, por isso, avaliar se necessitam de se registar.

Em que prazo deve ser comunicada uma violação de dados no Ruanda?

O responsável pelo tratamento deve notificar a autoridade de controlo no prazo de 48 horas após tomar conhecimento de uma violação, e o subcontratante deve notificar o responsável pelo tratamento no mesmo prazo. Deve seguir-se um relatório completo da violação, o mais tardar no prazo de 72 horas. As violações de alto risco devem também ser comunicadas às pessoas afetadas.

Os dados pessoais podem ser armazenados fora do Ruanda?

Sim, mas apenas se o responsável pelo tratamento ou o subcontratante dispuser de um certificado de registo válido que autorize o armazenamento fora do Ruanda. As transferências para terceiros no estrangeiro devem também assentar num dos fundamentos previstos na lei e ser abrangidas por um contrato escrito.

Conclusão

O cumprimento da lei de proteção de dados no Ruanda é hoje um requisito operacional, com uma exposição administrativa e penal real para as empresas que adiem a adequação. As organizações mais bem posicionadas registam-se, nomeiam um encarregado da proteção de dados, documentam os seus tratamentos e ensaiam a resposta a violações antes de ocorrer um incidente.

A equipa da WAYAN de advogados de proteção de dados e cibersegurança no Ruanda pode avaliar a sua situação, gerir o seu registo e as suas autorizações junto da NCSA e criar um programa de conformidade adequado à sua empresa. Marque uma consulta com a WAYAN para começar.