Conformidade com a Lei de Proteção de Dados de Gana

O que é a Lei de Proteção de Dados de Gana?

A Data Protection Act, 2012 (Act 843) estabelece o marco jurídico de proteção de dados pessoais em Gana. Ela regula a coleta, o uso, a divulgação, o armazenamento, a segurança e a destruição de dados pessoais e trata de:

• Tratamento lícito
• Minimização de dados
• Limitação da finalidade
• Transparência
• Qualidade dos dados
• Segurança
• Participação do titular
• Registro
• Supervisão do tratamento
• Tratamento internacional
• Dados pessoais especiais
• Fiscalização pelo regulador

A Data Protection Commission é o regulador criado pela lei. Ela mantém o registro de controladores, monitora a conformidade, investiga reclamações, atua na fiscalização e promove a conscientização sobre proteção de dados em Gana.

O consentimento é importante, mas a DPA de Gana não é uma lei baseada apenas em consentimento. O artigo 20 prevê o consentimento e justificativas alternativas específicas, de modo que cada atividade de tratamento deve se apoiar na justificativa que realmente lhe corresponde.

Controladores e operadores de dados

O controlador determina as finalidades e a forma do tratamento de dados pessoais. Os controladores têm a responsabilidade principal pela conformidade, incluindo o registro na DPC. Exemplos:

• Empresas de comércio eletrônico
• Bancos e instituições financeiras
• Seguradoras
• Empregadores
• Prestadores de serviços de saúde
• Universidades e escolas
• Empresas de telecomunicações
• Empresas SaaS
• Empresas de marketing
• Instituições públicas
• Plataformas online

O operador trata dados pessoais em nome do controlador, seguindo suas instruções. Exemplos:

• Provedores de nuvem
• Provedores de folha de pagamento
• Plataformas de CRM
• Provedores de hospedagem
• Provedores de analytics
• Plataformas de marketing
• Provedores de atendimento ao cliente

Âmbito territorial

A Act 843 aplica-se a controladores estabelecidos em Gana que tratam dados pessoais em Gana. Também pode aplicar-se a controladores não estabelecidos em Gana que utilizem equipamentos situados em Gana, ou um operador que exerça atividade em Gana, para tratar dados pessoais, salvo quando isso sirva apenas ao trânsito pelo país.

O artigo 18 trata ainda dos titulares estrangeiros. Quando dados pessoais originados de outra jurisdição são enviados a Gana para tratamento, o controlador deve assegurar que sejam tratados conforme a legislação de proteção de dados dessa jurisdição estrangeira.

Assim, organizações internacionais devem avaliar os requisitos ganenses junto com as demais leis de privacidade aplicáveis a seus titulares, sistemas e prestadores de serviços.

O que são dados pessoais na Act 843?

Segundo a Act 843, dados pessoais são dados sobre uma pessoa que pode ser identificada a partir deles, ou a partir deles em conjunto com outras informações que o controlador detenha ou provavelmente venha a obter. Exemplos:

• Nomes
• Endereços de e-mail
• Números de telefone
• Números de identificação
• Informações de conta
• Informações de emprego
• Informações de localização
• Identificadores online
• Informações financeiras
• Informações de saúde
• Informações biométricas ou genéticas

Se um identificador técnico, como um identificador de cookie ou de dispositivo, é dado pessoal depende de poder ser vinculado, no contexto, a uma pessoa identificável.

Bases legais para o tratamento

O artigo 20 determina que dados pessoais não devem ser tratados sem o consentimento prévio do titular, salvo se houver outra justificativa prevista. O consentimento não é a única justificativa. O tratamento também pode se apoiar em:

• Necessidade contratual – tratamento necessário para um contrato do qual o titular é parte
• Autorização ou exigência legal – tratamento autorizado ou exigido por lei
• Proteção de interesse legítimo do titular – tratamento destinado a proteger um interesse legítimo do titular
• Cumprimento de dever legal – tratamento necessário ao adequado cumprimento de um dever legal
• Interesses legítimos – tratamento necessário à realização do interesse legítimo do controlador ou de terceiro a quem os dados sejam fornecidos

As organizações devem documentar a justificativa adotada para cada atividade de tratamento. Uma justificativa documentada mostra por que o tratamento é permitido, define se o consentimento deve ser coletado e registrado e orienta o tratamento de oposições e de requisições de direitos.

Gestão do consentimento

Quando o consentimento é a justificativa aplicável, ele deve ser:

• Informado – baseado em informação clara sobre aquilo com que a pessoa concorda
• Voluntário – concedido livremente
• Livre de coerção – não obtido por pressão ou penalidade
• Específico – vinculado a finalidades definidas
• Compreensível – explicado em linguagem simples
• Claramente registrado – capturado no momento em que é dado
• Demonstrável – apoiado em evidências que possam ser apresentadas depois

Uma interface digital de consentimento deve comunicar:

• A identidade da organização
• A finalidade da coleta
• As categorias de dados pessoais envolvidas
• Qualquer compartilhamento com terceiros
• As finalidades de marketing e rastreamento
• Como os usuários podem gerenciar suas preferências

Retirada do consentimento e oposições

A Act 843 dá aos titulares o direito de se opor ao tratamento de seus dados pessoais, quando aplicável, e o tratamento deve cessar quando a oposição for procedente. Quando o tratamento se baseia no consentimento, as pessoas também devem poder retirá-lo.

Esses direitos só funcionam se os processos operacionais os sustentarem. As organizações devem manter:

• Registros de consentimento
• Registros de oposições
• Mecanismos de retirada quando o consentimento for a base
• Atualização de preferências
• Listas de supressão de marketing direto
• Propagação das mudanças de preferências para todos os sistemas que usam os dados

Dados pessoais especiais

A Act 843 confere proteção reforçada aos dados pessoais especiais, que incluem informações sobre:

• Raça
• Cor
• Origem étnica ou tribal
• Opiniões políticas
• Crenças religiosas ou semelhantes
• Saúde física
• Informações médicas
• Saúde ou condição mental
• DNA
• Orientação sexual
• Prática ou suposta prática de infração
• Processos relativos a uma infração
• Processos criminais ou informações sobre a pena

Antes de tratar dados pessoais especiais, as organizações devem avaliar:

• A justificativa legal
• Os requisitos de consentimento
• A segurança
• As restrições de acesso
• A retenção
• O compartilhamento de dados
• As transferências internacionais
• Os requisitos de RIPD
• O possível impacto sobre as pessoas

Avisos de privacidade e transparência

A transparência é um dos princípios da lei. Um aviso de privacidade deve explicar:

• A identidade do controlador
• As informações de contato
• A finalidade da coleta
• As categorias de dados pessoais coletados
• Como as informações serão usadas
• Os destinatários dos dados
• Os direitos dos titulares
• O marketing direto
• As transferências internacionais
• A retenção
• Os mecanismos de reclamação, incluindo o direito de reclamar à DPC

Direitos dos titulares

A Act 843 confere às pessoas direitos sobre seus dados pessoais. Cada direito se aplica quando cabível e observadas as condições legais.

• Direito de ser informado – as pessoas devem ser informadas sobre a coleta de seus dados pessoais, a finalidade da coleta e os demais aspectos que tornam o tratamento transparente.
• Direito de acesso – as pessoas podem pedir ao controlador que confirme se detém seus dados pessoais e forneça uma descrição desses dados, observadas a verificação de identidade e as condições da lei.
• Direito de correção – as pessoas podem solicitar a correção de dados pessoais inexatos, irrelevantes, excessivos, desatualizados, incompletos ou enganosos.
• Direito ao bloqueio, à eliminação ou à destruição – quando cabível, as pessoas podem pedir o bloqueio, a eliminação ou a destruição de dados pessoais, incluindo aqueles que o controlador não está mais autorizado a manter ou que sejam inexatos.
• Direito de oposição – as pessoas podem se opor ao tratamento de seus dados pessoais e a tratamentos que possam lhes causar dano ou sofrimento injustificados, observadas as condições legais.
• Direito relativo ao marketing direto – as pessoas podem exigir que o controlador cesse, ou não inicie, o tratamento de seus dados pessoais para marketing direto.
• Direito à indenização – quem sofrer dano ou sofrimento em razão de violação da lei pode ter direito a indenização, observadas as condições legais.

Requisições de acesso dos titulares

Um fluxo prático para tratar requisições de acesso e de outros direitos:

• Recebimento da requisição – receber as requisições por canais definidos e registrar cada uma.
• Verificação de identidade – confirmar que o solicitante é o titular ou um representante autorizado.
• Classificação da requisição – determinar qual direito está sendo exercido.
• Localização dos dados – encontrar os dados pessoais pertinentes nos sistemas e nos fornecedores.
• Análise de exceções e informações de terceiros – verificar as exceções legais e proteger dados de outras pessoas.
• Preparação da resposta – elaborar uma resposta clara e exata.
• Entrega segura – enviar a resposta por canal seguro.
• Guarda de registros – manter registro da requisição, da decisão e da resposta.

A ConsentX pode apoiar fluxos de requisições de privacidade organizando o recebimento, acompanhando o status e mantendo registros. O software não determina resultados jurídicos; as decisões sobre exceções e respostas continuam com a organização.

Marketing direto

A Act 843 permite que as pessoas exijam do controlador que cesse, ou não inicie, o tratamento de seus dados pessoais para marketing direto. Isso afeta:

• Marketing por e-mail
• Marketing por SMS
• Publicidade
• Outros canais de marketing
• Preferências de marketing
• Registros de consentimentos e recusas
• Listas de supressão de marketing direto

A gestão de preferências da ConsentX ajuda as organizações a captar escolhas de marketing, manter registros de consentimentos e recusas e repassar as preferências atualizadas aos sistemas conectados, para que contatos suprimidos não sejam abordados.

Decisões automatizadas

O tratamento automatizado, incluindo a definição de perfis, levanta questões específicas de privacidade:

• Transparência
• Finalidade
• Qualidade dos dados
• Equidade
• Segurança
• Participação humana quando adequada
• Possível impacto sobre as pessoas
• Tratamento de alto risco

A definição de perfis e as decisões automatizadas podem justificar um RIPD, conforme o tratamento e os requisitos aplicáveis.

Relatórios de impacto à proteção de dados

Um relatório de impacto à proteção de dados (RIPD) é uma avaliação proativa de riscos à privacidade. Ele identifica como uma atividade de tratamento pode afetar as pessoas e quais medidas reduzem esses riscos antes do início do tratamento.

Um RIPD pode ser relevante para:

• Novas atividades de tratamento
• Novas tecnologias
• Mudanças significativas em tratamentos existentes
• Dados pessoais especiais
• Definição de perfis
• Decisões automatizadas
• Tratamentos que apresentem riscos significativos às pessoas

Data Protection Supervisor

O artigo 58 prevê que o controlador nomeie uma pessoa certificada e qualificada como Data Protection Supervisor para monitorar o cumprimento da lei pelo controlador.

Um Data Protection Supervisor eficaz deve ter:

• Certificação e qualificação para a função
• Responsabilidade pelo monitoramento da conformidade
• Treinamento adequado
• Autoridade suficiente dentro da organização
• O conhecimento e os recursos necessários para exercer a função

Segurança dos dados

Os controladores devem adotar medidas técnicas e organizacionais adequadas e razoáveis para proteger os dados pessoais contra:

• Acesso não autorizado
• Divulgação não autorizada
• Perda acidental
• Destruição
• Alteração
• Uso indevido
• Tratamento ilícito

Entre as medidas práticas estão:

• Criptografia
• Controles de acesso
• Autenticação
• Autenticação multifator
• Segurança de rede
• Backups seguros
• Registro e monitoramento
• Prevenção de perda de dados
• Treinamento de funcionários
• Controles sobre fornecedores
• Resposta a incidentes

Gestão de incidentes de dados

Um processo prático de resposta a incidentes:

• Detecção do incidente
• Contenção
• Avaliação de risco
• Identificação dos dados afetados
• Avaliação das pessoas afetadas
• Notificação ao regulador quando exigida
• Comunicação às pessoas quando exigida
• Remediação
• Documentação
• Revisão após o incidente

A Act 843 não fixa um prazo universal de 72 horas para notificação de incidentes. As organizações devem avaliar se, conforme a lei vigente, cabe notificar a DPC e comunicar as pessoas afetadas.

Os prazos de notificação previstos no projeto do Data Protection Bill, 2025 são apenas propostas. Não devem ser tratados como obrigações vigentes enquanto uma legislação substitutiva não entrar formalmente em vigor.

Registro na DPC

Em geral, os controladores precisam se registrar na Data Protection Commission antes de tratar dados pessoais. Um pedido de registro pode incluir:

• Razão social e endereço
• Informações do representante
• Uma descrição dos dados pessoais tratados
• Categorias de pessoas
• Dados pessoais especiais
• Finalidades do tratamento
• Destinatários previstos
• Países para os quais os dados podem ser transferidos
• Categorias de pessoas cujos dados são mantidos
• Uma descrição geral das medidas de segurança

Sob a Act 843, tratar dados pessoais sem registro como controlador é infração penal, punida em procedimento sumário com multa, prisão ou ambas, conforme previsto na lei. As organizações devem confirmar a penalidade aplicável com seus assessores jurídicos.

Tratamentos sujeitos a avaliação

A Act 843 inclui um regime de tratamentos sujeitos a avaliação. Tratamentos que possam causar dano ou sofrimento substanciais a um titular, ou prejudicar significativamente seus direitos de privacidade, podem ser submetidos a análise adicional pela DPC.

Organizações que planejem tratamentos de alto risco devem verificar se esse regime se aplica antes de iniciá-los.

Transferências internacionais de dados

Antes de transferir dados pessoais para fora de Gana, as organizações devem avaliar os requisitos aplicáveis, incluindo:

• Países de destino
• Destinatários no exterior
• Categorias de dados
• Finalidades da transferência
• Salvaguardas de segurança
• Proteções contratuais
• Leis estrangeiras de privacidade aplicáveis

As informações de registro na DPC incluem os países para os quais o controlador pretende transferir dados pessoais, de modo que os acordos de transferência e os dados do registro devem permanecer alinhados.

Retenção e eliminação de dados

A retenção deve estar ligada à finalidade para a qual os dados pessoais foram coletados e aos requisitos legais aplicáveis. Um programa de retenção deve cobrir:

• Prazos de retenção
• Procedimentos de eliminação
• Arquivamento
• Retenções por exigência judicial
• Eliminação automatizada quando adequada
• Destruição segura
• Revisões periódicas da retenção

Operadores e fornecedores

Os controladores continuam responsáveis pelos dados pessoais tratados por terceiros em seu nome. Os contratos com fornecedores devem tratar de:

• Instruções de tratamento
• Limitação da finalidade
• Confidencialidade
• Segurança
• Suboperadores
• Retenção
• Eliminação
• Gestão de incidentes
• Requisições dos titulares
• Transferências internacionais
• Apoio à conformidade

Privacidade desde a concepção

A privacidade é mais fácil de alcançar quando é incorporada a produtos e processos desde o início. Práticas úteis:

• Minimização de dados
• Limitação da finalidade
• Configurações padrão favoráveis à privacidade
• Controles de acesso
• Criptografia
• Limites de retenção
• Controles de consentimento
• Trilhas de auditoria
• Eliminação segura

Cookies e rastreamento online

A Act 843 regula o tratamento de dados pessoais. Ela não cria uma regra universal e única sobre cookies. Sites e aplicativos costumam usar:

• Cookies essenciais
• Cookies de analytics
• Cookies de publicidade
• Pixels de redes sociais
• Tecnologias de retargeting
• Personalização
• Identificadores de dispositivo
• Scripts de terceiros

As organizações devem determinar se cada tecnologia de rastreamento trata dados pessoais e, quando isso ocorrer, identificar a justificativa adequada segundo a lei.

Consentimento de cookies e bloqueio prévio de scripts

Quando o consentimento é a base legal aplicável ao rastreamento, os controles a seguir ajudam a tornar esse consentimento efetivo:

• Avisos de consentimento claros
• Escolhas por finalidade
• Categorias opcionais não pré-selecionadas
• Bloqueio prévio dos rastreadores aplicáveis
• Retirada do consentimento
• Gestão de preferências
• Registros de consentimento
• Controle de versões da política

A ConsentX apoia a aplicação técnica dessas escolhas. O bloqueio prévio de scripts impede que os rastreadores aplicáveis sejam executados antes de o visitante consentir, e a gestão de preferências permite alterar as escolhas a qualquer momento.

Monitoramento de conformidade e auditorias

As organizações devem ser capazes de comprovar sua conformidade, por exemplo com:

• O registro na DPC
• Os avisos de privacidade
• Os registros de consentimento
• Os mapas de dados
• Os inventários de tratamento
• Os RIPDs
• As avaliações de segurança
• Os contratos com fornecedores
• Os registros de incidentes
• As requisições dos titulares
• As preferências de marketing
• Os cronogramas de retenção
• Os registros de treinamento
• A documentação do Data Protection Supervisor

Atuação da DPC

A Data Protection Commission de Gana é responsável por:

• Supervisão regulatória
• Registro de controladores
• Investigações
• Reclamações
• Monitoramento da conformidade
• Fiscalização
• Orientações
• Treinamento
• Conscientização

A Commission pode investigar reclamações, realizar inspeções e emitir notificações que obriguem as organizações a adotar medidas para cumprir a lei.

Infrações e penalidades na Act 843

A Act 843 contém infrações específicas com penalidades próprias. Não há um máximo único para todas elas. A lei distingue entre:

• Falta de registro – tratar dados pessoais sem registro como controlador tem penalidade própria na lei
• Descumprimento de determinadas notificações – não cumprir notificações específicas da Commission tem penalidade própria
• Outras infrações legais – as demais infrações previstas na lei têm as penalidades nela especificadas
• Penalidade geral do artigo 95 – quando não há penalidade específica, o infrator responde, em procedimento sumário, com multa de até cinco mil unidades de penalidade, prisão de até dez anos, ou ambas

As organizações devem verificar a penalidade associada a cada dispositivo específico, em vez de presumir que se aplica o máximo do artigo 95.

Projeto de Lei de Proteção de Dados de Gana de 2025

O Data Protection Bill, 2025 é um projeto para substituir a Act 843.

• O projeto é uma proposta e não deve ser tratado como direito vigente.
• A Act 843 continua sendo o marco de proteção de dados em Gana.
• As organizações devem acompanhar a evolução legislativa.
• As revisões de conformidade devem ser atualizadas se uma legislação substitutiva entrar formalmente em vigor.

Por que a gestão do consentimento importa em Gana

A gestão do consentimento é um componente do marco de privacidade mais amplo de Gana, ao lado do registro, da segurança, dos direitos dos titulares e da governança. Quando o consentimento é a base, as organizações devem poder demonstrar:

• O que foi informado ao usuário
• A finalidade com que o usuário concordou
• Quando o consentimento foi dado
• Quais categorias foram selecionadas
• Qual aviso de privacidade foi apresentado
• Se o consentimento foi depois retirado
• Como as preferências foram aplicadas

A ConsentX liga essas perguntas a controles técnicos: o bloqueio prévio de scripts aplica as escolhas, os registros e recibos de consentimento preservam a evidência, e o controle de versões da política vincula cada decisão ao aviso que o usuário viu.

Checklist de conformidade com a DPA de Gana

Use este checklist como ponto de partida do seu programa de conformidade:

• Verificar se a Act 843 se aplica
• Identificar os papéis de controlador e operador
• Mapear o tratamento de dados pessoais
• Identificar as justificativas lícitas
• Revisar os mecanismos de consentimento
• Fornecer avisos de privacidade
• Identificar os dados pessoais especiais
• Avaliar o tratamento de dados de crianças
• Registrar-se como controlador quando exigido
• Revisar os requisitos do Data Protection Supervisor
• Implementar salvaguardas de segurança
• Estabelecer a resposta a incidentes
• Revisar os requisitos de RIPD
• Avaliar as transferências internacionais
• Definir regras de retenção e eliminação
• Implementar procedimentos para requisições dos titulares
• Manter as preferências de marketing direto
• Revisar as decisões automatizadas
• Manter os contratos com fornecedores
• Manter as evidências de conformidade
• Acompanhar o projeto de lei de 2025