A protecção de dados pessoais em Moçambique está a viver a sua maior reforma legal de sempre. Em Março de 2026, o Conselho de Ministros aprovou a nova Proposta de Lei, que aguarda votação final na Assembleia da República. Este guia explica, em linguagem clara, tudo o que muda para cidadãos e empresas.
Com mais de 24,6 milhões de contas de carteiras móveis a processar transacções diárias e o SPIM a funcionar desde Março de 2026, o tratamento de dados pessoais cresceu a um ritmo que o enquadramento actual já não consegue acompanhar. Uma lei específica e moderna tornou-se, por isso, prioridade do Estado.
Enquadramento Legal Actual da Protecção de Dados em Moçambique
Em Abril de 2026, Moçambique ainda não tem uma lei autónoma de protecção de dados em vigor. A protecção assenta, por enquanto, em várias peças dispersas.
Constituição da República
A Constituição consagra o direito à reserva da vida privada. É, no entanto, uma base genérica e insuficiente para regular o tratamento moderno de dados.
Lei das Transacções Electrónicas (Lei n.º 3/2017)
A Lei n.º 3/2017, de 9 de Janeiro, regula o comércio electrónico e o governo electrónico. Contém disposições sobre privacidade, ainda que não esgote a matéria. Actualmente, é o diploma mais usado pelos tribunais em questões digitais.
Regulamentação sectorial
O Banco de Moçambique emite regulamentação própria sobre dados financeiros. Da mesma forma, o INCM regula dados no sector das telecomunicações. O SPIM, operacional desde Março de 2026, exige sobretudo padrões acrescidos de segurança na troca de dados entre bancos e carteiras móveis.
Convenção de Malabo
Moçambique ratificou em 2019 a Convenção da União Africana sobre Cibersegurança e Protecção de Dados Pessoais, conhecida como Convenção de Malabo. A convenção entrou em vigor em 2023 e passou a inspirar directamente a nova Proposta de Lei.
Nova Proposta de Lei de Protecção de Dados Pessoais
A nova Proposta de Lei foi elaborada pelo Instituto Nacional de Tecnologias de Informação e Comunicação (INTIC). O processo contou ainda com apoio técnico do Conselho da Europa, da União Africana, do Brasil e dos Estados Unidos.
O calendário foi rápido. A consulta pública abriu a 5 de Setembro de 2025. O Conselho de Ministros aprovou a Proposta a 4 de Março de 2026. O texto seguiu, depois, para a Assembleia da República, onde aguarda votação final.
Em paralelo, a Assembleia aprovou na generalidade a Proposta de Lei de Segurança Cibernética e a Proposta de Lei de Crimes Cibernéticos. Estes três diplomas compõem o novo pacote legal da economia digital moçambicana.
A proposta inspira-se no Regulamento Geral sobre a Protecção de Dados (RGPD) da União Europeia, na Convenção 108+ do Conselho da Europa e na Convenção de Malabo. Está alinhada, da mesma forma, com legislações já em vigor na região, como a POPIA da África do Sul e a Lei 22/11 de Angola.
Direitos dos Cidadãos Previstos na Nova Lei
Quando a lei entrar em vigor, qualquer pessoa em Moçambique passa a ter um conjunto claro de direitos sobre os seus dados pessoais. Em síntese:
- Direito à informação. Saber que dados são recolhidos, para que finalidade, durante quanto tempo e com quem serão partilhados.
- Direito de acesso. Pedir a qualquer organização acesso aos dados que detenha sobre si.
- Direito de rectificação. Exigir a correcção de dados incorrectos ou desactualizados.
- Direito ao apagamento. Pedir a eliminação dos dados quando já não são necessários ou quando se retira o consentimento.
- Direito de oposição. Opor-se ao tratamento para marketing directo ou outros fins baseados em interesse legítimo.
- Direito à portabilidade. Receber os seus dados num formato estruturado e transferi-los para outro responsável.
- Consentimento informado. Dar um consentimento livre, informado e expresso, que pode ser retirado a qualquer momento.
Em resumo, cada cidadão deixa de ser apenas titular passivo. Passa a ter controlo activo sobre o que acontece aos seus dados.
Obrigações das Empresas em Moçambique
Para as empresas, as obrigações também mudam de forma significativa. Quem trata dados pessoais em Moçambique passa a ter deveres concretos.
Encarregado de Protecção de Dados
Organizações de grande dimensão ou que tratem dados sensíveis em larga escala devem designar um Encarregado de Protecção de Dados. É o equivalente moçambicano ao Data Protection Officer do RGPD.
Avaliações de impacto
Antes de lançar novos sistemas ou processos que tratem dados em larga escala, a empresa deve fazer uma avaliação de impacto sobre a protecção de dados. É um passo obrigatório, não opcional.
Notificação de violações
Em caso de violação de segurança (data breach), a empresa tem de notificar a autoridade competente dentro dos prazos legais. Em certos casos, há também o dever de informar os titulares afectados.
Medidas de segurança
A lei exige medidas técnicas e organizativas adequadas. Cifra de dados, controlo de acessos, backups seguros, formação interna e políticas de segurança são, por exemplo, mínimos a considerar.
Registo de actividades
Todas as actividades de tratamento têm de estar documentadas num registo formal. Este registo é, afinal, o primeiro pedido numa fiscalização.
Privacy by design e by default
A protecção dos dados deve estar presente desde a concepção dos produtos, com as configurações mais protectivas activadas por defeito.
A Autoridade Nacional de Protecção de Dados (ANPD)
A Proposta de Lei cria a Autoridade Nacional de Protecção de Dados Pessoais. A ANPD será uma instituição pública com competências regulatórias, de supervisão e sancionatórias.
Concretamente, terá poderes para investigar queixas, realizar auditorias, emitir recomendações e aplicar sanções. A sua entrada em funcionamento efectiva ocorrerá, contudo, apenas após a promulgação da lei e a regulamentação subsequente.
A nível regional, Moçambique participa nas discussões da Rede de Autoridades de Protecção de Dados da SADC. O objectivo é harmonizar orientações e facilitar transferências transfronteiriças de dados entre os países da África Austral.
Impacto no Sector Financeiro Moçambicano
O sector financeiro é o mais afectado pela reforma. Os 15 bancos comerciais, as três Instituições de Moeda Electrónica (M-Pesa, e-Mola e Mkesh) e os 12 microbancos tratam dados de mais de 24 milhões de titulares.
O SPIM tornou o quadro ainda mais sensível. Uma vez que a infra-estrutura integra bancos e carteiras móveis numa única plataforma de pagamentos instantâneos, qualquer falha de segurança pode afectar milhões de utilizadores.
As instituições financeiras têm de garantir três pontos. Em primeiro lugar, protecção total dos dados transaccionais. Em segundo lugar, consentimento explícito para qualquer uso além da transacção original. Por fim, mecanismos robustos contra acessos não autorizados e exfiltração.
Esperam-se, em consequência, circulares e avisos do Banco de Moçambique a operacionalizar a lei no sector bancário e de moeda electrónica.
Impacto no Sector Tecnológico e Startups
Startups, fintechs, agências digitais e desenvolvedores de aplicações estão igualmente no âmbito da nova lei. Privacy by design passa a ser requisito, não apenas boa prática.
Para plataformas que recolhem dados de utilizadores moçambicanos, o cumprimento é obrigatório mesmo que a empresa tenha sede fora do país. Este princípio de aplicação territorial segue o modelo do RGPD e reforça a soberania digital moçambicana.
Na prática, as consequências são claras. Os termos de utilização, as políticas de privacidade e os consent banners terão de ser revistos. Os fluxos de dados com fornecedores internacionais (cloud, analytics, email marketing) também precisam de contrato formal.
Sanções e Fiscalização
A proposta prevê um leque amplo de sanções: advertências, ordens de cessação do tratamento ilegal, publicação da decisão sancionatória e coimas.
Os valores finais só constarão do texto votado. Espera-se, no entanto, que sejam proporcionais à gravidade da infracção e à dimensão da organização. A lógica segue, da mesma forma, o padrão do RGPD europeu, da POPIA sul-africana e da Lei 22/11 angolana.
Além das sanções administrativas, a nova lei abre porta a pedidos de indemnização civil por danos causados aos titulares.
Como Preparar a Sua Empresa
Não é cedo para começar. Organizações que arrancarem já terão vantagem competitiva quando a lei entrar em vigor.
- Faça um inventário de dados. Mapeie todos os dados pessoais que recolhe, trata e armazena.
- Reveja as políticas de privacidade. Actualize avisos legais e termos de utilização.
- Reforce os contratos. Inclua cláusulas de protecção nos contratos com fornecedores e parceiros que acedem a dados.
- Forme as equipas. Invista em formação sobre protecção de dados e cibersegurança.
- Implemente resposta a incidentes. Crie protocolos claros para detectar, responder e notificar violações.
- Identifique o futuro Encarregado. Avalie quem, dentro ou fora da organização, pode assumir o papel de Encarregado de Protecção de Dados.
Estas medidas são úteis mesmo que a versão final da lei sofra ajustes na Assembleia. Os princípios estruturais (consentimento, finalidade, segurança, transparência) não vão mudar.
Perguntas Frequentes (FAQ)
Quando entra em vigor a lei de protecção de dados pessoais em Moçambique?
A Proposta de Lei foi aprovada pelo Conselho de Ministros a 4 de Março de 2026 e está actualmente em discussão na Assembleia da República. A entrada em vigor depende da votação final e da publicação no Boletim da República, previsíveis ao longo de 2026, com um período transitório para adaptação das organizações.
Quem fiscaliza a protecção de dados pessoais em Moçambique?
A fiscalização passará a ser feita pela Autoridade Nacional de Protecção de Dados Pessoais (ANPD), a ser criada pela nova lei. Até à sua entrada em funcionamento efectiva, a protecção é assegurada por tribunais comuns, INTIC, Banco de Moçambique e INCM nas suas áreas sectoriais.
O que é o Encarregado de Protecção de Dados?
É a pessoa responsável, dentro da organização, por garantir o cumprimento da lei. É o equivalente ao Data Protection Officer do RGPD. Torna-se obrigatório em empresas de grande dimensão ou que tratem dados sensíveis em larga escala, como bancos, seguradoras e hospitais.
A lei moçambicana de protecção de dados é igual ao RGPD europeu?
A Proposta inspira-se no RGPD, na Convenção 108+ do Conselho da Europa e na Convenção de Malabo, mas adapta-se ao contexto moçambicano. Os princípios e direitos são, em geral, muito semelhantes. Os valores das sanções, os prazos e alguns procedimentos específicos podem diferir.
Que sanções estão previstas para violações de protecção de dados?
O quadro previsto inclui advertências, ordens de cessação do tratamento ilegal, publicação da decisão e coimas proporcionais à gravidade e à dimensão da organização. Titulares lesados poderão também pedir indemnização civil por danos causados pelo tratamento indevido dos seus dados.
O que devem fazer as PMEs moçambicanas desde já?
Três passos resolvem a maior parte da exposição. Primeiro, fazer o inventário dos dados pessoais que tratam. Segundo, rever os termos e a política de privacidade dos seus serviços. Por fim, formar minimamente as equipas em cibersegurança básica. Estes passos são de baixo custo e preparam a organização para qualquer versão final da lei.
Conclusão
A protecção de dados pessoais em Moçambique entrou em velocidade máxima em 2026. A aprovação da Proposta de Lei pelo Conselho de Ministros a 4 de Março marca o ponto de viragem. Falta agora a votação na Assembleia da República e a criação da ANPD.
Para os cidadãos, é o momento de começar a exigir transparência sobre os seus dados. Para as empresas, é o momento de antecipar obrigações, fazer inventários e preparar políticas. Quem se preparar agora lidera. Em contrapartida, quem esperar pela fiscalização arrisca coimas e perda de confiança.
Acompanhe a evolução da lei no site do INTIC em intic.gov.mz e partilhe este guia com a sua equipa.
