Proteção de dados em Bangladesh 2026: o PDPA comparado com o RGPD e a LGPD

Proteção de dados em Bangladesh: o novo regime para empresas de Portugal e do Brasil

A proteção de dados em Bangladesh passou a ter uma lei geral própria: o Personal Data Protection Act 2026 (PDPA), Lei n.º 63 de 2026. Para empresas portuguesas habituadas ao RGPD e para empresas brasileiras que aplicam a LGPD, a pergunta já não é se Bangladesh regula dados pessoais, mas como esse regime se combina com as regras de origem quando há fornecedores têxteis, centros de serviços, programadores contratados em Daca ou aplicações usadas por clientes bangladeshianos.

Este guia explica o que já está em vigor, o que depende de regulamentação, como se fazem transferências entre Bangladesh, a União Europeia e o Brasil e o que uma empresa estrangeira deve preparar agora.

Resumo: O PDPA, publicado em 10 de abril de 2026, substituiu a ordenança de 2025 e considera-se em vigor desde 6 de novembro de 2025, exceto o artigo 23 (Chief Data Officer) e os artigos 31 a 35 (queixas, multas e compensação), que só começam por notificação governamental, não antes de 2027. A lei tem alcance extraterritorial, assenta no consentimento, protege dados sensíveis e de menores, reconhece direitos de acesso, portabilidade, retificação e apagamento e condiciona as transferências internacionais.

Ponto-chave: Cumprir o RGPD ou a LGPD ajuda, mas não basta. As bases de tratamento sem consentimento do artigo 5 do PDPA formam uma lista fechada, mais estreita do que o interesse legítimo europeu ou brasileiro, e cabe ao fiduciário de dados provar o consentimento.[1]

Em resumo

Deslize ou role →

Índice

Proteção de dados em Bangladesh: estado da lei em outubro de 2026

O PDPA foi publicado no Diário Oficial extraordinário a 10 de abril de 2026 e revogou a Personal Data Protection Ordinance 2025 e a ordenança que a alterou em fevereiro de 2026, preservando os atos praticados ao abrigo delas.[1] [2] [7] Qualquer referência à ordenança deve hoje ler-se como referência à lei.

A entrada em vigor tem desenho próprio. A lei considera-se vigente desde 6 de novembro de 2025, com exceção do artigo 23 e dos artigos 31 a 35. Estes só começam depois de decorridos dezoito meses desde a emissão da lei e numa data fixada por notificação no Diário Oficial.[1] Contando da ordenança, isso não ocorre antes de maio de 2027; contando da lei, não antes de outubro de 2027. A 24 de outubro de 2026 nenhuma notificação tinha sido publicada.

A Constituição protege, no artigo 43, a privacidade da correspondência e das comunicações, sujeita a restrições legais razoáveis.[5] O PDPA não esgota o tema: convive com o Cyber Protection Act 2026, regras setoriais e obrigações contratuais.

Quem está abrangido: o alcance extraterritorial

O PDPA não se limita a sociedades constituídas em Bangladesh. Aplica-se quando o titular é cidadão bangladeshiano, reside ou trabalha no país ou nele se encontra temporariamente; ao tratamento feito em Bangladesh, salvo mero trânsito; e ao tratamento no estrangeiro ligado ao fornecimento de bens ou serviços, ou à monitorização ou definição de perfis, de titulares localizados em Bangladesh.[1]

Na prática, isto alcança uma marca portuguesa que trata dados de trabalhadores de fábricas fornecedoras em auditorias sociais, uma empresa brasileira que contrata programadores em Daca e uma plataforma de remessas com sede em Lisboa que serve a comunidade bangladeshiana. O critério da cidadania merece atenção especial: a redação parece abranger dados de cidadãos bangladeshianos tratados fora do país, e o alcance exato dependerá da regulamentação e da prática.

Conceitos e papéis: fiduciário, operador e dados sensíveis

Os dados pessoais incluem nome, nomes dos pais, número de identificação, telefone, dados financeiros, localização, identificadores digitais e informação física, genética, biométrica ou psicológica.[1] O titular dos dados é a pessoa natural, viva ou falecida. O fiduciário de dados (data fiduciary) decide a finalidade do tratamento, equivalendo, em linhas gerais, ao responsável pelo tratamento do RGPD e ao controlador da LGPD; o processor trata dados por conta dele, como o subcontratante europeu ou o operador brasileiro.[1]

São dados sensíveis, entre outros, os genéticos e biométricos, a pertença a comunidade étnica ou indígena, convicções políticas, filosóficas e religiosas, filiação sindical, saúde, orientação sexual, dados sobre crimes e a geolocalização em tempo real.[1] Criança é quem tem menos de dezoito anos. A figura do fiduciário de dados significativo será definida por regulamento, com base em volume, risco e segurança; não convém autoclassificar-se com critérios estrangeiros.

Bases legais e consentimento na proteção de dados em Bangladesh

O artigo 5 parte do consentimento, que deve ser livre, específico, claro e revogável. Antes de o obter, o fiduciário informa a finalidade, o prazo de conservação, as transferências e o modo de revogação, e cabe-lhe provar que o consentimento é válido.[1] Um simples clique em termos genéricos dificilmente basta.

Sem consentimento, o tratamento é possível nas situações listadas: execução de contrato com o titular, diligências pré-contratuais a pedido dele, exercício ou defesa de direitos em juízo, interesses vitais, direitos laborais e de segurança social, dados tornados públicos pelo titular e risco de dano a terceiros.[1] O RGPD e a LGPD admitem uma base aberta de interesse legítimo, sujeita a ponderação; o PDPA não oferece a mesma flexibilidade.[8] [10]

Os dados sensíveis exigem uma condição adicional do artigo 7, como consentimento específico, contrato, obrigações laborais, cuidados de saúde ou dever legal. Para menores e pessoas sem capacidade, o artigo 9 exige o consentimento dos pais, do tutor ou de quem os represente.[1] O artigo 16 proíbe divulgar dados para finalidade diferente da recolha sem consentimento, salvo exceções da lei.[1]

Transparência, segurança, conservação e operadores

O artigo 15 impõe deveres de transparência: categorias e método de recolha, finalidade, modo de exercer direitos e de apresentar queixa, transferências, identidade do fiduciário e um meio simples de comunicação; os formulários serão fixados por regulamento.[1] As medidas de segurança são proporcionais ao volume, à sensibilidade, ao dano provável e ao custo, e incluem pseudonimização, criptografia, resiliência, recuperação após incidentes e testes regulares.[1]

Os dados não podem ser conservados além do prazo fixado para a finalidade. Em paralelo, o fiduciário mantém um registro do tratamento durante pelo menos cinco anos.[1] O tratamento feito por um operador conta como tratamento do fiduciário, que responde pelos atos dele; o artigo 17 obriga também o operador a cumprir o padrão de segurança.[1] Contratos de subcontratação assinados para o RGPD ou a LGPD devem ser revistos à luz destas regras.

Direitos dos titulares

Os direitos do capítulo III não podem ser renunciados por contrato. O titular exerce-os por pedido escrito, e o fiduciário deve verificar a identidade em função do risco, registrar a decisão e comunicá-la.[1] O direito de acesso e portabilidade abrange cópia inteligível, finalidade, destinatários, conservação, origem, salvaguardas de transferência e a lógica de decisões automatizadas.[1]

Recusada uma retificação, o fiduciário dá razões escritas; se corrigir, informa o titular e os destinatários em trinta dias.[1] O apagamento é devido quando a finalidade desaparece, o consentimento é retirado, o tratamento é ilícito ou a lei o exige, com exceções para arquivos e obrigações legais. A lei manda propagar correções e apagamentos a operadores, cópias de segurança e ambientes de teste.[1] Os prazos de resposta dependem de regulamento: não prometa prazos que a lei ainda não fixa.

Transferências internacionais: Bangladesh, União Europeia e Brasil

O artigo 29 permite ao Governo classificar os dados pessoais como públicos, internos, confidenciais ou restritos. Os dados classificados podem sair do país com consentimento do titular, ao abrigo de contrato de que seja parte ou, com consentimento, para assuntos de negócio, estudo, viagem ou migração do próprio titular.[1] O destino deve dispor da tecnologia de armazenamento que o regulamento definir.

Transferências em massa de números de identificação nacional, passaporte ou contribuinte, de dados biométricos, genéticos ou de registro criminal devem ser notificadas à Autoridade, que pode ordenar a suspensão de fluxos para um Estado ou cliente estrangeiro.[1] O Governo pode ainda fixar, por notificação, uma taxa sobre lucros obtidos com dados de cidadãos bangladeshianos.[1]

Dados que saem de Portugal ou do Brasil

Na direção inversa, a Comissão Europeia não adotou decisão de adequação relativa a Bangladesh, pelo que a empresa portuguesa que envia dados para Daca precisa de garantias adequadas, normalmente cláusulas contratuais-tipo.[9] [8] No Brasil, a Resolução CD/ANPD n.º 19, de 23 de agosto de 2024, regulou as transferências internacionais e aprovou cláusulas-padrão contratuais, a incorporar nos contratos em doze meses.[11] Um fluxo entre Lisboa ou São Paulo e Daca precisa, assim, de dois exames: o de saída da origem e o do PDPA.

Violações de dados e o Cyber Protection Act 2026

Se uma violação de dados pessoais puder causar dano significativo ao titular, o fiduciário notifica a Autoridade na forma e no prazo que o regulamento fixar; o artigo 20 não estabelece um número de horas.[1] O RGPD, em contraste, fixa em regra setenta e duas horas.[8] Na proteção de dados em Bangladesh, um plano de resposta comum ao grupo deve assumir o prazo mais curto aplicável.

Há ainda um dever independente. Pelo artigo 9(4) do Cyber Protection Act 2026 (Lei n.º 81 de 2026), qualquer entidade pública ou privada, incluindo organismos com autonomia, que sofra um incidente cibernético deve comunicá-lo de imediato ao CERT nacional.[4] O BGD e-GOV CIRT disponibiliza um formulário que pede categoria do incidente, ativos afetados, impacto e medidas tomadas.[6] Comunique pelo canal oficial e não envie material confidencial sem via segura.

Autoridade, multas e o que ainda falta

A autoridade de proteção de dados em Bangladesh é a National Data Management Authority, criada pelo National Data Management Act 2026 (Lei n.º 80 de 2026) e ligada ao Gabinete do Primeiro-Ministro.[3] Pode dar instruções, exigir informação, inspecionar instalações e equipamento e suspender fluxos para o estrangeiro.[1] Regras e regulamentos devem ser publicados em projeto, online e em jornais em bengali e inglês, para consulta pública.[1]

O texto prevê multas até Tk 25 lakh (2,5 milhões de takas) por violações de direitos e falhas de segurança e até Tk 50 lakh para fiduciários significativos, mas esses artigos pertencem ao grupo de entrada em vigor diferida.[1] O mesmo vale para o Chief Data Officer: preparar a função é prudente, mas a obrigação ainda não está ativa. A ausência de multas em 2026 não elimina riscos contratuais, reputacionais e de responsabilidade civil.

Programa de conformidade para empresas portuguesas e brasileiras

O programa de proteção de dados em Bangladesh deve aproveitar o que o grupo já faz para o RGPD ou a LGPD e acrescentar as diferenças locais. A sequência abaixo resume o trabalho.

Deslize ou role →

A tabela compara os três regimes nos pontos que mais pesam na prática. Em dispositivos móveis, deslize-a lateralmente.

A análise em inglês da TRW sobre a Bangladesh data protection law 2026 aprofunda cada artigo, e o guia sobre cyber law compliance in Bangladesh trata do lado penal e de incidentes. O guia para fazer negócios em Bangladesh situa a proteção de dados em Bangladesh entre as demais obrigações regulatórias.

Perguntas frequentes

Bangladesh tem uma lei geral de proteção de dados?

Sim. O Personal Data Protection Act 2026 (Lei n.º 63 de 2026) substituiu a ordenança de 2025 e considera-se em vigor desde 6 de novembro de 2025.[1]

O PDPA aplica-se a uma empresa sediada em Portugal ou no Brasil?

Pode aplicar-se, se tratar dados ligados ao fornecimento de bens ou serviços a pessoas em Bangladesh, ou à sua monitorização, ou nos demais casos de conexão previstos.[1]

O consentimento é sempre necessário?

Não. O artigo 5 lista bases sem consentimento, como contrato, defesa de direitos e interesses vitais, mas não há interesse legítimo aberto como no RGPD.[1]

As multas já se aplicam?

Não. Os artigos 31 a 35 dependem de notificação após dezoito meses, não antes de 2027.[1]

Tenho de nomear um Chief Data Officer?

Ainda não. O artigo 23 visa fiduciários significativos e tem entrada em vigor diferida.[1]

Posso guardar dados de Bangladesh em servidores na Europa ou no Brasil?

Não há proibição geral, mas a transferência deve cumprir o artigo 29 e, nas transferências em massa de identificadores sensíveis, ser notificada à Autoridade.[1]

Preciso de cláusulas-padrão para enviar dados de Portugal para Bangladesh?

Em regra, sim: não há decisão de adequação da Comissão Europeia relativa a Bangladesh.[9]

E do Brasil para Bangladesh?

A Resolução CD/ANPD n.º 19/2024 regula a transferência e aprovou cláusulas-padrão contratuais, que são o instrumento habitual.[11]

Em quanto tempo devo notificar uma violação de dados?

O PDPA remete o prazo para regulamento, mas o incidente cibernético deve ser comunicado de imediato ao CERT nacional.[1] [4]

Quem fiscaliza a proteção de dados em Bangladesh?

A National Data Management Authority, criada pelo National Data Management Act 2026.[3]