NDPA в общи линии

NDPA е структуриран около шест основни принципа, които съответстват точно на принципите от Article 5 на GDPR: законосъобразност, справедливост и прозрачност, ограничение на целите, минимизиране на данните, точност, ограничение на съхранението и сигурност. Законът се прилага спрямо всеки администратор или обработващ лични данни, който обработва лични данни на лица, намиращи се в Nigeria, с извънтериториален обхват, отразяващ GDPR Article 3. Чуждестранен издател, обслужващ Nigerian потребители, попада изцяло в обхвата на Закона, независимо от това къде е установен издателят.

Законовите основания за обработване по Section 25 също са познати: съгласие, изпълнение на договор, законово задължение, жизненоважни интереси, обществен интерес и легитимен интерес. При онлайн проследяването релевантните основания са съгласието и — при тясно дефинирани, добре документирани обстоятелства — легитимният интерес. Общата директива за прилагане и изпълнение (GAID) на NDPC от 2025 г. поясни, че стандартът за съгласие по отношение на несъществени бисквитки е функционално идентичен с този по GDPR: свободно дадено, конкретно, информирано, недвусмислено и оттегляемо толкова лесно, колкото е дадено.

Преходът от NDPR към NDPA

Три промени между стария режим на NDPR и новия NDPA са от най-голямо значение за онлайн издателите.

Законодателни правомощия за прилагане

Авторитетът на NITDA по NDPR се основаваше на подзаконов акт, което ограничаваше силата на средствата за защита, с които агенцията можеше да разполага. NDPC действа въз основа на първично законодателство и може да издава заповеди за съответствие, да налага административни глоби, обвързани с процент от годишния оборот, и да сезира прокуратурата за умишлени нарушения. Преходът от регулаторно убеждаване към законодателно прилагане е най-значимата оперативна промяна.

Задължителни изисквания за длъжностно лице по защита на данните

NDPA изисква администраторите на лични данни, надвишаващи определени прагове на обработване, да определят Длъжностно лице по защита на данните (DPO) и да се регистрират в NDPC. Праговете обхващат повечето значими онлайн издатели и SaaS оператори, обслужващи Nigerian потребители.

Рамка за трансгранично предаване

NDPA кодифицира правилата за трансгранично предаване, които NDPR беше разгледал само разхлабено. Sections 41-43 изискват предаванията към юрисдикции без адекватна защита да се осъществяват въз основа на един от няколко изброени механизма — решение за адекватност, задължителни корпоративни правила, договорни гаранции или специфични дерогации — като NDPC публикува списък с одобрени инструменти.

Как NDPA третира бисквитките и онлайн проследяването

NDPA не съдържа специфична разпоредба относно бисквитките; задълженията за съгласие и информиране произтичат от общата рамка. GAID на NDPC и поредица от публични насоки, публикувани през 2024 и 2025 г., формулираха конкретни очаквания за онлайн проследяването.

Изрично съгласие за несъществени бисквитки

Позицията на NDPC съответства на тази на работната група на EDPB по банерите за бисквитки и на еквивалентните позиции на сравними African регулатори (ODPC на Кения, Регулаторът за информация на Южна Африка). Превъртането като съгласие, продължената употреба като съгласие и предварително отметнатите полета са изрични нарушения.

Детайлни контроли по категории

Банерите трябва да разграничават строго необходимите бисквитки от аналитичните и маркетинговите, като всяка категория да се управлява независимо. Обединеното „приеми всички" без детайлност се третира като неизпълнение на изискването за „конкретност" по стандарта за съгласие.

Документирано законово основание

Section 26 на NDPA кодифицира отчетността — администраторите трябва да могат да докажат законовото си основание за всяка дейност по обработване при поискване. За внедряването на бисквитки това се превежда в регистриране на съгласието на одиторско ниво: времеви печат, версия на банера, изборът на потребителя и заявеното законово основание за всяка категория, която се задейства.

Оповестяване на трансгранично предаване

За бисквитки, насочващи данни към доставчици извън Nigeria — повечето рекламно-технологични доставчици в USA, аналитични платформи в EU — известието за поверителност трябва да посочва получателя на предаването и гаранцията, въз основа на която то се осъществява. Общите формулировки от рода на „използваме трети страни" не удовлетворяват очакванията на NDPC.

Позицията на Комисията за защита на личните данни на Nigeria по прилагане

NDPC е целенасочено насочена към публичността от момента на създаването си през 2023 г. Позицията й по прилагане следва три наблюдаеми модела.

Ранни дела с висок профил

NDPC е дала приоритет на видими ранни дела срещу добре познати оператори, за да установи прецедент и да демонстрира сериозността на намеренията си. Няколко финтех и телекомуникационни оператора получиха заповеди за съответствие през 2024 и 2025 г. с публични комуникации относно извършените корекции.

Секторни проверки

Освен дела, инициирани по жалби, NDPC е провеждала секторни прегледи на финтех, здравни и електронно-търговски оператори. Проверките обикновено започват с искане за документация (известия за поверителност, регистри на съгласието, списъци с доставчици) и ескалират въз основа на това, което документацията разкрива.

Координация с African и European регулатори

NDPC участва в работния поток за потоци от данни в рамките на Continental Free Trade Area на African Union и поддържа работни отношения с EDPB и основните национални органи за защита на данните. Трансграничните разследвания, включващи Nigerian и European трафик, все по-често се провеждат чрез координирани процедури.

Практически контролен списък за съответствие

Шест конкретни въпроса, на които трябва да се отговори за всеки банер с бисквитки, обслужващ Nigerian трафик.

• Налице ли е изричен бутон за отказ на първото ниво? Изричното включване е задължително; превъртането като съгласие и предварително отметнатите полета не отговарят на изискванията по GAID.
• Детайлни ли са категориите? Необходимите, аналитичните и маркетинговите бисквитки трябва да се управляват поотделно.
• Определено и регистрирано ли е DPO? Ако обработването надвишава прага за регистрация в NDPC, потвърдете, че определянето на DPO и регистрацията в NDPC са извършени.
• Трансграничните предавания документирани ли са? Идентифицирайте всяка дестинация извън Nigeria и гаранцията по Sections 41-43, оправомощаваща предаването.
• Известието за поверителност съответства ли на NDPA? Потвърдете, че известието идентифицира администратора, целите, получателите, периода на съхранение и рамката на правата по Section 33.
• Регистрирането на съгласието на одиторско ниво ли е? Времевият печат, версията на банера, изборът и законовото основание трябва да бъдат възстановими при поискване.

Мястото на Nigeria в многоюрисдикционна архитектура

Nigeria е най-големият цифров пазар в Africa по брой потребители и NDPA все по-често се използва като образец, към който другите African юрисдикции се обръщат при модернизирането на собствените си рамки. Архитектура за съответствие, изградена по европейски стандарти, се справя с Nigerian съответствие чрез същия вид незначителни конфигурационни корекции, каквито изисква Нова Зеландия: определяне на DPO там, където праговете се прилагат, документиране на предаванията в стил NDPC и оповестявания на английски език, зачитащи Nigerian езикови конвенции. За издатели, изграждащи дейност за паневропейски операции, NDPA стои редом до Закона за защита на данните на Кения от 2019 г., POPIA на Южна Африка и новата рамка на Египет като четирите най-оперативно значими African режима. Постигането на Nigerian съответствие е значимо само по себе си на собствения пазар и сигнализира за готовност на континентално ниво за останалата му част.