Guia de compliment normatiu del consentiment de cookies per a la Llei de protecció de dades de Nigeria 2023 per a editors el 2026
Nigeria va operar durant anys sota la Regulació de protecció de dades de Nigeria 2019 (NDPR), una regulació subsidiària emesa per NITDA que imposava obligacions d'estil GDPR sense l'autoritat legal completa d'una llei de protecció de dades pròpiament dita. La Llei de protecció de dades de Nigeria 2023 (NDPA) ho va canviar. Aprovada per l'Assemblea Nacional i signada el June 2023, la llei és la primera llei integral de protecció de dades de Nigeria i va establir la Comissió de protecció de dades de Nigeria (NDPC) com a autoritat de supervisió independent amb poders d'aplicació materialment més forts que els de NITDA sota l'antic règim. Per als editors, operadors SaaS i proveïdors d'ad-tech que serveixen trànsit nigerià — un mercat que s'ha expandit ràpidament amb el creixement del fintech, el comerç electrònic i l'economia digital del Africa occidental en general — la NDPA ha restablert el llistó del compliment. Aquesta guia descriu el que requereix la llei, com l'NDPC l'ha interpretat per al seguiment en línia i com és la feina de compliment pràctica el 2026.
Esquema de la NDPA
La NDPA s'estructura al voltant de sis principis bàsics que s'alineen clarament amb l'Article 5 del GDPR: licitud, equitat i transparència, limitació de la finalitat, minimització de dades, exactitud, limitació de l'emmagatzematge i seguretat. La llei s'aplica a qualsevol responsable o encarregat del tractament que processi dades personals d'individus ubicats a Nigeria, amb abast extraterritorial que reflecteix l'Article 3 del GDPR. Un editor offshore que serveix visitants nigerians és clarament dins de l'àmbit d'aplicació independentment d'on s'estableixi l'editor.
Les bases legítimes de la llei previstes a la Section 25 també resulten familiars: consentiment, execució de contracte, obligació legal, interessos vitals, interès públic i interès legítim. Per al seguiment en línia, les bases rellevants són el consentiment i — en circumstàncies estrictes i ben documentades — l'interès legítim. La Directiva general d'aplicació i implementació (GAID) de l'NDPC del 2025 va aclarir que l'estàndard de consentiment per a cookies no essencials és funcionalment idèntic al del GDPR: lliurement atorgat, específic, informat, inequívoc i susceptible de ser retirat amb la mateixa facilitat amb la qual es va atorgar.
El canvi de la NDPR a la NDPA
Tres canvis entre l'antic règim de la NDPR i la nova NDPA importen més per als editors en línia.
Poders d'aplicació estatutaris
L'autoritat de NITDA sota la NDPR es basava en una regulació subsidiària, la qual limitava la solidesa dels recursos que l'agència podia perseguir. L'NDPC opera sota legislació primària i pot emetre ordres de compliment, imposar multes administratives vinculades a un percentatge dels ingressos anuals i iniciar remissions penals per infraccions deliberades. El canvi de la persuasió reglamentària a l'aplicació estatutària és el canvi operatiu més conseqüent.
Obligacions obligatòries del delegat de protecció de dades
La NDPA requereix que els responsables del tractament que superin uns determinats llindars de tractament designin un Delegat de Protecció de Dades (DPO) i es registrin a l'NDPC. Els llindars inclouen la majoria dels editors en línia i operadors SaaS significatius que serveixen usuaris nigerians.
Marc de transferències transfrontereres
La NDPA va codificar les normes de transferència transfronterera que la NDPR havia tractat de manera laxa. Les Sections 41-43 requereixen que les transferències a jurisdiccions no adequades es realitzin mitjançant un dels diversos mecanismes enumerats — designació d'adequació, normes corporatives vinculants, garanties contractuals o derogacions específiques — amb l'NDPC publicant una llista d'instruments aprovats.
Com tracta la NDPA les cookies i el seguiment en línia
La NDPA no conté cap disposició específica sobre cookies; les obligacions de consentiment i informació deriven del marc general. La GAID de l'NDPC i una sèrie de notes d'orientació pública publicades durant el 2024 i el 2025 van articular expectatives específiques per al seguiment en línia.
Consentiment afirmatiu per a cookies no essencials
La postura de l'NDPC s'alinea amb el Grup de treball de banners de cookies de l'EDPB i les posicions equivalents de reguladors africans comparables (l'ODPC de Kenya, el Regulador d'Informació de Sud-àfrica). El desplaçament com a consentiment, l'ús continuat com a consentiment i les caselles premarcades són defectes explícits.
Controls de categories granulars
Els banners han de separar les cookies estrictament necessàries de les d'analítica i de les de màrqueting, amb cada categoria controlable de manera independent. El acceptar-tot agrupat sense granularitat es considera un error del criteri d'especificitat de l'estàndard de consentiment.
Base legítima documentada
La Section 26 de la NDPA codifica la responsabilitat — els responsables del tractament han de poder demostrar la seva base legítima per a cada activitat de tractament a petició. Per als desplegaments de cookies, això es tradueix en registre de consentiment de qualitat d'auditoria: marca de temps, versió del banner, l'elecció de l'usuari i la base legítima al·legada per a cada categoria que s'activa.
Divulgació de transferències transfrontereres
Per a les cookies que envien dades a proveïdors fora de Nigeria — la majoria de proveïdors d'ad-tech amb seu als EUA, plataformes d'analítica amb seu a la EU — l'avís de privadesa ha d'identificar el destinatari de la transferència i la salvaguarda sota la qual es realitza la transferència. El llenguatge genèric sobre "fem servir tercers" no satisfà les expectatives de l'NDPC.
La postura d'aplicació de la Comissió de protecció de dades de Nigeria
L'NDPC ha estat deliberadament de cara al públic des que es va crear el 2023. La seva postura d'aplicació segueix tres patrons observables.
Casos inicials d'alt perfil
L'NDPC ha prioritzat casos inicials visibles contra operadors coneguts per establir precedents i assenyalar seriositat. Diversos operadors de fintech i telecomunicacions van rebre ordres de compliment el 2024 i el 2025 amb comunicació pública sobre la correcció.
Escombrades sectorials
Més enllà dels casos impulsats per queixes, l'NDPC ha realitzat revisions sectorials d'operadors de fintech, sanitat i comerç electrònic. Les escombrades típicament comencen amb una sol·licitud de documentació (avisos de privadesa, registres de consentiment, llistes de proveïdors) i s'intensifiquen en funció del que revela la documentació.
Coordinació amb reguladors africans i europeus
L'NDPC participa en el flux de treball de dades de la Continental Free Trade Area de la African Union i manté relacions de treball amb l'EDPB i les principals autoritats nacionals de protecció de dades. Les investigacions transfrontereres que involucren trànsit nigerià i europeu s'han gestionat cada vegada més mitjançant procediments coordinats.
Una llista de verificació de compliment pràctica
Sis preguntes concretes a respondre per a qualsevol banner de cookies que serveixi trànsit nigerià.
- Hi ha un rebuig explícit a la primera capa? El consentiment afirmatiu és obligatori; el desplaçament com a consentiment i les caselles premarcades fallen sota la GAID.
- Les categories són granulars? Les necessàries, d'analítica i de màrqueting han de ser controlables per separat.
- El DPO ha estat designat i registrat? Si el tractament supera el llindar de registre de l'NDPC, confirmar que la designació del DPO i el registre a l'NDPC estan en vigor.
- Les transferències transfrontereres estan documentades? Identificar cada destinació no nigeriana i la salvaguarda de les Sections 41-43 que autoritza la transferència.
- L'avís de privadesa compleix la NDPA? Confirmar que l'avís identifica el responsable del tractament, les finalitats, els destinataris, el període de conservació i el marc de drets de la Section 33.
- El registre de consentiment és de qualitat d'auditoria? La marca de temps, la versió del banner, l'elecció i la base legítima han de ser recuperables a petició.
On encaixa Nigeria en una pila de múltiples jurisdiccions
Nigeria és el mercat digital més gran de Africa per nombre d'usuaris, i la NDPA és cada vegada més la plantilla que altres jurisdiccions africanes adopten quan modernitzen els seus propis marcs. Una arquitectura de compliment construïda d'acord amb els estàndards europeus gestiona el compliment nigerià amb el mateix tipus d'ajustaments de configuració menors que requereix Nova Zelanda: designació del DPO on s'apliquin els llindars, documentació de transferències a l'estil de l'NDPC i divulgacions en anglès que respecten les convencions lingüístiques nigerianes. Per als editors que construeixen operacions pan-africanes, la NDPA es troba al costat de la DPA de Kenya del 2019, la POPIA de Sud-àfrica i el marc emergent d'Egipte com els quatre règims africans més operativament consequents. Fer bé el compliment nigerià és significatiu en el seu propi mercat i assenyala la preparació continental per a la resta.