NDPA v prehľade

NDPA je štruktúrovaná okolo šiestich základných zásad, ktoré presne zodpovedajú GDPR Article 5: zákonnosť, spravodlivosť a transparentnosť, obmedzenie účelu, minimalizácia údajov, presnosť, obmedzenie uchovávania a bezpečnosť. Zákon sa vzťahuje na každého prevádzkovateľa alebo sprostredkovateľa údajov, ktorý spracúva osobné údaje osôb nachádzajúcich sa v Nigérii, s extrateritoriálnym dosahom, ktorý odzrkadľuje GDPR Article 3. Offshore vydavateľ obsluhujúci nigérijských návštevníkov spadá plne do rozsahu pôsobnosti bez ohľadu na to, kde je vydavateľ usadený.

Zákonné základy zákona podľa Section 25 sú tiež dôverne známe: súhlas, plnenie zmluvy, zákonná povinnosť, životné záujmy, verejný záujem a oprávnený záujem. Pre online sledovanie sú relevantné základy súhlas a — v úzkych, dobre zdokumentovaných okolnostiach — oprávnený záujem. Všeobecná smernica NDPC o uplatňovaní a implementácii 2025 (GAID) objasnila, že štandard súhlasu pre nepodstatné súbory cookie je funkcionálne totožný s GDPR: slobodne daný, konkrétny, informovaný, jednoznačný a schopný byť odvolaný rovnako ľahko, ako bol udelený.

Prechod z NDPR na NDPA

Tri zmeny medzi starým režimom NDPR a novou NDPA sú najdôležitejšie pre online vydavateľov.

Zákonné výkonné právomoci

Právomoc NITDA podľa NDPR sa opierala o subsidiárny predpis, čo obmedzovalo silu prostriedkov nápravy, ktoré agentúra mohla uplatniť. NDPC pôsobí podľa primárnej legislatívy a môže vydávať príkazy na dosiahnutie súladu, ukladať administratívne pokuty viazané na percento ročných príjmov a podávať trestné oznámenia za úmyselné porušenia. Prechod od regulačného presviedčania k zákonnému vynucovaniu je najvýznamnejšou operačnou zmenou.

Povinné povinnosti zodpovednej osoby za ochranu údajov

NDPA vyžaduje, aby prevádzkovatelia údajov prekračujúci určené prahy spracovania určili Zodpovednú osobu za ochranu údajov (DPO) a zaregistrovali sa u NDPC. Prahy zachytávajú väčšinu zmysluplných online vydavateľov a operátorov SaaS obsluhujúcich nigérijských používateľov.

Rámec cezhraničných prenosov

NDPA kodifikovala pravidlá cezhraničných prenosov, ktoré NDPR ošetroval len voľne. Sections 41-43 vyžadujú, aby prenosy do nevhodných jurisdikcií prebehli prostredníctvom jedného z niekoľkých vymenovaných mechanizmov — rozhodnutia o primeranosti, záväzných podnikových pravidiel, zmluvných záruk alebo konkrétnych výnimiek — pričom NDPC uverejňuje zoznam schválených nástrojov.

Ako NDPA zaobchádza so súbormi cookie a online sledovaním

NDPA neobsahuje osobitné ustanovenie o súboroch cookie; povinnosti týkajúce sa súhlasu a informácií vyplývajú zo všeobecného rámca. GAID NDPC a séria verejných usmernení uverejnených v priebehu rokov 2024 a 2025 formulovali konkrétne očakávania pre online sledovanie.

Kladný súhlas pre nepodstatné súbory cookie

Postoj NDPC sa zhoduje s pracovnou skupinou EDPB pre bannery so súbormi cookie a s ekvivalentnými postojmi porovnateľných African regulátorov (ODPC Kene, Informačný regulátor Juhoafrickej republiky). Posúvanie-ako-súhlas, pokračujúce-používanie-ako-súhlas a vopred zaškrtnuté políčka sú explicitné nedostatky.

Granulárne ovládacie prvky kategórií

Bannery musia oddeliť nevyhnutne potrebné súbory cookie od analytických a marketingových, pričom každá kategória musí byť nezávisle ovládateľná. Zoskupené prijatie-všetkého bez granularity sa považuje za zlyhanie prvku konkrétnosti štandardu súhlasu.

Zdokumentovaný zákonný základ

Section 26 NDPA kodifikuje zodpovednosť — prevádzkovatelia musia byť schopní preukázať svoj zákonný základ pre každú činnosť spracovania na požiadanie. Pre nasadenia súborov cookie sa to prekladá do záznamu súhlasu na úrovni auditu: časová pečiatka, verzia bannera, voľba používateľa a zákonný základ uplatňovaný pre každú aktivovanú kategóriu.

Zverejnenie cezhraničného prenosu

Pre súbory cookie, ktoré smerujú údaje dodávateľom mimo Nigérie — väčšine dodávateľov reklamných technológií so sídlom v USA, analytickým platformám so sídlom v EU — musí oznámenie o ochrane osobných údajov identifikovať príjemcu prenosu a záruky, podľa ktorých sa prenos uskutočňuje. Všeobecný jazyk o využívaní tretích strán nespĺňa očakávania NDPC.

Výkonné postavenie Nigerijskej komisie pre ochranu údajov

NDPC bola od svojho vzniku v roku 2023 zámerné orientovaná na verejnosť. Jej výkonné postavenie sleduje tri pozorovateľné vzory.

Skoré prípady s vysokým profilom

NDPC uprednostnila viditeľné skoré prípady proti dobre známym prevádzkovateľom, aby vytvorila precedens a signalizovala vážnosť. Niekoľko prevádzkovateľov fintech a telekomunikácií dostalo v rokoch 2024 a 2025 príkazy na dosiahnutie súladu s verejnou komunikáciou o náprave.

Sektorové prehľady

Okrem prípadov iniciovaných sťažnosťami NDPC uskutočnila sektorové prehľady prevádzkovateľov fintech, zdravotníctva a e-commerce. Prehľady zvyčajne začínajú žiadosťou o dokumentáciu (oznámenia o ochrane osobných údajov, záznamy súhlasov, zoznamy dodávateľov) a eskalujú na základe toho, čo dokumentácia odhalí.

Koordinácia s African a európskymi regulátormi

NDPC sa zúčastňuje na pracovnom toku dátových tokov Continental Free Trade Area African Union a udržiava pracovné vzťahy s EDPB a hlavnými národnými dozornými orgánmi. Cezhraničné vyšetrovania zahŕňajúce nigérijskú a európsku návštevnosť sú čoraz viac riešené prostredníctvom koordinovaných postupov.

Praktický kontrolný zoznam súladu

Šesť konkrétnych otázok, na ktoré treba odpovedať pre každý banner so súbormi cookie obsluhujúci nigérijskú návštevnosť.

• Existuje explicitné odmietnutie na prvej vrstve? Kladný opt-in je povinný; posúvanie-ako-súhlas a vopred zaškrtnuté políčka zlyhávajú podľa GAID.
• Sú kategórie granulárne? Nevyhnutné, analytické a marketingové kategórie musia byť ovládateľné osobitne.
• Je DPO určený a zaregistrovaný? Ak spracovanie prekročí prah registrácie NDPC, potvrďte, že určenie DPO a registrácia NDPC sú zavedené.
• Sú cezhraničné prenosy zdokumentované? Identifikujte každý cieľ mimo Nigérie a záruky Sections 41-43 oprávňujúce prenos.
• Je oznámenie o ochrane osobných údajov v súlade s NDPA? Potvrďte, že oznámenie identifikuje prevádzkovateľa, účely, príjemcov, lehotu uchovávania a rámec práv podľa Section 33.
• Je záznam súhlasu na úrovni auditu? Časová pečiatka, verzia bannera, voľba a zákonný základ musia byť obnoviteľné na požiadanie.

Kde sa Nigeria hodí do multijurisdikčného zásobníka

Nigeria je najväčší digitálny trh v Africa podľa počtu používateľov a NDPA sa stáva stále viac šablónou, na ktorú poukazujú iné African jurisdikcie pri modernizácii svojich vlastných rámcov. Architektúra súladu vybudovaná podľa európskych štandardov zvládne nigérijský súlad s rovnakým druhom drobných konfiguračných úprav, aké vyžaduje Nový Zéland: určenie DPO tam, kde platia prahy, dokumentácia prenosov v štýle NDPC a anglickojazyčné zverejnenia, ktoré rešpektujú nigérijské jazykové konvencie. Pre vydavateľov budujúcich pan-African operácie stojí NDPA vedľa Kenya DPA 2019, South Africa POPIA a vznikajúceho rámca Egypta ako štyri operačne najvýznamnejšie African regimy. Správne zaistenie nigérijského súladu je zmysluplné na vlastnom trhu a signalizuje kontinentálnu pripravenosť pre zvyšok.