CevroConformité NDPA au Nigeria : liste de contrôle
La Nigeria Data Protection Act (NDPA) de 2023 est appliquée par la Nigeria Data Protection Commission (NDPC). Elle s'applique aux organisations qui traitent les données personnelles de personnes au Nigeria, y compris les entreprises établies ailleurs. Utilisez cette liste pour savoir où vous en êtes.
1. Déterminez si vous êtes un responsable ou sous-traitant d'importance majeure
L'enregistrement et les obligations de désignation se déclenchent dès qu'un responsable de traitement ou sous-traitant franchit le seuil de « Data Controller or Processor of Major Importance » (DCPMI). Confirmez votre statut au regard des critères de la NDPC et réexaminez-le à mesure que vous grandissez.
2. Enregistrez-vous et désignez un délégué à la protection des données lorsque c'est requis
Si vous êtes un DCPMI, enregistrez-vous auprès de la NDPC et désignez un délégué à la protection des données. Notez qui occupe la fonction et tenez l'enregistrement à jour.
3. Déposez le rapport annuel d'audit de conformité
Un DCPMI doit soumettre chaque année un Compliance Audit Return. Gardez vos registres, politiques et preuves organisés tout au long de l'année pour que le rapport soit une synthèse et non un projet.
4. Soyez prêt à notifier une violation sous 72 heures
La loi fixe un délai de 72 heures pour notifier l'autorité d'une violation de données personnelles qualifiée. Il vous faut une détection, un responsable d'incident clair et un modèle de notification.
5. Évaluez les risques par une analyse d'impact
Réalisez une analyse d'impact relative à la protection des données avant tout traitement à risque élevé et conservez le résultat.
6. Encadrez les transferts internationaux
Les transferts de données personnelles hors du Nigeria sont restreints et exigent une base licite. Documentez chaque transfert, le fournisseur concerné et la garantie retenue.
7. Mesurez l'enjeu
Les sanctions peuvent atteindre 2 % du chiffre d'affaires annuel brut ou 10 000 000 ₦, le montant le plus élevé étant retenu : c'est un risque de niveau conseil d'administration pour toute entreprise ayant des utilisateurs nigérians.
Note fintech
Les établissements financiers agréés sont aussi soumis à des attentes distinctes de cybersécurité de la banque centrale. Ce sont des règles sectorielles qui s'ajoutent à la NDPA, sans la remplacer.
Questions fréquentes
La NDPA s'applique-t-elle aux entreprises étrangères ?
Elle s'applique au traitement des données personnelles de personnes au Nigeria ; des entreprises étrangères ayant des utilisateurs nigérians peuvent donc être concernées.
Qu'est-ce qui a remplacé la NDPR ?
La NDPA de 2023 est désormais la loi principale de protection des données au Nigeria, et l'autorité est la NDPC.