نيجيريا NDPR: الامتثال للوائح حماية البيانات

تتمتع نيجيريا بأكبر اقتصاد في أفريقيا والدولة الأكثر اكتظاظا بالسكان، مما يجعلها سوقا هاما للشركات في جميع أنحاء القارة. شهد إطار حماية البيانات في نيجيريا تطورًا كبيرًا: بدءًا من لائحة حماية البيانات النيجيرية (NDPR) الصادرة عن الوكالة الوطنية لتطوير تكنولوجيا المعلومات (NITDA) في يناير 2019، إلى قانون حماية البيانات النيجيري 2023 (NDPA) - الذي تم التوقيع عليه ليصبح قانونًا في 14 يونيو 2023 - والذي أنشأ لجنة حماية البيانات النيجيرية (NDPC) كهيئة مستقلة لحماية البيانات ورفع مستوى حماية البيانات إلى القانون التشريعي.

يعد فهم كل من NDPR (الذي يظل ذا صلة بالامتثال الانتقالي) وإطار NDPA 2023 الجديد أمرًا ضروريًا لأي منظمة لديها عمليات أو موظفين أو عملاء نيجيريين.

الوجبات الرئيسية

• يحل قانون حماية البيانات النيجيري لعام 2023 (NDPA) محل NDPR ويؤسس NDPC كسلطة إشرافية مستقلة
• ينطبق قانون NDPA على معالجة البيانات الشخصية في نيجيريا وخارج الحدود الإقليمية حيث يتم تقديم السلع / الخدمات للنيجيريين أو مراقبة سلوك الأفراد النيجيريين
• توجد ستة قواعد قانونية للمعالجة، مع اعتبار الموافقة هي الأساس الأساسي لبيانات المستهلك
• تتطلب البيانات الشخصية الحساسة (الصحة، والقياسات الحيوية، والعرق، والدين، والآراء السياسية، والتوجه الجنسي) موافقة صريحة مع استثناءات محدودة
• يواجه "معالجو البيانات" و"مراقبو البيانات ذوو الأهمية الكبرى" التزامات إضافية محددة بما في ذلك متطلبات التدقيق والامتثال
• تتطلب قيود النقل عبر الحدود كفاية أو ضمانات مناسبة أو موافقة
• يمكن لـ NDPC فرض غرامات تصل إلى 2% من إجمالي الإيرادات السنوية أو 10 ملايين ين، أيهما أعلى، بسبب المخالفات العامة؛ ما يصل إلى 50 مليون ين للانتهاكات الجسيمة
• يجب على جميع مراقبي البيانات إجراء عمليات تدقيق سنوية لحماية البيانات مع مدققين مرخصين من NITDA

---

إطار حماية البيانات في نيجيريا

من NDPR إلى NDPA

NDPR 2019 (لائحة حماية البيانات في نيجيريا): تم إصدارها بموجب تفويض NITDA، وليس قانونًا رسميًا صادرًا عن البرلمان. يُطبق على الأشخاص الطبيعيين والكيانات التي تتعامل مع البيانات الشخصية للمقيمين النيجيريين. وضع المبادئ الأساسية لحماية البيانات والحقوق الفردية ومتطلبات الامتثال بما في ذلك عمليات التدقيق السنوية الإلزامية من قبل مدققين مرخصين من NITDA.

** NDPA 2023 ** (قانون حماية البيانات في نيجيريا): سنته الجمعية الوطنية ووقعه الرئيس في 14 يونيو 2023. يُنشئ NDPA كهيئة قانونية مستقلة؛ يرفع التزامات حماية البيانات إلى التشريعات الأولية؛ يقدم حقوقًا والتزامات جديدة ؛ يتوافق بشكل أوثق مع اللائحة العامة لحماية البيانات؛ يحل محل الأحكام المتضاربة في NDPR.

الانتقال: أشار NDPC إلى أن آليات وإرشادات الامتثال لـ NDPR تظل قابلة للتطبيق خلال الفترة الانتقالية. يجب على المنظمات التي كانت متوافقة مع NDPR مراجعة NDPA لمعرفة الالتزامات الإضافية.

نطاق NDPA

ينطبق قانون NDPA على:

1. معالجة البيانات الشخصية في نيجيريا
2. معالجة البيانات الشخصية من قبل الكيانات النيجيرية بغض النظر عن مكان حدوث المعالجة
3. المعالجة من قبل كيانات خارجية حيث يتم تقديم السلع / الخدمات للأفراد في نيجيريا، أو حيث يتم مراقبة سلوك الأفراد في نيجيريا

---

التعريفات الرئيسية وفئات البيانات

البيانات الشخصية: أي معلومات تتعلق بفرد يمكن تحديد هويته - يمكن التعرف عليه بشكل مباشر أو غير مباشر من خلال الإشارة إلى الاسم أو رقم التعريف أو بيانات الموقع أو واحد أو أكثر من العوامل الخاصة بالهوية الجسدية أو الفسيولوجية أو الجينية أو العقلية أو الاقتصادية أو الثقافية أو الاجتماعية.

البيانات الشخصية الحساسة (الجدول 1 من قانون حماية البيانات الجديد): تتطلب حماية مشددة وموافقة صريحة. تشمل الفئات ما يلي:

• البيانات الجينية أو البيومترية
• السجلات الصحية أو الطبية
• العرق أو الأصل العرقي
• المعتقدات الدينية أو السياسية
• العضوية النقابية
• التوجه الجنسي أو الأنشطة
• بيانات تخص الطفل

بيانات الأطفال: تنطبق إجراءات حماية محددة على بيانات الأطفال (الذين يُعرّفون بالأفراد الذين تقل أعمارهم عن 18 عامًا بموجب القانون النيجيري). موافقة الوالدين أو الوصي مطلوبة لمعالجة البيانات الشخصية للأطفال. يجب تنفيذ آليات موافقة الوالدين التي تم التحقق منها للخدمات عبر الإنترنت الموجهة للأطفال.

---

الأسس القانونية للمعالجة

تحدد المادة 25 من قانون الدفاع الوطني ستة أسس قانونية:

1. الموافقة: إشارة موافقة محددة ومستنيرة ولا لبس فيها تُعطى بحرية. يجب أن تكون قابلة للسحب في أي وقت دون ضرر.

2. العقد: المعالجة اللازمة لتنفيذ العقد مع صاحب البيانات، أو اتخاذ خطوات بناءً على طلب صاحب البيانات قبل إبرام العقد.

3. الالتزام القانوني: المعالجة اللازمة للامتثال للالتزام القانوني لوحدة التحكم.

4. المصالح الحيوية: المعالجة اللازمة لحماية المصالح الحيوية لصاحب البيانات أو لشخص آخر.

5. المصلحة العامة: المعالجة اللازمة لأداء مهمة يتم تنفيذها لتحقيق المصلحة العامة، أو في ممارسة التفويض العام الرسمي المخول للمراقب.

6. المصالح المشروعة: المعالجة اللازمة لأغراض المصالح المشروعة التي يسعى إليها المراقب أو طرف ثالث - باستثناء الحالات التي يتم فيها تجاوزها بالحقوق والحريات الأساسية لصاحب البيانات. (ملاحظة: هذا الأساس لا يمكن الاعتماد عليه من قبل أي سلطة عامة في أداء مهامها).

متطلبات الموافقة: يجب أن تكون محددة لكل غرض من أغراض المعالجة؛ يُمنح مجانًا (لا يشترط العقد الموافقة على المعالجة غير الضرورية)؛ مسجلة وقابلة للإثبات؛ من السهل الانسحاب والعطاء. لا تشكل المربعات المحددة مسبقًا أو الصمت أو عدم النشاط موافقة صالحة.

---

حقوق صاحب البيانات

يمنح قانون NDPA للأفراد الحقوق التالية، التي يمكن ممارستها دون تأخير غير مبرر من المراقب:

الجداول الزمنية للاستجابة: يتطلب قانون NDPA ردودًا "دون تأخير لا مبرر له" - تشير إرشادات NDPC إلى 30 يومًا كمعيار معقول، مع تمديد إلى 60 يومًا للطلبات المعقدة إذا تم إخطار صاحب البيانات خلال أول 30 يومًا.

---

التزامات المراقب المالي

إشعار الخصوصية

يجب على وحدات التحكم تقديم معلومات الخصوصية عند التجميع أو قبله:

• الهوية وتفاصيل الاتصال الخاصة بوحدة التحكم
• تفاصيل الاتصال بمسؤول حماية البيانات (إن أمكن)
• الأغراض والأسس المشروعة للمعالجة
• المستلمون أو فئات مستلمي البيانات الشخصية
• التحويلات إلى بلدان ثالثة والضمانات
• فترات الاحتفاظ أو معايير تحديدها
• حقوق أصحاب البيانات وكيفية ممارستها
• الحق في سحب الموافقة (حيث تكون الموافقة هي الأساس)
• الحق في تقديم شكوى إلى NDPC

اللغة: يجب أن تكون إشعارات الخصوصية الخاصة بالعمليات النيجيرية باللغة الإنجليزية (اللغة الرسمية لنيجيريا) وقد تحتاج إلى تضمين ترجمات عامية للمنتجات التي يواجهها المستهلك في المناطق التي بها عدد كبير من السكان غير الناطقين باللغة الإنجليزية.

مسؤول حماية البيانات (DPO)

يتطلب قانون NDPA تعيين DPO من أجل:

• مراقبو البيانات أو المعالجون ذوو الأهمية الكبرى (يتم تعريفهم على أنهم أولئك الذين يعالجون بيانات أكثر من 10000 موضوع بيانات شهريًا، أو يعالجون البيانات الحساسة كنشاط أساسي)
• السلطات العامة

مسؤوليات DPO:

• الإبلاغ والمشورة بشأن التزامات حماية البيانات
• مراقبة الامتثال لقانون NDPA والسياسات الداخلية
• العمل كنقطة اتصال لأصحاب البيانات و NDPC
• التعاون مع تحقيقات NDPC

التدقيق السنوي لحماية البيانات

أحد متطلبات الامتثال الأكثر تميزًا في نيجيريا: ** يجب على جميع مراقبي البيانات إجراء تدقيق سنوي لحماية البيانات وتقديمه ** إلى NDPC (المعروف سابقًا باسم NITDA بموجب NDPR). يجب إجراء التدقيق من قبل منظمة امتثال حماية البيانات (DPCO) المرخصة من NITDA. يصدر DPCO تقرير تدقيق يغطي ممارسات حماية البيانات الخاصة بالمراقب، وفجوات الامتثال، وتوصيات العلاج. ويجب تقديم ذلك إلى NDPC سنويًا.

يغطي نطاق التدقيق:

• جرد البيانات ورسم خرائط التدفق
• توثيق الأساس القانوني
• كفاية إشعار الخصوصية
• التدابير الأمنية
• إجراءات حقوق أصحاب البيانات
• الامتثال للنقل عبر الحدود
• إجراءات الإبلاغ عن المخالفة
• تدريب الموظفين

التكلفة: تختلف رسوم التدقيق حسب DPCO؛ توقع ₦500,000 - 5,000,000+ اعتمادًا على حجم المؤسسة وتعقيدها.

تقييمات تأثير حماية البيانات (DPIAs)

يتطلب القسم 30 إجراءات حماية البيانات الشخصية لأنشطة المعالجة عالية المخاطر بما في ذلك:

• التقييم المنهجي للجوانب الشخصية باستخدام المعالجة الآلية أو التنميط أو التنبؤات
• معالجة واسعة النطاق للبيانات الشخصية الحساسة
• المراقبة المنهجية للمناطق التي يمكن الوصول إليها بشكل عام على نطاق واسع

---

متطلبات الأمان

يتطلب القسم 38 من قانون NDPA اتخاذ تدابير أمنية فنية وتنظيمية مناسبة للمخاطر. أصدر NDPC وNITDA إرشادات فنية تحدد ما يلي:

الحد الأدنى من التدابير الفنية:

• تشفير البيانات الشخصية في التخزين والنقل (TLS للإرسال، AES-256 للبيانات الحساسة)
• التحكم في الوصول مع المصادقة وأقل الامتيازات
• الاسم المستعار حيثما كان ذلك ممكنا
• مسارات تدقيق النظام وسجلات الوصول
• اختبار أمني منتظم (سنويًا على الأقل)
• كشف الحوادث وقدرات الاستجابة
• النسخ الاحتياطي والاسترداد الآمن

الحد الأدنى من التدابير التنظيمية:

• سياسات الخصوصية والأمان الموثقة
• تدريب الموظفين على التزامات حماية البيانات
• إطار تصنيف البيانات
• تقييمات أمن البائع/المعالج
• ضوابط الأمن المادي لمرافق معالجة البيانات

---

عمليات نقل البيانات عبر الحدود

يقيد القسم 43 من قانون NDPA عمليات نقل البيانات الشخصية خارج نيجيريا. الآليات المسموح بها:

1. قرار كفاية NDPC: النقل إلى بلد يحدده NDPC أنه يتمتع بحماية كافية للبيانات
2. الضمانات المناسبة: النقل بموجب ضمانات توفر حقوقًا قابلة للتنفيذ لأصحاب البيانات، بما في ذلك:

• صك ملزم قانونا بين السلطات العامة
• قواعد الشركة الملزمة
• الشروط التعاقدية القياسية المعتمدة من قبل NDPC
• آلية التصديق مع التزامات ملزمة

3. الموافقة الصريحة: موافقة مستنيرة من صاحب البيانات بشأن النقل المقترح والمخاطر وغياب القرار أو الضمانات المناسبة
4. ضرورة العقد: النقل ضروري للعقد بين صاحب البيانات ووحدة التحكم
5. المصالح الحيوية: حماية المصالح الحيوية حيث لا يمكن الحصول على الموافقة
6. المصلحة العامة: النقل ضروري للمصلحة العامة المهمة

قرارات كفاية NDPC: تعمل اللجنة على تطوير إطار الملاءمة الخاص بها. اعتبارًا من أوائل عام 2026، لم يتم نشر أي قرارات رسمية بشأن الكفاية. إن الشروط التعاقدية القياسية هي الآلية الموصى بها للتحويلات الروتينية عبر الحدود أثناء نضوج إطار الملاءمة.

---

إشعار الخرق

يتطلب القسم 40 من قانون NDPA الإخطار بانتهاكات البيانات الشخصية:

إخطار إلى NDPC: في غضون 72 ساعة من العلم بالانتهاك الذي من المحتمل أن يؤدي إلى خطر على حقوق الأفراد وحرياتهم.

إخطار الأفراد المتضررين: دون تأخير لا مبرر له، حيث من المرجح أن يؤدي الانتهاك إلى تعرض حقوقهم وحرياتهم لخطر كبير.

محتوى الإخطار إلى NDPC:

• طبيعة الانتهاك والفئات/العدد التقريبي لموضوعات البيانات المتأثرة
• الفئات والعدد التقريبي لسجلات البيانات الشخصية المتضررة
• تفاصيل الاتصال بـ DPO
• العواقب المحتملة للانتهاك
• التدابير المتخذة أو المقترحة لمعالجة الانتهاك، بما في ذلك تدابير التخفيف من الآثار السلبية

التوثيق: يجب توثيق جميع الانتهاكات (حتى تلك التي لا تتطلب إشعارًا) داخليًا مع الحقائق والتأثيرات وإجراءات الإصلاح.

---

تطبيق NDPC والعقوبات

** لجنة حماية البيانات النيجيرية (NDPC)** هي وكالة حكومية مستقلة تم إنشاؤها بموجب NDPA 2023. وتشمل صلاحياتها ما يلي:

• تلقي الشكاوى والتحقيق فيها
• إجراء عمليات التدقيق (المخططة وغير المعلنة)
• إصدار إشعارات الامتثال
• فرض العقوبات الإدارية
• إحالة المخالفات الجنائية إلى النائب العام

العقوبات الإدارية:

العقوبات الجنائية: ينص قانون حماية البيانات الجديد على المسؤولية الجنائية عن بعض الانتهاكات، بما في ذلك التداول غير القانوني في البيانات الشخصية. وينص القسم 48 من قانون NDPA على عقوبات جنائية بما في ذلك السجن.

** تاريخ إنفاذ NITDA **: بموجب NDPR، فرضت NITDA غرامات تشمل: Spenmo Technologies (10 مليون ين ياباني)، وJulius Berger Nigeria (10 مليون ين ياباني)، وIntegrated Corporate Services Limited (4 مليون ين ياباني). تظهر هذه الإنفاذ النشط الذي يمتد إلى كل من الشركات المحلية والدولية العاملة في نيجيريا.

---

قائمة التحقق من الامتثال لقانون NDPA

• تم تأكيد قابلية تطبيق قانون NDPA (عمليات نيجيريا، العملاء/الموظفون النيجيريون)
• تم الانتهاء من جرد البيانات الشخصية
• تم تحديد البيانات الشخصية الحساسة - تم الحصول على موافقة صريحة
• تحديد بيانات الأطفال - تنفيذ آليات موافقة الوالدين
• الأساس القانوني الموثق لكل نشاط معالجة
• تم إعداد إشعار الخصوصية باللغة الإنجليزية مع جميع الإفصاحات المطلوبة
• يتم تعيين DPO عند الاقتضاء (أكثر من 10000 موضوع بيانات / شهر أو نشاط أساسي للبيانات الحساسة)
• تم التخطيط لمراجعة سنوية لحماية البيانات من خلال DPCO المرخصة من NITDA
• توثيق إجراءات حقوق أصحاب البيانات
• تم الانتهاء من تقييم النقل عبر الحدود - تم وضع الالتزامات التعاقدية النموذجية أو أي آلية أخرى
• تم تنفيذ الإجراءات الأمنية (التشفير، التحكم في الوصول، تسجيل التدقيق)
• تم إجراء حماية حماية البيانات (DPIA) لأنشطة المعالجة عالية المخاطر
• توثيق إجراءات الإخطار بالانتهاك (إخطار NDPC لمدة 72 ساعة)
• تم الانتهاء من تدريب الموظفين على التزامات NDPA
• مراجعة وتحديث اتفاقيات المعالجات (اتفاقيات معالجة البيانات).

---

الأسئلة المتداولة

هل لا يزال NDPR مناسبًا الآن بعد أن تم سن NDPA 2023؟

يحل قانون NDPA 2023 محل الأحكام المتضاربة في NDPR. ومع ذلك، أشار NDPC إلى أن توجيهات NDPR وآليات الامتثال تظل قابلة للتطبيق خلال الفترة الانتقالية. والأهم من ذلك، أن متطلبات التدقيق السنوية - وهي إحدى السمات الأكثر تميزًا لـ NDPR - تستمر بموجب NDPA. يجب على المنظمات التي قامت ببناء برامج الامتثال الخاصة بها حول NDPR مراجعة NDPA لمعرفة الالتزامات الجديدة أو المعززة، لا سيما فيما يتعلق بحقوق أصحاب البيانات، والبيانات الحساسة، وعمليات النقل عبر الحدود، ومتطلبات DPO.

ما هي منظمة الامتثال لحماية البيانات (DPCO) ولماذا أحتاج إليها؟

DPCO هي منظمة مرخصة من قبل NITDA/NDPC لتقديم خدمات تدقيق حماية البيانات والامتثال. يجب إجراء التدقيق السنوي لحماية البيانات المطلوب بموجب القانون النيجيري بواسطة شركة DPCO مرخصة - فالتقييم الذاتي وحده لا يفي بالمتطلبات. تقوم DPCOs بمراجعة ممارسات حماية البيانات الخاصة بك، وإصدار تقرير الامتثال، وتقديم التدقيق إلى NDPC نيابة عنك. تتوفر قائمة بمكاتب DPCO المرخصة على موقعي NITDA وNDPC. بالنسبة للشركات الأجنبية التي لها عمليات نيجيرية، يعد إشراك DPCO أمرًا ضروريًا للوفاء بالتزام التدقيق السنوي.

ماذا يعني "مراقب البيانات ذات الأهمية الكبرى" وما هي الالتزامات الإضافية؟

يتم تعريف مراقبي البيانات ذوي الأهمية الكبرى على أنهم أولئك الذين يعالجون البيانات الشخصية لأكثر من 10000 موضوع بيانات شهريًا، أو الذين يعالجون البيانات الشخصية الحساسة كنشاط أساسي. تشمل الالتزامات الإضافية لهذه الكيانات: تعيين DPO الإلزامي، والتسجيل لدى NDPC (منفصل عن سجل نوع VERBIS)، ومتطلبات التدقيق السنوية المحسنة، وملفات الامتثال الإضافية المحتملة. من المرجح أن تكون شركات التجارة الإلكترونية المتوسطة والكبيرة، وشركات الخدمات المالية، والمنصات الصحية، ومشغلي الاتصالات مؤهلة لتكون وحدات تحكم بيانات ذات أهمية كبيرة.

كيف يمكن مقارنة قانون NDPA النيجيري باللائحة العامة لحماية البيانات؟

يعتمد قانون حماية البيانات الجديد (NDPA) بشكل كبير على القانون العام لحماية البيانات (GDPR) من حيث البنية والمحتوى - ستة قواعد قانونية، ونفس فئات البيانات الحساسة (بالإضافة إلى القياسات الحيوية والبيانات الجينية)، وحقوق أصحاب البيانات المماثلة، ومتطلبات DPO، والتزامات حماية حقوق البيانات (DPIA)، والإخطار بالانتهاك. الاختلافات الرئيسية: (1) المراجعة الخارجية السنوية الإلزامية في نيجيريا ليس لها ما يعادلها من اللائحة العامة لحماية البيانات؛ (2) تعتبر قرارات كفاية NDPC أقل تطورًا من إطار الملاءمة التابع لمفوضية الاتحاد الأوروبي؛ (3) البنية التحتية لإنفاذ القوانين في نيجيريا حديثة ولا تزال في طور النمو؛ (4) العقوبات التي يفرضها قانون حماية البيانات الجديد أقل بشكل عام من حيث القيمة المطلقة من الحدود القصوى للقانون العام لحماية البيانات بالنسبة للشركات الكبيرة؛ (5) تم تنظيم قواعد النقل عبر الحدود في نيجيريا بشكل مشابه للنظام العام لحماية البيانات (GDPR) لكن الآليات المحددة تختلف في التنفيذ.

هل ينطبق قانون NDPA على الشركات النيجيرية العاملة في الخارج؟

نعم. ينطبق قانون NDPA على الكيانات النيجيرية بغض النظر عن مكان حدوث المعالجة. تظل الشركة النيجيرية التي لديها بنية تحتية سحابية خارجية أو شركات تابعة في الخارج أو عمليات دولية خاضعة لقانون NDPA لمعالجة بيانات الأفراد النيجيريين. وعلى العكس من ذلك، فإن الكيانات الخارجية التي تعالج بيانات النيجيريين داخل نيجيريا، أو تقدم السلع/الخدمات للنيجيريين، تخضع أيضًا لأحكام قانون تفويض الدفاع الوطني التي تتجاوز الحدود الإقليمية. وهذا يخلق التزامًا مزدوجًا على الشركات النيجيرية متعددة الجنسيات - الامتثال لقانون NDPA للبيانات النيجيرية بالإضافة إلى الامتثال للقوانين في كل بلد تعمل فيه.

---

الخطوات التالية

ينضج مشهد حماية البيانات في نيجيريا بسرعة، حيث أنشأ NDPA 2023 إطارًا قانونيًا أقوى وقام NDPC ببناء القدرة على التنفيذ. بالنسبة للشركات ذات العمليات النيجيرية - سواء كانت شركات محلية أو شركات دولية تخدم السوق النيجيرية - فإن بناء برنامج امتثال شامل يلبي المتطلبات المستمرة لقانون NDPA وNDPR أمر ضروري.

تساعد ECOSIRE الشركات العاملة في إفريقيا على التنقل بين متطلبات الامتثال لـ NDPA في نيجيريا، وتنفيذ حماية البيانات حسب التصميم، وإنشاء أطر الحوكمة التي يتطلبها NDPC.

معرفة المزيد: خدمات ECOSIRE

إخلاء المسؤولية: هذا الدليل لأغراض إعلامية فقط ولا يشكل مشورة قانونية. يتطور إطار حماية البيانات في نيجيريا حيث يصدر NDPC إرشادات ولوائح تنفيذية. استشر مستشارًا قانونيًا نيجيريًا مؤهلًا للحصول على مشورة خاصة بمؤسستك.