Обработвайте нигерийски данни в съответствие с NDPA.

Законът за защита на данните на Нигерия (NDPA) от 2023 г. е всеобхватният закон на Нигерия за защита на данните, който замени по-ранния Регламент за защита на данните на Нигерия (NDPR) от 2019 г. NDPA има много структурни прилики с GDPR на ЕС, включително принципите за законосъобразно обработване, ограничение на целите, свеждане на данните до минимум, точност, ограничение на съхранението и цялостност и поверителност. И двата закона предоставят на субектите на данни права на достъп, коригиране, изтриване и преносимост. Ключовите разлики включват създаването с NDPA на Комисията за защита на данните на Нигерия (NDPC) като специализиран надзорен орган, различните прагове за назначаване на длъжностно лице по защита на данните, конкретните разпоредби за трансграничните предавания на данни от Нигерия и система от санкции, съобразена с нигерийския регулаторен контекст. Организациите, които вече спазват GDPR, ще установят, че приблизително 70 до 80 процента от съществуващите им контроли са приложими за съответствието с NDPA.

NDPA се прилага за всеки администратор или обработващ лични данни, който обработва данни на нигерийски субекти на данни, независимо дали обработването се извършва в Нигерия или извън нейните граници. Това включва нигерийски дружества, чуждестранни дружества, които предлагат стоки или услуги на лица в Нигерия, организации, които наблюдават поведението на нигерийски субекти на данни, и всеки субект, който обработва лични данни в Нигерия. NDPA се прилага както за частния, така и за публичния сектор. Администраторите на данни от голямо значение, определени от Комисията за защита на данните на Нигерия въз основа на фактори като обема на обработваните данни и естеството на дейностите по обработване, имат допълнителни задължения, включително задължителна регистрация в NDPC и ежегодни оценки на въздействието върху защитата на данните.

NDPA предоставя на нигерийските субекти на данни няколко основни права: правото да бъдат информирани за обработването на личните им данни, правото на достъп до личните им данни, съхранявани от администратор, правото на коригиране на неточни или непълни лични данни, правото на изтриване (заличаване) на личните им данни при определени условия, правото на ограничаване на обработването при конкретни обстоятелства, правото на преносимост на данните в структуриран, широко използван и машинночетим формат, правото на възражение срещу обработване, основано на легитимни интереси или извършвано за целите на директния маркетинг, и правото да не бъдат обект на решения, основани единствено на автоматизирано обработване, включително профилиране. Администраторите трябва да отговарят на исканията на субектите на данни в разумен срок, определен от NDPC. Venvera проследява исканията на субектите на данни с наблюдение на сроковете и управление на работните процеси.

NDPA изисква администраторите да уведомяват Комисията за защита на данните на Нигерия за всяко нарушение на сигурността на личните данни, което е вероятно да породи риск за правата и свободите на субектите на данни. Уведомлението трябва да бъде направено в рамките на 72 часа от узнаването за нарушението. То трябва да включва естеството на нарушението на сигурността на личните данни, категориите и приблизителния брой засегнати субекти на данни, името и данните за контакт на длъжностното лице по защита на данните или на друга точка за контакт, описание на вероятните последици от нарушението и предприетите или предложените мерки за справяне с нарушението и смекчаване на последиците от него. Ако нарушението е вероятно да породи висок риск за правата и свободите на субектите на данни, администраторът трябва също да съобщи за нарушението на засегнатите субекти на данни без ненужно забавяне. Venvera автоматизира работните процеси за уведомяване за нарушения със следене на сроковете и предварително форматирани шаблони за уведомления.

Комисията за защита на данните на Нигерия (NDPC) е независимият регулаторен орган, създаден с NDPA от 2023 г., който наблюдава и прилага защитата на данните в Нигерия. В тази роля тя замени досегашния орган, Националната агенция за развитие на информационните технологии (NITDA). NDPC отговаря за наблюдението и прилагането на съответствието с NDPA, издаването на наредби и насоки, регистрирането на администраторите на данни от голямо значение, разследването на жалби от субекти на данни, извършването на одити и оценки, повишаването на обществената осведоменост за правата във връзка със защитата на данните и сътрудничеството с органите за защита на данните в други юрисдикции. NDPC поддържа и регистър на администраторите на данни от голямо значение и има правомощието да налага административни санкции за неспазване. Организациите, които обработват лични данни на жители на Нигерия, следва да следят насоките на NDPC и да гарантират, че дейностите им по обработване на данни са регистрирани, където това се изисква.

NDPA установява степенувана система от санкции при неспазване. За администраторите на данни от голямо значение глобите могат да достигнат до 2% от годишните брутни приходи за предходната финансова година или 10 милиона найри, която от двете суми е по-голяма. За администраторите на данни, които не са от голямо значение, глобите могат да достигнат до 2% от годишните брутни приходи или 2 милиона найри, която от двете суми е по-голяма. Освен финансовите санкции NDPC може да издава уведомления за принудително изпълнение, да разпорежда прекратяване на дейностите по обработване на данни, да изисква изтриване на неправомерно обработени данни и да публикува констатациите за неспазване. Физическите лица също имат право да търсят обезщетение по съдебен ред за вредите, претърпени в резултат на нарушения на NDPA. Организациите, които демонстрират проактивни усилия за съответствие, като назначаване на длъжностно лице по защита на данните (ДЛЗД), редовни DPIA и поддържане на регистри на обработването, са в по-добра позиция да преговарят с NDPC в случай на разследване.

NDPA допуска трансгранични предавания на лични данни от Нигерия към други държави или международни организации при определени условия. Предаванията са разрешени към държави или територии, за които NDPC е установила, че осигуряват адекватно ниво на защита на данните. При липса на решение за адекватно ниво на защита предаванията могат да се извършват, когато са налице подходящи гаранции, като задължителни фирмени правила, стандартни договорни клаузи, одобрени от NDPC, или кодекси за поведение със задължителни механизми за прилагане. Предаванията могат да се извършват и въз основа на конкретни дерогации, включително изричното съгласие на субекта на данните, необходимостта от изпълнение на договор, важни причини от обществен интерес или установяването или защитата на правни претенции. Администраторите трябва да извършват оценки на въздействието на предаването, когато разчитат на гаранции. Venvera проследява всички трансгранични предавания, документира правното основание за всяко от тях и маркира предаванията към юрисдикции без решение за адекватно ниво на защита.

Да. Venvera е софтуер за съответствие с NDPA, който покрива правното основание, правата на субектите на данни, реакцията при нарушения и регистрите на обработването съгласно Закона за защита на данните на Нигерия. Той ви дава набор от контроли, съобразен с вашия обхват, оценка на пропуските, която измерва готовността ви пред Комисията за защита на данните на Нигерия, и работно пространство с доказателства зад всяко задължение. Тъй като съпоставя контроли между рамките, доказателствата, които вече имате за GDPR, попълват предварително голяма част от вашата позиция по NDPA. Започнете с безплатен доклад за пропуските, преди да поемете ангажимент.