Nigeria NDPA Compliance mit ConsentX

Was ist der Nigeria Data Protection Act?

Der Nigeria Data Protection Act 2023 schafft Nigerias modernen gesetzlichen Rahmen für den Schutz personenbezogener Daten.

Zu seinen Zielen gehören:

• Schutz der Grundrechte und Grundfreiheiten betroffener Personen
• Regulierung der Verarbeitung personenbezogener Daten
• Förderung sicherer und datenschutzfreundlicher Verarbeitungspraktiken
• Sicherstellung fairer, rechtmäßiger und rechenschaftspflichtiger Verarbeitung
• Gewährung von Rechten und Rechtsbehelfen für betroffene Personen
• Einrichtung einer unabhängigen Regulierungskommission
• Unterstützung der digitalen Wirtschaft Nigerias und seiner internationalen Beteiligung

Die NDPC wurde durch das Gesetz eingerichtet, um Datenschutz und Privatsphäre in Nigeria zu beaufsichtigen und zu regulieren.

Die aktuellen Materialien der NDPC bestätigen, dass der NDPA breit für Organisationen gilt, die personenbezogene Daten mit Bezug zu Nigeria verarbeiten, und Rechte wie Auskunft, Berichtigung, Widerspruch, Einschränkung, Datenübertragbarkeit, Löschung sowie Rechte im Zusammenhang mit automatisierter Entscheidungsfindung vorsieht.

Was sind personenbezogene Daten nach dem NDPA?

Der NDPA regelt die Verarbeitung personenbezogener Daten natürlicher Personen.

Personenbezogene Daten können Informationen umfassen wie:

• Name
• E-Mail-Adresse
• Telefonnummer
• Wohnanschrift
• Identifikationsinformationen
• Beschäftigtendaten
• Kundendaten
• Kontoinformationen
• Standortinformationen
• Online-Kennungen
• IP-Adressen, soweit sie sich auf eine identifizierbare Person beziehen
• Geräteinformationen
• Finanzinformationen
• Authentifizierungsinformationen
• Verhaltensbezogene Informationen
• Marketingprofile
• Gesundheitsinformationen
• Biometrische Informationen

Wie ein einzelnes Datenelement konkret zu behandeln ist, hängt davon ab, ob es unter die gesetzliche Definition personenbezogener Daten fällt, und vom Kontext der Verarbeitung.

Was ist Datenverarbeitung?

Der NDPA definiert Verarbeitung weit.

Verarbeitung kann umfassen:

• Erhebung
• Aufzeichnung
• Organisation
• Strukturierung
• Speicherung
• Anpassung
• Veränderung
• Abruf
• Einsichtnahme
• Nutzung
• Offenlegung
• Übermittlung
• Verbreitung
• Kombination
• Einschränkung
• Löschung
• Vernichtung

Die NDPC bestätigt, dass die Definition Verarbeitungen unabhängig davon erfasst, ob sie automatisiert erfolgen.

Zentrale Datenschutzgrundsätze des NDPA

Organisationen, die personenbezogene Daten verarbeiten, sollten nach den zentralen Grundsätzen des NDPA vorgehen.

Rechtmäßigkeit, Fairness und Transparenz. Personenbezogene Daten sollten rechtmäßig, fair und transparent verarbeitet werden.

Zweckbindung. Personenbezogene Daten sollten für festgelegte, eindeutige und legitime Zwecke erhoben und genutzt werden.

Datenminimierung. Organisationen sollten es vermeiden, personenbezogene Daten zu erheben, die für den jeweiligen Zweck nicht erforderlich sind.

Richtigkeit. Personenbezogene Daten sollten richtig und erforderlichenfalls auf dem aktuellen Stand sein.

Speicherbegrenzung. Personenbezogene Daten sollten nicht länger aufbewahrt werden, als es für den jeweiligen Zweck oder eine gesetzliche Pflicht erforderlich ist.

Integrität und Vertraulichkeit. Angemessene Sicherheitsmaßnahmen sollten personenbezogene Daten vor unbefugtem Zugriff, Verlust, Zerstörung oder sonstiger unrechtmäßiger Verarbeitung schützen.

Rechenschaftspflicht. Organisationen sollten die Einhaltung der geltenden Datenschutzanforderungen nachweisen können.

Die GAID 2025 der NDPC bezieht zudem Bewertungen der Datenschutzgrundsätze, Rechtsgrundlagen, DPIAs, berechtigten Interessen, Betroffenenrechte, Sicherheit, internationalen Übermittlungen und Meldung von Verletzungen in ihren Compliance-Rahmen ein.

Verlangt der NDPA eine Einwilligung?

Nicht für jede Verarbeitungstätigkeit.

Die Einwilligung ist eine wichtige Rechtsgrundlage im NDPA, doch Organisationen sollten zunächst bestimmen, welche Rechtsgrundlage für die jeweilige Verarbeitung gilt.

Je nach Umständen kann die Verarbeitung auf Grundlagen gestützt werden wie:

• Einwilligung
• Vertragserfordernis
• Gesetzliche Verpflichtung
• Schutz lebenswichtiger Interessen
• Öffentliches Interesse oder Ausübung öffentlicher Gewalt
• Berechtigte Interessen, vorbehaltlich der geltenden Anforderungen

Die aktuellen Materialien der NDPC erkennen die Einwilligung ausdrücklich als wichtigen Bestandteil des Datenschutzes an und erkennen zugleich rechtmäßige Verarbeitung in Fällen an, in denen die Einwilligung nicht die einschlägige Grundlage ist.

Was macht eine Einwilligung nach dem NDPA wirksam?

Wird auf die Einwilligung abgestellt, sollten Organisationen sicherstellen, dass sie:

• Freiwillig erteilt ist
• Spezifisch ist
• Informiert ist
• Eindeutig ist
• Nachweisbar ist
• Nicht unnötig mit unzusammenhängenden Verarbeitungen gebündelt ist

Die Einwilligung sollte eine echte Wahlmöglichkeit für die betroffene Person beinhalten.

Organisationen sollten Folgendes vermeiden:

• Vorangekreuzte Einwilligungsfelder
• Verborgene Einwilligungen
• Vage Zwecke
• Gebündelte Einwilligungen
• Erzwungene Einwilligungen, wo eine andere Rechtsgrundlage greifen sollte
• Oberflächen, die eine Ablehnung erschweren sollen
• Fortgesetzte einwilligungsbasierte Verarbeitung nach dem Widerruf

Eine gut gestaltete Consent-Management-Plattform kann helfen, diese Anforderungen operativ umzusetzen.

Widerruf der Einwilligung

Ist die Einwilligung die einschlägige Rechtsgrundlage, sollten Organisationen einen leicht zugänglichen Mechanismus für den Widerruf bereitstellen.

Ein Consent-Management-System sollte Organisationen ermöglichen:

• Einwilligungen zu dokumentieren
• Den jeweiligen Zweck zu dokumentieren
• Den Zeitpunkt der Einwilligung zu dokumentieren
• Die Methode der Einwilligungserteilung zu dokumentieren
• Änderungen der Einwilligung nachzuverfolgen
• Widerrufe zu dokumentieren
• Aktualisierte Präferenzen anzuwenden
• Nachweise für die Rechenschaftspflicht vorzuhalten

ConsentX kann die technische Infrastruktur für diese Abläufe bereitstellen.

Sensible personenbezogene Daten

Der NDPA sieht für bestimmte Kategorien personenbezogener Daten zusätzlichen Schutz vor.

Organisationen, die sensible Informationen verarbeiten, sollten geeignete Schutzmaßnahmen treffen und sorgfältig prüfen:

• Die Art der Daten
• Den Verarbeitungszweck
• Die Rechtsgrundlage
• Sicherheitsanforderungen
• Zugriffskontrollen
• Aufbewahrung
• Offenlegung
• Internationale Übermittlungen
• Betroffenenrechte

Die Verarbeitung sensibler Daten sollte zusätzliche Governance-Aufmerksamkeit erhalten, da die möglichen Folgen von Missbrauch oder Kompromittierung erheblich sein können.

Datenschutzhinweise nach dem NDPA

Transparenz ist eine Kernanforderung des NDPA.

Ein Datenschutzhinweis sollte die maßgeblichen Informationen zur Verarbeitung erläutern, soweit einschlägig:

• Identität des Verantwortlichen
• Kontaktdaten
• Verarbeitungszwecke
• Kategorien personenbezogener Daten
• Rechtsgrundlage
• Empfänger
• Internationale Übermittlungen
• Aufbewahrung
• Betroffenenrechte
• Beschwerdemöglichkeiten
• Automatisierte Entscheidungsfindung, soweit einschlägig

Datenschutzhinweise sollten an geeigneten Stellen der Nutzerreise dargestellt werden.

Ein Cookie-Banner sollte nicht als Ersatz für einen umfassenden Datenschutzhinweis behandelt werden.

Cookies und Tracking-Technologien nach dem NDPA

Cookies und Online-Tracking-Technologien sollten anhand der Verarbeitung personenbezogener Daten bewertet werden, die sie durchführen.

Organisationen sollten bestimmen:

• Welche Daten erhoben werden
• Ob sie sich auf eine identifizierbare Person beziehen
• Warum die Technologie eingesetzt wird
• Welche Dritten Informationen erhalten
• Welche Rechtsgrundlage gilt
• Ob eine Einwilligung erforderlich ist
• Ob Informationen Nigeria verlassen
• Wie lange die Informationen aufbewahrt werden

Beispiele sind:

• Analyse-Cookies
• Werbepixel
• Social-Media-Tracker
• Session-Recording-Tools
• Marketing-Tags
• Personalisierungswerkzeuge
• Conversion-Tracker
• Eingebettete Drittanbieterdienste

Ist die Einwilligung die passende Rechtsgrundlage, kann ConsentX helfen, diese Einwilligung einzuholen und durchzusetzen, bevor die betreffenden Tracker ausgeführt werden.

Betroffenenrechte nach dem NDPA

Die NDPC benennt eine Reihe von Rechten nach den Sections 34 bis 38 des Gesetzes.

Dazu zählen:

• Recht auf Information
• Auskunftsrecht
• Recht auf Berichtigung
• Widerspruchsrecht
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Recht auf Löschung
• Recht auf Beschwerde bei der Aufsichtsbehörde
• Rechte im Zusammenhang mit automatisierter Entscheidungsfindung

Organisationen sollten operative Verfahren für die Entgegennahme, Prüfung, Bewertung und Beantwortung dieser Anfragen vorhalten.

Auskunftsrecht

Betroffene Personen können Auskunft über die zu ihnen gespeicherten personenbezogenen Daten und Informationen zu deren Verarbeitung verlangen.

Die NDPC stellt selbst ein Formular für Auskunftsanfragen bereit und gibt an, dass sie zeitnah, jedenfalls aber innerhalb von 30 Tagen nach Eingang der Anfrage oder der erforderlichen zusätzlichen Angaben antworten will.

Organisationen sollten daher Abläufe umsetzen, die:

• Die Anfrage entgegennehmen
• Erforderlichenfalls die Identität prüfen
• Den Umfang bestimmen
• Die einschlägigen Systeme durchsuchen
• Die Informationen prüfen
• Einschlägige Ausnahmen anwenden
• Die Antwort vorbereiten
• Das Ergebnis dokumentieren

Recht auf Berichtigung

Betroffene Personen können das Recht haben, die Berichtigung unrichtiger oder unvollständiger personenbezogener Daten zu verlangen.

Organisationen sollten Verfahren vorhalten, um:

• Unrichtige Informationen zu identifizieren
• Berichtigungsanfragen zu prüfen
• Die betreffenden Systeme zu aktualisieren
• Informationen gegebenenfalls mit Auftragsverarbeitern abzugleichen
• Die Änderung zu dokumentieren

Recht auf Löschung

In den einschlägigen Fällen können betroffene Personen die Löschung personenbezogener Daten verlangen.

Organisationen sollten Prozesse vorhalten, um zu bestimmen:

• Welche Informationen gelöscht werden sollten
• Ob eine Aufbewahrung gesetzlich vorgeschrieben ist
• Welche Systeme die Informationen enthalten
• Welche Auftragsverarbeiter Kopien halten
• Ob Backups eine besondere Behandlung erfordern

Die Löschung sollte daher Teil der übergreifenden Governance des Datenlebenszyklus sein.

Recht auf Datenübertragbarkeit

Die NDPC führt die Datenübertragbarkeit als eines der Rechte betroffener Personen nach dem NDPA auf.

Organisationen sollten prüfen, wie sie:

• Übertragbare Informationen identifizieren
• Die anfragende Person authentifizieren
• Die einschlägigen Daten extrahieren
• Daten in einem geeigneten strukturierten Format bereitstellen
• Die Informationen erforderlichenfalls sicher übermitteln

Widerspruchsrecht und Recht auf Einschränkung

Betroffene Personen können Rechte haben, bestimmten Formen der Verarbeitung zu widersprechen oder diese einschränken zu lassen.

Organisationen sollten Mechanismen vorhalten für:

• Die Entgegennahme von Widersprüchen
• Die Prüfung der Rechtsgrundlage
• Die Einschränkung der Verarbeitung, soweit erforderlich
• Die Mitteilung der Ergebnisse
• Die Dokumentation der Entscheidung

Automatisierte Entscheidungsfindung

Die NDPC benennt ein Betroffenenrecht im Zusammenhang mit automatisierter Entscheidungsfindung.

Das wird zunehmend relevant für Organisationen, die Folgendes einsetzen:

• Künstliche Intelligenz
• Automatisiertes Profiling
• Kredit-Scoring
• Recruiting-Systeme
• Betrugserkennung
• Personalisierung
• Empfehlungssysteme
• Automatisierte Entscheidungen über Anspruchsvoraussetzungen

Organisationen mit automatisierten Entscheidungssystemen sollten Transparenz, Rechtsgrundlage, Betroffenenrechte, Fairness und Risiko bewerten.

Datenschutz-Folgenabschätzung (DPIA)

Der NDPA-Compliance-Rahmen umfasst Datenschutz-Folgenabschätzungen, soweit einschlägig.

Die GAID 2025 nimmt die Prüfung, ob eine DPIA erforderlich ist, ausdrücklich in den Compliance-Rahmen auf.

Eine DPIA kann Organisationen helfen, Verarbeitungen zu bewerten, die erhebliche Datenschutzrisiken schaffen können.

Eine DPIA kann Folgendes untersuchen:

• Verarbeitungszweck
• Datenkategorien
• Kategorien betroffener Personen
• Eingesetzte Technologie
• Mögliche Datenschutzrisiken
• Sicherheitsmaßnahmen
• Risikomindernde Maßnahmen
• Restrisiken
• Betroffenenrechte

Organisationen sollten anhand von Art und Risiko der Verarbeitung bestimmen, ob eine DPIA erforderlich ist, statt sie als allgemeine Pflicht für jede Tätigkeit zu behandeln.

Prüfung berechtigter Interessen

Die GAID 2025 der NDPC verweist ausdrücklich auf Prüfungen berechtigter Interessen (Legitimate Interest Assessment, LIA), soweit einschlägig.

Eine LIA kann einer Organisation helfen zu beurteilen, ob das berechtigte Interesse eine geeignete Rechtsgrundlage ist.

Eine typische Prüfung kann Folgendes betrachten:

• Zwecktest: welches berechtigte Interesse wird verfolgt?
• Erforderlichkeitstest: ist die Verarbeitung zur Erreichung dieses Zwecks erforderlich?
• Abwägungstest: überwiegt das Interesse der Organisation die maßgeblichen Interessen, Rechte und Freiheiten der betroffenen Person?

Organisationen sollten die Prüfung dokumentieren und bei Änderungen der Verarbeitung überprüfen.

Datenschutzbeauftragter (DPO)

Der NDPA begründet Anforderungen an Datenschutzbeauftragte.

Zu den Aufgaben eines DPO können gehören:

• Beratung der Organisation
• Unterstützung der Compliance
• Überwachung der Datenschutzpflichten
• Unterstützung von DPIAs
• Unterstützung der Betroffenenrechte
• Kontakt zur Aufsichtsbehörde
• Unterstützung der Datenschutz-Governance
• Überwachung der Compliance-Aktivitäten

Die GAID 2025 enthält zusätzliche Anforderungen an die Bewertung der Qualifikation und die Zertifizierung von DPOs.

Organisationen sollten prüfen, ob ihre Umstände einen DPO erfordern, und sicherstellen, dass die bestellte Person über die nötige Fachkunde und Unabhängigkeit verfügt.

Verantwortliche und Auftragsverarbeiter

Der NDPA unterscheidet zwischen Verantwortlichen und Auftragsverarbeitern.

Ein Verantwortlicher bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten. Beispiele sind:

• Arbeitgeber
• E-Commerce-Unternehmen
• Banken
• SaaS-Unternehmen
• Gesundheitseinrichtungen
• Online-Plattformen

Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen. Beispiele sind:

• Cloud-Anbieter
• Hosting-Anbieter
• CRM-Plattformen
• E-Mail-Anbieter
• Analysedienste
• Kundensupport-Plattformen
• Lohnabrechnungsanbieter

Verantwortliche sollten eine angemessene Aufsicht über Auftragsverarbeiter ausüben und geeignete vertragliche und sicherheitsbezogene Kontrollen einrichten.

Verantwortliche und Auftragsverarbeiter von besonderer Bedeutung

Der NDPA sieht die Benennung und Registrierung von Verantwortlichen und Auftragsverarbeitern von besonderer Bedeutung (DCPMIs) vor.

Nach den aktuellen Registrierungsleitlinien der NDPC kann eine Organisation als von besonderer Bedeutung gelten, unter anderem wenn sie innerhalb von sechs Monaten Daten von mehr als 200 betroffenen Personen verarbeitet, bestimmte kommerzielle IKT-Dienste mit Speicherung personenbezogener Daten erbringt oder in bestimmten Sektoren tätig ist.

Die aktuellen Leitlinien nennen zudem Sektoren wie:

• Luftfahrt
• Kommunikation
• Bildung
• Weitere benannte Sektoren und Fallgestaltungen

Da der Benennungsrahmen der NDPC von der konkreten Tätigkeit und den einschlägigen Leitlinien abhängen kann, sollten Organisationen ihren aktuellen Status anhand der jeweils geltenden NDPC-Anforderungen prüfen.

NDPA-Registrierung

Verantwortliche und Auftragsverarbeiter, die unter den Registrierungsrahmen für besondere Bedeutung fallen, können zur Registrierung bei der NDPC verpflichtet sein.

Registrierungsanforderungen können umfassen:

• Angaben zur Organisation
• Verarbeitungstätigkeiten
• Datenkategorien
• Kategorien betroffener Personen
• Angaben zum DPO
• Compliance-Dokumentation
• Weitere von der Kommission vorgeschriebene Angaben

Die NDPC stellt derzeit Registrierungsdienste für Verantwortliche und Auftragsverarbeiter von besonderer Bedeutung bereit.

Compliance Audit Returns

Die NDPC verlangt von betroffenen Organisationen die Teilnahme an den Compliance-Prozessen des Gesetzes und seines Regelungsrahmens.

Die Kommission gibt an, dass bestimmte DCPMIs den Anforderungen an Compliance Audit Returns (CAR) unterliegen.

Die NDPC gibt zudem an, dass CAR-Einreichungen, soweit einschlägig, über eine lizenzierte Data Protection Compliance Organisation (DPCO) erfolgen.

Organisationen sollten daher unterscheiden zwischen:

• Interner Datenschutz-Compliance
• NDPC-Registrierung
• Compliance Audit Returns
• DPCO-Verifizierung
• DPO-Governance

Diese Aktivitäten hängen zusammen, sind aber voneinander zu unterscheiden.

Data Protection Compliance Organisations (DPCOs)

Der NDPA sieht lizenzierte Data Protection Compliance Organisations vor.

DPCOs können Leistungen erbringen wie:

• Datenschutzschulungen
• Audits
• Beratung
• Compliance-Dienstleistungen
• Verifizierung von Compliance-Einreichungen

Die NDPC gibt an, dass Einreichungen von Verantwortlichen nach dem Gesetz, soweit einschlägig, eine DPCO-Verifizierungserklärung erfordern können.

ConsentX kann professionelle Compliance-Dienstleistungen ergänzen, indem es technische Infrastruktur für Einwilligungen, Tracker und Datenschutzmanagement bereitstellt.

Datensicherheit nach dem NDPA

Verantwortliche und Auftragsverarbeiter müssen angemessene Sicherheitsmaßnahmen umsetzen.

Sicherheitsprogramme sollten Bereiche adressieren wie:

• Zugriffskontrolle
• Authentifizierung
• Verschlüsselung
• Netzwerksicherheit
• Datenminimierung
• Sichere Entwicklung
• Lieferantenmanagement
• Backup und Wiederherstellung
• Vorfallreaktion
• Sensibilisierung der Beschäftigten
• Sicherheitsmonitoring

Der NDPA behandelt Sicherheit als Kernbestandteil des Datenschutzes und nicht als davon getrennte technische Frage.

Meldung von Datenschutzverletzungen

Der NDPA begründet Pflichten im Zusammenhang mit Verletzungen des Schutzes personenbezogener Daten.

Ist eine Verletzung voraussichtlich mit einem Risiko für die Rechte und Freiheiten von Personen verbunden, muss der Verantwortliche die Kommission innerhalb von 72 Stunden nach Kenntniserlangung benachrichtigen.

Der Rahmen regelt auch die Benachrichtigung betroffener Personen, soweit angezeigt.

Organisationen sollten einen dokumentierten Prozess zur Reaktion auf Vorfälle vorhalten, der Folgendes abdeckt:

• Erkennung
• Eindämmung
• Untersuchung
• Risikobewertung
• Behördliche Meldung
• Benachrichtigung betroffener Personen
• Behebung
• Dokumentation

Grenzüberschreitende Datenübermittlungen

Der NDPA regelt Übermittlungen personenbezogener Daten außerhalb Nigerias.

Organisationen, die personenbezogene Daten international übermitteln, sollten prüfen:

• Zielland
• Empfängerorganisation
• Zweck der Übermittlung
• Kategorien personenbezogener Daten
• Risiken für betroffene Personen
• Einschlägige Schutzmaßnahmen
• Vertragliche Schutzvorkehrungen
• Regulatorische Anforderungen

Die GAID 2025 nimmt die Prüfung der Rechtsgrundlagen für grenzüberschreitende Übermittlungen ausdrücklich in die Compliance-Aktivitäten auf.

International tätige Organisationen sollten Nigeria daher in ihren übergreifenden Rahmen für Übermittlungs-Governance einbeziehen.

Aufbewahrung und Löschung von Daten

Organisationen sollten angemessene Aufbewahrungsfristen festlegen, ausgehend von:

• Verarbeitungszweck
• Gesetzlichen Pflichten
• Vertraglichen Anforderungen
• Regulatorischen Anforderungen
• Anforderungen aus Rechtsstreitigkeiten
• Sicherheitsanforderungen
• Betroffenenrechten

Sobald personenbezogene Daten nicht mehr benötigt werden und kein rechtlicher Grund zur Aufbewahrung besteht, sollten Organisationen geeignete Verfahren zur Löschung, Vernichtung oder Anonymisierung umsetzen.

Ein dokumentiertes Aufbewahrungskonzept kann helfen, die Rechenschaftspflicht nachzuweisen.

Kinder und Minderjährige

Organisationen, die personenbezogene Daten von Kindern verarbeiten, sollten besondere Sorgfalt walten lassen und Folgendes berücksichtigen:

• Alter
• Einsichtsfähigkeit
• Einbindung von Eltern oder Erziehungsberechtigten, soweit einschlägig
• Art der Verarbeitung
• Risiko für das Kind
• Zweck der Verarbeitung
• Angemessene Schutzmaßnahmen
• Transparenz

Daten von Kindern können erhöhte Datenschutz- und Sicherheitsrisiken mit sich bringen, insbesondere bei Online-Diensten, im Bildungsbereich, bei Spielen, sozialen Plattformen und in der Werbung.

Direktmarketing nach dem NDPA

Marketingaktivitäten können eine umfangreiche Verarbeitung personenbezogener Daten beinhalten.

Beispiele sind:

• E-Mail-Marketing
• SMS-Marketing
• Kundenprofilbildung
• Verhaltensbasierte Werbung
• Retargeting
• Zielgruppensegmentierung
• Personalisierte Werbung

Organisationen sollten die einschlägige Rechtsgrundlage bestimmen und sicherstellen, dass die Verarbeitung mit Transparenz und Betroffenenrechten im Einklang steht.

Ist die Einwilligung die einschlägige Grundlage, sollte sie angemessen eingeholt und dokumentiert werden.

Datenschutz durch Technikgestaltung

Datenschutz sollte von Anfang an in Systeme und Prozesse einbezogen werden.

Ein Programm für Datenschutz durch Technikgestaltung kann umfassen:

• Datenminimierung
• Zweckbindung
• Consent-Management
• Datenschutzhinweise
• Zugriffskontrollen
• Aufbewahrungssteuerung
• Verschlüsselung
• Lieferanten-Governance
• DSAR-Abläufe
• Audit-Protokollierung
• Kontrollen für internationale Übermittlungen

Die NDPC hat zudem Materialien veröffentlicht, die Datenschutz durch Technikgestaltung in Innovations- und digitalen Umfeldern fördern.

Durchsetzung des NDPA

Die NDPC ist für die Aufsicht und Durchsetzung des Nigeria Data Protection Act zuständig.

Die Kommission kann mögliche Verstöße untersuchen und regulatorische Maßnahmen ergreifen.

Folgen der Nichteinhaltung können sein:

• Abhilfeanordnungen
• Verwaltungsrechtliche Sanktionen
• Entschädigung
• Abhilfegebühren
• Weitere Durchsetzungsmaßnahmen
• Zivilverfahren
• Strafrechtliche Folgen in einschlägigen Fällen

Die NDPC weist darauf hin, dass betroffene Personen wegen Verletzungen ihrer Rechte auch zivilrechtlich vorgehen können.

NDPA-Sanktionen

Section 48 legt unterschiedliche Höchstsanktionen fest, je nachdem, ob die Organisation ein Verantwortlicher oder Auftragsverarbeiter von besonderer Bedeutung ist.

Nach Angaben der NDPC kann die Sanktion oder Abhilfegebühr für einen DCPMI bis zum höheren Wert von 10 Mio. NGN oder 2 % des jährlichen Bruttoumsatzes des vorangegangenen Geschäftsjahres betragen.

Für Organisationen, die nicht von besonderer Bedeutung sind, liegt der von der NDPC genannte Standardhöchstwert beim höheren Wert von 2 Mio. NGN oder 2 % des jährlichen Bruttoumsatzes des vorangegangenen Geschäftsjahres.

Dabei handelt es sich um gesetzliche Höchstrahmen und nicht um eine automatische Geldbuße für jeden Verstoß. Das tatsächliche regulatorische Ergebnis hängt von den jeweiligen Umständen und den Durchsetzungsvorschriften ab.

NDPA-Compliance-Checkliste

Nutzen Sie diese Checkliste, um die Bereitschaft Ihrer Organisation zu bewerten.

• Verarbeitung personenbezogener Daten erfassen
• Verantwortliche identifizieren
• Auftragsverarbeiter identifizieren
• Einschlägige Rechtsgrundlagen bestimmen
• Sensible oder risikoreiche Verarbeitungen identifizieren
• Datenschutzhinweise überprüfen
• Cookies und Tracker überprüfen
• Bestimmen, wo eine Einwilligung erforderlich ist
• Sicherstellen, dass die Einwilligung freiwillig und informiert ist
• Einwilligungsnachweise führen
• Mechanismen zum Widerruf der Einwilligung bereitstellen
• DSAR-Verfahren einrichten
• Die einschlägige 30-Tage-Frist überwachen
• Sicherheitsmaßnahmen umsetzen
• Verfahren zur Reaktion auf Verletzungen einrichten
• DPIA-Anforderungen bewerten
• LIAs durchführen, soweit einschlägig
• Einen DPO bestellen, wo erforderlich
• DCPMI-Status bewerten
• NDPC-Registrierung abschließen, wo erforderlich
• Pflichten zu Compliance Audit Returns prüfen
• Internationale Übermittlungen bewerten
• Aufbewahrungsfristen festlegen
• Löschverfahren umsetzen
• Verträge mit Auftragsverarbeitern prüfen
• Compliance-Dokumentation pflegen
• NDPC-Leitlinien und regulatorische Änderungen verfolgen

Warum NDPA-Consent-Management wichtig ist

Datenschutz-Compliance für eine moderne Website umfasst mehr als die Veröffentlichung einer Datenschutzerklärung.

Eine Website kann Folgendes enthalten:

• Analysewerkzeuge
• Werbepixel
• Social-Media-Tracker
• Marketing-Tags
• Session-Recording-Software
• Personalisierungswerkzeuge
• Eingebettete Inhalte
• CRM-Integrationen
• Drittanbieter-APIs

Ohne Transparenz und Steuerung können diese Technologien Datenschutzrisiken schaffen.

Eine Consent-Management-Plattform kann Organisationen helfen: erkennen → kategorisieren → Einwilligung einholen → blockieren → dokumentieren → Präferenzen verwalten → Nachweise erbringen.

ConsentX führt diese Steuerungsfunktionen für Organisationen zusammen, die in mehreren Datenschutz-Rechtsordnungen tätig sind.