ナイジェリアNDPA対応をConsentXで

ナイジェリアデータ保護法とは

ナイジェリアデータ保護法2023は、個人データ保護に関するナイジェリアの現代的な法定枠組みを定めています。

その目的には次のものが含まれます。

• データ主体の基本的権利および自由の保護
• 個人データの取扱いの規律
• 安全でプライバシーに配慮した取扱い実務の促進
• 公正、適法かつ説明責任を果たす取扱いの確保
• データ主体への権利と救済の提供
• 独立した規制委員会の設置
• ナイジェリアのデジタル経済と国際的参画の支援

NDPCは、ナイジェリアにおけるデータ保護とプライバシーを監督・規制するために同法に基づき設置されました。

NDPCの現行資料は、NDPAがナイジェリアに関連する個人データを取り扱う組織に広く適用され、アクセス、訂正、異議、制限、ポータビリティ、消去および自動意思決定に関する権利を定めていることを確認しています。

NDPAにおける個人データとは

NDPAは、自然人に関する個人データの取扱いを規律します。

個人データには次のような情報が含まれ得ます。

• 氏名
• メールアドレス
• 電話番号
• 住所
• 本人確認情報
• 従業員情報
• 顧客情報
• アカウント情報
• 位置情報
• オンライン識別子
• 識別可能な個人に関連する場合のIPアドレス
• デバイス情報
• 財務情報
• 認証情報
• 行動情報
• マーケティングプロファイル
• 健康情報
• 生体情報

個々のデータ項目の具体的な扱いは、それが個人データの法定定義に該当するかどうか、および取り扱われる文脈によって異なります。

データの取扱いとは

NDPAは取扱いを広く定義しています。

取扱いには次のものが含まれ得ます。

• 収集
• 記録
• 整理
• 構造化
• 保存
• 適合
• 変更
• 検索
• 閲覧
• 利用
• 開示
• 送信
• 頒布
• 結合
• 制限
• 消去
• 破棄

NDPCは、この定義が自動的手段によるかどうかを問わず取扱いを対象とすることを確認しています。

NDPAの主要なデータ保護原則

個人データを取り扱う組織は、NDPAが定める中核的な原則に従って業務を行うべきです。

適法性、公正性および透明性。個人データは適法、公正かつ透明性をもって取り扱われるべきです。

目的の限定。個人データは特定され、明確かつ正当な目的のために収集・利用されるべきです。

データ最小化。組織は、当該目的に不要な個人データの収集を避けるべきです。

正確性。個人データは正確であり、必要に応じて最新に保たれるべきです。

保存期間の限定。個人データは、当該目的または法的義務に照らして必要な期間を超えて保存されるべきではありません。

完全性と機密性。適切な安全管理措置により、個人データを不正アクセス、滅失、破壊その他の違法な取扱いから保護すべきです。

アカウンタビリティ。組織は、適用されるデータ保護要件の遵守を示せるようにすべきです。

NDPCのGAID 2025は、データ保護原則、法的根拠、影響評価、正当な利益、データ主体の権利、セキュリティ、国際移転、侵害通知の評価もコンプライアンス枠組みに組み込んでいます。

NDPAは同意を要求しているか

すべての取扱活動について要求しているわけではありません。

同意はNDPAにおける重要な法的根拠ですが、組織はまず当該取扱活動にどの法的根拠が適用されるかを判断すべきです。

状況に応じて、取扱いは次のような根拠に支えられ得ます。

• 同意
• 契約上の必要性
• 法的義務
• 重大な利益の保護
• 公共の利益または公的権限の行使
• 適用される要件に従った正当な利益

NDPCの現行資料は、同意をデータ保護の重要な要素として明確に位置付けるとともに、同意が適用根拠でない場合の適法な取扱いも認めています。

NDPAにおいて有効な同意とは

同意に依拠する場合、組織は同意が次の要件を満たすようにすべきです。

• 自由に与えられていること
• 特定されていること
• 十分な情報に基づくこと
• 明確であること
• 証明できること
• 無関係な取扱いと不必要に束ねられていないこと

同意はデータ主体にとって意味のある選択を伴うべきです。

組織は次の事項を避けるべきです。

• あらかじめチェックされた同意欄
• 隠された同意
• 曖昧な目的
• 束ねられた同意
• 他の法的根拠を用いるべき場面での強制的な同意
• 拒否を思いとどまらせる設計の画面
• 撤回後も同意に基づく取扱いを継続すること

適切に設計された同意管理プラットフォームは、これらの要件の運用化に役立ちます。

同意の撤回

同意が適用される法的根拠である場合、組織は同意を撤回するための分かりやすい手段を提供すべきです。

同意管理システムは、組織が次のことを行えるようにすべきです。

• 同意を記録する
• 該当する目的を記録する
• 同意が与えられた時点を記録する
• 同意を取得した方法を記録する
• 同意の変更を追跡する
• 撤回を記録する
• 更新された設定を適用する
• アカウンタビリティのための証跡を保持する

ConsentXはこれらの運用のための技術基盤を提供できます。

機微な個人データ

NDPAは、一定の類型の個人データに追加的な保護を定めています。

機微情報を扱う組織は、適切な保護措置を講じ、次の点を慎重に評価すべきです。

• データの性質
• 取扱いの目的
• 法的根拠
• セキュリティ要件
• アクセス制御
• 保存
• 開示
• 国際移転
• データ主体の権利

機微データの取扱いは、誤用や侵害が生じた場合の影響が大きくなり得るため、追加的なガバナンス上の注意を払うべきです。

NDPAにおけるプライバシー通知

透明性はNDPAの中核的な要件です。

プライバシー通知は、取扱活動に関する関連情報を説明すべきであり、該当する場合には次を含みます。

• 管理者の名称
• 連絡先
• 取扱いの目的
• 個人データの類型
• 法的根拠
• 取得者
• 国際移転
• 保存期間
• データ主体の権利
• 苦情申立ての仕組み
• 該当する場合の自動意思決定

プライバシー通知は、利用者の体験の適切な場面で提示すべきです。

Cookieバナーを包括的なプライバシー通知の代わりとして扱うべきではありません。

NDPAにおけるCookieとトラッキング技術

Cookieおよびオンラインのトラッキング技術は、それが行う個人データの取扱いに基づいて評価すべきです。

組織は次の点を判断すべきです。

• どのようなデータが収集されるか
• それが識別可能な個人に関するものか
• なぜその技術を利用するのか
• どの第三者が情報を受け取るか
• どの法的根拠が適用されるか
• 同意が必要か
• 情報がナイジェリア国外に出るか
• 情報がどれだけの期間保存されるか

例として次のものが挙げられます。

• アナリティクスCookie
• 広告ピクセル
• ソーシャルメディアのトラッカー
• セッション記録ツール
• マーケティングタグ
• パーソナライゼーションツール
• コンバージョン計測
• 埋め込み型の第三者サービス

同意が適切な法的根拠である場合、ConsentXは該当するトラッカーが実行される前に同意を取得し、これを反映させるのに役立ちます。

NDPAにおけるデータ主体の権利

NDPCは、同法第34条から第38条に基づく一連の権利を挙げています。

これには次のものが含まれます。

• 知る権利
• アクセス権
• 訂正の権利
• 異議を述べる権利
• 取扱いの制限を求める権利
• データポータビリティの権利
• 消去の権利
• 監督当局に苦情を申し立てる権利
• 自動意思決定に関する権利

組織は、これらの請求の受付、確認、評価、対応のための運用手順を備えるべきです。

アクセス権

データ主体は、自らに関して保有される個人データおよびその取扱いに関する情報の開示を請求できます。

NDPC自身もデータ主体アクセス請求フォームを提供しており、請求または必要な追加情報の受領から速やかに、遅くとも30日以内に対応することを目指すとしています。

したがって組織は、次のような運用フローを整備すべきです。

• 請求を受け付ける
• 必要に応じて本人確認を行う
• 範囲を確定する
• 該当システムを検索する
• 情報を精査する
• 該当する例外を適用する
• 回答を準備する
• 結果を記録する

訂正の権利

データ主体は、不正確または不完全な個人データの訂正を請求する権利を有し得ます。

組織は次のための手順を維持すべきです。

• 不正確な情報を特定する
• 訂正請求を確認する
• 該当システムを更新する
• 必要に応じて処理者と情報を同期する
• 変更内容を記録する

消去の権利

該当する場合、データ主体は個人データの削除または消去を請求できます。

組織は、次を特定するためのプロセスを維持すべきです。

• どの情報を削除すべきか
• 法令上保存が必要か
• どのシステムに情報が存在するか
• どの処理者が複製を保持しているか
• バックアップに特別な取扱いが必要か

したがって消去は、より広いデータライフサイクルのガバナンスに組み込むべきです。

データポータビリティの権利

NDPCは、データポータビリティをNDPA上データ主体に認められる権利の一つとして挙げています。

組織は、次のことをどのように行えるかを検討すべきです。

• 移行可能な情報を特定する
• 請求者を認証する
• 該当データを抽出する
• 適切な構造化形式でデータを提供する
• 必要な場合に安全に情報を移転する

異議および取扱い制限の権利

データ主体は、一定の取扱いに異議を述べ、またはその制限を求める権利を有し得ます。

組織は次のための仕組みを維持すべきです。

• 異議を受け付ける
• 法的根拠を評価する
• 必要な場合に取扱いを制限する
• 結果を伝える
• 判断を記録する

自動意思決定

NDPCは、自動意思決定に関するデータ主体の権利を挙げています。

これは次のものを利用する組織にとってますます重要になっています。

• 人工知能
• 自動プロファイリング
• 信用スコアリング
• 採用システム
• 不正検知
• パーソナライゼーション
• レコメンドエンジン
• 自動的な受給判定

自動意思決定システムを利用する組織は、透明性、法的根拠、データ主体の権利、公正性、リスクを評価すべきです。

データ保護影響評価

NDPAのコンプライアンス枠組みには、該当する場合のデータ保護影響評価が含まれます。

GAID 2025は、影響評価の要否の検討をコンプライアンス枠組みの一部として明示的に含めています。

影響評価は、重大なプライバシーリスクを生じ得る取扱いの評価に役立ちます。

影響評価では次の点を検討し得ます。

• 取扱いの目的
• データの類型
• データ主体の類型
• 関係する技術
• 潜在的なプライバシーリスク
• セキュリティ管理策
• リスク低減策
• 残存リスク
• データ主体の権利

組織は、あらゆる活動に一律に求められる要件と扱うのではなく、取扱いの性質とリスクに基づいて影響評価の要否を判断すべきです。

正当な利益の評価

NDPCのGAID 2025は、該当する場合の正当な利益の評価（LIA）に明示的に言及しています。

LIAは、正当な利益が適切な法的根拠であるかを組織が判断するのに役立ちます。

一般的な評価では次の点を検討します。

• 目的テスト：どのような正当な利益が追求されているか
• 必要性テスト：その目的の達成に当該取扱いは必要か
• 比較衡量テスト：組織の利益は、データ主体の関係する利益、権利および自由に優先するか

組織は評価内容を文書化し、取扱いが変わった際に見直すべきです。

データ保護責任者（DPO）

NDPAはデータ保護責任者に関する要件を定めています。

DPOの職務には次のものが含まれ得ます。

• 組織への助言
• コンプライアンスの支援
• データ保護上の義務の監視
• 影響評価の支援
• データ主体の権利対応の支援
• 規制当局との連絡
• プライバシーガバナンスの支援
• コンプライアンス活動の監視

GAID 2025は、DPOの資格評価および認証に関する追加要件を定めています。

組織は、自らの状況がDPOを必要とするかを判断し、選任される者が職務にふさわしい能力と独立性を備えていることを確認すべきです。

データ管理者とデータ処理者

NDPAはデータ管理者とデータ処理者を区別しています。

データ管理者は個人データの取扱いの目的と方法を決定します。例として次のものが挙げられます。

• 雇用主
• EC事業者
• 銀行
• SaaS企業
• 医療機関
• オンラインプラットフォーム

データ処理者は管理者に代わって個人データを取り扱います。例として次のものが挙げられます。

• クラウド事業者
• ホスティング事業者
• CRMプラットフォーム
• メール事業者
• アナリティクスサービス
• カスタマーサポートプラットフォーム
• 給与計算事業者

管理者は処理者を適切に監督し、契約面およびセキュリティ面で適切な管理を行うべきです。

重要管理者・重要処理者

NDPAは、重要管理者・重要処理者（DCPMI）の指定と登録について定めています。

NDPCの現行の登録ガイダンスによれば、6か月間に200人を超えるデータ主体のデータを取り扱うこと、個人データの保存を伴う一定の商用ICTサービスを提供すること、特定の分野で事業を行うことなどの要素に基づき、組織が重要と判断され得ます。

現行ガイダンスは、次のような分野も挙げています。

• 航空
• 通信
• 教育
• その他指定された分野および状況

NDPCの指定枠組みは具体的な活動や適用されるガイダンスによって異なり得るため、組織は最新のNDPC要件に照らして自らの現状を評価すべきです。

NDPAの登録

重要性に関する登録枠組みに該当する管理者および処理者は、NDPCへの登録を求められることがあります。

登録要件には次のものが含まれ得ます。

• 組織の情報
• 取扱活動
• データの類型
• データ主体の類型
• DPOに関する情報
• コンプライアンス文書
• 委員会が定めるその他の情報

NDPCは現在、重要管理者・重要処理者向けの登録サービスを提供しています。

コンプライアンス監査報告

NDPCは、該当する組織に対し、同法およびその規制枠組みが定めるコンプライアンス手続への参加を求めています。

委員会は、一定のDCPMIがコンプライアンス監査報告（CAR）の要件の対象となるとしています。

NDPCはまた、該当する場合、CARの提出は認可を受けたデータ保護コンプライアンス機関（DPCO）を通じて行われるとしています。

したがって組織は、次を区別すべきです。

• 社内のプライバシー対応
• NDPCへの登録
• コンプライアンス監査報告
• DPCOによる検証
• DPOガバナンス

これらは関連しつつも別個の活動です。

データ保護コンプライアンス機関（DPCO）

NDPAは、認可を受けたデータ保護コンプライアンス機関について定めています。

DPCOは次のようなサービスを提供できます。

• データ保護研修
• 監査
• コンサルティング
• コンプライアンスサービス
• コンプライアンス提出書類の検証

NDPCは、同法に基づく管理者の提出書類について、該当する場合にDPCOの検証書が必要となり得るとしています。

ConsentXは、同意、トラッカー、プライバシー管理の技術基盤を提供することで、専門的なコンプライアンスサービスを補完できます。

NDPAにおけるデータセキュリティ

データ管理者および処理者は、適切なセキュリティ対策を実施しなければなりません。

セキュリティ施策では次のような領域に対応すべきです。

• アクセス制御
• 認証
• 暗号化
• ネットワークセキュリティ
• データ最小化
• セキュアな開発
• ベンダー管理
• バックアップと復旧
• インシデント対応
• 従業員の意識向上
• セキュリティ監視

NDPAはセキュリティを、独立した技術的課題ではなくデータ保護の中核的な要素として扱っています。

データ侵害の通知

NDPAは個人データ侵害に関する義務を定めています。

侵害が個人の権利および自由に対するリスクをもたらすおそれがある場合、管理者は認識から72時間以内に委員会へ通知しなければなりません。

この枠組みは、適切な場合における影響を受けたデータ主体への通知も扱っています。

組織は、次を含む文書化されたインシデント対応プロセスを維持すべきです。

• 検知
• 封じ込め
• 調査
• リスク評価
• 規制当局への通知
• データ主体への通知
• 是正
• 記録

国境を越えるデータ移転

NDPAはナイジェリア国外への個人データの移転を規律しています。

個人データを国際的に移転する組織は、次の点を評価すべきです。

• 移転先の国
• 受領する組織
• 移転の目的
• 個人データの類型
• データ主体へのリスク
• 適用される保護措置
• 契約上の保護
• 規制上の要件

GAID 2025は、国境を越える移転の法的根拠の評価をコンプライアンス活動に明示的に含めています。

したがって国際的に事業を行う組織は、移転ガバナンスの全体的な枠組みにナイジェリアを含めるべきです。

データの保存と削除

組織は、次に基づいて適切な保存期間を定めるべきです。

• 取扱いの目的
• 法的義務
• 契約上の要件
• 規制上の要件
• 訴訟に関する要件
• セキュリティ上の要件
• データ主体の権利

個人データが不要となり、保存する法的理由もない場合、組織は適切な削除、破棄または匿名化の手続を実施すべきです。

文書化された保存スケジュールは、アカウンタビリティを示すのに役立ちます。

子どもと未成年者

子どもの個人データを取り扱う組織は、特に慎重に対応し、次の点を考慮すべきです。

• 年齢
• 判断能力
• 該当する場合の保護者の関与
• 取扱いの性質
• 子どもに対するリスク
• 取扱いの目的
• 適切な保護措置
• 透明性

子どものデータは、特にオンラインサービス、教育、ゲーム、ソーシャルプラットフォーム、広告の分野でプライバシーと安全の面から高いリスクを生じ得ます。

NDPAにおけるダイレクトマーケティング

マーケティング活動は、広範な個人データの取扱いを伴い得ます。

例として次のものが挙げられます。

• メールマーケティング
• SMSマーケティング
• 顧客プロファイリング
• 行動ターゲティング広告
• リターゲティング
• オーディエンスのセグメント化
• パーソナライズ広告

組織は適用される法的根拠を特定し、取扱いが透明性およびデータ主体の権利と整合することを確保すべきです。

同意が適用根拠である場合、その同意は適切に取得・記録されるべきです。

プライバシー・バイ・デザイン

プライバシーは、最初からシステムおよびプロセスに組み込むべきです。

プライバシー・バイ・デザインの取り組みには次のものが含まれ得ます。

• データ最小化
• 目的の限定
• 同意管理
• プライバシー通知
• アクセス制御
• 保存期間の管理
• 暗号化
• ベンダーガバナンス
• DSAR業務フロー
• 監査ログ
• 国際移転の管理

NDPCも、イノベーションやデジタル環境におけるプライバシー・バイ・デザインを推進する資料を公表しています。

NDPAの執行

NDPCはナイジェリアデータ保護法の監督と執行を担っています。

委員会は違反の可能性を調査し、規制上の措置を講じることができます。

不遵守の結果として次のことが生じ得ます。

• 是正命令
• 行政上の制裁
• 賠償
• 是正手数料
• その他の執行措置
• 民事手続
• 該当する場合の刑事上の結果

NDPCは、データ主体が自らの権利の侵害について民事訴訟を提起できることも示しています。

NDPAの罰則

第48条は、組織が重要管理者・重要処理者であるかどうかに応じて異なる上限を定めています。

NDPCによれば、DCPMIの場合、制裁金または是正手数料は1,000万ナイラと前会計年度の年間総収入の2％のいずれか高い方まで科され得ます。

重要な地位にない組織については、NDPCは標準的な上限を200万ナイラと前会計年度の年間総収入の2％のいずれか高い方としています。

これらはあらゆる違反に自動的に科される罰金ではなく法定の上限枠です。実際の規制上の結果は個別の事情と執行規定によって異なります。

NDPA対応チェックリスト

このチェックリストを用いて自組織の準備状況を確認してください。

• 個人データの取扱いを可視化する
• データ管理者を特定する
• データ処理者を特定する
• 適用される法的根拠を判断する
• 機微またはリスクの高い取扱いを特定する
• プライバシー通知を見直す
• Cookieとトラッカーを点検する
• 同意が必要な場面を判断する
• 同意が自由かつ十分な情報に基づくことを確保する
• 同意記録を保持する
• 該当する同意撤回の手段を提供する
• DSAR手続を整備する
• 適用される30日の回答期限を管理する
• セキュリティ管理策を実装する
• 侵害対応手続を整備する
• 影響評価の要否を評価する
• 該当する場合にLIAを実施する
• 必要な場合にDPOを選任する
• DCPMI該当性を評価する
• 必要な場合にNDPC登録を完了する
• コンプライアンス監査報告の義務を確認する
• 国際移転を評価する
• 保存期間を定める
• 削除手続を実装する
• 処理者との契約を見直す
• コンプライアンス文書を整備する
• NDPCのガイダンスと規制動向を継続的に確認する

NDPAで同意管理が重要な理由

現代のウェブサイトにおけるプライバシー対応は、プライバシーポリシーの公開にとどまりません。

ウェブサイトには次のものが含まれ得ます。

• アナリティクスツール
• 広告ピクセル
• ソーシャルメディアのトラッカー
• マーケティングタグ
• セッション記録ソフトウェア
• パーソナライゼーションツール
• 埋め込みコンテンツ
• CRM連携
• 第三者API

可視性と制御がなければ、これらの技術はプライバシーリスクを生じさせ得ます。

同意管理プラットフォームは、検出 → 分類 → 同意取得 → ブロック → 記録 → 設定管理 → 証跡の提示という流れを支援できます。

ConsentXは、複数のプライバシー法域で事業を行う組織のために、これらの制御を一つにまとめます。