|
1.
|
Les organismes de conformité à la protection des données (DPCO) sont-ils réglementés par la SEC ou la NITDA ?
|
Par la NITDA.
|
|
2.
|
Comment les opérateurs du marché des capitaux sont-ils censés limiter l'accès du personnel aux données des clients ?
|
Réduire au minimum les données visibles par tout le personnel et réserver l'accès aux agents de confiance ayant réellement besoin de les connaître.
|
|
3.
|
Un opérateur doit-il obtenir l'approbation de la SEC ou de la NITDA pour un projet de migration de données ?
|
La NITDA exige son signalement dans le rapport d'audit, ou une communication si les données vont vers un pays hors de la liste blanche.
|
|
4.
|
Les DPCO agréés par la NITDA demandent de réduire les données de connaissance du client (KYC) collectées par les opérateurs, ce qui contredit les règles AML/CFT de la SEC ainsi que la MLPA et la TPA. Comment gérer ces contradictions ?
|
La SEC et la NITDA examineront ensemble la valeur des ensembles de données collectés et détermineront les formulaires à actualiser. En attendant, les opérateurs devraient veiller à respecter intégralement les règles en vigueur.
|
|
5.
|
Combien de temps conserver les données des anciens clients ?
|
Le NDPR ne fixe pas de durée précise, mais son cadre de mise en œuvre donne des orientations. Le projet de boîte à outils de protection des données du marché des capitaux traitera cette question.
|
|
6.
|
Comment la NITDA gère-t-elle les violations de données et des cas ont-ils été signalés ?
|
Le cadre de mise en œuvre du NDPR décrit la procédure, conforme aux exigences constitutionnelles d'audience équitable. Oui, des cas ont été signalés.
|
|
7.
|
Le règlement de la NITDA ne vise que les personnes physiques. Qu'en est-il des personnes morales ?
|
Le droit de la protection des données concerne les personnes physiques. D'autres textes, tels que la CAMA, la loi de 2015 sur la cybercriminalité et la loi sur la liberté d'information, traitent les autres formes de données.
|
|
8.
|
Le responsable de la conformité d'un opérateur peut-il être nommé délégué à la protection des données ?
|
Oui, mais il faut considérer les conflits d'intérêts, l'efficacité et sa capacité à conserver la confiance de la haute direction dans ce rôle.
|
|
9.
|
Quelles sont les exigences minimales de la NITDA pour la désignation d'un délégué à la protection des données (DPO) par un opérateur ?
|
Le cadre les prévoit. Les opérateurs devraient choisir des personnes de formation juridique ou informatique, intéressées et compétentes en conformité réglementaire.
|
|
10.
|
Les DPO doivent-ils s'enregistrer auprès de la NITDA ?
|
Non. Ils peuvent toutefois s'inscrire à la liste de diffusion des DPO pour recevoir les actualités de la NITDA.
|
|
11.
|
Comment obtenir une certification de DPO ?
|
En suivant des formations certifiantes nationales ou internationales, par exemple NDPR ou RGPD.
|
|
12.
|
Un seul délégué peut-il servir les sociétés d'un même groupe ?
|
Oui
|
|
13.
|
Quelles sont les conséquences du non-respect du délai d'audit de protection des données ?
|
Cela constitue une violation du NDPR. L'absence de dépôt exclut aussi l'entité de la liste annuelle des sociétés conformes au NDPR.
|
|
14.
|
Qui peut réaliser un audit de conformité à la protection des données ?
|
Un organisme de conformité à la protection des données.
|
|
15.
|
La NITDA interviendra-t-elle sur les frais exorbitants des DPCO ?
|
La SEC peut intervenir, mais le marché est concurrentiel. Il existe actuellement 70 titulaires d'agrément.
|
|
16.
|
Faut-il obligatoirement recourir à un DPCO si l'organisation possède un expert certifié en protection des données ?
|
Oui. Les DPCO doivent vérifier les rapports d'audit avant leur dépôt auprès de la NITDA.
|
|
17.
|
Toutes les organisations doivent-elles déposer un rapport d'audit à la NITDA, quel que soit le nombre de personnes dont les données sont traitées ?
|
Seules celles traitant les données de plus de 2,000 personnes dans l'année doivent déposer le rapport.
|
|
18.
|
Un opérateur doit-il réaliser l'audit s'il détient les données de plus de 2000 personnes mais en a traité moins de 1000 dans l'année ?
|
Oui, car le stockage constitue un traitement selon l'article 1.3 du NDPR.
|
|
19.
|
Comment interpréter le terme « traite » à la sous-section 3.1.6 du règlement : concerne-t-il toutes les données clients ou seulement celles ayant généré des transactions pendant la période ?
|
Le NDPR définit le traitement comme toute opération ou ensemble d'opérations sur des données personnelles ou ensembles de données, automatisées ou non : collecte, enregistrement, organisation, structuration, conservation, adaptation ou modification, extraction, consultation, utilisation, communication par transmission, diffusion ou autre mise à disposition, rapprochement ou combinaison, limitation, effacement ou destruction.
|
|
20.
|
Quelles démarches précises faut-il suivre pour respecter le règlement ?
|
Examiner le règlement et son cadre et demander les conseils d'un DPCO.
|
|
21.
|
Pourquoi le règlement insiste-t-il sur la collecte et le traitement sans traiter suffisamment la conservation des données ?
|
La conservation relève de différentes lois et directives sectorielles. Le NDPR vise à combler les lacunes en harmonie avec les règles existantes, sans remplacer les principes établis et opérationnels.
|
|
22.
|
Si la NITDA affiche à l'entrée de ses locaux qu'en entrant vous consentez à l'utilisation de vos données personnelles, cela constitue-t-il un motif de collecte ?
|
Oui. L'objectif est de recueillir le consentement, essentiel aux traitements automatisés de données personnelles réalisés par la vidéosurveillance et d'autres technologies.
|
|
23.
|
Quel est le champ de la conformité à la protection des données pour un opérateur type ? L'obligation se limite-t-elle aux clients inscrits dans sa base de données ou ses registres ?
|
Elle comprend aussi les visiteurs de votre site, de vos locaux et les participants à vos événements dont vous collectez les données pour votre activité. La liste n'est pas exhaustive.
|
|
24.
|
Le NDPR s'applique-t-il aux ministères, États, collectivités locales et établissements publics ?
|
Oui
|
|
25.
|
Le NDPR s'applique-t-il aussi aux investisseurs de portefeuille non-résidents et peuvent-ils en invoquer la protection ?
|
Oui. Si l'ISA et la NIPC les considèrent comme investisseurs, ils bénéficient aussi du droit nigérian de la protection des données.
|
|
26.
|
L'intérêt légitime reste la base juridique la plus souple pour la plupart des responsables de traitement. Selon le RGPD, les autorités publiques ne peuvent s'en prévaloir pour leurs missions, sauf à tenir un registre de leur évaluation. Le NDPR soumet-il les traitements fondés sur l'intérêt légitime à un droit d'opposition pour motifs impérieux ?
|
Le NDPR exige des traitements légitimes et licites, sans prévoir expressément l'intérêt légitime du responsable comme base juridique. Selon le RGPD, il peut reposer sur 3 motifs : prévention de la fraude, sécurité de l'information et enquête ou prévention des infractions ou menaces. Il ne donne donc pas aux responsables une liberté absolue de traitement.
|
|
27.
|
Le règlement permet-il de collecter des données personnelles sensibles ?
|
Oui
|
|
28.
|
Comment la NITDA traite-t-elle les violations résultant d'une application ou d'un serveur dans le cloud, situé dans un centre de données d'une région ne respectant pas pleinement le RGPD européen ou le NDPR ?
|
Le règlement s'appliquerait. Les complices locaux seraient tenus responsables jusqu'à l'achèvement des procédures juridiques internationales.
|
|
29.
|
Le stockage dans un cloud hors du Nigeria constitue-t-il un transfert vers une juridiction étrangère ?
|
Oui. La loi le reconnaît et prévoit les dispositions nécessaires pour ne pas entraver les services cloud.
|
|
30.
|
Les SMS publicitaires non sollicités des opérateurs mobiles violent-ils le NDPR ?
|
Oui, mais vous devez vérifier que vous n'avez donné votre consentement à aucun moment.
|
|
31.
|
Où trouver les lignes directrices du NDPR ?
|
Sur www.nitda.gov.ng, dans la rubrique Réglementation.
|
|
32.
|
La NITDA créera-t-elle un registre, comme l'ICO, des organisations ayant respecté l'audit, pour vérifier la conformité avant le partage de données ?
|
Oui. Il sera publié d'ici août 2020.
|
|
33.
|
La NITDA réglemente-t-elle les sous-traitants de données ? Comment un opérateur peut-il connaître la qualité de leurs antécédents de traitement et de protection ?
|
Oui. Demandez à connaître leur situation de conformité.
|
|
34.
|
Dans une offre de valeurs mobilières, obligations ou actions, l'analyse d'impact porte-t-elle sur l'opérateur ou les souscripteurs potentiels ?
|
Sur l'émetteur, les opérateurs parties à l'offre et toute autre composante essentielle de données de l'offre.
|
|
35.
|
Le consentement est-il requis pour utiliser en interne l'intelligence artificielle afin de profiler les clients et prévoir leurs besoins ?
|
Oui. Le consentement est la seule base acceptable du profilage automatisé.
|
|
36.
|
Si un opérateur utilise des agents pour commercialiser ses produits, doivent-ils aussi être audités puisqu'ils accèdent aux données des clients ?
|
L'opérateur est censé conclure un accord de traitement des données pour garantir leur conformité au NDPR. Il peut rester responsable de leurs manquements du fait d'autrui.
|
|
37.
|
Comment le pays peut-il relier sûrement une adresse IP à sa source pour faciliter le suivi et la piste d'audit ?
|
La technologie existe et se développe.
|
|
38.
|
La NITDA peut-elle fournir un modèle ou cadre de rapport d'audit à utiliser par les personnes soumises au NDPR ?
|
OUI. Nous l'avons fourni dans le cadre.
|
|
39.
|
Comment les opérateurs doivent-ils déposer les rapports d'audit ?
|
Par l'intermédiaire d'un DPCO.
|
|
40.
|
La NITDA apportera-t-elle un appui technique aux opérateurs pour uniformiser la protection des données ?
|
Nous collaborons avec les régulateurs sectoriels comme la SEC et attendons des opérateurs qu'ils recourent aux DPCO pour les aider dans la mise en œuvre.
|
|
41.
|
Où obtenir la liste des DPCO agréés ?
|
https://nitda.gov.ng/wp-content/uploads/2020/06/DPCO-LIST-V4.418.6.20.pdf
|
|
42.
|
Que fait la NITDA pour empêcher le piratage et le vol en ligne ?
|
Conseils, sensibilisation et échange d'informations avec les parties prenantes publiques et privées, entre autres.
|
|
43.
|
L'employeur est-il responsable du fait d'autrui lorsqu'un membre du personnel divulgue sans autorisation les données des clients ?
|
Oui
|
|
44.
|
La NITDA prévoit-elle de promouvoir la minimisation des données ?
|
Nous le faisons déjà.
|
|
45.
|
Un opérateur fournissant seulement des conseils aux clients du groupe et s'appuyant sur les pratiques du groupe en matière de vie privée et de données doit-il réaliser son propre audit si le groupe l'a déjà fait, les deux ayant des dénominations distinctes ?
|
Si le rapport du groupe décrit précisément et exhaustivement les traitements de la filiale et leurs relations, OUI. Sinon, il vaut mieux que la filiale réalise son audit. Cette position reste à l'étude et l'Agence arrêtera sa position définitive après consultation des parties prenantes.
|
|
46.
|
La NITDA échange-t-elle avec les opérateurs GSM pour sécuriser les données personnelles qu'ils détiennent ?
|
Oui
|
|
47.
|
Où en est le projet de cadre de mise en œuvre et quand sera-t-il opérationnel ?
|
Après approbation de l'honorable ministre des Communications et de l'Économie numérique.
|
|
48.
|
Les données personnelles de personnes ou organisations peuvent-elles servir à retrouver les participants à une fraude en vue de sanctions disciplinaires ?
|
Oui, sur la base de l'intérêt public et juridique.
|
|
49.
|
Concernant la finalité spécifique de l'article 3.1(7c) du NDPR, quelles mesures la NITDA a-t-elle prises contre le détournement d'informations collectées pour une finalité précise ?
|
La NITDA a émis le texte, sensibilise, apporte un appui et travaille à son application. Toutes les parties prenantes doivent y participer : il en va de la perception économique et sociale de notre pays par les investisseurs et autres acteurs.
|
|
50.
|
Le consentement de la personne concernée est-il requis pour partager des données dans une coopération à l'échelle de l'Union africaine ?
|
Oui, conformément à la Convention de Malabo.
|
|
51.
|
Si un opérateur a pris les précautions normales de cybersécurité et de capacité interne, est-il exonéré en cas de piratage et de vol de données clients, ou s'agit-il d'une responsabilité objective ?
|
La violation de données relève de la responsabilité objective, mais les mesures prises par l'entité seront considérées par les organes administratifs et judiciaires pour fixer les sanctions.
|
|
52.
|
Une personne physique peut-elle être responsable de traitement ?
|
Oui, notamment si le traitement poursuit un objectif commercial.
|