|
1.
|
数据保护合规组织（DPCO）由 SEC 还是 NITDA 监管？
|
由 NITDA 监管。
|
|
2.
|
资本市场运营机构应如何限制员工访问客户数据？
|
尽量减少所有员工均可看到的客户数据，仅向确实有权知情的可信员工授予访问权限。
|
|
3.
|
运营机构进行数据迁移项目，是否需要 SEC 或 NITDA 批准？
|
NITDA 要求在审计报告中报告；如迁移至国家白名单以外的国家，则须通知。
|
|
4.
|
NITDA 批准的 DPCO 推动减少运营机构收集的 KYC 数据，与现行 SEC 反洗钱／反恐怖融资规则及 MLPA、TPA 相冲突。运营机构应如何处理？
|
SEC 与 NITDA 将共同审查所收集数据集的价值，并确定须更新的表格。在此之前，运营机构应确保全面遵守现行规则及条例。
|
|
5.
|
已终止关系客户的数据应保留多久？
|
NDPR 未规定具体期限，但其实施框架提供指导。拟议资本市场数据保护工具包将回应这一问题。
|
|
6.
|
NITDA 如何处理数据泄露事件？是否已有报告案例？
|
NDPR 实施框架说明泄露处理流程，符合宪法公平听证要求。是，已有报告案例。
|
|
7.
|
NITDA 法规仅适用于自然人，公司实体如何处理？
|
数据保护法律针对自然人。CAMA、《2015 年网络犯罪法》及《信息自由法》等其他法律处理其他数据集。
|
|
8.
|
运营机构现任合规负责人可否获委任为数据保护官？
|
可以，但须考虑利益冲突、效率及能否获得高层管理人员对其履职的信任。
|
|
9.
|
NITDA 对运营机构委任指定数据保护官（DPO）的最低要求是什么？
|
框架有相关规定。运营机构应考虑具备法律或信息技术背景，并对监管合规有兴趣及技能的人士。
|
|
10.
|
DPO 是否须向 NITDA 注册？
|
否。但可加入 DPO 邮件列表，获取 NITDA 活动及发展动态。
|
|
11.
|
如何取得 DPO 认证？
|
参加 NDPR、GDPR 等国家或国际认证课程。
|
|
12.
|
一名数据保护官可否服务同一集团内多家公司？
|
是。
|
|
13.
|
未在数据保护审计截止日前完成有何后果？
|
构成违反 NDPR。不申报亦会使实体无法列入当年度 NDPR 合规公司名单。
|
|
14.
|
谁有资格开展数据保护合规审计？
|
数据保护合规组织。
|
|
15.
|
NITDA 会否干预 DPCO 过高收费？
|
SEC 可介入，但这是竞争市场，目前有 70 家持牌机构。
|
|
16.
|
如机构已有获数据保护政策认证的专家，是否仍强制聘用 DPCO？
|
是。向 NITDA 提交前，审计报告须由 DPCO 核实。
|
|
17.
|
无论处理数据数量多少，所有机构均须向 NITDA 提交审计报告吗？
|
只有一年内处理超过 2,000 名数据主体资料的机构须提交报告。
|
|
18.
|
如运营机构有超过 2000 名数据主体，但某年度处理的不足 1000 名，是否应开展数据审计？
|
是，因为依据 NDPR 第 1.3 条，“存储”构成处理。
|
|
19.
|
运营机构应如何理解法规第 3.1.6 款中的“处理”？是指数据库全部客户数据，还是仅指相关期间产生交易活动的子集？
|
NDPR 将“处理”定义为对个人数据或个人数据集进行的任何一项或一系列操作，无论是否采用自动化方式，包括收集、记录、组织、结构化、存储、调整或修改、检索、查阅、使用、通过传输披露、传播或以其他方式提供、对齐或组合、限制、删除或销毁。
|
|
20.
|
确保遵守法规须采取哪些具体步骤？
|
审阅法规及其框架，并聘用 DPCO 提供指导。
|
|
21.
|
法规过度强调数据收集及处理，却未充分处理保留问题，为何如此？
|
数据保留受不同法律及行业指令约束。NDPR 旨在与现行规则协调填补既有空缺，而非取代已确立且有效的原则。
|
|
22.
|
如 NITDA 在场所张贴“进入此处即同意使用您的个人数据”，是否属于可以收集个人数据的理由？
|
是，其旨在取得同意。由于使用闭路电视及其他自动处理个人数据的技术，此类处理活动必须取得同意。
|
|
23.
|
一般资本市场运营机构的数据保护合规范围是什么？义务是否仅限已接纳并载入数据库系统或记录的客户？
|
亦包括您为业务目的收集数据的网站访客、办公场所访客及活动参加者等，范围不限于此。
|
|
24.
|
NDPR 是否适用于各部、州及地方政府和政府机构？
|
是。
|
|
25.
|
NDPR 是否亦适用于非居民证券投资者，并可由其主张执行？
|
是。如 ISA 及 NIPC 将其视为投资者，其亦有资格享受尼日利亚数据保护法律的益处。
|
|
26.
|
合法利益仍是多数数据控制者最灵活的法律依据。依 GDPR，公共机构履职处理数据时不能仅依合法利益使处理合法化，除非保存所作评估记录。NDPR 是否允许对基于合法利益的数据处理，在有充分理由时行使反对权？
|
NDPR 要求数据处理正当合法，但未明确将控制者合法利益列为法律依据。依 GDPR，合法利益可基于 3 类理由之一：防止欺诈、信息安全，以及调查或预防犯罪行为或威胁。因此，合法利益并非数据控制者任意行事的通行证。
|
|
27.
|
法规是否允许收集敏感个人数据？
|
是。
|
|
28.
|
如将应用／服务器部署于云端，其数据中心所在地区未充分遵守欧盟 GDPR 或 NDPR，发生数据泄露时 NITDA 如何处理？
|
法规将适用。在国际法律程序完成前，将追究本地共犯的责任。
|
|
29.
|
将数据存放于尼日利亚境外云端，是否构成向外国司法管辖区转移数据？
|
是。法律承认此情况，并作充分安排，确保云服务不受阻碍。
|
|
30.
|
收到移动运营商未经请求的广告短信，是否违反 NDPR？
|
是。但须确认您从未在任何时候给予同意。
|
|
31.
|
在哪里可找到 NDPR 指引？
|
访问 www.nitda.gov.ng 的法规栏目。
|
|
32.
|
NITDA 会否像 ICO 一样建立已完成审计机构的登记册？这有助于履行共享数据前确保公司合规的义务。
|
会，将于 2020 年八月前公布。
|
|
33.
|
NITDA 是否监管数据处理者？运营机构如何确定所用处理者具备良好处理及保护记录？
|
是。请要求了解其合规状态。
|
|
34.
|
证券发售，如债券或股票的数据保护影响评估，针对运营机构还是潜在认购者？
|
针对发行人、作为发售参与方的运营机构，以及发售的任何其他关键数据组成部分。
|
|
35.
|
运营机构内部使用人工智能分析客户并预测需求，是否须取得客户同意？
|
是。同意是自动化画像唯一可接受的依据。
|
|
36.
|
运营机构使用代理人营销产品，代理人会接触客户数据，是否亦须审计？
|
运营机构应签署数据处理协议，确保代理人遵守 NDPR，且仍可能对其违规承担替代责任。
|
|
37.
|
国家如何安全地将 IP 地址与来源关联，以便追踪及形成审计轨迹？
|
相关技术已存在，并持续发展。
|
|
38.
|
NITDA 能否提供模板／框架，供受 NDPR 约束者提交数据合规审计报告？
|
可以，已在框架中提供。
|
|
39.
|
运营机构如何提交审计报告？
|
通过 DPCO 提交。
|
|
40.
|
NITDA 会否为运营机构提供数据保护技术支持，确保处理方式统一？
|
我们与 SEC 等行业监管机构合作，并期望运营机构聘用 DPCO 支持实施。
|
|
41.
|
哪里可取得获批 DPCO 名单？
|
https://nitda.gov.ng/wp-content/uploads/2020/06/DPCO-LIST-V4.418.6.20.pdf
|
|
42.
|
NITDA 正采取哪些措施防止在线黑客攻击及盗窃？
|
提供建议、宣传教育、与公私利益相关者分享信息等。
|
|
43.
|
员工未经授权披露客户数据，雇主是否承担替代责任？
|
是。
|
|
44.
|
NITDA 是否计划推广数据最小化？
|
我们已在开展这项工作。
|
|
45.
|
如运营机构仅为集团客户提供咨询，因此依赖集团客户及集团隐私和数据保护实践，而集团已开展审计，运营机构是否仍须对同一实践审计？此情况下集团与运营机构使用不同公司名称。
|
如集团报告具体且全面说明子公司处理活动及其关系，答案是肯定的；否则最好由子公司自行审计。这一立场仍在研究，机构将咨询相关利益相关者后作出最终决定。
|
|
46.
|
NITDA 是否与 GSM 运营商沟通，确保其保管的个人数据安全？
|
是。
|
|
47.
|
实施框架草案进展如何？何时实施？
|
待通信及数字经济部长批准后实施。
|
|
48.
|
能否使用个人／组织数据追踪欺诈活动参与者，以采取纪律行动？
|
可以，基于公共及法律利益。
|
|
49.
|
关于 NDPR 第 3.1(7c) 条的特定目的，NITDA 迄今采取哪些措施，防止原为特定目的取得的信息被挪作他用？
|
NITDA 已发布法律，正开展宣传、提供支持并推进执法。所有利益相关者都须参与，因为这关乎投资者及其他利益相关者对我国经济与社会的看法，而非仅关乎 NITDA。
|
|
50.
|
在非洲联盟范围合作共享数据，是否须取得数据主体同意？
|
是，依据《马拉博公约》。
|
|
51.
|
如运营机构已采取标准网络安全及内部能力预防措施，公司仍遭黑客攻击、客户个人资料被盗，是否免责，还是构成严格责任违法？
|
数据泄露属于严格责任事件，但行政及司法机构决定处罚时，会考虑实体采取的行动。
|
|
52.
|
个人可否成为数据控制者？
|
可以，尤其处理活动为商业目的而开展时。
|