Die Nigeria Data Protection Commission (NDPC) hat eine forensische Untersuchung gegen die University of Lagos (UNILAG), die Lotus Bank und Hackerbella Ltd eingeleitet, nachdem öffentliche Beschwerden behaupteten, dass persönliche Daten von Studierenden ohne rechtliche Grundlage für die Eröffnung von Bankkonten verwendet wurden.

Einem Pressemitteilung vom 11. August, unterzeichnet von Babatunde Bamigboye, dem Head of Legal, Enforcement and Regulations der Kommission, zufolge hat der National Commissioner und Chief Executive Officer der NDPC, Dr. Vincent Olatunji, das Ermittlungsteam angewiesen, eine umfassende Bewertung darüber durchzuführen, wie die persönlichen Daten der betroffenen Studierenden erhoben, verwendet und weitergegeben wurden.

Die Untersuchung ist eine der bedeutendsten Durchsetzungsmaßnahmen, die im Rahmen des Nigeria Data Protection Act, 2023 ergriffen wurden, der die NDPC als gesetzliche Regulierungsbehörde mit der Befugnis ausgestattet hat, erhebliche Strafen zu verhängen – bis zu 2 % des Jahresbruttoumsatzes einer Organisation bei schwerwiegenden Verstößen. Der Fall berührt auch die Aufsicht der Central Bank of Nigeria über Finanzinstitute, da die Beteiligung der Lotus Bank Fragen hinsichtlich der Einhaltung von Anforderungen an den Datenschutz sowie an die Sorgfaltspflichten gegenüber Kunden im Bankensektor aufwirft.

Umfang der Untersuchung

Die NDPC erklärte, dass die Untersuchung die Rollen und Verantwortlichkeiten aller drei beteiligten Parteien sowie ihre weitergehenden Compliance-Verpflichtungen nach dem Nigeria Data Protection Act, 2023 eingehend prüfen wird. Zu den spezifischen Prüfbereichen gehören:

• Datenschutz-Folgenabschätzungen (Data Protection Impact Assessments, DPIAs)
• Die Rechtmäßigkeit und Transparenz von Aktivitäten zur Kreditwürdigkeitsprüfung oder zum Profiling
• Der Einsatz von Systemen zur automatisierten Entscheidungsfindung
• Die Angemessenheit von Datenschutzhinweisen und Vereinbarungen zur Datenweitergabe
• Rechtmäßige Grundlagen für die Datenverarbeitung, Datenminimierung und Zweckbindung
• Aufbewahrungsrichtlinien sowie die technischen und organisatorischen Schutzmaßnahmen zum Schutz der Rechte der Datensubjekte

Die Kommission bemerkte weiter, dass die Untersuchung die potenziellen Risiken für die Rechte und Freiheiten der betroffenen Studierenden bewerten wird.

Warnung der NDPC an Bildungseinrichtungen

Die Kommission betonte, dass Einrichtungen, denen die persönlichen Daten von Studierenden, Mitarbeitern und anderen Mitgliedern ihrer Gemeinschaft anvertraut sind, eine erhöhte Verantwortung dafür tragen, sicherzustellen, dass diese Daten rechtmäßig, fair, transparent und sicher verarbeitet werden.

„Dementsprechend warnt die NDPC Bildungseinrichtungen, die ihre bestehenden Anordnungen zur Einhaltung des Datenschutzes noch nicht umgesetzt haben, dies unverzüglich zu tun“, sagte die Kommission in ihrer Erklärung.

Zum Zeitpunkt der Veröffentlichung haben UNILAG, die Lotus Bank und Hackerbella Ltd keine öffentlichen Stellungnahmen zu den Vorwürfen abgegeben.