Los agentes de PoS en Nigeria — unos 2 millones de operadores que trabajan en aproximadamente 5.9 millones de terminales activas en todo el país — están ahora clasificados legalmente como Data Controllers and Processors of Major Importance bajo la Nigeria Data Protection Act 2023.

La designación surge de un fallo del Federal High Court que amplió el marco de cumplimiento de protección de datos de Nigeria para abarcar una de las mayores redes financieras informales del país. Según la sentencia, los agentes de PoS deben registrarse ante la Nigeria Data Protection Commission (NDPC) o enfrentar responsabilidad legal.

La decisión se emitió en Emmanuel Harunna v. Nigeria Data Protection Commission, un caso en el que el solicitante pidió al tribunal que declarara que los agentes de PoS quedan fuera del requisito de registro de la NDPC.

La jueza F.N. Ogazi, del Federal High Court, desestimó el recurso y sostuvo que la NDPC actuó dentro de sus facultades legales al designar a los agentes de PoS como DCPMIs bajo la clasificación de Major Data Processing at the Ordinary High Level. El tribunal también indicó que el requisito de registro fortalece, en lugar de violar, los derechos constitucionales a la privacidad porque somete a los procesadores de datos a una supervisión regulatoria efectiva.

Tras la sentencia, el National Commissioner de la NDPC, Vincent Olatunji, ordenó a todos los DCPMIs no registrados cumplir de inmediato. La comisión advirtió que no registrarse genera serias responsabilidades legales conforme a la ley.

Un agente de PoS que procesa una transferencia bancaria normalmente maneja el número de cuenta del cliente, el bank verification number, el historial de transacciones y, en muchos casos, confirmación biométrica.

En 5.9 millones de terminales, eso equivale a un volumen enorme de datos financieros sensibles procesados a diario por operadores que en gran medida han permanecido fuera de la estructura formal de cumplimiento de protección de datos desde que la inclusión financiera impulsó la adopción de PoS en todo el país.

Estas obligaciones fueron diseñadas para organizaciones con infraestructura de cumplimiento. La mayoría de los agentes de PoS son trabajadores por cuenta propia o microempresarios que operan con una terminal, un teléfono y un fondo de caja.

El marco de registro de la NDPC clasifica el Major Data Processing en tres niveles con tarifas correspondientes.

El Ultra High Level Processing conlleva una tarifa de registro de ₦250,000.

El Extra High Level conlleva ₦100,000.

El Ordinary High Level, nivel al que pertenecen la mayoría de los agentes de PoS, conlleva ₦10,000.

La comisión ha descrito esta estructura por niveles como una forma de facilitar los negocios para organizaciones más pequeñas involucradas en procesamiento de datos de alto riesgo, y sobre el papel la cifra de ₦10,000 es modesta.

Para un agente de PoS que opera con márgenes por transacción en un mercado que ya absorbe cargos del CBN, tarifas de red y el costo operativo de manejar efectivo en una economía que aún enfrenta presiones de liquidez, sin embargo, es un costo más que llega sin advertencia ni preparación.

El 2024 NDPC Guidance Notice, que precedió a este fallo, ya había detallado las categorías de organizaciones obligadas a registrarse como data controllers and processors en Nigeria, identificando como DCPMIs a organizaciones de particular valor o importancia para la economía, la sociedad o la seguridad de Nigeria.

Los agentes de PoS estaban incluidos en ese marco, pero el desafío legal presentado por Emmanuel Harunna generó incertidumbre sobre si la designación sobreviviría al escrutinio judicial. La sentencia de la jueza Ogazi resuelve esa incertidumbre.

El tribunal sostuvo que la Section 65 de la NDPA prevalece sobre cualquier ley incompatible en materia de protección de datos, reforzando la primacía de la ley en todos los sectores.

El fallo llega en un momento en que la postura de cumplimiento en materia de protección de datos de Nigeria se está endureciendo de forma visible. En los últimos meses, la NDPC ha intensificado las acciones de cumplimiento contra empresas acusadas de procesamiento ilícito de datos y transferencias transfronterizas de datos. Olatunji ha descrito en varias ocasiones los datos personales como un activo nacional estratégico.

La comisión obtuvo a comienzos de este año una decisión importante cuando un Federal High Court ordenó el pago de ₦250,000 en daños contra GTCO por enviar mensajes de marketing no solicitados a una persona que no era cliente, estableciendo que las infracciones de protección de datos conllevan consecuencias financieras tangibles. El fallo sobre PoS extiende esa postura de cumplimiento a un sector que ha procesado datos financieros sensibles a gran escala durante años con supervisión regulatoria mínima.

La red de agentes de PoS en Nigeria creció rápidamente bajo los objetivos de inclusión financiera del CBN, y los agentes fueron reclutados y capacitados principalmente en procesamiento de transacciones, manejo de efectivo y prevención de fraude desde el lado del cliente.

El cumplimiento de protección de datos no formaba parte de esa capacitación. El agente promedio de PoS en Onitsha, Kano o Yenagoa que despertó la mañana siguiente a la emisión del fallo no sabía que un tribunal acababa de formalizar su condición de controlador de datos, que registrarse ante la NDPC era ahora una obligación legal inmediata, o que operar sin ese registro lo exponía a las responsabilidades sobre las que la comisión ha advertido.

La NDPC ya cuenta con la autoridad legal que buscaba, y el tribunal la confirmó. El mandato de cumplimiento ahora cubre a más de 2 millones de agentes de PoS y 5.9 millones de terminales.

La pregunta que queda abierta es si la comisión combinará la aplicación de la norma con el alcance y la educación necesarios para que el cumplimiento sea viable para los operadores ubicados en la base del sistema financiero formal. Esa respuesta determinará si el fallo fortalece la protección de datos en Nigeria o si simplemente añade una nueva responsabilidad a la infraestructura financiera informal del país sin mejorar la protección de las personas a las que sirve.