La Comisión Nacional de Gestión de Identidad de Nigeria (NIMC) afirma que su base de datos nacional de identidad está alojada completamente dentro del país y gestionada por sus propios empleados, una declaración que llega cuando la verificación digital de identidad se vuelve cada vez más central para los servicios públicos.

Alvan Ikoku, director de la Oficina de Programas Estratégicos de NIMC, reveló los detalles durante una sesión informativa con periodistas el miércoles. Abordó las inquietudes sobre dónde se almacenan los datos de identidad de los nigerianos, quién controla la infraestructura subyacente y cómo la comisión los protege de filtraciones.

"Está siendo gestionada por nigerianos, no por proveedores nigerianos, sino por empleados de NIMC", dijo Ikoku. Sostuvo que la comisión nunca ha alojado sus datos de identidad fuera de Nigeria, no depende del alojamiento en la nube para su base de datos central y opera sistemas de recuperación ante desastres para mantener los servicios en funcionamiento cuando ocurren fallas.

Los comentarios llegan cuando la localización de datos domina cada vez más las conversaciones en Nigeria sobre el control de la información personal de los ciudadanos. Mantener los datos dentro de las fronteras nacionales aborda dónde se almacenan, pero protegerlos requiere controles efectivos sobre quién puede acceder a ellos y rendición de cuentas cuando se hace un uso indebido.

Según NIMC, 142 millones de nigerianos se habían registrado para obtener un Número de Identificación Nacional —el identificador único asignado a cada persona registrada— hasta septiembre de 2026. Una violación de seguridad podría exponer los datos personales de millones, mientras que una interrupción podría afectar servicios esenciales. El alojamiento local por sí solo no puede garantizar la seguridad; controles estrictos de acceso, monitoreo y rendición de cuentas por el uso indebido siguen siendo fundamentales.

Ikoku dijo que NIMC mantiene su base de datos central internamente y somete a sus empleados —en particular a los responsables de la gestión de la base de datos— a un escrutinio continuo por parte de las agencias de seguridad. El personal podría enfrentar consecuencias legales por mala conducta, agregó.

El control interno de la base de datos central no significa que NIMC supervise cada punto a través del cual se accede a los datos de identidad. Los socios con licencia y las agencias gubernamentales conectadas también ayudan a prestar servicios de verificación, creando puntos adicionales donde el a la información personal debe gestionarse y protegerse.

Las preocupaciones de seguridad anteriores se han centrado en el acceso a través de los canales de verificación, más que en una violación confirmada de la base de datos central. En marzo de 2024, los informes sobre XpressVerify, un sitio web que ofrecía información de identidad de nigerianos, generaron preguntas sobre cómo la plataforma había obtenido acceso. NIMC dijo en ese momento que XpressVerify no era un socio con licencia y ordenó una investigación sobre si agentes de verificación autorizados o sus sublicenciatarios habían incumplido sus acuerdos de licencia. La Comisión Nigeriana de Protección de Datos dijo posteriormente que NIMC había suspendido el acceso a la base de datos antes de restablecer un acceso limitado a las instituciones que brindan servicios públicos esenciales.

El episodio subraya una distinción clave entre la residencia de datos y la gobernanza del acceso. Almacenar registros de identidad en infraestructura dentro de Nigeria no impide, por sí solo, la exposición a través de organizaciones autorizadas a solicitar verificación, un riesgo que crece a medida que más instituciones se conectan al sistema de identidad.

Ikoku dijo que alrededor de 63 agencias gubernamentales se habían integrado con NIMC, incluidas organizaciones dedicadas a exámenes, financiamiento estudiantil, crédito al consumo y seguro médico.

"Es una cosa estar listo para integrarse con una agencia", dijo Ikoku. "Todo lo que tenemos que hacer es ofrecer la interfaz de programación de aplicaciones, que ellos usarían. Pero lo que también he descubierto trabajando en este proyecto de armonización es que algunos de ellos no han alcanzado, ¿debería llamarlo?, el nivel de madurez, el nivel de madurez digital, para poder siquiera tener ese intercambio en términos de integración".

Para las agencias cuyos sistemas están listos, la conexión a través de la interfaz de programación de aplicaciones (API) de NIMC puede tomar unas 72 horas, según Ikoku. Armonizar registros y sistemas, sin embargo, requiere un trabajo más personalizado.

Ikoku también dijo que la Ley NIMC de 2026 exige el cumplimiento de la Ley Nigeriana de Protección de Datos y establece condiciones para divulgar la información de las personas registradas, incluidos el consentimiento, las obligaciones legales, las funciones de interés público, las investigaciones penales y los procesos judiciales.

El papel de NIMC, dijo, es autenticar identidades en lugar de retener las razones detrás de las solicitudes de verificación realizadas por otras organizaciones.

"Se supone que la comisión debe coordinar la autenticación y la verificación, pero la autenticación que la comisión necesita realizar puede provenir de otra entidad", dijo Ikoku. "No es asunto de la comisión retener la razón de esa solicitud o de esa autenticación. La comisión no hará eso. Ni sus agentes ni sus cesionarios lo harán de ninguna manera".

Los usuarios pueden gestionar y retirar el consentimiento a través de la aplicación de autenticación de NIMC, sujeto a excepciones legales, dijo Ikoku. Sin embargo, la sesión informativa no ofreció cifras de uso ni una demostración de cómo los ciudadanos podrían consultar los registros de acceso, impugnar el uso indebido o presentar quejas.

NIMC también está desarrollando marcos para credenciales digitales, certificados y firmas mientras moderniza su infraestructura de identidad, aunque los estándares técnicos, los arreglos de gobernanza y los reglamentos de implementación todavía están en desarrollo.

El impulso por mantener los datos sensibles en Nigeria va más allá de la gestión de identidad. En junio de 2026, el Banco Central de Nigeria ordenó a los bancos y empresas de pagos almacenar y gestionar localmente los datos de transacciones de pago generados en el antes del 1 de enero de 2027. La Iniciativa Nacional de Nube Soberana del gobierno, formalizada en agosto, igualmente apunta a expandir la infraestructura local de nube. Esas normas pendientes, junto con el plazo del banco central, ofrecen indicadores concretos de si el impulso de localización del país se extiende desde dónde se almacenan los datos hasta cómo se gobierna el acceso a ellos.