Les agents PoS au Nigeria — environ 2 millions d’opérateurs sur quelque 5,9 millions de terminaux actifs à l’échelle nationale — sont désormais légalement classés comme Data Controllers and Processors of Major Importance en vertu de la Nigeria Data Protection Act 2023.

Cette désignation fait suite à une décision de la Haute Cour fédérale qui a élargi le cadre de conformité à la protection des données au Nigeria pour couvrir l’un des plus grands réseaux financiers informels du pays. En vertu de cette décision, les agents PoS doivent s’enregistrer auprès de la Nigeria Data Protection Commission (NDPC) ou s’exposer à une responsabilité juridique.

La décision a été rendue dans l’affaire Emmanuel Harunna v. Nigeria Data Protection Commission, dans laquelle le requérant demandait à la cour de déclarer que les agents PoS ne relèvent pas de l’obligation d’enregistrement auprès de la NDPC.

Le juge F.N. Ogazi de la Haute Cour fédérale a rejeté la contestation, estimant que la NDPC avait agi dans le cadre de ses pouvoirs légaux en désignant les agents PoS comme DCPMIs dans la catégorie du Major Data Processing at the Ordinary High Level. La cour a également estimé que l’obligation d’enregistrement renforce, plutôt qu’elle ne viole, les droits constitutionnels à la vie privée en plaçant les responsables du traitement sous une surveillance réglementaire effective.

À la suite du jugement, le commissaire national de la NDPC, Vincent Olatunji, a ordonné à tous les DCPMIs non enregistrés de se conformer immédiatement. La commission a averti que le fait de ne pas s’enregistrer entraîne de graves responsabilités juridiques en vertu de la loi.

Un agent PoS qui traite un virement bancaire manipule généralement le numéro de compte du client, son bank verification number, l’historique des transactions et, dans de nombreux cas, une confirmation biométrique.

Sur 5,9 millions de terminaux, cela représente un volume considérable de données financières sensibles traitées chaque jour par des opérateurs qui sont restés largement en dehors de la structure formelle de conformité en matière de protection des données depuis que l’inclusion financière a favorisé l’adoption du PoS dans tout le pays.

Ces obligations ont été conçues à l’origine pour des organisations disposant d’une infrastructure de conformité. La plupart des agents PoS sont des commerçants individuels ou des micro-entrepreneurs travaillant avec un terminal, un téléphone et une caisse de liquidités.

Le cadre d’enregistrement de la NDPC classe le Major Data Processing en trois niveaux avec des frais correspondants. Le traitement Ultra High Level entraîne des frais d’enregistrement de ₦250,000. Le Extra High Level entraîne ₦100,000. Le Ordinary High Level, la catégorie dans laquelle se trouvent la plupart des agents PoS, entraîne ₦10,000.

La commission a indiqué que cette structure par paliers vise à faciliter l’activité des petites organisations impliquées dans des traitements de données à haut risque, et sur le papier, le montant de ₦10,000 reste modeste. Pour un agent PoS dont les marges dépendent des transactions, dans un marché déjà grevé par les frais de la CBN, les frais de réseau et le coût opérationnel de la gestion de liquidités dans une économie encore confrontée à des tensions de liquidité, il s’agit toutefois d’une dépense supplémentaire arrivée sans avertissement ni préparation.

La Guidance Notice 2024 de la NDPC, qui précédait cette décision, avait déjà détaillé les catégories d’organisations tenues de s’enregistrer comme data controllers and processors au Nigeria, en identifiant comme DCPMIs les organisations d’une valeur ou d’une importance particulière pour l’économie, la société ou la sécurité du Nigeria. Les agents PoS figuraient dans ce cadre, mais la contestation introduite par Emmanuel Harunna avait créé une incertitude quant à la survie de cette désignation face au contrôle judiciaire. La décision du juge Ogazi lève cette incertitude.

La cour a estimé que la Section 65 de la NDPA prime sur toute loi incompatible en matière de protection des données, renforçant la primauté de la loi dans tous les secteurs.

Cette décision intervient alors que la posture d’application de la protection des données au Nigeria devient plus ferme. Ces derniers mois, la NDPC a intensifié les mesures d’exécution contre des entreprises accusées de traitement illicite de données et de transferts transfrontaliers de données. Olatunji a décrit à plusieurs reprises les données personnelles comme un actif national stratégique lors de prises de parole publiques.

Plus tôt cette année, la commission a obtenu une autre décision notable lorsqu’une Haute Cour fédérale a accordé ₦250,000 de dommages-intérêts contre GTCO pour l’envoi de messages marketing non sollicités à une personne qui n’était pas cliente, soulignant que les violations de la protection des données peuvent entraîner des conséquences financières directes. La décision concernant les PoS étend cette approche à un secteur qui traite des données financières sensibles à grande échelle depuis des années avec une supervision réglementaire minimale.

Le réseau d’agents PoS du Nigeria s’est développé rapidement dans le cadre des objectifs d’inclusion financière de la CBN, les agents étant recrutés et formés principalement au traitement des transactions, à la gestion de la trésorerie et à la prévention des fraudes côté client. Le respect de la protection des données ne faisait pas partie de cette formation.

De nombreux agents PoS à Onitsha, Kano ou Yenagoa n’auraient pas su, au matin suivant le prononcé du jugement, qu’une cour avait formalisé leur statut de responsables du traitement, que l’enregistrement auprès de la NDPC était désormais une obligation juridique immédiate, ou qu’exercer sans cet enregistrement les exposait aux responsabilités dont la commission a mis en garde.

La NDPC dispose désormais de l’autorité juridique qu’elle recherchait, et la cour l’a confirmé. L’obligation de conformité couvre désormais plus de 2 millions d’agents PoS et 5,9 millions de terminaux.

La question restante est de savoir si la commission associera l’application de la règle à des actions d’information et d’éducation permettant une mise en conformité réaliste pour les opérateurs situés à la base du système financier formel. C’est ce qui déterminera si ce jugement renforce la protection des données au Nigeria ou s’il ajoute simplement une nouvelle responsabilité à l’infrastructure financière informelle du pays sans améliorer la protection des personnes qu’elle dessert.