La National Identity Management Commission (NIMC) du Nigeria affirme que sa base de données d'identité nationale est entièrement hébergée dans le pays et gérée par ses propres employés, une déclaration qui intervient alors que la vérification d'identité numérique occupe une place de plus en plus centrale dans les services publics.

Alvan Ikoku, directeur du bureau des programmes stratégiques du NIMC, a révélé ces détails lors d'un point presse avec des journalistes mercredi. Il a répondu aux préoccupations concernant le lieu de stockage des données d'identité des Nigerians, le contrôle de l'infrastructure sous-jacente et la manière dont la commission la protège contre les fuites.

« C'est géré par des Nigerians, pas par des prestataires nigérians, par des employés du NIMC », a déclaré Ikoku. Il a soutenu que la commission n'a jamais hébergé ses données d'identité hors du Nigeria, n'utilise pas d'hébergement cloud pour sa base de données centrale et dispose de systèmes de reprise après sinistre pour maintenir les services en cas de panne.

Ces commentaires surviennent alors que la localisation des données domine de plus en plus les débats nigérians sur le contrôle des informations personnelles des citoyens. Conserver les données à l'intérieur des frontières nationales répond à la question de leur lieu de stockage, mais leur protection exige un contrôle efficace des accès et une responsabilité en cas d'utilisation abusive.

Selon le NIMC, 142 millions de Nigerians étaient enregistrés pour un National Identification Number — l'identifiant unique attribué à chaque personne enregistrée — en septembre 2026. Une fuite pourrait exposer les données personnelles de millions de personnes, tandis qu'une panne pourrait perturber des services essentiels. L'hébergement local ne garantit pas à lui seul la sécurité ; des contrôles d'accès stricts, une surveillance et une responsabilisation en cas d'usage abusif restent essentiels.

Ikoku a indiqué que le NIMC gère sa base de données centrale en interne et soumet ses employés — en particulier ceux responsables de la gestion de la base — à une surveillance continue par les agences de sécurité. Le personnel pourrait faire face à des conséquences juridiques en cas de faute, a-t-il ajouté.

Le contrôle interne de la base de données centrale ne signifie pas que le NIMC supervise chaque point'accès aux données d'identité. Les partenaires licenciés et les agences gouvernementales connectées participent également à la prestation des services de vérification, créant des points supplémentaires où l'accès aux informations personnelles doit être géré et sécurisé.

Les précédentes préoccupations de sécurité ont porté sur les accès via les canaux de vérification plutôt que sur une compromission confirmée de la base de données centrale. En mars 2024, des rapports sur XpressVerify, un site web proposant des informations d'identité de Nigerians, ont soulevé des questions sur la manière dont la plateforme avait obtenu cet accès. Le NIMC avait alors indiqué que XpressVerify n'était pas un partenaire licencié et avait ordonné une enquête pour déterminer si des agents de vérification autorisés ou leurs sous-licenciés avaient enfreint leurs accords de licence. La Nigeria Data Protection Commission a ensuite indiqué que le NIMC avait suspendu l'accès à la base avant de rétablir un accès limité aux institutions fournissant des services publics essentiels.

Cet épisode souligne une distinction clé entre la résidence des données et la gouvernance des accès. Stocker les registres d'identité sur une infrastructure située au Nigeria n'empêche pas, en soi, une exposition via des organisations autorisées à demander une vérification — un risque qui augmente à mesure que davantage d'institutions se connectent au système d'identité.

Ikoku a précisé qu'environ 63 agences gouvernementales s'étaient intégrées au NIMC, notamment des organisations actives dans les examens, le financement étudiant, le crédit à la consommation et l'assurance santé.

« C'est une chose d'être prêt à s'intégrer avec une agence », a déclaré Ikoku. « Tout ce que nous avons à faire, c'est de proposer l'interface de programmation qu'ils utiliseront. Mais ce que j'ai également découvert en travaillant sur ce projet d'harmonisation, c'est que certains d'entre eux n'ont pas atteint — dois-je dire — le niveau de maturité, le niveau de maturité numérique, pour pouvoir ne serait-ce qu'établir cette connexion en termes d'intégration. »

Pour les agences dont les systèmes sont prêts, la connexion via l'interface de programmation (API) du NIMC peut prendre environ 72 heures, selon Ikoku. L'harmonisation des registres et des systèmes nécessite toutefois un travail plus personnalisé.

Ikoku a également indiqué que la loi NIMC de 2026 exige la conformité avec la Nigeria Data Protection Act et définit les conditions de divulgation des informations des personnes enregistrées, notamment le consentement, les obligations légales, les fonctions d'intérêt public, les enquêtes criminelles et les procédures judiciaires.

Le rôle du NIMC, a-t-il dit, est d'authentifier les identités plutôt que de conserver les motifs des demandes de vérification formulées par d'autres organisations.

« La commission est censée coordonner l'authentification et la vérification, mais l'authentification que la commission doit effectuer peut provenir d'une autre entité », a déclaré Ikoku. « Il n'appartient pas à la commission de conserver le motif de cette demande ou de cette authentification. La commission ne le fera pas. Ses agents ou ses cessionnaires ne le feront pas non plus, en aucune manière. »

Les utilisateurs peuvent gérer et retirer leur consentement via l'application d'authentification NIMC, sous réserve d'exceptions légales, a précisé Ikoku. Cependant, le point presse n'a fourni aucun chiffre d'utilisation ni démonstration de la manière dont les citoyens pouvaient consulter les registres d'accès, contester un usage abusif ou déposer une plainte.

Le NIMC développe également des cadres pour les identifiants numériques, les certificats et les signatures dans le cadre de la modernisation de son infrastructure d'identité, mais les normes techniques, les arrangements de gouvernance et les règlements d'application sont encore en cours d'élaboration.

La volonté de conserver les données sensibles au Nigeria s'étend au-delà de la gestion de l'identité. En juin 2026, la Banque centrale du Nigeria a ordonné aux banques et sociétés de paiement de stocker et gérer localement les données de transactions de paiement générées dans le pays d'ici le 1er janvier 2027. La National Sovereign Cloud Initiative du gouvernement, formalisée en août, vise de même à développer l'infrastructure cloud locale. Ces règles en attente, auxquelles s'ajoute l'échéance de la banque centrale, offrent des indicateurs concrets de la capacité du pays à étendre sa dynamique de localisation du lieu de stockage des données à la gouvernance de leurs accès.