Gli agenti PoS in Nigeria — circa 2 milioni di operatori su circa 5,9 milioni di terminali attivi in tutto il Paese — sono ora legalmente classificati come Data Controllers and Processors of Major Importance ai sensi del Nigeria Data Protection Act 2023.

La qualifica segue una sentenza dell’Alta Corte federale che ha ampliato il quadro di conformità alla protezione dei dati in Nigeria per includere una delle più grandi reti finanziarie informali del Paese. In base alla sentenza, gli agenti PoS devono registrarsi presso la Nigeria Data Protection Commission (NDPC) o affrontare responsabilità legali.

La decisione è arrivata in Emmanuel Harunna v. Nigeria Data Protection Commission, un caso in cui il ricorrente chiedeva al tribunale di dichiarare che gli agenti PoS non rientrano nell’obbligo di registrazione presso il NDPC.

Il giudice F.N. Ogazi dell’Alta Corte federale ha respinto la contestazione, ritenendo che il NDPC abbia agito entro i propri poteri statutari quando ha designato gli agenti PoS come DCPMIs nell’ambito della classificazione di Major Data Processing at the Ordinary High Level. Il tribunale ha inoltre affermato che l’obbligo di registrazione rafforza, anziché violare, i diritti costituzionali alla privacy, perché sottopone i soggetti che trattano dati a un’effettiva supervisione regolamentare.

Dopo la sentenza, il commissario nazionale del NDPC Vincent Olatunji ha ordinato a tutti i DCPMIs non registrati di conformarsi immediatamente. La commissione ha avvertito che la mancata registrazione comporta gravi responsabilità legali ai sensi della legge.

Un agente PoS che elabora un trasferimento bancario gestisce di norma il numero di conto del cliente, il bank verification number, la cronologia delle transazioni e, in molti casi, la conferma biometrica.

Su 5,9 milioni di terminali, ciò equivale a un volume molto ampio di dati finanziari sensibili trattati ogni giorno da operatori che, in gran parte, sono rimasti al di fuori della struttura formale di conformità in materia di protezione dei dati da quando l’inclusione finanziaria ha favorito l’adozione del PoS in tutto il Paese.

Questi obblighi erano stati concepiti per organizzazioni dotate di un’infrastruttura di compliance. La maggior parte degli agenti PoS sono lavoratori autonomi o microimprenditori che operano con un terminale, un telefono e una liquidità operativa.

Il quadro di registrazione del NDPC classifica il Major Data Processing in tre livelli con relative tariffe.

Il trattamento di Ultra High Level comporta una tassa di registrazione di ₦250.000.

L’Extra High Level comporta ₦100.000.

L’Ordinary High Level, la fascia nella quale rientra la maggior parte degli agenti PoS, comporta ₦10.000.

La commissione ha descritto questa struttura a scaglioni come uno strumento per favorire la facilità di fare impresa per le organizzazioni più piccole coinvolte in trattamenti di dati ad alto rischio e, sulla carta, la cifra di ₦10.000 è modesta.

Per un agente PoS che opera con margini sulle transazioni in un mercato che già assorbe le commissioni della CBN, i costi di rete e i costi operativi della gestione del contante in un’economia che continua a fare i conti con pressioni sulla liquidità, si tratta però di un ulteriore costo introdotto senza preavviso o preparazione.

La Guidance Notice del NDPC del 2024, che ha preceduto la sentenza, aveva già delineato le categorie di organizzazioni tenute a registrarsi come data controllers e processors in Nigeria, individuando come DCPMIs le organizzazioni di particolare valore o importanza per l’economia, la società o la sicurezza della Nigeria. Gli agenti PoS erano inclusi in quel quadro, ma la contestazione legale promossa da Emmanuel Harunna aveva creato incertezza sul fatto che la qualifica avrebbe retto al vaglio giudiziario. La sentenza del giudice Ogazi risolve tale incertezza.

Il tribunale ha stabilito che la Section 65 dell’NDPA prevale su qualsiasi legge incompatibile in materia di protezione dei dati, rafforzando la supremazia dell’Act in tutti i settori.

La sentenza arriva in un momento in cui l’orientamento sanzionatorio della Nigeria in materia di protezione dei dati si sta chiaramente irrigidendo. Negli ultimi mesi, il NDPC ha intensificato le azioni di enforcement contro società accusate di trattamento illecito dei dati e di trasferimenti transfrontalieri di dati. Olatunji ha definito più volte i dati personali un asset strategico nazionale in interventi pubblici.

La commissione ha ottenuto un’altra decisione significativa all’inizio di quest’anno, quando un’Alta Corte federale ha riconosciuto ₦250.000 di danni nei confronti di GTCO per l’invio di messaggi di marketing non richiesti a un non cliente, stabilendo che le violazioni della protezione dei dati comportano conseguenze finanziarie tangibili. La sentenza sui PoS estende questo orientamento a un settore che per anni ha trattato dati finanziari sensibili su larga scala con una supervisione regolamentare minima.

La rete degli agenti PoS nigeriani si è espansa rapidamente sotto gli obiettivi di inclusione finanziaria della CBN, con agenti reclutati e formati principalmente sul trattamento delle transazioni, sulla gestione del contante e sulla prevenzione delle frodi dal lato del cliente. La conformità alla protezione dei dati non faceva parte di quella formazione.

L’agente PoS medio di Onitsha, Kano o Yenagoa che si è svegliato la mattina dopo la pronuncia della sentenza non sapeva che un tribunale aveva appena formalizzato il suo status di data controller, che la registrazione presso il NDPC era ora un obbligo legale immediato, o che operare senza tale registrazione lo esponeva alle responsabilità di cui la commissione ha messo in guardia.

Il NDPC ha ora l’autorità legale che cercava, e il tribunale l’ha confermata. L’obbligo di conformità riguarda ora oltre 2 milioni di agenti PoS e 5,9 milioni di terminali.

Resta da vedere se la commissione affiancherà all’enforcement anche il tipo di sensibilizzazione e formazione necessario a rendere la conformità realizzabile per gli operatori alla base del sistema finanziario formale. La risposta determinerà se questa sentenza rafforzerà la protezione dei dati in Nigeria o se aggiungerà semplicemente una nuova responsabilità all’infrastruttura finanziaria informale del Paese senza migliorare la tutela delle persone che essa serve.