La National Identity Management Commission (NIMC) della Nigeria afferma che il proprio database di identità nazionale è ospitato interamente nel Paese e gestito dai propri dipendenti, una dichiarazione che arriva mentre la verifica digitale dell'identità assume un ruolo sempre più centrale nei servizi pubblici.

Alvan Ikoku, direttore dello Strategic Programme Office di NIMC, ha rivelato i dettagli durante una conferenza con i giornalisti il mercoledì, affrontando le preoccupazioni su dove siano conservati i dati identificativi dei nigeriani, chi controlla l'infrastruttura sottostante e come la commissione li protegga dalle fughe.

"È gestito da nigeriani, non da fornitori nigeriani, ma dai dipendenti di NIMC", ha dichiarato Ikoku. Ha sostenuto che la commissione non ha mai ospitato i propri dati identificativi fuori dalla Nigeria, non utilizza l'hosting cloud per il database centrale e opera sistemi di disaster recovery per mantenere i servizi attivi in caso di guasti.

Le dichiarazioni arrivano mentre la localizzazione dei dati domina sempre più i dibattiti in Nigeria sul controllo delle informazioni personali dei cittadini. Mantenere i dati entro i confini nazionali risponde alla domanda su dove siano conservati, ma proteggerli richiede controlli efficaci su chi possa accedervi e responsabilità in caso di uso improprio.

Secondo NIMC, 142 milioni di nigeriani si erano registrati per il National Identification Number—l'identificativo univoco assegnato a ogni persona registrata—a settembre 2026. Una violazione potrebbe esporre i dati personali di milioni di persone, mentre un'interruzione potrebbe compromettere servizi essenziali. L'hosting locale da solo non può garantire la sicurezza; controlli rigorosi sugli accessi, monitoraggio e responsabilità per l'uso improprio restano fondamentali.

Ikoku ha dichiarato che NIMC gestisce internamente il proprio database centrale e sottopone i dipendenti—in particolare quelliabili della gestione del database— a un controllo continuo da parte delle agenzie di sicurezza. Il personale potrebbe affrontare conseguenze legali in caso di comportamenti illeciti, ha aggiunto.

Il controllo interno del database centrale non significa che NIMC sorvegli ogni punto di accesso ai dati identificativi. Anche i partner licenziati e le agenzie governative connesse contribuiscono all'erogazione dei servizi di verifica, creando ulteriori punti in cui l'accesso alle informazioni personali deve essere gestito e protetto.

Le precedenti preoccupazioni sulla sicurezza si sono concentrate sugli accessi tramite i canali di verifica, piuttosto che su una compromissione confermata del database centrale. A marzo 2024, le segnalazioni su XpressVerify, un sito web che offriva le informazioni identificative dei nigeriani, hanno sollevato domande su come la piattaforma avesse ottenuto l'accesso. NIMC dichiarò all'epoca che XpressVerify non era un partner licenziato e dispose un'indagine su eventuali violazioni degli accordi di licenza da parte degli agenti di verifica autorizzati o dei loro sublicenziatari. La Nigeria Data Protection Commission ha poi dichiarato che NIMC aveva sospeso l'accesso al database prima di ripristinare un accesso limitato alle istituzioni che forniscono servizi pubblici essenziali.

L'episodio sottolinea una distinzione chiave tra residenza dei dati e governance degli accessi. Conservare i registri identificativi su infrastrutture all'interno della Nigeria non impedisce, di per sé, l'esposizione attraverso organizzazioni autorizzate a richiedere la verifica—un rischio che cresce man mano che più istituzioni si connettono al sistema di identità.

Ikoku ha dichiarato che circa 63 agenzie governative si sono integrate con NIMC, tra cui organizzazioni attive negli esami, nel finanziamento degli studenti, nel credito al consumo e nell'assicurazione sanitaria.

"È una cosa essere pronti a integrarsi con un'agenzia", ha detto Ikoku. "Tutto ciò che dobbiamo fare è offrire l'interfaccia di programmazione applicativa, che loro utilizzeranno. Ma ciò che ho anche scoperto lavorando a questo progetto di armonizzazione è che alcune di esse non hanno raggiunto—se così posso chiamarlo—il livello di maturità, il livello di maturità digitale, per poter persino effettare quell'handshake in termini di integrazione."

Per le agenzie i cui sistemi sono pronti, la connessione tramite l'interfaccia di programmazione delle applicazioni (API) di NIMC può richiedere circa 72 ore, secondo Ikoku. L'armonizzazione di registri e sistemi richiede tuttavia un lavoro più personalizzato.

Ikoku ha inoltre dichiarato che la legge NIMC del 2026 richiede il rispetto della Nigeria Data Protection Act e stabilisce le condizioni per la divulgazione delle informazioni delle persone registrate, tra cui il consenso, gli obblighi legali, le funzioni di interesse pubblico, le indagini penali e i procedimenti giudiziari.

Il ruolo di NIMC, ha detto, è autenticare le identità piuttosto che conservare le motivazioni delle richieste di verifica effettuate da altre organizzazioni.

"La commissione dovrebbe coordinare l'autenticazione e la verifica, ma l'autenticazione che la commissione deve effettuare può provenire da un'altra entità", ha dichiarato Ikoku. "Non compito della commissione è conservare la motivazione di quella richiesta o di quell'autenticazione. La commissione non lo farà. Né lo faranno in alcun modo i suoi agenti o assegnatari."

Gli utenti possono gestire e revocare il consenso tramite l'applicazione di autenticazione di NIMC, fatte salve le eccezioni legali, ha detto Ikoku. Tuttavia, la conferenza non ha fornito dati di utilizzo né una dimostrazione di come i cittadini possano consultare i registri degli accessi, contestare usi impropri o presentare reclami.

NIMC sta inoltre sviluppando framework per credenziali digitali, certificati e firme mentre modernizza la propria infrastruttura identificativa, sebbene gli standard tecnici, gli assetti di governance e i regolamenti attuativi siano ancora in fase di definizione.

La spinta a mantenere i dati sensibili in Nigeria si estende oltre la gestione dell'identità. A giugno 2026, la Central Bank of Nigeria ha diramato alle banche e alle società di pagamento l'istruzione di conservare e gestire localmente, entro il 1° gennaio 2027, i dati delle transazioni di pagamento generati nel Paese. La National Sovereign Cloud Initiative del governo, formalizzata ad agosto, mira analogamente ad espandere l'infrastruttura cloud locale. Tali regole in attesa, insieme alla scadenza della banca centrale, offrono indicatori concreti di whether la spinta localizzatrice del Paese si estenda dal luogo di archiviazione dei dati alla governance degli accessi.