ナイジェリアのPoS代理店は、全国で約590万台の稼働端末を通じて営業する約200万人の事業者とともに、2023年ナイジェリアデータ保護法の下で、法的に「特に重要なデータ管理者および処理者」に分類されることになりました。

この指定は、ナイジェリアのデータ保護コンプライアンス枠組みを、同国最大級の非公式金融ネットワークの一つにまで拡大した連邦高等裁判所の判決を受けたものです。判決により、PoS代理店はナイジェリアデータ保護委員会（NDPC）に登録しなければならず、登録しない場合は法的責任を負います。

この判断は、Emmanuel Harunna v. Nigeria Data Protection Commission 事件で示されました。申立人は、PoS代理店がNDPCの登録要件の対象外であると宣言するよう裁判所に求めていました。

連邦高等裁判所のF.N. Ogazi判事はこの異議を退け、NDPCがPoS代理店をOrdinary High LevelのMajor Data Processingの区分に基づくDCPMIとして指定したことは、法定権限の範囲内だったと判断しました。裁判所はまた、登録要件はデータ処理者を効果的な規制監督下に置くことで、憲法上のプライバシー権を侵害するのではなく、むしろ強化すると述べました。

判決後、NDPCのVincent Olatunji国家委員長は、未登録のDCPMIに対し直ちに遵守するよう指示しました。委員会は、登録しないことは法律上重大な責任を生じさせると警告しています。

銀行振込を処理するPoS代理店は、通常、顧客の口座番号、銀行確認番号、取引履歴、そして多くの場合は生体認証確認を扱います。590万台の端末全体では、これは非常に大量の機微な金融データが日々処理されていることを意味します。こうした事業者の多くは、金融包摂の進展に伴ってPoS利用が全国に広がって以降、正式なデータ保護コンプライアンス体制の外にとどまってきました。

これらの義務は、本来、コンプライアンス体制を備えた組織向けに設計されたものです。PoS代理店の多くは、端末、電話、運転資金だけで営業する個人事業主や零細起業家です。

NDPCの登録枠組みでは、Major Data Processing を3段階に分類し、それぞれに対応する手数料が定められています。Ultra High Level の処理には 250,000ナイラの登録料がかかります。Extra High Level は 100,000ナイラです。ほとんどのPoS代理店が該当する Ordinary High Level は 10,000ナイラです。

委員会は、この段階的な仕組みは高リスクのデータ処理に関与する小規模組織の事業のしやすさを促進するためのものだと説明しており、表面的には10,000ナイラという金額は小さいように見えます。しかし、CBNの手数料、通信費、そして依然として流動性逼迫の続く経済で現金を扱う運営コストをすでに負担している市場で、取引利益率に依存して営業するPoS代理店にとっては、予告も準備もないまま加わる新たな負担です。

この判決に先立つ2024年のNDPCガイダンス通知では、ナイジェリアでデータ管理者および処理者として登録が必要な組織の区分がすでに示されており、ナイジェリアの経済、社会、または安全保障にとって特に価値または重要性を持つ組織をDCPMIとして特定していました。PoS代理店はその枠組みに含まれていましたが、Emmanuel Harunnaによる法的挑戦により、その指定が司法審査に耐えられるかどうか不透明になっていました。Ogazi判事の判断は、その不透明さを解消しました。

裁判所は、NDPA第65条はデータ保護に関する矛盾するいかなる法律にも優越するとし、各分野における同法の優位性を確認しました。

この判決は、ナイジェリアのデータ保護執行姿勢が明らかに厳格化している時期に下されました。最近数か月、NDPCは違法なデータ処理や越境データ移転を疑われる企業に対する執行措置を強化しています。Olatunji氏は公の場で、個人データを国家の戦略的資産と繰り返し表現してきました。

今年初めには、連邦高等裁判所が、非顧客に対して迷惑なマーケティングメッセージを送信したとしてGTCOに250,000ナイラの損害賠償を命じる判断を下し、データ保護違反が直接的な金銭的結果を伴うことを示しました。今回のPoSに関する判決は、長年にわたり大規模に機微な金融データを処理してきた一方で、規制監督が最小限だった部門にも、その執行姿勢を拡大するものです。

ナイジェリアのPoS代理店ネットワークは、CBNの金融包摂目標の下で急速に拡大し、事業者は主に取引処理、現金管理、顧客側の不正防止について訓練を受けてきました。データ保護コンプライアンスは、その訓練の一部ではありませんでした。

Onitsha、Kano、Yenagoaなどにいる平均的なPoS代理店の多くは、判決の翌朝、自分たちの地位がデータ管理者として正式に確定したこと、NDPCへの登録が直ちに履行すべき法的義務になったこと、また登録せずに営業することが委員会の警告する責任にさらされることを知らなかったはずです。

NDPCは求めていた法的権限を得て、裁判所もそれを確認しました。これで、コンプライアンス義務は200万人超のPoS代理店と590万台の端末に及びます。

残る問いは、委員会が執行に加えて、正式な金融システムの末端にいる事業者でも遵守可能にするための周知と教育を伴わせるかどうかです。その答えが、この判決がナイジェリアのデータ保護を強化するのか、あるいはそれを受ける人々の保護を改善しないまま、同国の非公式金融インフラに新たな責任だけを追加するのかを左右することになります。