ナイジェリア国民身元管理委員会（NIMC）は、国民身元データベースが完全に国内でホスティングされ、自国の職員によって運用されていると発表した。デジタル身元認証が公共サービスでますます重要になる中での声明である。

NIMC戦略プログラム室長のアルヴァン・イコク氏は水曜日の記者会見でこの詳細を明らかにした。同氏は、ナイジェリア国民の身元データがどこに保存されているか、基盤インフラを誰が管理しているか、そして同委員会が漏えいからどのようにデータを保護しているかといった懸念に対応した。

「これはナイジェリア人によって管理されています。ナイジェリアのベンダーではなく、NIMCの職員によってです」とイコク氏は述べた。同氏は、NIMCが身元データを国外でホスティングしたことは一度もなく、中核データベースにクラウドホスティングを利用しておらず、システム障害時にもサービスを維持するための災害復旧システム備えていると主張した。

これらの発言は、市民の個人情報の管理をめぐるナイジェリアでの議論において、データローカライゼーションがますます主要なテーマとなるなかで出されたものだ。データを国内の国境内部に保存することは保存場所の問題には答えるが、保護を実現するには、誰がアクセスできるかを効果的に管理し、悪用された場合の説明責任を果たすことが必要である。

NIMCによると、2026年9月時点で1億4200万人のナイジェリア国民が国民識別番号（登録者それぞれに割り当てられる一意の識別子）を登録していた。漏えいが起これば数百万人の個人データが露出する可能性があり、システム停止は不可欠なサービスを混乱させる可能性がある。国内ホスティングだけではセキュリティは保証されず、厳格なアクセス管理、監視、悪用に対する説明責任が依然として不可欠である。

イコク氏は、NIMCが中核データベースを社内で管理し、特にデータベース管理を担当する職員を対象に、治安機関による継続的な審査を受けていると述べた。職員は不正行為に対して法的責任を問われる可能性があるとも付け加えた。

中核データベースを内部管理下に置くことは、NIMCが身元データにアクセス可能なすべての地点を監督することを意味しない。ライセンスを受けたパートナーや接続された政府機関も認証サービスの提供に関与しており、個人情報へのアクセスを管理・保護しなければならない追加の地点が生じている。

過去のセキュリティ懸念は、中核データベースの侵害が確認されたものではなく、認証チャネルを通じたアクセスに集中していた。2024年3月、ナイジェリア国民の身元情報を提供するウェブサイト「XpressVerify」に関する報道が、同プラットフォームがどのようにアクセス権を取得したのかという疑問を投げかけた。NIMCは当時、XpressVerifyはライセンスパートナーではないとし、認可された認証エージェントまたはその再ライセンシーがライセンス契約に違反していないか調査を命じた。その後、ナイジェリアデータ保護委員会は、NIMCがデータベースアクセスを停止した後、不可欠な公共サービスを提供する機関に限定してアクセスを回復したと明らかにした。

この一件は、データの保存場所とアクセスガバナンスの重要な違いを浮き彫りにしている。ナイジェリア国内のインフラに身元記録保存しているだけでは、認証を要求する権限を持つ組織を通じた情報流出を防ぐことはできない。そのリスクは、より多くの機関が身元システムに接続するほど高まる。

イコク氏によると、試験、学生融資、消費者信用、健康保険に関わる組織を含む約63の政府機関がNIMCと統合されている。

「機関との統合準備が整っていることと、実際に統合できることは別の話です」とイコク氏は述べた。「私たちがすべきことは、彼らが使用するアプリケーションプログラムインターフェースを提供することだけです。しかし、この統合プロジェクトに取り組む中で分かったのは、一部の機関は統合における handshake（相互接続）を実現できるほどの、いわば成熟度、デジタル成熟度に達していないということです。」

システムの準備が整っている機関の場合、NIMCのアプリケーションプログラミングインターフェース（API）を通じた接続には約72時間かかるという。ただし、記録とシステムの統合にはより個別化された作業が必要である。

イコク氏はさらに、2026年NIMC法がナイジェリアデータ保護法の遵守を義務付け、登録者の情報開示の条件として、同意、法的義務、公共利益関与、刑事捜査、訴訟手続きなどを定めていると述べた。

NIMCの役割は身元を認証することであり、他の組織による認証要求の理由を保持することではないと同氏は述べた。

「委員会は認証と確認を調整する役割を担っていますが、委員会が行う認証は他の主体から要求される場合があります」とイコク氏は述べた。「その要求や認証の理由を保持することは委員会の仕事ではありません。委員会はそれを行いません。そのエージェントや受託者もいかなる形でも行いません。」

利用者は法的例外を条件として、NIMCの認証アプリケーションを通じて同意を管理・撤回できるとイコク氏は述べた。ただし、会見では、市民がアクセス記録を確認し、悪用に異議を申し立て、苦情を申し立てる方法についての利用実績や実演は示されなかった。

さらにNIMCは、身元インフラの近代化に伴い、デジタル資格情報、証明書、署名のためのフレームワークを開発中であるが、技術標準、ガバナンス体制、実施規則はまだ策定中である。

機密データをナイジェリア国内に保持する取り組みは、身元管理にとどまらない。2026年6月、ナイジェリア中央銀行は、銀行および決済会社に対し、国内で発生した決済取引データを2027年1月1日までに国内で保存・管理するよう指示した。8月に正式化された政府のNational Sovereign Cloud Initiativeも同様に、国内クラウドインフラの拡大を目指している。これらの未発効の規則と中央銀行の期限は、国内のローカライゼーション推進がデータの保存場所からアクセスの管理方法へと拡大するかどうかを示す具体的な指標となる。