In februari 2025 leek Nigeria's toezichthouder voor databescherming op het punt te staan een maatstaf te zetten voor handhaving in de technologiesector in heel Afrika. De Nigeria Data Protection Commission (NDPC) legde Meta een herstelboete van 32,8 miljoen dollar op, samen met een omvattend pakket handhavingsbevelen, wegens het verzamelen van persoonsgegevens van circa 60 miljoen Nigerianen zonder deugdelijke toestemming, het verkeerd behandelen van gegevens van minderjarigen en het grensoverschrijdend overdragen van burgersgegevens zonder autorisatie.

Dagen later gingen vertegenwoordigers van Meta, Google en Microsoft rond de tafel zitten met dezelfde commissie in Abuja om over 'samenwerking' te praten. In oktober 2025 was de boete dood — tenietgedaan in een geheime schikking die geen van beide partijen aan het publiek bekendmaakte.

Een jaar na dat besloten akkoord, en weken nadat een onderzoek uit september 202 van The Continent en het AI Network van het Pulitzer Centre ten minste 17 contractueel ondoorzichtige afspraken tussen Amerikaanse techreuzen en Nigeriaanse overheidsinstellingen sinds 2024 documenteerde, is het patroon verhard tot een bestuursdoctrine: Abuja speelt regulateure strengheid op het toneel, trekt zich terug in besloten kamers om zijn onderhandelingsmacht weg te tekenen, en komt maanden later tevoorschijn om 'capacity-building'-partnerschappen aan te kondigen met precies de bedrijven die het hoort te controleren. Eerdere berichtgeving legde het patroon vast; de vraag is nu wat er sinds de schikking is gebeurd en waar Nigerianen vervolgens op moeten letten.

De terugtocht, vastgelegd in de rechtszaal

De volledige omvang van de terugtocht van de NDPC bleef maandenlang begraven in het register van de Federal High Court in Abuja. Het akkoord werd op 30 oktober 2025 ondertekend door Babatunde Bamigboye, hoofd Juridische Zaken, Handhaving en Regulering van de NDPC, en Anna Benckert, vicepresident en Associate General Counsel voor internationale juridische zaken bij Meta. Op 3 november 2025 werd het afgevinkt als een consent judgment.

Het privacy-advocatenkantoor Olumide Babalola LP haalde begin januari 2026 als eerste de gewaarmerkte kopie uit het gerechtsregister voor een gedetailleerde juridische analyse, voordat Premium Times eind april de details aan een breder publiek onthulde.

Wat uit die gerechtelijke stukken naar voren kwam, was geen compromis. Na 17 maanden onderzoek, betaald door de belastingbetaler en resulterend in een slotbevel van 58 pagina's, liet de commissie de boete van 32,8 miljoen dollar vallen. Op papier was het enige geld dat Meta overeenkwam te betalen de juridische rekening die de NDPC had opgelopen bij de verdediging van de herzieningszaak die Meta zelf in februari 2025 had aangespannen, toen het bedrijf dreigde Facebook en Instagram in Nigeria te sluiten.

Afgezwakte verplichtingen, omstreden afdwingbaarheid

Een lezing clausule voor clausule van de consent judgment laat zien hoe methodisch de tanden van de toezichthouder werden getrokken. Waar de oorspronkelijke bevelen vereisten dat Meta "onmiddellijk uitdrukkelijke, specifieke en ondubbelzinnige toestemming" zou vragen voordat Nigerianen voor gedragsgerichte advertenties werden gevolgd, vroeg de schikking het bedrijf slechts "zijn best te doen" om zijn praktijken te verbeteren. Waar het oorspronkelijke bevel gelastte dat Meta ongeautoriseerde grensoverschrijande gegevensoverdrachten moest stoppen en voorafgaande goedkeuring van de toezichthouder moest vragen voordat Nigeriaanse gebruikersgegevens naar het buitenland gingen verving de schikking dit door een vage knipoog naar "waarborgen voor grensoverschrijande overdrachten".

Zoals de advocaat voor databescherming Iliya-Ezekiel Ndatse opmerkte, herhalen de afgezwakte beloftes die in het document zijn achtergebleven — rechtmatige verwerking, impactbeoordelingen en overdrachtswaarborgen — simpelweg de basisverplichtingen die al in de Nigeria Data Protection Act (NDPA) 2023 zijn vastgelegd.

Zelfs die toezeggingen zijn mogelijk juridisch niet afdwingbaar. In de analyse van het gewaarmerkte gerechtsdossier in januari 2026 legde Olumide Babalola LP een fatale tegenstrijdigheid in de opstelling van het pact bloot: terwijl Clause 8 nieuwe nalevingsverplichtingen voor Meta opsomt, zet Clause 9.2 de slotbevelen terzijde en ontheft het het bedrijf van "alle vorderingen, eisen, acties, rechtsgronden, contracten, verplichtingen, gedingen, schulden, kosten en aansprakelijkheden".

De plaatsing van het akkoord ondermijnt bovendien het strafrecht. Artikel 49 van de NDPA maakt niet-naleving van NDPC-bevelen tot een strafbaar feit, bestraft met een boete of maximaal een jaar gevangenisstraf. Door de kwestie privé te schikken en een uitdrukkelijke disclaimer op te nemen dat het pact geen "erkenning van aansprakelijkheid of wangedrag" vormde, ontliep de commissie strafrechtelijke verantwoording en onthield zij 60 miljoen getroffen Nigerianen een officiële vaststelling van een overtreding.

In de praktijk rust de toestemmingsvereiste die ooit gold voor Meta's volgen van Nigerianen voor gedragsgerichte advertenties nu op een belofte om het te proberen — en of die "best endeavors" ooit een publiekelijk gedocumenteerde verandering in de praktijk zullen opleveren, blijft een open vraag.

Als de gereguleerde partij de toezichthouder financiert

De consent judgment was niet het einde van de transactie; het was het voorspel van een rebranding.

Op 21 mei 2026 stonden het Federal Ministry of Communications, Innovation and Digital Economy (FMCIDE) en het National Centre for Artificial Intelligence and Robotics (NCAIR) naast Meta om GovGuide Nigeria te lanceren, een meertalige AI-chatbot op WhatsApp en het web in het Engels, Hausa, Igbo en Yoruba, gebouwd op Meta's open-source Llama-modellen.

Achttien dagen later, op 8 juni 2026, presenteerden de NDPC en Meta het Meta-Supported Initiative for Data Protection (M-SIDP), een tweejarig programma dat publieke privacybewustwording, de opleiding van data protection officers en ecosysteembeveiliging omvat.

Bij de verdediging van de koersomschakeling omschreef NDPC-woordvoerder Itunu Dosekun de filosofie van de commissie als "herstel boven straf" en vertelde zij de pers dat de toezichthouder bestaat "om bedrijven te bevorderen, niet om bedrijven te schaden". Het tweejarige M-SIDP geeft die filosofie nu een meetlat: de bewustwordingscampagnes, opgeleide data protection officers en beveiligingswerk die het belooft, zijn waar "herstel" zich aan zal moeten laten meten.

Critici betogen dat dit kader een schoolboekvoorbeeld van regulatory capture verhult: wanneer het hoofdonderwerp van de grootste datahandhavingsactie van een land begint de publieke programma's van de toezichthouder te financieren, kantelt de machtsverhouding. Europese data-autoriteiten koppelen regelmatig nalevingsverplichtingen aan handhavingsacties, maar die verplichtingen komen bovenop boetes van negen cijfers, niet in plaats daarvan. De Ierse Data Protection Commission legde Meta bijvoorbeeld in 2022 een boete van 405 miljoen euro op wegens Instagram's omgang met gegevens van kinderen — dezelfde categorie wangedrag als in Abuja's oorspronkelijke bevel.

Tracy Keshi, projectmanager Tech Justice and Digital Governance bij het Centre for Journalism Innovation and Development (CJID), bracht het precedent helder onder woorden: het wegvegen van de boete verwijdert de directe regulatoire druk, leert multinationale techbedrijven dat Nigeriaanse boetes onderhandelbaar zijn achter gesloten deuren, en laat naleving afhangen van Meta's vrijwillige welwillendheid.

Een soevereiniteitsdeadline die de staat zelf niet naleeft

Niets legt de dubbele standaard in Abuja's digitale beleid bloot zo scherp als de vergelijking tussen de behandeling van feilbare wereldwijde techreuzen en het ultimatum dat de staat Nigeriaanse startups een week na de M-SIDP-lancering stelde.

Op 15 juni 2026 vaardigde de Central Bank of Nigeria (CBN) een circulatie uit waarin alle banken, payment service providers, mobile money-operatoren en fintechs werd bevolen alle binnenlandse betalingstransactiegegevens uiterlijk 1 januari 2027 binnen de grenzen van Nigeria op te slaan en te beheren.

Twee maanden later, in augustus 2026, lanceerde de National Information Technology Development Agency (NITDA) haar National Sovereign Cloud Initiative en richtte zij een taskforce op om lokale cloud- en AI-infrastructuurproviders te certificeren.

Voor inheemse fintech-oprichters is de CBN-deadline van januari 2027 een bruut en kostbaar stukje engineering. De richtlijn dekt niet alleen primaire transactieboekhoudingen, maar ook auditlogs, disaster-recovery-backups, observability-pipelines en versleutelingssleutels.

Ze legt ook de fysieke grenzen van lokale cloudinfrastructuur bloot: hoewel Amazon Web Services een Local Zone in Lagos exploiteert, valt die edge-node onder de regio Kaapstad van AWS in Zuid-Afrika en host zij niet native kernbeheerde databases zoals Amazon RDS of standaard S3-opslag zonder kostbare on-premises Outposts-racks.

Een Nigeriaanse startup die na Nieuwjaarsdag een nachtelijke backup-bucket in Kaapstad laat staan, of een versleutelingssleutel bij een buitenlandse key-managementdienst, riskeert regulatoire sancties. Hoe consequent die deadline wordt gehandhaafd — jegens kleine lokale startups én wereldwijde platforms — zal een van de duidelijkste toetsen zijn of Abuja's digitale spelregels een dubbele standaard bevatten.

Twee soorten regels

Nigeria's digitale toekomst kan niet worden bestuurd met twee soorten regels: een strafrechtelijk statutenboek voor lokale bouwers en een fluwelen touwtje voor Silicon Valley. Elke keer dat een ministerie een niet-openbaar gemaakt pact ondertekent of een toezichthouder een wettelijke boete inruilt voor een door een bedrijf gesponsordes workshop, verhuurt de staat een stukje soevereiniteit voor de prijs van een brood.

Nigeria's digitale soevereiniteit is niet te redden door te wachten op meewerkende toezichthouders of welwillende techreuzen. Als Abuja erop blijft staan in het donker de hand te schudden met Big Tech, is het de taak van de Nigeriaanse pers en het maatschappelijk middenveld om de deuren te openen en elke geheime deal bloot te leggen.

Dit artikel is gebaseerd op berichtgeving door TechNext24.