De Nigeriaanse National Identity Management Commission (NIMC) zegt dat de nationale identiteitsdatabase volledig in Nigeria wordt gehost en door eigen medewerkers wordt beheerd, een verklaring die komt op een moment waarop digitale identiteitsverificatie steeds centraler staat in openbare diensten.

Alvan Ikoku, directeur van het Strategic Programme Office van de NIMC, maakte de details bekend tijdens een briefing met journalisten op woensdag. Hij ging in op zorgen over waar de identiteitsgegevens van Nigerianen worden opgeslagen, wie de onderliggende infrastructuur beheert en hoe de commissie de gegevens tegen lekken beschermt.

"Het wordt beheerd door Nigerianen, niet door Nigeriaanse leveranciers, door NIMC-medewerkers", aldus Ikoku. Hij hield vol dat de commissie haar identiteitsgegevens nooit buiten Nigeria heeft gehost, geen cloudhosting gebruikt voor de kernatabase en beschikt over disaster recovery-systemen om diensten draaiende te houden bij storingen.

De uitspraken komen op een moment dat datalokalisatie steeds meer het Nigeriaanse debat over de controle op persoonsgegevens van burgers domineert. Gegevens binnen de nationale grenzen houden lost de vraag op waar ze worden opgeslagen, maar bescherming vere effectieve controle over wie er toegang toe heeft en verantwoordingsplicht bij misbruik.

Volgens de NIMC hadden per september 2026 142 miljoen Nigerianen zich geregistreerd voor National Identification Numbers — de unieke identificatoren die aan elke geregistreerde persoon worden toegekend. Een datalek zou de persoonsgegevens van miljoenen blootstellen, terwijl een storing essentiële diensten zou kunnen verstoren. Lokale hosting alleen garandeert geen beveiliging; strakke toegangscontroles, monitoring en verantwoordingsplicht bij misbruik blijven cruciaal.

Ikoku zei dat de NIMC haar kernatabase intern beheert en medewerkers — met name degenen die verantwoordelijk zijn voor databasebeheer — voortdurend laat screenen door veiligheidsdiensten. Personeel kan bij wangedrag met juridische gevolgen worden geconfronteerd, voegde hij eraan toe.

Interne controle over de centrale database betekent niet dat de NIMC elk punt beheerst waar via identiteitsgegevens worden geraadpleegd. Gelicenseerde partners en aangesloten overheidsinstanties spelen ook een rol bij het leveren van verificatiediensten, waardoor extra punten ontstaan waar toegang tot persoonsgegevens moet worden beheerd en beveiligd.

Eerdere zorgen over beveiliging waren gericht op toegang via verificatiekanalen in plaats van op een bevestigde inbreuk op de centrale database. In maart 2024 riepen berichten over XpressVerify, een website die identiteitsgegevens van Nigerianen aanbood, vragen op over hoe het platform toegang had gekregen. De NIMC zei destijds dat XpressVerify geen gelicenseerde partner was en beval een onderzoek naar het verloop van de licentieovereenkomsten door geautoriseerde verificatieagenten of hun onderlicentienemers. De Nigeria Data Protection Commission zei later dat de NIMC de databasetoegang had opgeschort voordat beperkte toegang werd hersteld voor instellingen die essentiële openbare diensten leveren.

De affaire onderstreept een belangrijk onderscheid tussen gegevensopslag binnen het land en toegangsbeheer. Het opslaan van identiteitsgegevens op infrastructuur in Nigeria voorkomt op zichzelf geen blootstelling via organisaties die geiseerd zijn om verificatie aan te vragen — een risico dat groeit naarmate meer instellingen aansluiten op het identiteitssysteem.

Ikoku zei dat ongeveer 63 overheidsinstanties zijn geïntegreerd met de NIMC, waaronder organisaties die betrokken zijn bij examens, studiefinanciering, consumentenkrediet en ziektekostenverzekeringen.

"Het is één ding om klaar te zijn om met een instantie te integreren", zei Ikoku. "Het enige wat we hoeven te doen is de applicatieprogramma-interface aanbieden, die zij zouden gebruiken. Maar wat ik ook heb ontdekt bij dit harmonisatieproject is dat sommigen het niveau — zou ik het zo mogen noemen — van volwassenheid, het niveau van digitale volwassenheid, nog niet hebben bereikt om die handdruk op het gebied van integratie zelfs maar te kunnen maken."

Voor instanties waarvan de systemen klaar zijn, kan de verbinding via de application programming interface (API) van de NIMC ongeveer 72 uur duren, aldus Ikoku. Het harmoniseren van gegevens en systemen vereist echter meer maatwerk.

Ikoku zei tevens dat de NIMC Act van 2026 naleving van de Nigeria Data Protection Act vereist en voorwaarden stelt aan het openbaar maken van gegevens van geregistreerden, waaronder toestemming, wettelijke verplichtingen, taken in het openbaar belang, strafrechtelijk onderzoek en gerechtelijke procedures.

De rol van de NIMC, aldus Ikoku, is het authenticeren van identiteiten, niet het bewaren van de redenen achter verificatieverzoeken van andere organisaties.

"De commissie is bedoeld om authenticatie en verificatie te coördineren, maar de authenticatie die de commissie moet uitvoeren kan afkomstig zijn van een andere entiteit", zei Ikoku. "Het is niet de taak van de commissie om de reden van dat verzoek of die authenticatie te bewaren. Dat doet de commissie niet. Dat doen haar agenten of gemachtigden op geen enkele manier."

Gebruikers kunnen toestemming beheren en intrekken via de authenticatieapplicatie van de NIMC, met inachtneming van wettelijke uitzonderingen, aldus Ikoku. De briefing bood echter geen gebruikerscijfers of een demonstratie van hoe burgers toegangsgegevens kunnen inzien, misbruik kunnen aanvechten of klachten kunnen indienen.

De NIMC ontwikkelt daarnaast kaders voor digitale referenties, certificaten en handtekeningen bij de modernisering van haar identiteitsinfrastructuur, al zijn de technische standaarden, governance-arrangementen en uitvoeringsregelgeving nog ontwikkeling.

De drang om gevoelige gegevens in Nigeria te houden reikt verder dan identiteitsbeheer. In juni 2026 gelastte de Centrale Bank van Nigeria banken en betalingsbedrijven om betalingstransactiegegevens die in het land worden gegenereerd vóór 1 januari 2027 lokaal op te slaan en te beheren. Het National Sovereign Cloud Initiative van de regering, geformaliseerd in augustus, beoogt eveneens de lokale cloudinfrastructuur uit te breiden. Die hangende regels bieden, naast de deadline van de centrale bank, concrete ijkpunten voor de vraag of de Nigeriaanse lokalisatie-opmars zich uitstrekt van waar gegevens worden opgeslagen naar hoe de toegang ertoe wordt beheerd.