Nigeryjska Narodowa Komisja Zarządzania Tożsamością (NIMC) oświadczyła, że krajowa baza danych tożsamości jest w całości hostowana na terenie kraju i zarządzana przez jej własnych pracowników — oświadczenie, które pada w momencie, gdy cyfrowa weryfikacja tożsamości odgrywa coraz większą rolę w usługach publicznych.

Alvan Ikoku, dyrektor Biura Programów Strategicznych NIMC, ujawnił szczegóły podczas briefingu dla dziennikarzy w środę. Odniósł się do obaw dotyczących miejsca przechowywania danych tożsamości Nigerijczyków, tego, kto kontroluje infrastrukturę oraz w jaki sposób komisja chroni ją przed wyciekami.

„Zarządzanie sprawują Nigerijczycy — nie nigeryjscy dostawcy, lecz pracownicy NIMC” — powiedział Ikoku. Podtrzymał, że komisja nigdy nie hostowała swoich danych tożsamości poza Nigerią, nie korzysta z hostingu chmurowego dla podstawowej bazy danych oraz posiada systemy odzyskiwania po awariach, aby utrzymać ciągłość usług w razie awarii.

Wypowiedzi te pojawiają się w czasie, gdy lokalizacja danych bardziej dominuje nigeryjskie debaty o kontroli nad danymi osobowymi obywateli. Przechowywanie danych w granicach kraju odpowiada na pytanie, gdzie są one przechowywane, ale ich ochrona wymaga skutecznej kontroli nad tym, kto ma do nich dostęp, oraz rozliczalności w przypadku nadużyć.

Według NIMC 142 miliony Nigerijczyków zarejestrowało się do września 2026 roku w celu otrzymania National Identification Numbers — unikalnych identyfikatorów przypisywanych każdej zarejestrowanej osobie. Wyciek mógłby ujawnić dane osobowe milionów, a awaria zakłócić kluczowe usługi. Sam lokalny hosting nie gwarantuje bezpieczeństwa; rygorystyczna kontrola dostępu, monitorowanie i rozliczalność za nadużycia pozostają kluczowe.

Ikoku powiedział, że NIMC utrzymuje swoją podstawową bazę danych wewnętrznie i poddaje pracowników — w szczególności odpowiedzialnych za zarządzanie bazą danych — stałej kontroli ze strony agencji bezpieczeństwa. Personel może ponosić konsekwencje prawne za niewłaściwe postępowanie, dodał.

Wewnętrzna kontrola nad centralną bazą danych nie oznacza, że NIMC nadzoruje każdy punkt dostępu do danych tożsamości. Licencjonowani partnerzy i połączone agencje rządowe również uczestniczą w świadczeniu usług weryfikacji, tworząc dodatkowe punkty, w których dostęp do danych osobowych musi być zarządzany i zabezpieczany.

Wcześniejsze obawy dotyczące bezpieczeństwa koncentrowały się na dostępie poprzez kanały weryfikacji, a nie na potwierdzonym naruszeniu centralnej bazy danych. W marcu 2024 roku doniesienia o XpressVerify, stronie internetowej oferującej dane tożsamości Nigerijczyków, wzbudziły pytania o to, jak platforma uzyskała dostęp. NIMC oświadczyła wówczas, że XpressVerify nie był licencjonowanym partnerem, i nakazała zbadanie, czy autoryzowani agenci weryfikacyjni lub ich podlicencjobiorcy naruszyli umowy licencyjne. Nigeryjska Komisja Ochrony Danych poinformowała później, że NIMC zawiesiła dostęp do bazy danych, zanim przywróciła ograniczony dostęp instytucjom świadczącym kluczowe usługi publiczne.

To wydarzenie uwypukla kluczowe rozróżnienie między przechowywaniem danych a zarządzaniem dostępem. Umieszczenie zapisów tożsamości na infrastrukturze w Nigerii samo w sobie nie zapobiega ujawnieniu danych poprzez organizacje uprawnione do żądania weryfikacji — ryzyko to rośnie w miarę łączenia się kolejnych instytucji z systemem tożsamości.

Ikoku powiedział, że około 63 agencji rządowych zostało zintegrowanych z NIMC, w tym organizacje zajmujące się egzaminami, finansowaniem studentów, kredytem konsumenckim i ubezpieczeniami zdrowotnymi.

„To jedno — być gotowym do integracji z agencją” — powiedział Ikoku. „Wszystko, co musimy zrobić, to zaoferować interfejs programowy, z którego miałyby korzystać. Ale odkryłem też, pracując nad tym projektem harmonizacji, że niektóre z nich nie osiągnęły — czy tak to nazwać — poziomu dojrzałości, cyfrowego poziomu dojrzałości, aby w ogóle móc nawiązać tę integracyjną współpracę.”

Dla agencji, których systemy są gotowe, połączenie poprzez interfejs programowania aplikacji (API) NIMC może zająć około 72 godzin, według Ikoku. Harmonizacja zapisów i systemów wymaga jednak bardziej dostosowanej pracy.

Ikoku dodał również, że ustawa NIMC z 2026 roku wymaga zgodności z Nigeryjską Ustawą o Ochronie Danych i określa warunki ujawniania informacji o osobach zarejestrowanych, w tym zgodę, obowiązki prawne, funkcje związane z interesem publicznym, dochodzenia karne i postępowania sądowe.

Rolą NIMC jest — jak powiedział — uwierzytelnianie tożsamości, a nie przechowywanie powodów wniosków weryfikacyjnych składanych przez inne organizacje.

„Komisja ma koordynować uwierzytelnianie i weryfikację, ale uwierzytelnienie, którego komisja ma dokonać, może pochodzić od innego podmiotu” — powiedział Ikoku. „Sprawą komisji nie jest przechowywanie powodu tego żądania ani tego uwierzytelnienia. Komisja tego nie będzie robić. Ani jej agenci, ani osoby wyznaczone nie będą tego robić w żaden sposób.”

Użytkownicy mogą zarządzać i wycofywać zgodę poprzez aplikację uwierzytelniającą NIMC, z zastrzeżeniem wyjątków prawnych, powiedział Ikoku. Briefing nie dostarczył jednak danych o użytkowaniu ani demonstracji, jak obywatele mogą sprawdzać rejestry dostępu, kwestionować nadużycia lub składać skargi.

NIMC rozwija dodatkowo ramy dla cyfrowych poświadczeń, certyfikatów i podpisów w ramach modernizacji infrastruktury tożsamości, choć standardy techniczne, ustalenia dotyczące zarządzania i przepisy wdrożeniowe są wciąż opracowywane.

Dążenie do przechowywania wrażliwych danych w Nigerii wykracza poza zarządzanie tożsamością. W czerwcu2026 roku Centralny Bank Nigerii nakazał bankom i firmom płatniczym przechowywanie i zarządzanie lokalnie danymi transakcji płatniczych wygenerowanymi w kraju do 1 stycznia 2027 roku. Rządowa Inicjatywa Suwerennej Chmury Narodowej, sformalizowana w sierpniu, podobnie zmierza do rozbudowy lokalnej infrastruktury chmurowej. Te oczekujące przepisy, wraz z terminem wyznaczonym przez bank centralny, stanowią konkretne punkty odniesienia dla oceny, czy nigeryjska polityka lokalizacji rozciąga się z miejsca przechowywania danych na sposób zarządzania dostępem do nich.