Агенты PoS в Нигерии — около 2 миллионов операторов, работающих примерно на 5.9 миллиона активных терминалов по всей стране — теперь на законных основаниях классифицируются как Data Controllers and Processors of Major Importance в соответствии с Nigeria Data Protection Act 2023.

Такой статус стал следствием решения Федерального верховного суда, которое незаметно расширило рамки соблюдения норм защиты данных в Нигерии, распространив их на одну из крупнейших неформальных финансовых сетей страны. Согласно решению, агенты PoS должны зарегистрироваться в Nigeria Data Protection Commission (NDPC) или столкнуться с юридической ответственностью.

Решение было вынесено по делу Emmanuel Harunna v. Nigeria Data Protection Commission, в котором заявитель просил суд признать, что агенты PoS не подпадают под требование NDPC о регистрации.

Судья F.N. Ogazi Федерального верховного суда отклонил иск, установив, что NDPC действовала в пределах своих законных полномочий, когда определила агентов PoS как DCPMIs в категории Major Data Processing at the Ordinary High Level. Суд также указал, что требование о регистрации укрепляет, а не нарушает конституционные права на частную жизнь, поскольку оно подчиняет обработчиков данных эффективному регулирующему надзору.

После вынесения решения национальный комиссар NDPC Vincent Olatunji распорядился, чтобы все незарегистрированные DCPMIs немедленно выполнили требования. Комиссия предупредила, что отказ от регистрации влечет серьезную юридическую ответственность по закону.

Агент PoS, проводящий банковский перевод, обычно обрабатывает номер счета клиента, bank verification number, историю транзакций и во многих случаях биометрическое подтверждение.

На 5.9 миллиона терминалов это приходится на огромный объем чувствительных финансовых данных, которые ежедневно обрабатываются операторами, долгое время находившимися вне формальной структуры соблюдения норм защиты данных с тех пор, как финансовая инклюзия стимулировала распространение PoS по всей стране.

Эти обязательства изначально предназначались для организаций, у которых есть инфраструктура для соблюдения требований. Большинство агентов PoS — это индивидуальные предприниматели или микропредприниматели, работающие с терминалом, телефоном и оборотными средствами.

Система регистрации NDPC классифицирует Major Data Processing на три уровня с соответствующими сборами.

Обработка уровня Ultra High Level облагается регистрационным сбором в размере ₦250,000.

Extra High Level — ₦100,000.

Ordinary High Level, к которому относится большинство агентов PoS, — ₦10,000.

Комиссия описывает такую многоуровневую структуру как способ облегчить ведение бизнеса для небольших организаций, занимающихся обработкой данных с высоким риском, и на бумаге сумма ₦10,000 выглядит умеренной.

Однако для агента PoS, работающего на марже по транзакциям на рынке, уже несущем расходы CBN, сетевые сборы и операционные издержки по обращению с наличностью в экономике, все еще сталкивающейся с дефицитом ликвидности, это еще одна статья затрат, появившаяся без предупреждения и подготовки.

Guidance Notice NDPC за 2024 год, предшествовавший этому решению, уже подробно определял категории организаций, обязанных регистрироваться в Нигерии как data controllers and processors, включая организации, имеющие особую ценность или значение для экономики, общества или безопасности Нигерии, как DCPMIs.

Агенты PoS были включены в эту систему, но судебный спор, инициированный Emmanuel Harunna, породил неопределенность в вопросе, сохранится ли этот статус после судебной проверки. Решение судьи Ogazi устраняет эту неопределенность. Суд постановил, что Section 65 NDPA имеет преимущественную силу над любым несовместимым законом по вопросам защиты данных, подтверждая верховенство акта во всех секторах.

Решение вынесено в момент, когда подход Нигерии к правоприменению в сфере защиты данных заметно ужесточается. В последние месяцы NDPC усилила меры против компаний, обвиняемых в незаконной обработке данных и трансграничной передаче данных. Olatunji неоднократно публично называл персональные данные стратегическим национальным активом.

Ранее в этом году комиссия добилась еще одного заметного решения, когда Федеральный верховный суд присудил ₦250,000 компенсации против GTCO за отправку нежелательных маркетинговых сообщений человеку, не являвшемуся клиентом, что подтвердило: нарушения защиты данных могут влечь реальные финансовые последствия. Решение по PoS распространяет этот подход на сектор, который годами в больших масштабах обрабатывал чувствительные финансовые данные при минимальном регулирующем надзоре.

Сеть агентов PoS в Нигерии быстро расширялась в рамках целей CBN по финансовой инклюзии, а агентов в основном обучали обработке транзакций, управлению наличностью и предотвращению мошенничества со стороны клиента.

Соблюдение норм защиты данных в это обучение не входило. Среднестатистический агент PoS в Onitsha, Kano или Yenagoa, проснувшийся утром после вынесения решения, не знал, что суд уже формализовал его статус как data controller, что регистрация в NDPC стала немедленной юридической обязанностью или что работа без такой регистрации подвергает его рискам ответственности, о которых предупреждала комиссия.

Теперь NDPC получила ту правовую основу, к которой стремилась, и суд это подтвердил. Требование о соблюдении норм теперь охватывает более 2 миллионов агентов PoS и 5.9 миллиона терминалов.

Открытым остается вопрос, сопроводит ли комиссия правоприменение информационной работой и обучением, которые сделают соблюдение требований достижимым для операторов на нижнем уровне формальной финансовой системы. От ответа будет зависеть, укрепит ли это решение защиту данных в Нигерии или лишь добавит новое обязательство к неформальной финансовой инфраструктуре страны, не улучшив защиту людей, которых она обслуживает.