尼日利亚的 PoS 代理——全国约 200 万名运营者，使用约 590 万台活跃终端——如今已根据《2023年尼日利亚数据保护法》被依法归类为“重要数据控制者和处理者”。

这一认定源自联邦高等法院的一项裁决，该裁决将尼日利亚的数据保护合规框架扩展至该国规模最大的非正式金融网络之一。根据该裁定，PoS 代理必须向尼日利亚数据保护委员会（NDPC）注册，否则将面临法律责任。

该判决出自 Emmanuel Harunna v. Nigeria Data Protection Commission 一案，申请人请求法院宣告 PoS 代理不在 NDPC 的注册要求范围内。

联邦高等法院的 F.N. Ogazi 法官驳回了这一挑战，认为 NDPC 将 PoS 代理指定为普通高水平“重大数据处理”类别下的 DCPMI，是在其法定权限范围内行事。法院还表示，这一注册要求通过将数据处理者纳入有效监管监督之下，强化而非侵犯宪法隐私权。

判决后，NDPC 国家委员 Vincent Olatunji 指示所有未注册的 DCPMI 立即合规。委员会警告称，未按要求注册将依据法律产生严重法律责任。

处理银行转账的 PoS 代理通常会接触客户的账户号码、银行验证号码、交易历史记录，以及在许多情况下的生物识别确认。

在 590 万台终端上，这意味着每天都有庞大的敏感金融数据被处理；自金融包容推动全国范围内 PoS 普及以来，这些运营者长期处于正式数据保护合规体系之外。

这些义务原本是为具备合规基础设施的组织设计的。大多数 PoS 代理都是个体经营者或微型创业者，只配有一台终端、一部手机和少量周转资金。

NDPC 的注册框架将“重大数据处理”分为三个等级，并对应不同费用。

超高等级处理的注册费为 ₦250,000。

额外高等级为 ₦100,000。

普通高等级——大多数 PoS 代理所属的类别——注册费为 ₦10,000。

委员会表示，这一分级结构旨在为参与高风险数据处理的小型组织提供更便利的营商环境，从纸面上看 ₦10,000 并不算高。

但对于依靠交易微利生存、同时还要承担 CBN 费用、网络费用，以及在仍受流动性压力影响的经济环境中管理现金成本的 PoS 代理而言，这又是一项毫无预警、也未作准备的新支出。

在此次裁决之前，NDPC 于 2024 年发布的指导通知已详细列明在尼日利亚需要注册为数据控制者和处理者的组织类别，并将对尼日利亚经济、社会或安全具有特殊价值或重要性的组织列为 DCPMI。

PoS 代理已被纳入该框架，但 Emmanuel Harunna 提出的法律挑战使得这一认定是否能经受司法审查一度存在不确定性。Ogazi 法官的裁决消除了这一不确定性。

法院认定，NDPA 第 65 条优先于任何与数据保护事项相冲突的法律，从而强化了该法在各行业的优先地位。

这项裁决出台之际，尼日利亚的数据保护执法态势正明显收紧。近几个月来，NDPC 已加大对被指控非法数据处理和跨境数据传输公司的执法行动。Olatunji 在多个公开场合将个人数据描述为国家战略资产。

今年早些时候，委员会还取得另一项重要判决：联邦高等法院因 GTCO 向非客户发送未经请求的营销信息，判令其赔偿 ₦250,000，表明数据保护违规会带来切实的经济后果。此次 PoS 裁决将这种执法态势扩展至一个多年大规模处理敏感金融数据、但监管几乎空白的行业。

在 CBN 金融包容目标推动下，尼日利亚的 PoS 代理网络迅速扩张，代理主要接受的是交易处理、现金管理和从客户侧防范欺诈方面的培训。

数据保护合规并不在这些培训内容之中。Onitsha、Kano 或 Yenagoa 的普通 PoS 代理在裁决后的第二天早上，很可能并不知道法院刚刚正式确立了他们作为数据控制者的身份，也不知道向 NDPC 注册已成为立即履行的法律义务，更不知道在未注册情况下经营会使他们面临委员会所警告的法律责任。

NDPC 现在已经获得其寻求的法律授权，法院也予以确认。该合规要求现已覆盖超过 200 万名 PoS 代理和 590 万台终端。

遗留的问题是，委员会是否会在执法之外配套开展外联和教育，使位于正式金融体系底层的运营者能够实际完成合规。这将决定该判决究竟是加强尼日利亚的数据保护，还是仅仅为该国的非正式金融基础设施增加新的责任，而未能改善其服务对象的保护水平。