奈及利亞的 PoS 代理商——全國約 200 萬名營運者，分布於約 590 萬台活躍終端機——現已依《2023 年奈及利亞資料保護法》被正式列為「重要資料控制者與處理者」。

這項認定源自聯邦高等法院的一項裁決，該裁決將奈及利亞的資料保護合規框架擴大至該國最大的非正式金融網絡之一。依該裁定，PoS 代理商必須向奈及利亞資料保護委員會（NDPC）登記，否則將面臨法律責任。

此案為 Emmanuel Harunna v. Nigeria Data Protection Commission，原告請求法院宣告 PoS 代理商不屬於 NDPC 的登記要求範圍。

聯邦高等法院的 F.N. Ogazi 法官駁回了這項挑戰，認定 NDPC 將 PoS 代理商歸類為「普通高層級」重大資料處理下的 DCPMIs，屬於其法定權限範圍。法院同時表示，登記要求並未侵犯憲法隱私權，反而因將資料處理者納入有效監管而強化了隱私保障。

裁決後，NDPC 國家委員 Vincent Olatunji 指示所有尚未登記的 DCPMIs 立即遵守，並警告未登記將依法律產生嚴重責任。

處理銀行轉帳的 PoS 代理商，通常會接觸客戶的帳號、銀行驗證號、交易紀錄，以及在許多情況下的生物辨識確認。

在 590 萬台終端機上，這意味著每天有大量敏感金融資料被處理；自從金融普惠推動 PoS 在全國普及以來，許多營運者一直處於正式資料保護合規體系之外。

這些義務原本是為具備合規基礎設施的組織所設計。多數 PoS 代理商只是帶著終端機、手機和周轉金營運的小型商戶或微型企業主。

NDPC 的登記制度將重大資料處理分為三個等級，並對應不同費用。超高層級的登記費為 ₦250,000。特高層級為 ₦100,000。多數 PoS 代理商所屬的普通高層級則為 ₦10,000。

委員會表示，這種分級制度旨在讓從事高風險資料處理的小型組織更易於營運；就紙面上看，₦10,000 的費用並不高。 但對於一名以交易利差維生、同時還要承受 CBN 費用、網路費用，以及在仍面臨流動性壓力的經濟中管理現金成本的 PoS 代理商而言，這仍是一筆在毫無預警下增加的支出。

在這項裁決之前，NDPC 於 2024 年發布的《Guidance Notice》已詳列在奈及利亞必須登記為資料控制者與處理者的組織類別，並將對奈及利亞經濟、社會或安全具有特別價值或重要性的組織列為 DCPMIs。PoS 代理商原本已被納入該架構，但 Emmanuel Harunna 提起的法律挑戰，使外界不確定此認定是否能通過司法審查。Ogazi 法官的裁決消除了這項不確定性。

法院認定，NDPA 第 65 條優先於任何與資料保護事項不一致的法律，進一步確認該法在各個部門的優先地位。

這項裁決出爐之際，奈及利亞的資料保護執法立場正明顯趨嚴。近幾個月來，NDPC 已加強對涉嫌非法資料處理與跨境資料傳輸公司的執法行動。Olatunji 多次在公開場合將個人資料形容為戰略性國家資產。

今年稍早，委員會也取得另一項重要裁定：聯邦高等法院因 GTCO 向非客戶發送未經請求的行銷訊息，判賠 ₦250,000，顯示資料保護違規確實可能帶來具體的金錢後果。PoS 裁定則將這種執法立場延伸到一個多年來以大規模處理敏感金融資料、但監管相對有限的產業。

奈及利亞的 PoS 代理網絡在 CBN 金融普惠目標推動下迅速擴張，代理商的招聘與訓練主要集中在交易處理、現金管理，以及從客戶端角度的詐欺防範。資料保護合規並不在這些訓練內容之中。

在此判決公布後的隔天清晨，Onitsha、Kano 或 Yenagoa 的許多 PoS 代理商並不知道，法院已正式確認他們的資料控制者身分；也不知道向 NDPC 登記已成為立即的法律義務，或未登記營運將使其暴露於委員會警告過的法律責任之中。

NDPC 現在已取得其所尋求的法律權限，而法院也已予以確認。這項合規要求現已涵蓋超過 200 萬名 PoS 代理商與 590 萬台終端機。

目前仍待觀察的是，委員會是否會在執法之外，搭配必要的宣導與教育，使正式金融體系底端的營運者也能實際完成合規。這將決定這項裁決究竟是強化奈及利亞的資料保護，還是僅僅在沒有改善其所服務民眾保護的情況下，為該國的非正式金融基礎設施新增一項法律責任。