انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

قانون حماية البيانات النيجيري لسنة 2023: قانون NDPA ولائحة NDPR وتوجيه GAID

قانون حماية البيانات النيجيري لسنة 2023 ولائحة NDPR وتوجيه GAID: من يخضع لقانون NDPA، والتسجيل لدى NDPC، والإخطار بالاختراقات خلال 72 ساعة، والعقوبات.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

قانون حماية البيانات النيجيري لسنة 2023 (Nigeria Data Protection Act 2023، NDPA) هو قانون حماية البيانات في نيجيريا. وُقّع في 12 يونيو 2023، وأنشأ لجنة حماية البيانات النيجيرية (Nigeria Data Protection Commission، NDPC) لتنظيم معالجة البيانات الشخصية. وينطبق على المؤسسات العاملة في نيجيريا، وعلى المعالجة التي تجري في نيجيريا، وعلى المؤسسات الموجودة في أماكن أخرى التي تعالج البيانات الشخصية لأشخاص في نيجيريا. ويشرح التوجيه العام للتطبيق والتنفيذ (General Application and Implementation Directive، GAID) الصادر عن NDPC في مارس 2025 كيفية تطبيق القانون، ومنذ صدوره لم تعد اللجنة تطبّق لائحة حماية البيانات النيجيرية (Nigeria Data Protection Regulation، NDPR) لسنة 2019. يلخّص هذا الدليل القانون وتوجيه GAID، ويبيّن المواضع التي تفيد فيها أدلة العمليات الأمنية.

ما العلاقة بين قانون NDPA ولائحة NDPR وتوجيه GAID؟

أصدرت الوكالة الوطنية لتطوير تكنولوجيا المعلومات (NITDA) لائحة حماية البيانات النيجيرية (Nigeria Data Protection Regulation) في يناير 2019. أما قانون NDPA فهو قانون صادر عن الجمعية الوطنية. وقد أبقت المادة 64 اللوائح والوثائق الأخرى الصادرة عن NITDA أو عن مكتب حماية البيانات النيجيري (Nigeria Data Protection Bureau) سارية المفعول إلى أن ينتهي أجلها أو تُلغى أو تُستبدل أو تُعدَّل، وتُفهم الإشارات إلى المكتب على أنها إشارات إلى لجنة حماية البيانات النيجيرية. وينص توجيه GAID على أن اللجنة تتوقف، بمجرد صدوره، عن تطبيق لائحة NDPR لسنة 2019 بوصفها أداة قانونية لتنظيم خصوصية البيانات وحمايتها، دون المساس بأي إجراء اتُّخذ بموجب لائحة NDPR قبل ذلك. وبموجب المادة 63، تكون الغلبة لقانون NDPA على أي قانون آخر يتعارض معه فيما يتعلق بمعالجة البيانات الشخصية.
1.NDPR 2019: اللائحة الصادرة عن NITDA. وقد توقفت لجنة حماية البيانات النيجيرية عن تطبيقها بوصفها أداة قانونية عند صدور توجيه GAID.
2.NDPA 2023: القانون الذي يحدد الالتزامات وحقوق أصحاب البيانات وواجبات التسجيل والعقوبات، والذي أنشأ NDPC.
3.GAID 2025: توجيه NDPC بشأن تطبيق القانون، مع ملاحق تتناول إقرارات تدقيق الامتثال، وتقييمات الأثر على خصوصية البيانات، والنقل عبر الحدود، والتسجيل.

على من ينطبق قانون NDPA؟

تُطبّق المادة 2 القانون على معالجة البيانات الشخصية، سواء بوسائل آلية أو غير آلية، إذا كان المتحكم في البيانات أو معالج البيانات متوطنًا في نيجيريا أو مقيمًا فيها أو عاملًا فيها، أو إذا جرت المعالجة داخل نيجيريا، أو إذا عالج متحكم أو معالج خارج نيجيريا البيانات الشخصية لصاحب بيانات في نيجيريا. ويوضح توجيه GAID أن العمل في نيجيريا يشمل المتحكم أو المعالج الذي يستهدف أصحاب بيانات في نيجيريا، حتى لو لم يكن متوطنًا فيها أو مقيمًا بها. وتُستثنى المعالجة التي تجري لأغراض شخصية أو منزلية حصرًا.

ما مبادئ معالجة البيانات في قانون NDPA؟

تُلزم المادة 24 المتحكمين في البيانات ومعالجي البيانات بضمان معالجة البيانات الشخصية وفقًا لهذه المبادئ. ويجب عليهم استخدام تدابير تقنية وتنظيمية مناسبة لضمان سرية البيانات الشخصية وسلامتها وتوافرها، ويقع على عاتقهم واجب العناية، ويجب عليهم إثبات المساءلة عن هذه المبادئ.
1.تُعالَج بطريقة عادلة ومشروعة وشفافة.
2.تُجمع لأغراض محددة وصريحة ومشروعة، ولا تخضع لمعالجة لاحقة بطريقة غير متوافقة معها.
3.كافية وذات صلة ومقتصرة على الحد الأدنى اللازم.
4.لا يُحتفظ بها مدة أطول من اللازم.
5.دقيقة وكاملة وغير مضللة، ومحدّثة عند الضرورة.
6.تُعالَج بأمان مناسب، يشمل الحماية من المعالجة أو الوصول غير المصرح به أو غير المشروع، ومن الفقدان أو الإتلاف أو الضرر أو أي شكل من أشكال اختراق البيانات.

ما التدابير الأمنية التي يشترطها قانون NDPA؟

تشترط المادة 39 اتخاذ تدابير تقنية وتنظيمية مناسبة لضمان أمن البيانات الشخصية وسلامتها وسريتها، مع مراعاة حجم البيانات وحساسيتها، والضرر المحتمل، ونطاق المعالجة، ومدة الاحتفاظ، وتكلفة التدابير. ويطلب توجيه GAID من المتحكمين والمعالجين الاحتفاظ بجداول زمنية لمراقبة أنظمة أمن البيانات لديهم وتقييمها وصيانتها، تشمل بنودًا مثل تحديثات البرمجيات، واختبارات الثغرات في قواعد البيانات، وفحوصات المصادقة، ومراجعات التشفير.
1.استخدام الأسماء المستعارة أو غيرها من أساليب إزالة الهوية، وتشفير البيانات الشخصية.
2.عمليات لضمان أمن أنظمة المعالجة وخدماتها وسلامتها وسريتها وتوافرها ومرونتها.
3.عمليات لاستعادة توافر البيانات الشخصية وإمكانية الوصول إليها في الوقت المناسب بعد وقوع حادث مادي أو تقني.
4.تقييمات دورية للمخاطر التي تواجه أنظمة المعالجة وخدماتها، بما في ذلك النقل عبر شبكات الاتصالات الإلكترونية.
5.اختبار التدابير وتقديرها وتقييمها بانتظام، وتحديثها بانتظام لمعالجة أوجه القصور والمخاطر المستجدة.

خلال أي مدة يجب الإبلاغ عن اختراق البيانات في نيجيريا؟

بموجب المادة 40، يجب على المتحكم في البيانات إخطار NDPC خلال 72 ساعة من علمه باختراق يُرجَّح أن يشكّل خطرًا على حقوق الأفراد وحرياتهم. وإذا كان من المرجح أن يشكّل الاختراق خطرًا مرتفعًا على صاحب البيانات، يجب على المتحكم إبلاغه به فورًا بلغة بسيطة وواضحة. ويجب على معالج البيانات إخطار المتحكم الذي تعاقد معه فور علمه بوقوع اختراق. ويجب على المتحكمين والمعالجين الاحتفاظ بسجل لجميع حالات اختراق البيانات الشخصية، يتضمن الوقائع والآثار والإجراءات التصحيحية المتخذة. ويتضمن الموقع الإلكتروني لـ NDPC رابطًا إلى خدمة للإبلاغ عن اختراقات الخصوصية.
1.يحدد توجيه GAID ما ينبغي أن يتضمنه الإخطار المقدَّم إلى لجنة حماية البيانات النيجيرية: الظروف، وتاريخ الاختراق أو فترته، والبيانات الشخصية المعنية، وتقييم خطر الضرر، وتقدير عدد الأفراد المعرّضين لخطر حقيقي، والخطوات المتخذة للحد من الضرر ولإخطار الأفراد، وشخص للتواصل.
2.يجب أن يتضمن كل إخطار وكل إبلاغ جهة اتصال، والعواقب المحتملة، والتدابير المتخذة أو المقترحة لمعالجة الاختراق.

من يجب عليه التسجيل لدى NDPC؟

تُلزم المادة 44 المتحكمين في البيانات ومعالجي البيانات ذوي الأهمية الكبرى بالتسجيل لدى لجنة حماية البيانات النيجيرية. ويعرّفهم القانون بأنهم المتحكمون أو المعالجون المتوطنون أو المقيمون أو العاملون في نيجيريا الذين يعالجون البيانات الشخصية لعدد من أصحاب البيانات في نيجيريا يتجاوز حدًا تقرره اللجنة، أو الذين تصنّفهم اللجنة كذلك لأنهم يعالجون بيانات شخصية ذات قيمة أو أهمية خاصة لاقتصاد نيجيريا أو مجتمعها أو أمنها. ويصنّفهم توجيه GAID ضمن مستويات فائق الارتفاع (Ultra-High) ومرتفع جدًا (Extra-High) ومرتفع عادي (Ordinary-High): إذ تسجّل الجهات من المستويين فائق الارتفاع ومرتفع جدًا مرة واحدة وتقدّم إقرارات تدقيق الامتثال كل عام، بحلول 31 مارس بالنسبة إلى المؤسسات المنشأة قبل 12 يونيو 2023، بينما تجدد الجهات من المستوى المرتفع العادي تسجيلها سنويًا. ويجب أيضًا على المتحكم في البيانات ذي الأهمية الكبرى تعيين مسؤول حماية البيانات (Data Protection Officer).

ما العقوبات المنصوص عليها في قانون NDPA؟

بعد إجراء تحقيق، يجوز لـ NDPC أن تأمر المتحكم أو المعالج بتصحيح المخالفة، أو تعويض أصحاب البيانات، أو تقديم حساب بالأرباح، أو دفع غرامة أو رسم تصحيحي. وبالنسبة إلى المتحكم في البيانات أو معالج البيانات ذي الأهمية الكبرى، يكون الحد الأقصى 10 ملايين نيرة أو 2% من إجمالي إيراداته السنوية في السنة المالية السابقة، أيهما أكبر. وبالنسبة إلى غيرهم، يكون الحد الأقصى 2 مليون نيرة أو 2%، أيهما أكبر. ويُعد عدم الامتثال لأمر الامتثال جريمة يُعاقب عليها بغرامة تصل إلى الحد الأقصى نفسه، أو بالسجن مدة تصل إلى سنة واحدة، أو بكلتا العقوبتين.

كيف تدعم Vigilbase العمل على متطلبات NDPA

لا تجعل Vigilbase المؤسسة ممتثلة لقانون NDPA، ولا تحل محل مسؤول حماية البيانات (Data Protection Officer) لديكم. بل تساعدكم على تشغيل بعض التدابير الأمنية التي تصفها المادة 39 وتوجيه GAID، وعلى إنتاج أدلة على مراقبتها واختبارها وتحديثها باستمرار. يلخّص هذا الدليل القانون وتوجيه GAID. وهو ليس استشارة قانونية: فمسؤول حماية البيانات ومستشاروكم القانونيون هم من يقررون ما يتطلبه قانون NDPA من مؤسستكم.
1.يربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل، ويحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد، مما يدعم المراقبة والتقييم المنتظمين لأنظمتكم الأمنية.
2.يحقق وكيل Vigil في الحوادث عالية الخطورة، ويسجّل كل تحقيق الأدلة والإجراءات المتخذة ونتيجة التحقق. ويساعدكم هذا السجل على جمع الوقائع والآثار والإجراءات التصحيحية التي يحتاجها سجل الاختراق والإخطار خلال 72 ساعة.
3.تشغّل خدمة Managed Cloudflare ضوابط WAF وDDoS والروبوتات وDNS ضمن النطاق المتفق عليه، مما يدعم توافر الخدمات التي تتيحونها للعملاء ومرونتها.
4.تُحدَّد مدة الاحتفاظ الافتراضية لكل مجموعة بيانات، وتتراوح عادةً بين 30 و90 يومًا. وإذا كان عليكم الاحتفاظ بالسجلات مدة أطول، فحددوا مكان ذلك الأرشيف قبل التوحيد.

أبرز النقاط

✓قانون NDPA 2023 هو قانون حماية البيانات في نيجيريا، وتتولى لجنة حماية البيانات النيجيرية (NDPC) إنفاذه.
✓منذ صدور توجيه GAID في مارس 2025، لم تعد NDPC تطبّق لائحة NDPR 2019 بوصفها أداة قانونية.
✓يجب إخطار NDPC خلال 72 ساعة بالاختراقات التي يُرجَّح أن تعرّض حقوق الأفراد للخطر.
✓يجب على المتحكمين في البيانات ومعالجيها ذوي الأهمية الكبرى التسجيل لدى NDPC، ويجب على المتحكمين ذوي الأهمية الكبرى تعيين مسؤول حماية البيانات (Data Protection Officer).
✓تساعدكم Vigilbase على تشغيل التدابير الأمنية وتوثيقها بالأدلة؛ ولا تمنح شهادة امتثال.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

SOC مُدار

اعرف المزيد

خدمات Cloudflare المُدارة

اعرف المزيد

Vigilbase OS

اعرف المزيد

الأمن السيبراني وCloudflare في نيجيريا

اعرف المزيد

Cloudflare Enterprise في نيجيريا

اعرف المزيد

الأسئلة الشائعة

ما هو قانون حماية البيانات النيجيري؟

قانون حماية البيانات النيجيري لسنة 2023 (Nigeria Data Protection Act 2023، NDPA) هو قانون حماية البيانات في نيجيريا. يحدد مبادئ معالجة البيانات الشخصية وأسسها المشروعة، ويمنح أصحاب البيانات حقوقًا، ويشترط تدابير أمنية والإخطار باختراق البيانات، وأنشأ لجنة حماية البيانات النيجيرية (Nigeria Data Protection Commission، NDPC) لإنفاذه.الخصوصية والتعامل مع البيانات

هل لا تزال لائحة NDPR سارية؟

لم تعد NDPC تطبّقها. فتوجيه GAID، الصادر في مارس 2025، ينص على أن اللجنة تتوقف، بمجرد صدوره، عن تطبيق لائحة NDPR 2019 بوصفها أداة قانونية لتنظيم خصوصية البيانات وحمايتها. ولا يتأثر أي إجراء اتُّخذ بموجب لائحة NDPR قبل ذلك. اعملوا وفق قانون NDPA 2023 وتوجيه GAID.

ما الفرق بين قانون NDPA ولائحة NDPR؟

كانت لائحة NDPR 2019 لائحةً صادرة عن NITDA. أما قانون NDPA 2023 فهو قانون صادر عن الجمعية الوطنية، أنشأ لجنة حماية البيانات النيجيرية (Nigeria Data Protection Commission) ويحدد الالتزامات والحقوق وواجبات التسجيل والعقوبات. ويشرح توجيه GAID 2025 الصادر عن NDPC كيفية تطبيق القانون.

خلال أي مدة يجب الإبلاغ عن اختراق البيانات بموجب قانون NDPA؟

خلال 72 ساعة من العلم به، إذا كان من المرجح أن يشكّل الاختراق خطرًا على حقوق الأفراد وحرياتهم. وإذا كان من المرجح أن يشكّل خطرًا مرتفعًا على صاحب البيانات، يجب على المتحكم أيضًا إبلاغ صاحب البيانات فورًا.يجب على معالجي البيانات إخطار المتحكم الذي تعاقد معهم فور علمهم بوقوع اختراق، ويجب على كل متحكم ومعالج الاحتفاظ بسجل لجميع حالات اختراق البيانات الشخصية.مسؤوليات العمليات الأمنيةما الذي يفعله SIEM

من يتعين عليه التسجيل لدى NDPC؟

المتحكمون في البيانات ومعالجو البيانات ذوو الأهمية الكبرى. ويصنّفهم توجيه GAID ضمن مستوى فائق الارتفاع (Ultra-High) أو مرتفع جدًا (Extra-High) أو مرتفع عادي (Ordinary-High)، وهو ما يحدد ما إذا كانوا يسجّلون مرة واحدة ويقدّمون إقرارات تدقيق امتثال سنوية، أم يجددون تسجيلهم كل عام.

ما العقوبات المنصوص عليها في قانون NDPA؟

بالنسبة إلى المتحكم في البيانات أو المعالج ذي الأهمية الكبرى، يمكن أن تصل الغرامة أو الرسم التصحيحي إلى 10 ملايين نيرة أو 2% من إجمالي الإيرادات السنوية في السنة المالية السابقة، أيهما أكبر. وبالنسبة إلى غيرهم، يكون الحد الأقصى 2 مليون نيرة أو 2%، أيهما أكبر.

هل تستطيع Vigilbase أن تجعلنا ممتثلين لقانون NDPA؟

لا. تساعدكم Vigilbase على تشغيل التدابير الأمنية وإثباتها بالأدلة: إذ تبقى السجلات المرتبطة قابلة للاستعلام، وتسجّل التحقيقات الأدلة والإجراءات والتحقق، وتحتفظ خدمة Managed Cloudflare بسجل التغييرات وملاحظات الحوادث. ويقرر مسؤول حماية البيانات (Data Protection Officer) ومستشاروكم القانونيون ما يتطلبه منكم NDPA.ابدأ مع Vigilbase OSوثائق الأمان في مركز الثقة

مواضيع ذات صلة

أساسيات الأمن

ما SIEM؟

أساسيات الأمن

ما SOC؟

الامتثال والحوكمة

أي مستوى من Managed Cloudflare ينبغي لفريق الخدمات المالية شراؤه؟

الامتثال والحوكمة

الامتثال لـ POPIA

الامتثال والحوكمة

قانون حماية البيانات الكيني

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم