Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Conformidade e Governação

Nigeria Data Protection Act 2023: a NDPA, o NDPR e a GAID

A Nigeria Data Protection Act 2023, o NDPR e a GAID: a quem se aplica a NDPA, registo na NDPC, notificação de violações em 72 horas e sanções.
Por VigilbasePublicado em
Ler o guiaMais tópicos

A Nigeria Data Protection Act 2023 (NDPA) é a lei de proteção de dados da Nigéria. Assinada em 12 de junho de 2023, criou a Nigeria Data Protection Commission (NDPC) para regular o tratamento de dados pessoais. Aplica-se às organizações que operam na Nigéria, ao tratamento efetuado na Nigéria e às organizações situadas noutros países que tratam dados pessoais de pessoas na Nigéria. A General Application and Implementation Directive (GAID) da NDPC, emitida em março de 2025, explica como aplicar a lei e, desde a sua emissão, a Comissão deixou de aplicar o Nigeria Data Protection Regulation (NDPR) 2019. Este guia resume a lei e a GAID, e mostra onde as evidências das operações de segurança ajudam.

Qual é a relação entre a NDPA, o NDPR e a GAID?

A National Information Technology Development Agency (NITDA) emitiu o Nigeria Data Protection Regulation em janeiro de 2019. A NDPA é uma lei aprovada pela National Assembly. A secção 64 manteve em vigor os regulamentos e outros documentos emitidos pela NITDA ou pelo Nigeria Data Protection Bureau até que caduquem ou sejam revogados, substituídos ou alterados, e as referências ao Bureau são entendidas como referências à Comissão. A GAID estabelece que, com a sua emissão, a Comissão deixa de aplicar o NDPR 2019 como instrumento jurídico de regulação da privacidade e da proteção de dados, sem afetar nada do que tenha sido feito ao abrigo do NDPR até então. Nos termos da secção 63, a NDPA prevalece sobre qualquer outra lei que seja incompatível com ela em matéria de tratamento de dados pessoais.
1.NDPR 2019: o regulamento emitido pela NITDA. A Comissão deixou de o aplicar como instrumento jurídico quando a GAID foi emitida.
2.NDPA 2023: a lei que estabelece as obrigações, os direitos dos titulares dos dados, os deveres de registo e as sanções, e que criou a NDPC.
3.GAID 2025: a diretiva da NDPC sobre a aplicação da lei, com anexos para as declarações de auditoria de conformidade, as avaliações de impacto sobre a privacidade dos dados, as transferências transfronteiriças e o registo.

A quem se aplica a NDPA?

A secção 2 aplica a lei ao tratamento de dados pessoais, por meios automatizados ou não, quando o responsável pelo tratamento ou o subcontratante tem domicílio ou residência na Nigéria ou aí opera, quando o tratamento ocorre na Nigéria, ou quando um responsável pelo tratamento ou subcontratante situado fora da Nigéria trata dados pessoais de um titular dos dados na Nigéria. A GAID explica que operar na Nigéria inclui o caso de um responsável pelo tratamento ou subcontratante que tem como alvo titulares dos dados na Nigéria, mesmo que não tenha domicílio nem residência no país. O tratamento exclusivamente para fins pessoais ou domésticos está excluído.

Quais são os princípios de tratamento de dados da NDPA?

A secção 24 exige que os responsáveis pelo tratamento e os subcontratantes garantam que os dados pessoais são tratados de acordo com estes princípios. Devem utilizar medidas técnicas e organizativas adequadas para garantir a confidencialidade, a integridade e a disponibilidade dos dados pessoais, estão sujeitos a um dever de diligência e devem demonstrar a sua responsabilidade pelo cumprimento dos princípios.
1.Tratados de forma leal, lícita e transparente.
2.Recolhidos para finalidades determinadas, explícitas e legítimas, e não tratados posteriormente de forma incompatível.
3.Adequados, pertinentes e limitados ao mínimo necessário.
4.Conservados durante um período não superior ao necessário.
5.Exatos, completos, não enganosos e, quando necessário, atualizados.
6.Tratados com segurança adequada, incluindo proteção contra tratamento, acesso, perda, destruição ou danos não autorizados ou ilícitos, ou qualquer forma de violação de dados.

Que medidas de segurança exige a NDPA?

A secção 39 exige medidas técnicas e organizativas adequadas para garantir a segurança, a integridade e a confidencialidade dos dados pessoais, tendo em conta o volume e a sensibilidade dos dados, os danos prováveis, a extensão do tratamento, o período de conservação e o custo das medidas. A GAID pede aos responsáveis pelo tratamento e aos subcontratantes que mantenham calendários para monitorizar, avaliar e manter os seus sistemas de segurança de dados, abrangendo elementos como atualizações de software, testes de vulnerabilidade de bases de dados, verificações de autenticação e revisões da encriptação.
1.Pseudonimização ou outra forma de desidentificação, e encriptação dos dados pessoais.
2.Processos para garantir a segurança, a integridade, a confidencialidade, a disponibilidade e a resiliência dos sistemas e serviços de tratamento.
3.Processos para restabelecer atempadamente a disponibilidade e o acesso aos dados pessoais após um incidente físico ou técnico.
4.Avaliações periódicas dos riscos para os sistemas e serviços de tratamento, incluindo a transmissão através de redes de comunicações eletrónicas.
5.Testes, apreciação e avaliação regulares das medidas, e atualizações regulares para corrigir deficiências e responder a riscos em evolução.

Com que rapidez deve ser comunicada uma violação de dados na Nigéria?

Nos termos da secção 40, um responsável pelo tratamento deve notificar a NDPC no prazo de 72 horas após tomar conhecimento de uma violação suscetível de resultar num risco para os direitos e liberdades das pessoas. Quando uma violação for suscetível de resultar num risco elevado para um titular dos dados, o responsável pelo tratamento deve comunicá-la imediatamente ao titular dos dados, em linguagem simples e clara. Um subcontratante deve notificar o responsável pelo tratamento que o contratou logo que tome conhecimento de uma violação. Os responsáveis pelo tratamento e os subcontratantes devem manter um registo de todas as violações de dados pessoais, com os factos, os efeitos e as medidas corretivas tomadas. O website da NDPC disponibiliza uma ligação para um serviço de comunicação de violações de privacidade.
1.A GAID enumera o que uma notificação à Comissão deve incluir: as circunstâncias, a data ou o período da violação, os dados pessoais envolvidos, uma avaliação do risco de danos, uma estimativa das pessoas em risco real, as medidas tomadas para reduzir os danos e para notificar as pessoas, e uma pessoa de contacto.
2.Cada notificação e comunicação deve indicar um ponto de contacto, as consequências prováveis e as medidas tomadas ou propostas para fazer face à violação.

Quem tem de se registar junto da NDPC?

A secção 44 exige que os responsáveis pelo tratamento e os subcontratantes de grande importância se registem junto da Comissão. A lei define-os como responsáveis pelo tratamento ou subcontratantes com domicílio, residência ou atividade na Nigéria que tratam dados pessoais de um número de titulares dos dados na Nigéria superior ao fixado pela Comissão, ou que a Comissão designa por tratarem dados pessoais de especial valor ou importância para a economia, a sociedade ou a segurança da Nigéria. A GAID classifica-os nos níveis Ultra-High, Extra-High e Ordinary-High: os de nível Ultra-High e Extra-High registam-se uma única vez e apresentam declarações de auditoria de conformidade todos os anos, até 31 de março no caso das organizações constituídas antes de 12 de junho de 2023, enquanto os de nível Ordinary-High renovam o registo anualmente. Um responsável pelo tratamento de grande importância deve também designar um Data Protection Officer.

Quais são as sanções previstas na NDPA?

Após uma investigação, a NDPC pode ordenar a um responsável pelo tratamento ou subcontratante que corrija uma infração, indemnize os titulares dos dados, preste contas dos lucros obtidos ou pague uma sanção ou taxa de reparação. Para um responsável pelo tratamento ou subcontratante de grande importância, o máximo é o valor mais elevado entre ₦10 milhões e 2% da sua receita bruta anual no exercício financeiro anterior. Para os restantes, é o valor mais elevado entre ₦2 milhões e 2%. O incumprimento de uma ordem de cumprimento constitui uma infração penal, punível com multa até ao mesmo máximo, pena de prisão até um ano, ou ambas.

Como a Vigilbase apoia o trabalho relativo à NDPA

A Vigilbase não torna uma organização conforme com a NDPA nem substitui o seu Data Protection Officer. Ajuda-o a executar algumas das medidas de segurança descritas na secção 39 e na GAID, e a produzir evidências de que são monitorizadas, testadas e mantidas atualizadas. Este guia resume a lei e a GAID. Não constitui aconselhamento jurídico: o seu Data Protection Officer e os seus consultores jurídicos decidem o que a NDPA exige da sua organização.
1.O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar, o que apoia a monitorização e a avaliação regulares dos seus sistemas de segurança.
2.O agente Vigil investiga incidentes de gravidade elevada, e cada investigação regista as evidências, as ações tomadas e o resultado da verificação. Esse registo ajuda-o a reunir os factos, os efeitos e as medidas corretivas de que um registo de violações e uma notificação em 72 horas necessitam.
3.O Managed Cloudflare opera os controlos de WAF, DDoS, bots e DNS no âmbito acordado, o que apoia a disponibilidade e a resiliência dos serviços que disponibiliza aos clientes.
4.A retenção predefinida é definida por conjunto de dados, normalmente entre 30 e 90 dias. Se tiver de conservar registos durante mais tempo, decida onde fica esse arquivo antes de consolidar.

Principais conclusões

✓A NDPA 2023 é a lei de proteção de dados da Nigéria, e a Nigeria Data Protection Commission (NDPC) assegura o seu cumprimento.
✓Desde a emissão da GAID em março de 2025, a NDPC deixou de aplicar o NDPR 2019 como instrumento jurídico.
✓As violações suscetíveis de pôr em risco os direitos das pessoas têm de ser notificadas à NDPC no prazo de 72 horas.
✓Os responsáveis pelo tratamento e os subcontratantes de grande importância têm de se registar junto da NDPC, e os responsáveis pelo tratamento de grande importância têm de designar um Data Protection Officer.
✓A Vigilbase ajuda-o a operar medidas de segurança e a demonstrá-las com evidências; não certifica a conformidade.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

SOC gerido

Saiba mais

Cloudflare gerido

Saiba mais

Vigilbase OS

Saiba mais

Cibersegurança e Cloudflare na Nigéria

Saiba mais

Cloudflare Enterprise na Nigéria

Saiba mais

Perguntas frequentes

O que é a Nigeria Data Protection Act?

A Nigeria Data Protection Act 2023 (NDPA) é a lei de proteção de dados da Nigéria. Estabelece princípios e fundamentos de licitude para o tratamento de dados pessoais, confere direitos aos titulares dos dados, exige medidas de segurança e a notificação de violações, e criou a Nigeria Data Protection Commission (NDPC) para assegurar o seu cumprimento.Privacidade e tratamento de dados

O NDPR continua em vigor?

A NDPC deixou de o aplicar. A GAID, emitida em março de 2025, estabelece que, com a sua emissão, a Comissão deixa de aplicar o NDPR 2019 como instrumento jurídico de regulação da privacidade e da proteção de dados. Nada do que tenha sido feito ao abrigo do NDPR até então é afetado. Trabalhe com base na NDPA 2023 e na GAID.

Qual é a diferença entre a NDPA e o NDPR?

O NDPR 2019 era um regulamento emitido pela NITDA. A NDPA 2023 é uma lei aprovada pela National Assembly que criou a Nigeria Data Protection Commission e estabelece as obrigações, os direitos, os deveres de registo e as sanções. A GAID 2025 da NDPC explica como aplicar a lei.

Com que rapidez deve ser comunicada uma violação de dados ao abrigo da NDPA?

No prazo de 72 horas após tomar conhecimento da mesma, se a violação for suscetível de resultar num risco para os direitos e liberdades das pessoas. Se for suscetível de resultar num risco elevado para um titular dos dados, o responsável pelo tratamento deve também informar imediatamente o titular dos dados.Os subcontratantes devem notificar o responsável pelo tratamento que os contratou logo que tomem conhecimento de uma violação, e todos os responsáveis pelo tratamento e subcontratantes devem manter um registo de todas as violações de dados pessoais.Responsabilidades nas operações de segurançaO que faz um SIEM

Quem é obrigado a registar-se junto da NDPC?

Os responsáveis pelo tratamento e os subcontratantes de grande importância. A GAID classifica-os no nível Ultra-High, Extra-High ou Ordinary-High, o que determina se se registam uma única vez e apresentam declarações anuais de auditoria de conformidade ou se renovam o registo todos os anos.

Quais são as sanções previstas na NDPA?

Para um responsável pelo tratamento ou subcontratante de grande importância, uma sanção ou taxa de reparação pode atingir o valor mais elevado entre ₦10 milhões e 2% da receita bruta anual no exercício financeiro anterior. Para os restantes, o máximo é o valor mais elevado entre ₦2 milhões e 2%.

A Vigilbase pode pôr-nos em conformidade com a NDPA?

Não. A Vigilbase ajuda-o a operar e a comprovar medidas de segurança: os registos ligados continuam pesquisáveis, as investigações registam as evidências, as ações e a verificação, e o Managed Cloudflare mantém o histórico de alterações e as notas de incidentes. O seu Data Protection Officer e os seus consultores jurídicos decidem o que a NDPA exige de si.Comece a utilizar o Vigilbase OSDocumentação de segurança no Centro de Confiança

Tópicos Relacionados

Noções básicas de segurança

O que é o SIEM?

Noções básicas de segurança

O que é o SOC?

Conformidade e Governação

Que nível de Managed Cloudflare deve contratar uma equipa de serviços financeiros?

Conformidade e Governação

Conformidade com a POPIA

Conformidade e Governação

Data Protection Act do Quénia

Começar agora

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.
Começar agora Continuar a aprender