Was ist die nigerianische Datenschutzverordnung (NDPR)?

Die von der National Information Technology Development Agency (NITDA) herausgegebene Nigerian Data Protection Regulation, 2019 („NDPR“) ist die wichtigste Datenschutzverordnung in Nigeria.

Die NDPR schützt die Rechte der betroffenen Personen durch klar definierte Pflichten der für die Daten Verantwortlichen und der Auftragsverarbeiter sowie durch klar definierte Regeln für die Übermittlung von Daten ins Ausland.

Die meisten Einrichtungen arbeiten mit natürlichen Personen zusammen, und dies erfordert häufig die Verarbeitung personenbezogener Daten. Diese Unternehmen müssen daher für die Einhaltung dieser Verordnung sorgen.

Die Einhaltung der Datenschutzgesetze bewahrt ein Unternehmen vor Strafmaßnahmen wie hohen Geldstrafen, Gerichtskosten, öffentlicher Blamage und einem schlechten Ruf.

Muss Ihr Unternehmen diese Verordnung einhalten? Wenn ja, wie? Wir erklären es Ihnen.

Nigeria Data Protection Regulation (NDPR) – Anwendungsbereich

Persönlicher Anwendungsbereich der NDPR

Dieses Gesetz gilt wie andere Gesetze dieser Art (CCPA oder DSGVO) für jedes Unternehmen, das Informationen über Personen oder Verbraucher*innen sammelt, verwendet, speichert und weitergibt.

Die NDPR-Verordnung gilt für alle Vorgänge, bei denen personenbezogene Daten von natürlichen Personen in Nigeria verarbeitet werden. Das Gesetz gilt für Personen mit Wohnsitz in Nigeria und Personen mit nigerianischer Staatsangehörigkeit, und zwar sowohl für automatisierte als auch für nicht automatisierte Verfahren.

Territorialer Geltungsbereich der NDPR

Was den territorialen Geltungsbereich betrifft, so gilt die NDPR für natürliche Personen mit oder ohne Wohnsitz in Nigeria, die jedoch nigerianische Staatsbürger sind.

Ausnahmen von der NDPR

Der Schutz personenbezogener Daten wird aus folgenden Gründen von den Bestimmungen des Gesetzes ausgenommen:

• öffentliche Ordnung und Frieden, öffentliche Sicherheit und öffentliche Sittlichkeit
• Nationale Sicherheit, öffentliches Interesse
• Verhütung oder Aufdeckung von Straftaten, Ergreifung oder Verfolgung des Täters
• Veranlagung oder Erhebung von Steuern oder Abgaben oder ähnlicher Art; oder
• Veröffentlichung von literarischem oder künstlerischem Material

Schritte zur Einhaltung der NDRP

Schritt 1:

Sie sollten zunächst die Verarbeitungstätigkeiten Ihrer Organisation bestimmen und die Art der erhobenen personenbezogenen Daten sowie die Art der Verarbeitung ermitteln.

Schritt 2:

Prüfen Sie, ob Ihr Unternehmen ein für die Datenverarbeitung Verantwortlicher oder ein Verwalter, d. h. ein Datenverarbeiter, ist.

• Legen Sie den Zweck und die Methode der Verarbeitung personenbezogener Daten fest, so ist Ihr Unternehmen ein für die Datenverarbeitung Verantwortlicher.
• Wenn Sie lediglich personenbezogene Daten verarbeiten, dann sind Sie ein Datenverarbeiter.

Es ist wichtig, dies zu bestimmen, da die meisten Verpflichtungen für den Datenverantwortlichen vorgesehen sind. Und er ist für jeden Verstoß des Datenverarbeiters gegen die Verordnung verantwortlich.

Schritt 3:

Benennen Sie einen Datenschutzbeauftragten (DSB).

Als für die Datenverarbeitung Verantwortlicher müssen Sie eine Einzelperson oder eine beliebige Einrichtung zum Datenschutzbeauftragten (DSB) des Unternehmens ernennen. Seine Aufgabe wird es sein, das Unternehmen auf die Bestimmungen der NDPR auszurichten.

Schritt 4:

Führen Sie eine Bewertung der Verarbeitungstätigkeiten Ihrer Organisation durch, um die Schritte zur Einhaltung der DSGVO zu bestimmen.

Dazu stellen Sie die folgenden Fragen:

• Wie und warum werden die Daten erhoben?
• Welche Abteilung erhält diese Daten?
• Was ist die Rechtsgrundlage für die Verarbeitung dieser Daten?
• Welche Sicherheitsmaßnahmen werden von der Organisation ergriffen, um Datenverstöße zu verhindern?

Schritt 5:

Beginnen Sie mit der Umsetzung der NDPR.

Stellen Sie Datenschutzrichtlinien zur Verfügung und führen Sie ein Audit der Datenschutzpraktiken des Unternehmens durch.

Zusammenfassung:

Die Geldstrafe für die Nichteinhaltung der NDPR durch einen für die Verarbeitung Verantwortlichen, der mit mehr als 10.000 Personen arbeitet, beträgt rund 22.900 Euro. Ein Datenverantwortlicher, der mit weniger als 10.000 betroffenen Personen arbeitet, muss bei Nichteinhaltung der NDRP mit einer Strafe von rund 4.600 Euro rechnen.

Wenn Ihr Unternehmen von der nigerianischen Datenschutzverordnung betroffen ist, sollten Sie also sicherstellen, dass Sie deren Bestimmungen einhalten!