Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Réglementations › Reste du monde › Nigeria
NDPA (Nigeria)
Nigeria Data Protection Act, 2023
QuandPromulguée en juin 2023
Qui en assure l’applicationCommission nigériane de protection des données (NDPC)
À qui elle s’appliqueResponsables du traitement et sous-traitants situés au Nigeria ou traitant les données de personnes se trouvant au Nigeria.
Informer le régulateurNotifier la Commission dans un délai de 72 heures à compter de la prise de connaissance d’une violation susceptible de présenter un risque pour les personnes…
DPO requisLes responsables du traitement et les sous-traitants d’importance majeure doivent désigner un DPO ; seuils bas (plus de…
EnregistrementLes responsables du traitement et les sous-traitants d’importance majeure doivent s’enregistrer, avec des frais de N10,000-250,000 par…
Transferts à l’étrangerLes transferts nécessitent un niveau de protection adéquat dans le pays de destination ou une base énumérée telle que…
Délai de réponse aux demandesAucun nombre de jours fixé
Amende maximaleLe plus élevé de N10 millions ou 2% du chiffre d’affaires brut annuel de l’exercice précédent pour les entités d’importance majeure
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Portée et base légale
Portée extraterritoriale
3
Applies to controllers and processors outside Nigeria processing personal data of data subjects in Nigeria.s.2(2)(c) · source ↗
Base légale
1
Consent or listed necessity grounds, including legitimate interests unless the data subject would not reasonably expect the processing.s.25(1)-(2) · source ↗
Consentement
2
Consent must be freely given, specific, informed and unambiguous; silence is not consent and the controller bears the burden of proof.s.26; s.65 · source ↗
Données sensibles
2
Sensitive data (genetic, biometric, health, religion, politics, ethnicity, sex life, union membership) needs specific consent or a listed ground.s.30; s.65 · source ↗
Enfants
3
Age 18 (Child's Rights Act). Parental or guardian consent with age verification; regulations pending for electronic services to children 13 and over.s.31(1)-(5); s.65 · source ↗
Droits des personnes
Droits
3
Access, copy, rectification, erasure, restriction, portability, objection (absolute for direct marketing) and safeguards against solely automated decisions.ss.34-38 · source ↗
Délai de réponse aux demandes
0
No fixed number of days; requests must be handled without constraint or unreasonable delay.s.34(1); GAID Art. 49(2) · source ↗
Marketing
3
Consent is required for any direct marketing; objection to direct marketing is absolute.GAID Art. 18(1)(a); s.36(4) · source ↗
Gouvernance
DPO requis
2
Data controllers and processors of major importance must designate a DPO; low thresholds (over 200 data subjects in six months) capture many firms.s.32(1); GAID Arts. 7(i), 11 · source ↗
Qualifications du DPO
3
Expert knowledge required; NDPC keeps a database of certified DPOs with annual credential assessment, CPD points, and Commission-accredited DPOs signing DPIAs.s.32(1); GAID Arts. 14, 28(4); CPD Guidance Notice (26 June 2026) · source ↗
No single certification named as mandatory; IIM is NDPC-licensed to certify.
Enregistrement
2
Controllers and processors of major importance must register, with fees of N10,000-250,000 by tier; ordinary-tier entities renew annually.s.44; GAID Art. 9; Registration Guidance Notice (Feb 2024) · source ↗
DPIA
3
DPIA required before high-risk processing; mandatory for listed cases such as profiling, sensitive data and cross-border transfers, and filed with the Commission.s.28; GAID Art. 28(3), (5) · source ↗
Registres
2
GAID defines a Record of Processing Activities; DPO reports feed into it and it is checked in the annual compliance audit.GAID Arts. 13(2)-(3), 52; s.40(8) · source ↗
No standalone RoPA content rules seen in GAID.
Conservation
3
Without a statutory period, storage must end within six months after the purpose is accomplished.s.24(1)(d); GAID Art. 49(3)-(4) · source ↗
Violations
Informer le régulateur
2
Notify the Commission within 72 hours of becoming aware of a breach likely to risk individuals' rights.s.40(2); GAID Art. 33(1) · source ↗
Information des personnes
3
Notify affected data subjects immediately where high risk under the Act; GAID requires notice immediately after becoming aware.s.40(3); GAID Art. 33(3) · source ↗
Act ties notice to high risk; GAID wording is broader.
Transferts
Transferts à l’étranger
2
Transfers need an adequate level of protection in the destination or a listed basis such as informed consent.ss.41-43; GAID Art. 45, Schedule 5 · source ↗
Localisation
0
No general localization rule in the NDPA or GAID.ss.41-43 · source ↗
Sectoral rules (for example, ICT local content guidelines) may require local hosting; not verified.
Application
Amende maximale
3
Greater of N10 million or 2% of prior-year annual gross revenue for entities of major importance; N2 million or 2% for others.s.48(4)-(5) · source ↗
Responsabilité pénale
2
Failing to comply with Commission orders is an offense with fines or up to one year in prison; principal officers are deemed culpable.ss.49, 53 · source ↗
Action privée
2
Data subjects who suffer injury, loss or harm may sue for damages; the Commission can also order compensation.s.51; s.48(2) · source ↗
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Bibliothèque des réglementations
Toutes les lois des États américains sur la vie privée, sur une seule carte
24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.
- En vigueur
- Entrée en vigueur prochaine
- Lois sectorielles