|
1.
|
¿Regula la SEC o NITDA a las organizaciones de cumplimiento de protección de datos (DPCO)?
|
Están reguladas por NITDA
|
|
2.
|
¿Cómo se espera que los CMO restrinjan el acceso de su personal a los datos de los clientes?
|
Minimizando los datos de clientes visibles para todo el personal y dando acceso al personal de confianza que realmente tenga derecho a conocerlos
|
|
3.
|
¿Necesita un CMO autorización de la SEC o NITDA para un proyecto de migración de datos?
|
NITDA exige que se indique en el informe de auditoría o se comunique si los datos se trasladan a un país fuera de la lista de países autorizados
|
|
4.
|
Las DPCO aprobadas por NITDA promueven reducir los datos de conocimiento del cliente (KYC) recopilados por los CMO. Esto contradice las normas vigentes de AML/CFT de la SEC, así como la MLPA y la TPA. ¿Cómo deben los CMO afrontar estas leyes y normas contradictorias?
|
La SEC y NITDA colaborarán para revisar el valor de los conjuntos de datos recopilados y decidir qué formularios deben actualizarse. Hasta entonces, los CMO deberían garantizar el pleno cumplimiento de las normas y reglamentos vigentes.
|
|
5.
|
¿Cuánto tiempo deben conservarse los datos de antiguos clientes?
|
El NDPR no establece un plazo específico, pero su marco de aplicación ofrece orientación. El conjunto de herramientas propuesto para la protección de datos del mercado de capitales abordaría esta cuestión.
|
|
6.
|
¿Cómo gestiona NITDA los incidentes de violación de datos y hay casos notificados?
|
El marco de aplicación del NDPR describe el proceso de gestión de violaciones, acorde con los requisitos constitucionales de audiencia imparcial. Sí, hay casos notificados.
|
|
7.
|
La normativa de NITDA solo se aplica a personas físicas. ¿Qué ocurre con las entidades societarias?
|
Las leyes de protección de datos se refieren a personas físicas. Otras leyes, como CAMA, la Ley de Ciberdelitos de 2015 y la Ley de Libertad de Información, tratan otros tipos de datos
|
|
8.
|
¿Puede nombrarse delegado de protección de datos al actual responsable de cumplimiento de un CMO?
|
Sí, pero deben considerarse los conflictos de intereses, la eficiencia y la capacidad de conservar la confianza de la alta dirección en el puesto.
|
|
9.
|
¿Cuál es el requisito mínimo de NITDA para que un CMO designe un delegado de protección de datos (DPO)?
|
El marco lo establece. Los CMO deberían considerar a personas con formación jurídica o tecnológica e interés y competencias en cumplimiento normativo
|
|
10.
|
¿Deben los DPO registrarse ante NITDA?
|
No. Sin embargo, pueden incorporarse a la lista de correo de DPO para recibir novedades sobre eventos y avances de NITDA
|
|
11.
|
¿Cómo se obtiene la certificación de DPO?
|
Realizando cursos de certificación nacionales o internacionales, como NDPR, GDPR, etc.
|
|
12.
|
¿Puede un delegado de protección de datos prestar servicios a empresas de un mismo grupo?
|
Sí
|
|
13.
|
¿Qué implica incumplir el plazo de la auditoría de protección de datos?
|
Constituye una infracción del NDPR. No presentar la auditoría también impide figurar en la lista anual de empresas que cumplen el NDPR
|
|
14.
|
¿Quién está habilitado para realizar una auditoría de cumplimiento de protección de datos?
|
Una organización de cumplimiento de protección de datos
|
|
15.
|
¿Intervendrá NITDA ante las tasas excesivas que cobran las DPCO?
|
La SEC puede intervenir. Sin embargo, es un mercado competitivo. Actualmente hay 70 entidades autorizadas.
|
|
16.
|
¿Es obligatorio contratar una DPCO si la organización tiene un experto certificado en políticas de protección de datos?
|
Sí. Las DPCO deben verificar los informes de auditoría antes de presentarlos ante NITDA.
|
|
17.
|
¿Deben todas las organizaciones presentar informes de auditoría ante NITDA con independencia del número de datos tratados?
|
Solo deben presentarlos las organizaciones que tratan datos de más de 2,000 personas al año.
|
|
18.
|
¿Debe un CMO realizar una auditoría de datos si tiene más de 2000 interesados pero ha tratado los datos de menos de 1000 durante un año?
|
Sí. Según el artículo 1.3 del NDPR, el «almacenamiento» constituye tratamiento.
|
|
19.
|
¿Cómo deben los CMO interpretar el término «trata» del apartado 3.1.6 del Reglamento? ¿Se refiere a todos los datos de clientes de su base de datos o solo al subconjunto que haya generado actividad transaccional durante el período?
|
El NDPR define «tratamiento» como cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, por medios automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión u otra habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
|
|
20.
|
¿Qué pasos específicos deben seguirse para cumplir el Reglamento?
|
Revisar el Reglamento y su marco y contratar una DPCO para obtener orientación
|
|
21.
|
El Reglamento insiste en la recopilación y el tratamiento de datos, pero no aborda suficientemente su conservación. ¿Por qué?
|
La conservación de datos está sujeta a diversas leyes e instrucciones sectoriales. El NDPR no pretende sustituir principios establecidos y operativos, sino cubrir sus lagunas de forma armonizada con las normas existentes.
|
|
22.
|
Si NITDA indica en sus instalaciones que «al entrar, acepta el uso de sus datos personales», ¿constituye una razón válida para recopilar datos personales?
|
Sí. Se pretende obtener el consentimiento. Como utilizamos cámaras de videovigilancia y otras tecnologías que tratan automáticamente datos personales, el consentimiento es esencial para esas actividades.
|
|
23.
|
¿Cuál es el alcance del cumplimiento de protección de datos para un CMO típico? ¿La obligación se limita a los clientes incorporados que figuran en sus bases de datos o registros?
|
Incluye a los visitantes de su sitio web y oficinas y a los asistentes a sus programas cuyos datos recopila para su actividad. La lista no es exhaustiva
|
|
24.
|
¿Se aplica el NDPR a ministerios, gobiernos estatales y locales y organismos públicos?
|
Sí
|
|
25.
|
¿Es el NDPR también aplicable a los inversores de cartera no residentes y pueden estos exigir su cumplimiento?
|
Sí. Si la ISA y la NIPC los consideran inversores, también pueden disfrutar de la protección de datos en Nigeria.
|
|
26.
|
El interés legítimo sigue siendo la base jurídica más flexible para muchos responsables del tratamiento. Conforme al GDPR, las autoridades públicas no pueden utilizarlo para legitimar el tratamiento realizado en el ejercicio de sus funciones, salvo que mantengan un registro de su evaluación. ¿Permite el NDPR que el tratamiento basado en intereses legítimos esté sujeto al derecho de oposición cuando existan motivos imperiosos?
|
El NDPR exige que el tratamiento sea legítimo y legal, pero no establece expresamente el interés legítimo del responsable como base jurídica. Según el GDPR, puede ser una base por uno de 3 motivos: prevención del fraude, seguridad de la información e investigación o prevención de delitos o amenazas. Por tanto, no es una autorización ilimitada para que los responsables del tratamiento hagan cualquier cosa
|
|
27.
|
¿Permite el Reglamento recopilar datos personales sensibles?
|
Sí
|
|
28.
|
¿Cómo aborda NITDA las violaciones de datos derivadas de aplicaciones o servidores en la nube ubicados en centros de datos de regiones que no cumplen plenamente el GDPR de la UE o el NDPR?
|
Se aplicaría el Reglamento. Los cómplices locales responderían hasta concluir los procedimientos jurídicos internacionales
|
|
29.
|
¿Alojar datos en la nube fuera de Nigeria constituye una transferencia a una jurisdicción extranjera?
|
Sí. La ley lo reconoce y establece disposiciones adecuadas para no obstaculizar los servicios en la nube
|
|
30.
|
¿Los SMS publicitarios no solicitados de operadores móviles infringen el NDPR?
|
Sí. Pero debe asegurarse de no haber dado su consentimiento en ningún momento
|
|
31.
|
¿Dónde pueden encontrarse las directrices del NDPR?
|
En www.nitda.gov.ng, acceda a la sección Normativa
|
|
32.
|
¿Creará NITDA un registro, como el del ICO, con las organizaciones que hayan cumplido la auditoría? Esto ayudaría a comprobar su cumplimiento antes de compartir datos.
|
Sí. Se publicaría a más tardar en agosto de 2020
|
|
33.
|
¿Regula NITDA a los encargados del tratamiento? ¿Cómo sabe un CMO que su proveedor tiene buenos antecedentes de tratamiento y protección de datos?
|
Sí. Solicite información sobre su situación de cumplimiento
|
|
34.
|
En una oferta de valores (bonos, acciones, etc.), ¿la evaluación de impacto de protección de datos se realiza sobre el CMO o los posibles suscriptores?
|
Sobre el emisor, los CMO que sean partes de la oferta y cualquier otro componente de datos fundamental de esta
|
|
35.
|
¿Se requiere el consentimiento del cliente para que un CMO utilice internamente inteligencia artificial para elaborar perfiles y predecir sus necesidades?
|
Sí. El consentimiento es la única base aceptable para elaborar perfiles automatizados
|
|
36.
|
Si un CMO utiliza agentes para comercializar sus productos, ¿también deben auditarse por tener acceso a datos de clientes?
|
Se espera que el CMO celebre un acuerdo de tratamiento de datos para garantizar que cumplan el NDPR. Puede seguir respondiendo por las infracciones de sus agentes
|
|
37.
|
¿Cómo podemos vincular de forma segura, como país, las direcciones IP a su origen para facilitar el seguimiento y la pista de auditoría?
|
La tecnología existe y sigue desarrollándose
|
|
38.
|
¿Puede NITDA proporcionar una plantilla o marco para los informes de auditoría de cumplimiento que deben presentar las personas sujetas al NDPR?
|
SÍ. Lo hemos incluido en el marco
|
|
39.
|
¿Cómo deben los CMO presentar los informes de auditoría?
|
A través de una DPCO
|
|
40.
|
¿Proporcionará NITDA apoyo técnico a los CMO para garantizar uniformidad en el tratamiento de datos?
|
Colaboramos con reguladores sectoriales como la SEC y esperamos que los CMO contraten DPCO para apoyar la aplicación
|
|
41.
|
¿Dónde se obtiene la lista de DPCO aprobadas?
|
https://nitda.gov.ng/wp-content/uploads/2020/06/DPCO-LIST-V4.418.6.20.pdf
|
|
42.
|
¿Qué hace NITDA para prevenir los ataques informáticos y robos en línea?
|
Asesoramiento, sensibilización e intercambio de información con partes interesadas públicas y privadas, entre otras medidas.
|
|
43.
|
¿Responde un empleador por la divulgación no autorizada de datos de clientes por su personal?
|
Sí
|
|
44.
|
¿Tiene NITDA planes para promover la minimización de datos?
|
Ya lo estamos haciendo
|
|
45.
|
Si un CMO solo asesora a los clientes del grupo y depende de sus clientes y prácticas de privacidad y protección de datos, ¿debe auditar esas mismas prácticas si el grupo ya lo ha hecho? En este supuesto, el grupo y el CMO tienen nombres societarios distintos.
|
Si el informe del grupo detalla de forma específica y exhaustiva las actividades de tratamiento de la filial y su relación, SÍ. En caso contrario, conviene que la filial realice su auditoría. Esta posición sigue estudiándose y el organismo adoptará una postura definitiva tras consultar a las partes interesadas pertinentes
|
|
46.
|
¿Colabora NITDA con los operadores GSM para garantizar la seguridad de los datos personales que custodian?
|
Sí
|
|
47.
|
¿En qué situación está el proyecto de marco de aplicación? ¿Cuándo estará operativo?
|
Tras la aprobación del honorable ministro de Comunicaciones y Economía Digital
|
|
48.
|
¿Pueden utilizarse datos personales de personas u organizaciones para localizar a participantes en actividades fraudulentas y adoptar medidas disciplinarias?
|
Sí. Sobre la base del interés público y jurídico
|
|
49.
|
En relación con el artículo 3.1(7c) del NDPR sobre la finalidad específica, ¿qué medidas ha adoptado NITDA para evitar desviar información obtenida originalmente para un fin determinado?
|
NITDA ha emitido la ley, sensibiliza, proporciona apoyo y trabaja en su aplicación. Necesitamos la participación de todas las partes interesadas, porque se trata de la percepción económica y social que tienen de nosotros los inversores y otros interesados, más allá de NITDA
|
|
50.
|
¿Se requiere el consentimiento del interesado para compartir datos en el marco de la colaboración de la Unión Africana?
|
Sí, conforme al Convenio de Malabo
|
|
51.
|
Si un CMO ha tomado las precauciones habituales de ciberseguridad y capacidad interna, ¿queda exonerado si aun así sufre un ataque y se roban los datos personales de clientes, o es una infracción de responsabilidad objetiva?
|
Una violación de datos genera responsabilidad objetiva; sin embargo, las medidas adoptadas por la entidad influirán en los órganos administrativos y judiciales al decidir las sanciones.
|
|
52.
|
¿Puede una persona física ser responsable del tratamiento?
|
Sí, especialmente si el tratamiento se realiza con fines comerciales.
|