Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
Regulamentações › Resto do mundo › Nigéria
NDPA (Nigéria)
Nigeria Data Protection Act, 2023
QuandoSancionada em junho de 2023
Quem fiscalizaComissão de Proteção de Dados da Nigéria (NDPC)
A quem se aplicaControladores e operadores na Nigéria ou que tratam dados de pessoas na Nigéria.
Avisar o reguladorNotificar a Comissão em até 72 horas após tomar conhecimento de uma violação que possa representar risco aos indivíd…
DPO obrigatórioControladores e operadores de grande importância devem designar um DPO; limites baixos (mais de…
RegistroControladores e operadores de grande importância devem se registrar, com taxas de N10,000-250,000 por…
Transferências para o exteriorTransferências exigem nível adequado de proteção no destino ou uma base listada, como in…
Prazo para solicitaçõesSem número fixo de dias
Multa máximaO maior entre N10 milhões ou 2% da receita bruta anual do ano anterior, para entidades de grande importância
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Alcance e base legal
Alcance extraterritorial
3
Applies to controllers and processors outside Nigeria processing personal data of data subjects in Nigeria.s.2(2)(c) · source ↗
Base legal
1
Consent or listed necessity grounds, including legitimate interests unless the data subject would not reasonably expect the processing.s.25(1)-(2) · source ↗
Consentimento
2
Consent must be freely given, specific, informed and unambiguous; silence is not consent and the controller bears the burden of proof.s.26; s.65 · source ↗
Dados sensíveis
2
Sensitive data (genetic, biometric, health, religion, politics, ethnicity, sex life, union membership) needs specific consent or a listed ground.s.30; s.65 · source ↗
Crianças
3
Age 18 (Child's Rights Act). Parental or guardian consent with age verification; regulations pending for electronic services to children 13 and over.s.31(1)-(5); s.65 · source ↗
Direitos das pessoas
Direitos
3
Access, copy, rectification, erasure, restriction, portability, objection (absolute for direct marketing) and safeguards against solely automated decisions.ss.34-38 · source ↗
Prazo para solicitações
0
No fixed number of days; requests must be handled without constraint or unreasonable delay.s.34(1); GAID Art. 49(2) · source ↗
Marketing
3
Consent is required for any direct marketing; objection to direct marketing is absolute.GAID Art. 18(1)(a); s.36(4) · source ↗
Governança
DPO obrigatório
2
Data controllers and processors of major importance must designate a DPO; low thresholds (over 200 data subjects in six months) capture many firms.s.32(1); GAID Arts. 7(i), 11 · source ↗
Qualificações do DPO
3
Expert knowledge required; NDPC keeps a database of certified DPOs with annual credential assessment, CPD points, and Commission-accredited DPOs signing DPIAs.s.32(1); GAID Arts. 14, 28(4); CPD Guidance Notice (26 June 2026) · source ↗
No single certification named as mandatory; IIM is NDPC-licensed to certify.
Registro
2
Controllers and processors of major importance must register, with fees of N10,000-250,000 by tier; ordinary-tier entities renew annually.s.44; GAID Art. 9; Registration Guidance Notice (Feb 2024) · source ↗
DPIA
3
DPIA required before high-risk processing; mandatory for listed cases such as profiling, sensitive data and cross-border transfers, and filed with the Commission.s.28; GAID Art. 28(3), (5) · source ↗
Registros
2
GAID defines a Record of Processing Activities; DPO reports feed into it and it is checked in the annual compliance audit.GAID Arts. 13(2)-(3), 52; s.40(8) · source ↗
No standalone RoPA content rules seen in GAID.
Retenção
3
Without a statutory period, storage must end within six months after the purpose is accomplished.s.24(1)(d); GAID Art. 49(3)-(4) · source ↗
Violações
Avisar o regulador
2
Notify the Commission within 72 hours of becoming aware of a breach likely to risk individuals' rights.s.40(2); GAID Art. 33(1) · source ↗
Informar as pessoas
3
Notify affected data subjects immediately where high risk under the Act; GAID requires notice immediately after becoming aware.s.40(3); GAID Art. 33(3) · source ↗
Act ties notice to high risk; GAID wording is broader.
Transferências
Transferências para o exterior
2
Transfers need an adequate level of protection in the destination or a listed basis such as informed consent.ss.41-43; GAID Art. 45, Schedule 5 · source ↗
Localização de dados
0
No general localization rule in the NDPA or GAID.ss.41-43 · source ↗
Sectoral rules (for example, ICT local content guidelines) may require local hosting; not verified.
Fiscalização
Multa máxima
3
Greater of N10 million or 2% of prior-year annual gross revenue for entities of major importance; N2 million or 2% for others.s.48(4)-(5) · source ↗
Responsabilidade criminal
2
Failing to comply with Commission orders is an offense with fines or up to one year in prison; principal officers are deemed culpable.ss.49, 53 · source ↗
Ação privada
2
Data subjects who suffer injury, loss or harm may sue for damages; the Commission can also order compensation.s.51; s.48(2) · source ↗
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Biblioteca de regulamentações
Todas as leis estaduais de privacidade dos EUA em um só mapa
24 estados têm uma lei abrangente de privacidade na biblioteca, ao lado das leis da UE, do Reino Unido, federais dos EUA e globais: 102 no total, cada uma explicada em linguagem simples com suas fontes. Selecione um estado para ver o que se aplica lá.
- Em vigor
- Entrando em vigor
- Leis setoriais