|
1.
|
Werden Datenschutz-Compliance-Organisationen (DPCOs) von der SEC oder NITDA reguliert?
|
Sie werden von NITDA reguliert.
|
|
2.
|
Wie sollen Kapitalmarktanbieter den Zugriff ihrer Mitarbeiter auf Kundendaten beschränken?
|
Beschränken Sie die für alle Mitarbeiter sichtbaren Kundendaten und gewähren Sie Zugriff nur vertrauenswürdigen Mitarbeitern mit berechtigtem Informationsbedarf.
|
|
3.
|
Benötigt ein Kapitalmarktanbieter für ein Datenmigrationsprojekt eine Genehmigung der SEC oder NITDA?
|
NITDA verlangt die Angabe im Prüfbericht oder eine Mitteilung bei Übermittlung in ein Land außerhalb der Liste zugelassener Länder.
|
|
4.
|
Von NITDA zugelassene DPCOs drängen auf weniger KYC-Daten bei Kapitalmarktanbietern. Dies widerspricht geltenden SEC-AML/CFT-Regeln sowie MLPA und TPA. Wie sollen Kapitalmarktanbieter mit diesen widersprüchlichen Vorschriften und Gesetzen umgehen?
|
SEC und NITDA werden gemeinsam den Nutzen der erhobenen Datensätze prüfen und über erforderliche Formularänderungen entscheiden. Bis dahin müssen Kapitalmarktanbieter die geltenden Vorschriften vollständig einhalten.
|
|
5.
|
Wie lange sind Daten ehemaliger Kunden aufzubewahren?
|
Die NDPR nennt keine konkrete Dauer; ihr Umsetzungsrahmen bietet jedoch Orientierung. Das geplante Datenschutzinstrumentarium für den Kapitalmarkt soll diese Frage behandeln.
|
|
6.
|
Wie behandelt NITDA Datenschutzverletzungen, und wurden Fälle gemeldet?
|
Der NDPR-Umsetzungsrahmen beschreibt das Verfahren bei Verletzungen. Es entspricht den verfassungsrechtlichen Anforderungen an rechtliches Gehör. Ja, es gibt gemeldete Fälle.
|
|
7.
|
Die NITDA-Verordnung gilt nur für natürliche Personen. Was gilt für juristische Personen?
|
Datenschutzgesetze betreffen natürliche Personen. Andere Gesetze wie CAMA, Cybercrimes Act, 2015 und Freedom of Information Act regeln weitere Datenarten.
|
|
8.
|
Kann der derzeitige Compliance-Beauftragte eines Kapitalmarktanbieters zum Datenschutzbeauftragten bestellt werden?
|
Ja. Interessenkonflikte, Effizienz und die Fähigkeit, das Vertrauen der obersten Leitung in dieser Funktion zu bewahren, sind jedoch zu berücksichtigen.
|
|
9.
|
Welche Mindestanforderungen stellt NITDA an die Bestellung eines Datenschutzbeauftragten (DPO) durch einen Kapitalmarktanbieter?
|
Der Rahmen regelt dies. Kapitalmarktanbieter sollten Personen mit juristischem oder IT-Hintergrund und Interesse sowie Kompetenz in regulatorischer Compliance berücksichtigen.
|
|
10.
|
Müssen sich Datenschutzbeauftragte bei NITDA registrieren?
|
Nein. Sie können sich jedoch in den DPO-E-Mail-Verteiler aufnehmen lassen, um NITDA-Informationen zu Veranstaltungen und Entwicklungen zu erhalten.
|
|
11.
|
Wie wird man als Datenschutzbeauftragter zertifiziert?
|
Durch nationale oder internationale Zertifizierungskurse, etwa zu NDPR oder DSGVO.
|
|
12.
|
Kann ein Datenschutzbeauftragter mehrere Unternehmen derselben Gruppe betreuen?
|
Ja
|
|
13.
|
Welche Folgen hat die Nichteinhaltung der Frist für die Datenschutzprüfung?
|
Dies ist ein NDPR-Verstoß. Ohne Einreichung wird die Organisation außerdem für das betreffende Jahr nicht in die Liste NDPR-konformer Unternehmen aufgenommen.
|
|
14.
|
Wer darf eine Datenschutz-Compliance-Prüfung durchführen?
|
Eine Datenschutz-Compliance-Organisation
|
|
15.
|
Wird NITDA wegen der überhöhten Gebühren von DPCOs eingreifen?
|
Die SEC kann hier eingreifen. Es handelt sich jedoch um einen Wettbewerbsmarkt mit derzeit 70 zugelassenen Anbietern.
|
|
16.
|
Muss eine Organisation eine DPCO beauftragen, wenn sie einen zertifizierten Datenschutzexperten hat?
|
Ja. DPCOs müssen Prüfberichte vor Einreichung bei NITDA überprüfen.
|
|
17.
|
Müssen alle Organisationen unabhängig von der verarbeiteten Datenmenge einen Prüfbericht bei NITDA einreichen?
|
Nur Organisationen, die jährlich Daten von mehr als 2,000 betroffenen Personen verarbeiten, müssen den Bericht einreichen.
|
|
18.
|
Soll ein Kapitalmarktanbieter eine Datenprüfung durchführen, wenn er mehr als 2000 betroffene Personen erfasst, aber innerhalb eines Jahres weniger als 1000 davon bearbeitet hat?
|
Ja. Denn „Speicherung“ ist nach Art. 1.3 der NDPR eine Verarbeitung.
|
|
19.
|
Wie sollen Kapitalmarktanbieter „verarbeitet“ in Unterabschnitt 3.1.6 der Verordnung auslegen? Sind sämtliche Kundendaten der Datenbank gemeint oder nur der Teil, der im betreffenden Zeitraum Transaktionsaktivität erzeugt hat?
|
Verarbeitung ist in der NDPR definiert. Sie umfasst jeden mit oder ohne automatisierte Verfahren ausgeführten Vorgang oder jede Vorgangsreihe in Bezug auf personenbezogene Daten oder Datensätze, etwa Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Anpassen oder Ändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder sonstige Bereitstellung, Abgleichen oder Verknüpfen, Einschränken, Löschen oder Vernichten;
|
|
20.
|
Welche konkreten Schritte sind zur Einhaltung der Verordnung erforderlich?
|
Prüfen Sie die Verordnung und ihren Rahmen und ziehen Sie eine DPCO zur Beratung hinzu.
|
|
21.
|
Warum betont die Verordnung Datenerhebung und -verarbeitung so stark, behandelt die Datenaufbewahrung jedoch nicht ausreichend?
|
Datenaufbewahrung unterliegt verschiedenen Gesetzen und Branchenvorgaben. Die NDPR soll bewährte funktionierende Grundsätze nicht ersetzen, sondern bestehende Lücken im Einklang mit geltenden Regeln schließen.
|
|
22.
|
Wenn NITDA am Eingang erklärt: „Mit dem Betreten dieser Räumlichkeiten stimmen Sie der Nutzung Ihrer personenbezogenen Daten zu“ – ist dies ein Grund für die Erhebung personenbezogener Daten?
|
Ja. Damit soll eine Einwilligung eingeholt werden. Da wir Videoüberwachung und andere Technologien zur automatisierten Verarbeitung personenbezogener Daten verwenden, ist eine Einwilligung für diese Verarbeitung wesentlich.
|
|
23.
|
Welchen Umfang hat Datenschutz-Compliance bei einem typischen Kapitalmarktanbieter? Beschränkt sich die Pflicht auf aufgenommene Kunden in seinen Datenbanken oder Unterlagen?
|
Sie umfasst auch Besucher Ihrer Website und Geschäftsräume sowie Teilnehmer Ihrer Veranstaltungen, deren Daten Sie geschäftlich erheben. Die Aufzählung ist nicht abschließend.
|
|
24.
|
Gilt die NDPR für Ministerien, Bundesstaaten, Kommunen und staatliche Einrichtungen?
|
Ja
|
|
25.
|
Gilt die NDPR auch für nicht ansässige Portfolioanleger, und können diese sie durchsetzen?
|
Ja. Wenn ISA und NIPC sie als Anleger betrachten, können sie auch die Vorteile des nigerianischen Datenschutzrechts beanspruchen.
|
|
26.
|
Berechtigte Interessen sind für die meisten Verantwortlichen die flexibelste Rechtsgrundlage. Nach der DSGVO können Behörden ihre aufgabenbezogene Datenverarbeitung nicht darauf stützen, sofern sie ihre Bewertung nicht dokumentieren. Gewährt die NDPR bei Verarbeitung auf Grundlage berechtigter Interessen ein Widerspruchsrecht aus zwingenden Gründen?
|
Die NDPR verlangt rechtmäßige und gesetzeskonforme Verarbeitung, nennt das berechtigte Interesse des Verantwortlichen jedoch nicht ausdrücklich als Rechtsgrundlage. Nach der DSGVO kann ein berechtigtes Interesse auf einem von 3 Gründen beruhen: Betrugsprävention, Informationssicherheit sowie Untersuchung oder Verhinderung von Straftaten oder Bedrohungen. Es ist daher kein Freibrief für beliebige Verarbeitung.
|
|
27.
|
Erlaubt die Verordnung die Erhebung sensibler personenbezogener Daten?
|
Ja
|
|
28.
|
Wie behandelt NITDA Datenschutzverletzungen beim Einsatz einer Anwendung/eines Servers in einer Cloud in einem Rechenzentrum einer Region, die EU-DSGVO oder NDPR nicht vollständig einhält?
|
Die Verordnung findet Anwendung. Lokale Mittäter werden bis zum Abschluss internationaler Rechtsverfahren zur Verantwortung gezogen.
|
|
29.
|
Gilt die Speicherung in einer Cloud außerhalb Nigerias als Datenübermittlung in eine ausländische Rechtsordnung?
|
Ja. Das Gesetz erkennt dies an und enthält geeignete Regelungen, damit Cloud-Dienste nicht behindert werden.
|
|
30.
|
Sind unaufgeforderte Werbe-SMS von Mobilfunkanbietern ein NDPR-Verstoß?
|
Ja. Sie müssen jedoch sicher sein, zu keinem Zeitpunkt eingewilligt zu haben.
|
|
31.
|
Wo finde ich die NDPR-Leitlinien?
|
Unter www.nitda.gov.ng im Bereich „Vorschriften“.
|
|
32.
|
Wird NITDA wie das ICO ein Register der Organisationen erstellen, die die Prüfung erfüllt haben? Dies würde die Pflicht unterstützen, vor Datenweitergabe die Regelkonformität der Unternehmen sicherzustellen.
|
Ja. Es wird bis August 2020 veröffentlicht.
|
|
33.
|
Reguliert NITDA Auftragsverarbeiter? Wie kann ein Kapitalmarktanbieter deren gute Erfahrung mit Verarbeitung und Datenschutz feststellen?
|
Ja. Erkundigen Sie sich nach dem Stand ihrer Regelkonformität.
|
|
34.
|
Wird die Datenschutz-Folgenabschätzung bei einem Wertpapierangebot, etwa Anleihen oder Aktien, für den Kapitalmarktanbieter oder die potenziellen Zeichner durchgeführt?
|
Für den Emittenten, die Kapitalmarktanbieter als Angebotsparteien und jede weitere wesentliche Datenkomponente des Angebots.
|
|
35.
|
Ist Kundeneinwilligung erforderlich, wenn Kapitalmarktanbieter intern künstliche Intelligenz zur Profilbildung und Bedarfsprognose einsetzen?
|
Ja. Einwilligung ist die einzige zulässige Grundlage automatisierter Profilbildung.
|
|
36.
|
Werden auch Vertriebsvertreter eines Kapitalmarktanbieters geprüft, da sie Kundendaten erhalten?
|
Vom Kapitalmarktanbieter wird erwartet, eine Auftragsverarbeitungsvereinbarung zur Gewährleistung der NDPR-Einhaltung abzuschließen. Er kann für ihre Verstöße dennoch mittelbar haften.
|
|
37.
|
Wie können wir als Land IP-Adressen sicher ihrer Ursprungsquelle zuordnen, um Nachverfolgung und Prüfpfade zu erleichtern?
|
Die Technologie ist verfügbar und entwickelt sich weiter.
|
|
38.
|
Kann NITDA eine Vorlage/einen Rahmen für Datenschutzprüfberichte der NDPR-pflichtigen Personen bereitstellen?
|
JA. Dies ist im Rahmen enthalten.
|
|
39.
|
Wie reichen Kapitalmarktanbieter die Prüfberichte ein?
|
Über eine Datenschutz-Compliance-Organisation (DPCO).
|
|
40.
|
Wird NITDA Kapitalmarktanbieter technisch beim Datenschutz unterstützen, um einheitliche Datenhandhabung sicherzustellen?
|
Wir arbeiten mit Branchenaufsichtsbehörden wie der SEC zusammen und erwarten, dass Kapitalmarktanbieter DPCOs zur Umsetzungsunterstützung hinzuziehen.
|
|
41.
|
Wo erhalte ich die Liste zugelassener DPCOs?
|
https://nitda.gov.ng/wp-content/uploads/2020/06/DPCO-LIST-V4.418.6.20.pdf
|
|
42.
|
Was unternimmt NITDA gegen Online-Hacking und Diebstahl?
|
Beratung, Aufklärung und Informationsaustausch mit öffentlichen und privaten Interessengruppen usw.
|
|
43.
|
Haftet ein Arbeitgeber mittelbar für die unbefugte Offenlegung von Kundendaten durch seine Mitarbeiter?
|
Ja
|
|
44.
|
Plant NITDA Maßnahmen zur Förderung der Datenminimierung?
|
Dies tun wir bereits.
|
|
45.
|
Muss ein Kapitalmarktanbieter, der nur Gruppenkunden berät und sich auf die Kunden und Datenschutzpraktiken der Gruppe stützt, dieselben Praktiken erneut prüfen, wenn die Gruppe dies bereits getan hat? Gruppe und Anbieter haben dabei unterschiedliche Firmennamen.
|
Wenn der Gruppenbericht Verarbeitungstätigkeiten des Tochterunternehmens und ihre Beziehung ausdrücklich und vollständig darstellt: JA. Andernfalls sollte das Tochterunternehmen eine eigene Prüfung durchführen. Diese Position wird noch untersucht; nach Konsultation einschlägiger Interessengruppen wird die Behörde endgültig entscheiden.
|
|
46.
|
Arbeitet NITDA mit GSM-Anbietern zum Schutz der bei ihnen verwahrten personenbezogenen Daten zusammen?
|
Ja
|
|
47.
|
Wie ist der Stand des Entwurfs des Umsetzungsrahmens? Wann tritt er in Kraft?
|
Nach Genehmigung durch den ehrenwerten Minister für Kommunikation und digitale Wirtschaft.
|
|
48.
|
Dürfen personenbezogene Daten von Personen/Organisationen zur Ermittlung Beteiligter betrügerischer Aktivitäten für Disziplinarmaßnahmen genutzt werden?
|
Ja, auf Grundlage öffentlicher und rechtlicher Interessen.
|
|
49.
|
Welche Maßnahmen hat NITDA im Hinblick auf die Zweckbindung nach Art. 3.1(7c) der NDPR bisher gegen die zweckwidrige Nutzung ursprünglich erhobener Informationen ergriffen?
|
NITDA hat die Regelung erlassen, schafft Bewusstsein, bietet Unterstützung und arbeitet an der Durchsetzung. Alle Interessengruppen müssen mitwirken, denn betroffen ist nicht nur NITDA, sondern unser wirtschaftliches und gesellschaftliches Ansehen bei Anlegern und anderen Beteiligten.
|
|
50.
|
Ist bei der Zusammenarbeit innerhalb der Afrikanischen Union zum Datenaustausch die Einwilligung der betroffenen Person erforderlich?
|
Ja, nach dem Malabo-Übereinkommen.
|
|
51.
|
Ist ein Kapitalmarktanbieter entlastet, wenn trotz üblicher Vorkehrungen zur Cybersicherheit und internen Kapazität ein Hackerangriff Kundendaten entwendet, oder besteht verschuldensunabhängige Haftung?
|
Datenschutzverletzungen begründen verschuldensunabhängige Haftung. Die getroffenen Maßnahmen werden jedoch von Verwaltungs- und Gerichtsstellen bei der Sanktionsentscheidung berücksichtigt.
|
|
52.
|
Kann eine Einzelperson als Verantwortlicher gelten?
|
Ja, insbesondere bei Verarbeitung zu einem geschäftlichen Zweck.
|