尼日利亚国家信息技术发展局（NITDA）对某外资金融科技公司将尼日利亚公民数据存储于境外服务器处以罚款案（2024年）

【案件背景】
尼日利亚《尼日利亚数据保护条例》（NDPR）于2019年颁布，2023年正式升级为《尼日利亚数据保护法》（NDPA）。NDPA在跨境数据传输章节之外，授权NITDA对特定类别的个人数据设定本地存储和处理的限制。此外，尼日利亚2019年《国家数字经济政策与战略》明确要求在数字身份、金融包容性等国家战略领域优先使用本地数据中心和数据基础设施。尼日利亚作为非洲最大的数字经济和人口市场（超过2.2亿），近年来吸引了大量国际金融科技公司进入，NITDA将金融科技领域的数据存储本地化列为2024年的重点执法方向。

【违法事实】
NITDA对某国际金融科技公司（在尼日利亚拥有超过800万活跃用户）的调查发现：1）该公司在尼日利亚提供移动支付、小微贷款和数字钱包服务，收集了大量用户的身份信息（含BVN银行验证码）、人脸生物识别数据、金融交易记录和信用评分数据，但上述全部数据的主存储和处理均位于美国AWS和爱尔兰的数据中心；2）该公司虽在尼日利亚设有运营实体和团队，但其技术架构中将尼日利亚仅设为'边缘节点'，核心数据从不落地尼日利亚境内，不符合NDPA第37条关于敏感个人数据应优先在境内处理的指导原则；3）该公司未向NITDA申请并获得将尼日利亚公民的金融敏感数据存储在境外的批准；4）在NITDA的合规自查中，该公司辩称其全球统一技术架构无法为单一市场拆分——NITDA认定该申辩实质上承认了公司根本未将尼日利亚数据本地化纳入技术和商业规划。

【处罚决定】
NITDA依据NDPA对该公司处以2亿奈拉（约合人民币95万元）的行政罚款，同时发出以下整改命令：1）在12个月内在尼日利亚境内建立符合ISO 27001标准的数据存储和处理设施；2）将尼日利亚用户的金融敏感数据（含BVN、生物识别数据）的主存储迁移至尼日利亚境内；3）任命一名常驻尼日利亚的数据保护官（DPO）并向NITDA登记；4）在整改完成前，暂停处理新用户的金融信用数据，仅可维持现有用户的正常交易服务。NITDA警告若未在期限内完成整改，将面临每次违规额外罚款以及业务牌照暂停的风险。

【典型意义】
尼日利亚作为非洲数据保护执法的先行者，本案对在整个非洲大陆运营的数字金融企业具有重要信号意义。第一，NITDA明确拒绝了'统一全球架构'作为不履行本地化义务的抗辩理由——企业需要将本地化的成本和架构纳入在每个市场开展业务的初始商业计划，而非事后补救；第二，在用户量达到数百万级别的金融科技场景中，NITDA将'本地化'要求从建议升级为实质义务，特别是涉及国家数字身份基础设施（BVN）数据时，零容忍态度非常明确；第三，尼日利亚案例也说明，非洲市场虽然此前长期是数据合规的'监管洼地'，但随着NDPA的全面实施和NITDA执法能力的提升，这一局面正在迅速改变，跨国数字企业需要重新评估其非洲市场的数据存储策略。