Nigeria : les règles cookies et consentement de la NDPA et du GAID

Quelles sont les règles de protection des données au Nigeria ?

Le Nigeria Data Protection Act, 2023 (NDPA, loi nigériane sur la protection des données), daté du 12 juin 2023 et publié au Journal officiel du 1er juillet 2023, a remplacé la Nigeria Data Protection Regulation 2019 comme principale loi du pays sur la protection des données et a institué la Nigeria Data Protection Commission (NDPC). Sur le fondement de l’article 61 de la loi, la Commission a publié le General Application and Implementation Directive (GAID, directive d’application générale et de mise en œuvre) le 20 mars 2025. La Commission a fixé au 19 septembre 2025 la date de prise d’effet du GAID, et depuis sa publication la NDPC n’applique plus le règlement de 2019 (article 3 du GAID). En cas de conflit entre la loi et le GAID, la loi prévaut.

À qui s’applique la NDPA ?

L’article 2 applique la loi lorsque le responsable de traitement ou le sous-traitant est domicilié, réside ou exerce au Nigeria, lorsque le traitement a lieu au Nigeria, ou lorsqu’un responsable ou un sous-traitant situé hors du Nigeria traite des données personnelles d’une personne concernée au Nigeria. L’article 8 du GAID ajoute qu’« exercer au Nigeria » inclut le fait de cibler des personnes concernées au Nigeria. Un site étranger qui a des visiteurs nigérians est donc couvert. Les données personnelles comprennent les informations qui identifient une personne par un identifiant en ligne (article 65) : les identifiants de cookies et les identifiants publicitaires relèvent de la loi.

Les responsables et sous-traitants « d’importance majeure » (of major importance) ont des obligations supplémentaires : enregistrement auprès de la NDPC, délégué à la protection des données et audits de conformité. Le GAID les classe par niveaux selon le nombre de personnes concernées dont ils traitent les données, avec des frais d’enregistrement qui augmentent avec le niveau.

Les cookies exigent-ils un consentement au Nigeria ?

Oui, à l’exception des cookies nécessaires. L’article 19 du GAID, intitulé « Consent to Cookies and other Tracking Tools » (consentement aux cookies et autres outils de suivi), est l’une des règles cookies les plus précises hors d’Europe :

• l’utilisation de cookies sur un site web ou une autre plateforme numérique exige un consentement, qui doit être libre, éclairé et spécifique ;
• les cookies nécessaires, définis comme ceux qui permettent des fonctions essentielles comme la sécurité, la gestion de la stabilité du réseau et l’accessibilité, n’exigent pas de case à cocher, à condition de ne pas traiter de données sensibles, de données financières ou de données que la personne stocke à titre privé ;
• tous les autres cookies exigent une sélection explicite oui ou non, ou accepter ou refuser, présentée au visiteur ;
• le bandeau doit être bien visible : les visiteurs ne doivent pas avoir à faire défiler la page pour le voir, et chaque outil de suivi doit être signalé dans la partie de la page qui s’affiche en premier ;
• le bandeau doit expliquer clairement les cookies, indiquer leur présence et leur finalité, identifier l’organisme responsable et préciser comment retirer son consentement ;
• tout outil de suivi qui fonctionne comme un cookie est soumis aux mêmes règles.

L’article 7 du GAID ajoute une règle de placement dans la liste des mesures générales de conformité : les notices de confidentialité et de cookies doivent figurer sur la page d’accueil, la notice cookies doit permettre au visiteur d’accepter ou de refuser, et elle doit s’afficher de façon à masquer nettement le centre, la gauche ou la droite de la page d’accueil. Une notice placée en bas de page, où elle risque d’être ignorée, « équivaut à un défaut de transparence » (tantamount to lack of transparency). Une fine barre en pied de page ne suffit donc pas au Nigeria ; une fenêtre ou une modale dans la zone principale, si.

La loi fixe le standard général du consentement. L’article 25 énumère six bases légales : le consentement, le contrat, l’obligation légale, les intérêts vitaux, l’intérêt public et les intérêts légitimes, qui ne sont pas légitimes si la personne ne s’attendrait pas raisonnablement au traitement. L’article 26 fait peser sur le responsable la charge de prouver le consentement, précise que le silence ou l’inactivité ne vaut pas consentement, exige un consentement affirmatif qui ne repose pas sur une confirmation présélectionnée, et impose d’informer la personne de son droit de retrait avant qu’elle consente. L’article 27 énumère les informations à donner avant la collecte, dont la base légale, les destinataires, la durée de conservation et le droit de saisir la NDPC. Le formulaire de plainte type du GAID cite même les « cookies présélectionnés autres que les cookies nécessaires » (preselected cookies apart from necessary cookies) parmi les manquements que les personnes peuvent signaler.

Les données personnelles peuvent-elles quitter le Nigeria ?

L’article 41 autorise un transfert lorsque le destinataire est soumis à une loi, à des règles d’entreprise contraignantes, à des clauses contractuelles, à un code de conduite ou à une certification qui offre une protection adéquate, et le responsable doit consigner la base de chaque transfert. Sans adéquation, l’article 43 autorise les transferts avec le consentement de la personne informée des risques, pour un contrat avec la personne, dans son seul intérêt, pour des motifs importants d’intérêt public, pour des actions en justice ou pour protéger des intérêts vitaux. La plupart des prestataires de mesure d’audience et de publicité traitent les données à l’étranger : la politique de confidentialité doit les nommer, ainsi que la base du transfert.

Quelles sont les sanctions ?

Après une enquête, la NDPC peut ordonner à un responsable de remédier au manquement, d’indemniser les personnes concernées, de rendre compte de ses profits ou de payer une pénalité (article 48). La pénalité peut atteindre le « montant maximal supérieur » (higher maximum amount), soit 10 millions de NGN ou 2 % du chiffre d’affaires annuel brut de l’exercice précédent, le montant le plus élevé étant retenu, pour les responsables et sous-traitants d’importance majeure, et le « montant maximal standard » (standard maximum amount), soit 2 millions de NGN ou 2 %, le plus élevé des deux, pour les autres. Ne pas se conformer à une injonction est une infraction punie d’une amende du même montant, d’un an d’emprisonnement au plus, ou des deux (article 49). Les personnes concernées peuvent aussi demander des dommages-intérêts en justice (article 51).

La NDPC a fait usage de ces pouvoirs. En août 2024, elle a infligé à Fidelity Bank une amende de 555,8 millions de NGN, environ 0,1 % du chiffre d’affaires brut de la banque en 2023, après avoir constaté qu’elle traitait des données personnelles sans consentement éclairé ; selon la presse, les constatations citaient les cookies et l’application de la banque parmi les outils déployés en violation de la loi, et la banque a contesté la décision. En juillet 2025, elle a infligé à MultiChoice Nigeria une amende de 766,2 millions de NGN pour un traitement intrusif et des transferts transfrontaliers des données des abonnés sans garanties adéquates.

Comment Cookiequiet s’y adapte

Le Nigeria ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-le à une liste de pays personnalisée ou affichez le bandeau partout ; le ciblage géographique est inclus dans chaque offre, y compris Free. Pour le Nigeria, choisissez la disposition en fenêtre flottante ou en modale centrée plutôt que la barre en bas de page, puisque le GAID veut la notice dans la zone principale. « Tout accepter » et « Tout refuser » ont le même poids dès le premier écran, rien d’optionnel n’est précoché, les cookies nécessaires restent actifs, le centre de préférences explique chaque catégorie et la façon de retirer son consentement, et le registre des consentements conserve chaque choix comme preuve. Lancez le scanner de cookies pour lister les outils de suivi que l’article 19 veut voir signalés, et consultez le guide du bouton Tout refuser et les tarifs. Ceci n’est pas un conseil juridique.