CBN daje bankom i fintechom 6 miesięcy na przechowywanie danych transakcyjnych klientów w Nigerii

Centralny Bank Nigerii (CBN) nakazał wszystkim instytucjom finansowym i operatorom płatności przechowywanie oraz zarządzanie danymi transakcji płatniczych generowanych w Nigerii na lokalnych serwerach, dając branży czas do 1 stycznia 2027 r. na osiągnięcie pełnej zgodności.

Dyrektywa, zawarta w okólniku podpisanym przez Rakiyę O. Yusuf, Dyrektora Departamentu Nadzoru nad Systemami Płatności, została skierowana do banków depozytowo-kredytowych, banków mikrofinansowych, operatorów mobilnych pieniędzy, firm switchingowych i przetwarzających, dostawców usług terminali płatniczych, dostawców rozwiązań płatniczych, super agentów oraz innych licencjonowanych operatorów płatności.

CBN stwierdził, że wymóg lokalizacji danych musi być zgodny z nigeryjskimi przepisami i regulacjami dotyczącymi ochrony danych, oraz że będzie monitorować przestrzeganie przepisów i nakładać sankcje nadzorcze tam, gdzie będzie to konieczne.

Okólnik, oznaczony numerem referencyjnym PSS/DIR/PUB/CIR/001/004 i datowany na 15 czerwca 2026 r., wprowadził również wymogi dotyczące struktury rynku, które ograniczają udział w rynku dowolnej pojedynczej instytucji w działalności wydawania kart lub akwizycji merchantów do 25%, z dodatkowym ograniczeniem, że podmiot przekraczający ten próg nie może jednocześnie posiadać więcej niż 15% w drugiej działalności.

Dotknięte instytucje muszą zastosować się do przepisów dotyczących struktury rynku do 31 grudnia 2026 r., dzień przed wejściem w życie terminu lokalizacji danych.

CBN stwierdził, że szerszy pakiet środków został zaprojektowany w celu ograniczenia ryzyka koncentracji, poprawy przejrzystości oraz promowania sprawiedliwego i odpornego ekosystemu płatności, zwracając uwagę, że szybki wzrost płatności cyfrowych wytworzył operatorów o znaczącej obecności rynkowej w kluczowych obszarach działalności płatniczej w sposób budzący obawy strukturalne.

Okólnik wymaga również, aby wszystkie instytucje finansowe posiadające cyfrowy ślad w obszarze płatności ujawniały ostatecznego właściciela rzeczywistego znaczących akcjonariuszy, prowadząc dokładne i aktualne rejestry dostępne dla CBN na żądanie.

Przeczytaj również: CBN PSV 2028: Jak Nigeria używa eNaira i stablecoinów, aby objąć usługami bankowymi 50 milionów ludzi

Ile naprawdę kosztowałoby lokalne przechowywanie danych?

Wymóg lokalizacji danych pojawia się w momencie, gdy krajobraz infrastruktury cyfrowej Nigerii nadal nie nadąża za wolumenem transakcji, które branża płatności już przetwarza.

W przypadku instytucji, które obecnie korzystają z zagranicznej infrastruktury chmurowej — czy to za pośrednictwem globalnych hiperskalerów, takich jak AWS, Google Cloud czy Microsoft Azure — zgodność będzie oznaczać albo migrację obciążeń do lokalnych centrów danych, albo negocjowanie lokalnych stref dostępności z tymi samymi dostawcami, z których żadna opcja nie jest prostym ani tanim przedsięwzięciem.

Koszty dzielą się na co najmniej trzy kategorie.

• Pierwsza to nakłady inwestycyjne, obejmujące fizyczną lub kontraktową lokalną pojemność przechowywania, której wiele mniejszych fintechów, banków mikrofinansowych i dostawców rozwiązań płatniczych obecnie nie posiada i nie może łatwo wchłonąć.
• Druga to koszty operacyjne, obejmujące bieżące zarządzanie, certyfikację bezpieczeństwa oraz wymogi audytowe, jakie wprowadza lokalne hostowanie danych.
• Trzecia i najmniej widoczna to ryzyko przejścia — okres od teraz do stycznia 2027 r., w którym instytucje muszą migrować bieżące dane transakcyjne bez zakłócania infrastruktury płatniczej, od której codziennie zależy miliony Nigeryjczyków.

Dla większych instytucji posiadających istniejącą infrastrukturę technologiczną czas do stycznia 2027 r. jest możliwy do zagospodarowania, choć nie komfortowy.

Gubernator CBN, Yemi Cardoso

Dla długiego ogona licencjonowanych operatorów, w tym super agentów i mniejszych firm switchingowych, dyrektywa de facto uruchamia zegar zgodności bez towarzyszących ram dotyczących tego, jak koszty zostaną pokryte ani czy dostępna będzie jakakolwiek pomoc techniczna.

Podejście CBN, skoncentrowane na suwerenności danych i nadzorze regulacyjnym, jest uzasadnione i odzwierciedla podobne działania regulatorów w Indiach, Kenii i innych krajach kontynentu.

Praktyczne pytanie brzmi, czy lokalny rynek centrów danych, nadal zdominowany przez ograniczoną liczbę dostawców, może się wystarczająco szybko skalować i w wystarczająco konkurencyjnych cenach, aby obsłużyć pełen zakres ekosystemu płatności przed upływem terminu.

Okólnik nie odpowiada na pytanie, czy instytucje będą mogły korzystać z międzynarodowych dostawców chmury obsługujących lokalne strefy dostępności w Nigerii jako zgodnej infrastruktury — jest to rozróżnienie, które mogłoby znacząco zmienić rachunek kosztów dla większości branży i które CBN prawdopodobnie będzie musiał wyjaśnić, zanim planowanie zgodności będzie mogło przebiegać z jakąkolwiek precyzją.