NIMC affirme héberger localement sa base d'identité nationale

La National Identity Management Commission (NIMC) du Nigeria indique que sa base de données d'identité nationale est hébergée intégralement dans le pays et administrée par ses propres agents, rapporte TechCabal. L'annonce intervient alors que la vérification numérique d'identité pèse de plus en plus sur l'accès aux services publics.

Alvan Ikoku, directeur du Strategic Programme Office de la NIMC, s'est exprimé lors d'un point presse mercredi, pour répondre aux interrogations sur le lieu de stockage des données des Nigérians, sur l'opérateur de l'infrastructure et sur les protections contre les fuites.

Une gestion interne, sans cloud externe

« Elle est gérée par des Nigérians, pas par des prestataires nigérians, par des employés de la NIMC », a déclaré Alvan Ikoku. Il soutient que la commission n'a jamais hébergé ses données d'identité hors du pays, qu'elle ne recourt pas à un hébergement cloud pour sa base principale et qu'elle dispose de systèmes de reprise après sinistre pour maintenir les services en cas de panne.

Selon la NIMC, 142 millions de Nigérians étaient enregistrés pour un National Identification Number à fin septembre 2026. Une fuite exposerait les données personnelles de millions de personnes, tandis qu'une interruption priverait les usagers de services essentiels.

Contrôles d'accès et sanctions

Alvan Ikoku précise que la commission conserve sa base principale en interne et que ses employés, en particulier ceux chargés de l'administration de la base, font l'objet d'un examen continu par les agences de sécurité. Des poursuites judiciaires sont possibles en cas de manquement.

Le contrôle interne de la base centrale ne couvre pas tous les points d'accès aux données d'identité. Des partenaires agréés et des administrations connectées interviennent dans la fourniture des services de vérification, ce qui multiplie les points où l'accès aux informations personnelles doit être encadré.

Le précédent XpressVerify et la gouvernance des accès

Les inquiétudes passées ont porté sur l'accès via les canaux de vérification, et non sur une compromission avérée de la base centrale. En mars 2024, des signalements sur XpressVerify, un site proposant des informations d'identité de Nigérians, avaient soulevé la question de l'origine de son accès. La NIMC avait alors indiqué que XpressVerify n'était pas un partenaire agréé et ordonné une enquête pour déterminer si des agents de vérification autorisés ou leurs sous-licenciés avaient enfreint leurs accords de licence. La Nigeria Data Protection Commission a ensuite précisé que la NIMC avait suspendu l'accès à la base avant de le rétablir partiellement pour les institutions fournissant des services publics essentiels.

Cet épisode illustre la différence entre résidence des données et gouvernance des accès : stocker les identifiants sur une infrastructure locale ne suffit pas à empêcher une exposition via des organisations habilitées à demander une vérification, un risque qui croît à mesure que davantage d'institutions se connectent au système.

63 agences connectées, 72 heures pour une intégration

Alvan Ikoku indique qu'environ 63 agences gouvernementales sont intégrées à la NIMC, notamment dans les examens, le financement étudiant, le crédit à la consommation et l'assurance maladie.

« C'est une chose d'être prêt à s'intégrer à une agence », a-t-il déclaré. « Tout ce que nous avons à faire, c'est de fournir l'interface de programmation, qu'ils utiliseront. Mais ce que j'ai aussi découvert en travaillant sur ce projet d'harmonisation, c'est que certains n'ont pas atteint — dois-je dire — le niveau de maturité, le niveau de maturité numérique, pour pouvoir ne serait-ce que réaliser cette poignée de main en matière d'intégration. »

Pour les agences dont les systèmes sont prêts, la connexion via l'API de la NIMC peut prendre environ 72 heures, selon lui. L'harmonisation des dossiers et des systèmes exige toutefois un travail plus sur mesure.

Consentement, finalité des requêtes et nouveaux chantiers

Alvan Ikoku indique que le NIMC Act de 2026 impose le respect du Nigeria Data Protection Act et fixe les conditions de divulgation des informations des personnes enregistrées : consentement, obligations légales, missions d'intérêt public, enquêtes pénales et procédures judiciaires. La commission a pour rôle d'authentifier les identités, et non de conserver les motifs des demandes de vérification émanant d'autres organisations.

« La commission est censée coordonner l'authentification et la vérification, mais l'authentification que la commission doit réaliser peut venir d'une autre entité », a-t-il expliqué. « Ce n'est pas le rôle de la commission de conserver le motif de cette demande ou de cette authentification. La commission ne le fera pas. Ses agents ou ses mandataires ne le feront pas non plus, d'aucune manière. »

Les usagers peuvent gérer et retirer leur consentement via l'application d'authentification de la NIMC, sous réserve des exceptions légales. Le point presse n'a toutefois fourni ni chiffres d'usage ni démonstration permettant aux citoyens de consulter les journaux d'accès, de contester un usage abusif ou de déposer une plainte.

La NIMC développe par ailleurs des cadres pour les titres, certificats et signatures numériques dans le cadre de la modernisation de son infrastructure d'identité, indique Alvan Ikoku. Les normes techniques, les dispositifs de gouvernance et les règlements d'application sont encore en cours d'élaboration.

Au-delà de l'identité, une poussée plus large

La volonté de conserver les données sensibles au Nigeria dépasse la gestion de l'identité. En juin 2026, la Central Bank of Nigeria a enjoint aux banques et aux entreprises de paiement de stocker et gérer localement les données de transactions de paiement générées dans le pays avant le 1er janvier 2027. La National Sovereign Cloud Initiative, formalisée en août, vise de son côté à étendre l'infrastructure cloud locale.