Mahkamah Agung Nepal Arahkan Penggubalan Undang-Undang Perlindungan Data dan Tamatkan Kebergantungan Eksklusif pada Kad Pengenalan Kebangsaan bagi Urusan Perbankan

Keputusan privasi melibatkan pangkalan data yang menyimpan identiti jutaan orang

Mahkamah Agung Nepal mengarahkan kerajaan menggubal undang-undang khusus mengenai perlindungan data dan membatalkan syarat bank pusat yang menjadikan Kad Pengenalan Kebangsaan, atau nombornya, sebagai satu-satunya asas untuk mengenal pasti pelanggan bank. Keputusan itu memberi kesan kepada sistem yang mengumpulkan butiran peribadi lebih 20.7 juta rakyat melalui 539 pusat pengumpulan.

Keputusan pada 9 Oktober itu, yang disampaikan oleh Hakim Sapana Pradhan Malla dan Meghraj Pokharel, mewajibkan bank menerima sijil kewarganegaraan dan dokumen pengenalan lain sehingga pelanggan memperoleh Kad Pengenalan Kebangsaan atau nombornya. Rakyat tidak boleh kehilangan akses kepada perkhidmatan perbankan kerana tidak memiliki dokumen tersebut.

Hakim turut menyeru penubuhan badan pengawal selia bebas untuk memantau penggunaan data peribadi, menerima aduan dan mengambil tindakan terhadap pelanggaran. Bank yang menyemak identiti sepatutnya menerima jawapan ya atau tidak, bukannya akses luas kepada cap jari dan rekod sensitif lain yang disimpan dalam sistem kebangsaan.

Penghakiman itu mengaitkan dua masalah praktikal: orang ramai tidak dapat menggunakan akaun mereka, sementara kerajaan memperluas pangkalan data yang mengandungi pengecam biologi sebelum mewujudkan undang-undang menyeluruh yang mengawal penggunaannya. Kesan serta-mertanya melibatkan akses kepada perkhidmatan perbankan, manakala arahan perundangannya meliputi perlindungan data peribadi secara lebih luas.

Apakah perubahan bagi pelanggan bank?

Peguam Sarita Adhikari memfailkan kes itu selepas sebuah bank meminta nombor Kad Pengenalan Kebangsaannya, bukannya menerima sijil kewarganegaraannya untuk mengemas kini maklumat pelanggan. Petisyennya mencabar syarat yang mengaitkan perkhidmatan perbankan dengan pengesahan melalui pangkalan data identiti kebangsaan.

Arahan Nepal Rastra Bank pada Jun meliputi pembukaan akaun dan pengemaskinian butiran kenali pelanggan anda, yang lazim disebut KYC. KYC ialah proses yang digunakan bank untuk mengesahkan identiti pelanggan dan memastikan maklumat pengenalan sentiasa terkini. Cabaran itu turut melibatkan syarat yang menjejaskan perubahan nombor telefon bimbit berdaftar pelanggan.

Mahkamah membatalkan peruntukan Arahan Bersepadu 2082, yang dikenal pasti sebagai Arahan E.P. No. 19. 082, setakat ia menjadikan Kad Pengenalan Kebangsaan atau nombornya sebagai satu-satunya asas pengenalan yang diterima. Bank mesti menyediakan perkhidmatan dengan menggunakan sijil kewarganegaraan dan dokumen pengenalan lain sementara pelanggan menunggu NID atau nombornya.

Hakim membezakan kewarganegaraan daripada sistem pengenalan perkhidmatan yang lebih baharu. Sijil kewarganegaraan mengesahkan kewarganegaraan seseorang, manakala Kad Pengenalan Kebangsaan dibangunkan sebagai kaedah mengenal pasti orang ramai ketika perkhidmatan diberikan. Mahkamah menyatakan kelewatan pentadbiran dalam mengeluarkan dokumen baharu itu tidak sepatutnya menyebabkan rakyat kehilangan akses kepada perkhidmatan berkenaan.

Mengapa mahkamah mahukan akta Parlimen

Perkara 28 Perlembagaan Nepal melindungi privasi. Adhikari berhujah bahawa akses kepada rekod biometrik tanpa peraturan jelas yang mengawal penggunaan, penyimpanan dan persetujuan menjejaskan hak tersebut.

Kerajaan mempertahankan aturan sedia ada di bawah Akta Kad Pengenalan Kebangsaan dan Pendaftaran. Kerajaan merujuk kepada jawatankuasa yang dipengerusikan oleh setiausaha dalam negeri dan piawaian keselamatan bagi sistem pengurusan identiti. Piawaian itu dikenal pasti sebagai Piawaian Keselamatan 2082, yang turut disebut sebagai Piawaian Keselamatan Sistem Maklumat Pengurusan Identiti Kebangsaan, 2025.

Panel Mahkamah Agung menyatakan perlindungan eksekutif tidak boleh menggantikan perundangan. Ketika menjelaskan perlindungan undang-undang yang diperlukan, hakim menyatakan:

Di sini, 'undang-undang' bermaksud akta yang digubal oleh Parlimen, bukannya arahan, pekeliling atau piawaian yang dikeluarkan oleh badan eksekutif atau pentadbiran,

Arahan memberitahu pegawai atau institusi cara bertindak dalam lingkungan tanggungjawab mereka. Akta Parlimen boleh menetapkan hak, kewajipan dan remedi yang mengikat semua organisasi yang mengendalikan maklumat orang ramai. Mahkamah mahukan struktur perundangan yang lebih luas itu dan bukannya perlindungan yang bergantung pada arahan pentadbiran.

Akta Perlindungan Data yang dicadangkan akan menetapkan tujuan maklumat boleh dikumpulkan, mengehadkan penggunaannya, memperincikan hak rakyat dan mewujudkan mekanisme pengawasan. Akta itu juga akan menyediakan hukuman, denda, pampasan dan remedi undang-undang apabila peraturan dilanggar.

Cara semakan identiti dengan jawapan ya atau tidak berfungsi

Cap jari dan biometrik mata amat sensitif kerana orang ramai tidak boleh menggantikannya seperti kata laluan. Hakim memberi amaran bahawa pengecam biologi yang dikompromi boleh menyebabkan kemudaratan berpanjangan kepada individu dan menimbulkan risiko kepada keselamatan negara.

Mahkamah turut mengenal pasti kemungkinan institusi komersial menggunakan maklumat yang dikumpulkan untuk satu tujuan bagi tujuan lain. Cadangan penyelesaiannya ialah mengehadkan maklumat yang diterima oleh organisasi ketika menyemak identiti.

Bank boleh mengemukakan permintaan pengesahan identiti dan menerima pengesahan bahawa butiran tersebut sepadan, tanpa menerima rekod biometrik asas. Hasil yang diperlukan ialah jawapan kepada semakan identiti, bukannya salinan maklumat sensitif yang digunakan untuk mendapatkan jawapan itu.

Penyulitan dan tokenisasi dikenal pasti sebagai kaedah yang boleh digunakan bagi pendekatan ini. Penyulitan menjadikan maklumat tidak dapat dibaca tanpa kunci yang betul. Tokenisasi menggantikan maklumat sensitif dengan nilai rujukan, supaya sistem boleh menggunakan nilai itu tanpa mendedahkan rekod asal. Keperluan utama mahkamah adalah untuk mengehadkan respons yang diberikan kepada organisasi yang meminta pengesahan.

Nirajan Shrestha, pengarah dan pegawai maklumat di Jabatan Kad Pengenalan Kebangsaan dan Pendaftaran, berkata bank belum diberikan akses kepada data identiti kebangsaan. Beliau berkata jabatan itu telah meminta bank merekodkan nombor identiti dan sedang bekerjasama dengan Nepal Rastra Bank untuk menyediakan infrastruktur bagi mengesahkannya.

Badan pengawal selia bebas akan menerima aduan

Badan pengawal selia yang dicadangkan akan memantau perlindungan data, menerima aduan dan mengambil tindakan. Ini akan menyediakan saluran kepada rakyat untuk mencabar pengendalian maklumat mereka, selain melalui organisasi yang mengumpul atau menggunakannya.

Jawatankuasa sedia ada beroperasi di bawah pimpinan setiausaha dalam negeri. Seruan mahkamah supaya pihak berkuasa bebas ditubuhkan akan mewujudkan pengawasan berasingan di samping tanggungjawab kerajaan mengendalikan sistem identiti itu.

Undang-undang yang diminta akan mengaitkan pengawasan itu dengan tindakan susulan. Rakyat yang maklumatnya disalahgunakan memerlukan saluran untuk mendapatkan remedi, manakala organisasi memerlukan had tingkah laku yang jelas dan hukuman yang ditetapkan bagi pelanggaran.

Mahkamah mengarahkan Pejabat Perdana Menteri dan Majlis Menteri-Menteri, Kementerian Dalam Negeri serta defendan lain meneruskan usaha menggubal undang-undang. Nepal Investment Mega Bank Limited turut disenaraikan sebagai defendan dalam petisyen Adhikari.

Jutaan orang mempunyai nombor, jauh lebih sedikit memiliki kad

Angka jabatan menunjukkan skala pendaftaran dan baki tugas pengagihan. Lebih 20 juta orang telah menerima nombor identiti kebangsaan, 7.8 juta kad telah dicetak dan 4 juta telah diserahkan kepada rakyat.

Empat juta kad yang diserahkan bersamaan kira-kira 51 peratus daripada 7.8 juta kad yang dicetak. Perbezaannya kira-kira 3.8 juta kad. Jurang itu menjadikan pengenalan alternatif penting dari segi praktikal, walaupun sesetengah syarat perbankan menerima nombor identiti dan bukannya mewajibkan kad fizikal.

Jurucakap Nepal Rastra Bank, Guruprasad Paudel, berkata bank dan institusi kewangan mempunyai lebih 63 juta akaun. Pelanggan boleh memiliki beberapa akaun, maka angka itu menggambarkan jumlah akaun dalam sistem perbankan dan bukannya bilangan pelanggan individu.

Paudel berkata bank sudah mengumpulkan banyak maklumat pengenalan, termasuk dokumen kewarganegaraan dan butiran peribadi. Beliau menyifatkan sambungan yang dirancang itu sebagai kaedah menyemak maklumat, bukannya usaha memberi bank semua rekod dalam pangkalan data identiti kebangsaan. Beliau turut menyokong aturan undang-undang yang sesuai untuk melindungi data.

Kerajaan meneruskan pelaburan dalam infrastruktur identiti. Pada Jun, Kabinet meluluskan pembelian 10 juta lesen padanan biometrik daripada IN Groupe. Perisian padanan membantu sistem membandingkan rekod biometrik ketika menyemak identiti.

Bagaimana syarat itu berkembang

Pertikaian perbankan ini menyusuli usaha lebih luas untuk menghubungkan perkhidmatan awam dengan satu sistem identiti kebangsaan. Pegawai berkata NID telah dihubungkan dengan 13 badan, termasuk perkhidmatan berkaitan perbankan dan pasport.

Langkah utama yang diperincikan dalam prosiding dan penjelasan rasmi selepas itu ialah:

• Asar 2081: Kerajaan menerbitkan notis warta yang memperkenalkan syarat Kad Pengenalan Kebangsaan bagi urusan perbankan, keselamatan sosial dan perkhidmatan lain mengikut jadual geografi.
• Jun: Nepal Rastra Bank mengeluarkan syarat pengenalan perbankan yang melibatkan NID atau nombornya serta pengesahan terhadap rekod elektronik.
• 8 Jun: Adhikari memfailkan petisyen mencabar sekatan dan perlindungan maklumat peribadi.
• 9 Oktober: Mahkamah Agung menamatkan kebergantungan eksklusif pada NID untuk pengenalan perbankan dan mengarahkan kerajaan meneruskan usaha menggubal undang-undang khusus perlindungan data.
• 16 Disember: Syarat insurans kesihatan berasingan dijadualkan berkuat kuasa bagi rakyat berusia 16 tahun ke atas yang ingin mendaftar, memperbaharui atau mengakses perkhidmatan.

Aturan dalam warta itu mengecualikan kanak-kanak, orang yang tidak mampu menjaga diri sendiri, orang yang tidak berdaya atau tidak berkeupayaan, serta rakyat berusia lebih 90 tahun. Warga Nepal di luar negara boleh membuka akaun dengan dokumen pengenalan lain, tetapi perlu mengemas kini butiran NID mereka dalam tempoh 35 hari selepas pulang ke Nepal.

Rancangan terdahulu untuk mewajibkan kad bagi pembaharuan elaun keselamatan sosial secara berperingkat ditangguhkan selepas menerima bantahan. Penghakiman perbankan ini memberikan satu lagi contoh nyata tentang ketegangan antara peluasan pengenalan digital dengan usaha memastikan perkhidmatan kekal mudah diakses sepanjang proses itu.

Perkhidmatan lain turut menanti semakan undang-undang

Syarat Lembaga Insurans Kesihatan yang berkuat kuasa pada 16 Disember membawa isu privasi ke dalam satu lagi perkhidmatan yang digunakan oleh isi rumah. Peraturannya meliputi rakyat berusia 16 tahun ke atas yang mendaftar, memperbaharui atau mengakses program insurans kesihatan.

Paudel berkata pegawai perlu menjelaskan sama ada penghakiman itu menjejaskan semua perkhidmatan yang diliputi notis warta atau hanya bank dan institusi kewangan. Shrestha berkata jabatan itu akan mendapatkan nasihat undang-undang dan mematuhi keputusan kerajaan yang menyusul. Oleh itu, skop pelaksanaan yang lebih luas masih menunggu penjelasan, dan tiada tarikh khusus untuk meluluskan undang-undang perlindungan data baharu diberikan.

Nepal turut meminta India mengiktiraf Kad Pengenalan Kebangsaannya atas asas yang setanding dengan dokumen kewarganegaraan Nepal. Kedua-dua negara belum mencapai keputusan berhubung permintaan itu. Di Nepal, mahkamah sudah menetapkan pendirian yang tegas: penggunaan sistem identiti yang semakin meluas mesti disertai perlindungan undang-undang serta akses berterusan kepada perkhidmatan perbankan bagi mereka yang menunggu dokumen pengenalan.

Tugas praktikal kini terletak pada beberapa institusi. Bank mesti menerima dokumen alternatif seperti yang diarahkan, kerajaan mesti menggubal undang-undang dan Parlimen mesti meneliti rangka kerja perundangan itu. Infrastruktur pengesahan juga mesti mematuhi keperluan mahkamah untuk mengehadkan maklumat yang didedahkan kepada organisasi yang menyemak identiti.

Perkara Utama

• Keputusan Mahkamah Agung pada 9 Oktober menamatkan kebergantungan eksklusif pada Kad Pengenalan Kebangsaan atau nombornya untuk pengenalan perbankan.
• Bank mesti menerima sijil kewarganegaraan dan dokumen pengenalan lain sehingga pelanggan memperoleh NID atau nombornya.
• Mahkamah menyeru penggubalan akta perlindungan data yang diluluskan Parlimen dan penubuhan badan pengawal selia bebas.
• Pengesahan identiti sepatutnya memberikan jawapan ya atau tidak, bukannya mendedahkan rekod biometrik.
• Program identiti itu telah mengumpulkan butiran lebih 20.7 juta rakyat; pegawai berkata 7.8 juta kad telah dicetak dan 4 juta telah diserahkan.
• Pegawai sedang meneliti kesan penghakiman itu terhadap syarat di luar sektor perbankan, termasuk peluasan penggunaan NID yang lebih luas.