尼泊爾最高法院要求制定個資保護法，銀行身分查驗不得再只靠國民身分證

個資保護判決牽動一個存有數百萬筆身分資料的資料庫

尼泊爾最高法院下令政府推動制定專門的個資保護法，並撤銷央行要求銀行只能以國民身分證或其號碼作為客戶身分識別依據的規定。這項判決牽涉一套已透過539個資料蒐集中心，收集逾2,070萬名公民個人資料的系統。

這項由法官薩帕娜・普拉丹・馬拉（Sapana Pradhan Malla）與梅格拉吉・波卡雷爾（Meghraj Pokharel）於10月9日作出的判決，要求銀行在客戶取得國民身分證或身分證號碼之前，接受公民身分證明及其他身分文件。公民不得因缺少這份文件而無法使用銀行服務。

法官也呼籲設立獨立監管機構，監督個人資料的使用、受理申訴並對違規行為採取行動。銀行查驗身分時，應只收到是或否的確認結果，而不是取得國家身分系統所保存的指紋及其他敏感資料。

這項判決連結了兩個實際問題：民眾無法使用自己的帳戶，以及政府在建立全面規範個資使用的法律之前，就擴大建置包含生物識別資料的資料庫。判決立即影響銀行服務的使用權，也對更廣泛的個人資料保護立法提出要求。

銀行客戶將有哪些改變？

律師薩麗塔・阿迪卡里（Sarita Adhikari）提出訴訟，起因是銀行要求她提供國民身分證號碼以更新客戶資料，而不接受她的公民身分證明。她的請願挑戰將銀行服務與國家身分資料庫查驗掛鉤的規定。

尼泊爾國家銀行6月發布的指令，涵蓋開立帳戶及更新認識你的客戶資料，通常稱為KYC。KYC是銀行用來確認客戶身分並維持身分資料更新的程序。這項訴訟也涉及影響客戶變更登記手機號碼的規定。

法院撤銷《綜合指令2082》中的相關條文，該條文列為E.P. Directive No. 19. 082；撤銷範圍為不得再將國民身分證或其號碼作為唯一可接受的身分識別依據。客戶等待取得國民身分證或身分證號碼期間，銀行必須接受公民身分證明及其他身分文件提供服務。

法官區分了公民身分與較新的服務身分識別系統。公民身分證明用來確認一個人的公民身分，而國民身分證則是為了在提供服務時識別個人而設。法院表示，行政機關延遲核發新文件，不應使公民失去使用相關服務的權利。

為什麼法院要求國會制定法律

尼泊爾憲法第28條保障隱私權。阿迪卡里主張，在缺乏明確規範資料用途、保存期限及同意機制的情況下取得生物識別資料，將使這項權利面臨風險。

政府則以《國民身分證與登記法》下的現行制度作為辯護依據，並提及由內政部秘書長領導的委員會，以及身分管理系統的安全標準。這些標準名為《安全標準2082》，也稱《國家身分管理資訊系統安全標準2025》。

最高法院合議庭表示，行政部門的保障措施不能取代立法。法官說明所需的法律保障時指出：

此處所稱的『法律』是國會制定的法案，而非行政或行政管理機關發布的指令、通函或標準，

指令是告知官員或機構如何在職責範圍內行事。國會制定的法案則可針對處理民眾資料的各個組織，確立具約束力的權利、義務及救濟途徑。法院要求建立這種更全面的法律架構，而不是只仰賴行政指示保障個資。

擬議中的《個資保護法》將界定蒐集資料的目的、限制資料用途、列明公民權利並建立監督機制。法律也將規定違規時的處罰、罰款、賠償及法律救濟途徑。

是或否的身分查驗如何運作

指紋和眼睛的生物特徵格外敏感，因為人們無法像更換密碼一樣更換這些特徵。法官警告，生物識別資料若遭外洩，可能對個人造成長期傷害，也可能帶來國家安全風險。

法院也指出，商業機構可能將為某個目的蒐集的資料挪作他用。法院提出的解方，是限制身分查驗機構能取得的資料範圍。

銀行可提出身分查驗請求，並收到資料是否相符的確認結果，而不必取得底層生物識別紀錄。銀行需要的是身分查驗的結果，而不是用來產生結果的敏感資料副本。

法院指出，加密與代碼化是可能採用的技術。加密可使資料在沒有適當金鑰時無法讀取；代碼化則以參照值取代敏感資料，讓系統使用該參照值處理業務，而不暴露原始紀錄。法院的核心要求，是限制提出查驗請求的機構所收到的回覆內容。

國民身分證與登記部門主任暨資訊官尼拉詹・什雷斯塔（Nirajan Shrestha）表示，銀行尚未獲准存取國家身分資料。他說，該部門曾要求銀行記錄身分證號碼，並正與尼泊爾國家銀行合作建置查驗號碼的基礎設施。

獨立監管機構將受理申訴

擬議中的監管機構將負責監督個資保護、受理申訴並採取行動。民眾若要對個資處理方式提出異議，將能向蒐集或使用資料的機構以外的單位申訴。

現有委員會由內政部秘書長領導。法院要求設立獨立機構，讓政府營運身分系統的同時，也有另一套獨立監督機制。

新法還將讓監督機制與違規後果相連結。個資遭濫用的公民需要有途徑尋求救濟；機構則需要明確的行為限制，以及違規時適用的具體處罰。

法院指示總理及部長會議辦公室、內政部和其他被告推動立法。尼泊爾投資Mega銀行有限公司也是阿迪卡里請願案列名的被告之一。

有身分證號碼的人很多，拿到卡片的人少得多

部門數據顯示，登記規模與後續發卡工作都相當龐大。逾2,000萬人已取得國民身分證號碼，780萬張卡片已印製，400萬張已交到民眾手中。

已發出的400萬張卡片約占印製的780萬張的51%，兩者相差約380萬張。這個落差使替代身分文件在實務上格外重要，不過部分銀行規定接受身分證號碼，並未要求出示實體卡片。

尼泊爾國家銀行發言人古魯普拉薩德・保德爾（Guruprasad Paudel）表示，銀行與金融機構持有逾6,300萬個帳戶。由於客戶可能持有多個帳戶，這個數字反映的是整個銀行體系的帳戶總量，而非個別客戶人數。

保德爾表示，銀行已蒐集大量身分資料，包括公民身分文件及個人詳細資料。他說，計畫中的系統連結是用於查驗資料，而非讓銀行取得國家身分資料庫中的所有紀錄。他也支持建立適當的法律制度來保護資料。

政府持續投資身分識別基礎設施。6月，內閣批准向IN Groupe採購1,000萬份生物特徵比對授權。比對軟體可協助系統在查驗身分時比對生物識別紀錄。

相關規定如何形成

銀行爭議源自政府將公共服務與單一國家身分系統連結的更廣泛措施。官員表示，國民身分證已與13個機關連結，涵蓋銀行及護照等服務。

訴訟資料及後續官方說明提及的主要進展如下：

• 2081年阿薩爾月：政府刊登公報，依地理區域時程，開始要求民眾在辦理銀行、社會保障及其他服務時出示國民身分證。
• 6月：尼泊爾國家銀行發布銀行身分識別規定，要求使用國民身分證或其號碼，並與電子紀錄比對查驗。
• 6月8日：阿迪卡里提出請願，挑戰相關限制及個人資料保護措施。
• 10月9日：最高法院撤銷銀行身分識別只能依賴國民身分證的規定，並指示政府推動制定專門的個資保護法。
• 12月16日：另一項健康保險規定預定上路，要求16歲以上公民在申請加入、續保或使用服務時出示身分證。

公報規定列有豁免對象，包括兒童、無法照料自己的人、無助或失能者，以及90歲以上公民。旅居海外的尼泊爾人可使用其他身分文件開戶，但返國後35天內須更新國民身分證資料。

先前要求民眾分階段在續領社會保障津貼時出示卡片的計畫，在遭到反對後延期。這項銀行判決再次具體呈現，擴大數位身分識別與在推行期間維持服務可近性之間的拉鋸。

其他服務也待法律檢視

健康保險委員會自12月16日起實施的規定，讓隱私爭議延伸到另一項家庭常用服務。規定適用於16歲以上、申請加入、續保或使用健康保險計畫的公民。

保德爾表示，官員需要釐清這項判決是否影響公報涵蓋的所有服務，還是僅限銀行與金融機構。什雷斯塔表示，該部門將尋求法律意見，並遵循政府後續決定。因此，判決的更廣泛適用範圍仍待釐清，政府也未公布制定新個資保護法的具體時程。

尼泊爾也曾要求印度以相當於承認尼泊爾公民身分文件的方式，承認其國民身分證。兩國尚未就此請求達成結論。在尼泊爾境內，法院已明確表態：擴大身分系統的使用，必須同時建立法律保障，並確保等待身分文件的民眾仍可使用銀行服務。

目前有數項實務工作落在不同機構身上。銀行必須依指示接受替代文件，政府必須研擬法案，國會則須審議法律架構。身分查驗基礎設施也必須符合法院要求，限制提供給查驗機構的資料。

重點整理

• 最高法院10月9日的判決終止銀行身分識別只能依賴國民身分證或其號碼的規定。
• 客戶尚未取得國民身分證或身分證號碼前，銀行必須接受公民身分證明及其他身分文件。
• 法院要求制定經國會通過的個資保護法，並設立獨立監管機構。
• 身分查驗應只回覆是或否，不得暴露生物識別紀錄。
• 國民身分識別計畫已蒐集逾2,070萬名公民的資料；官員表示，780萬張卡片已印製，400萬張已交付。
• 官員正檢視判決如何影響銀行以外的規定，包括國民身分證用途的更廣泛擴展。