Tòa án Tối cao Nepal yêu cầu ban hành luật bảo vệ dữ liệu, chấm dứt việc chỉ chấp nhận thẻ căn cước quốc gia khi giao dịch ngân hàng

Phán quyết về quyền riêng tư liên quan đến cơ sở dữ liệu lưu trữ danh tính của hàng triệu người

Tòa án Tối cao Nepal yêu cầu chính phủ thúc đẩy ban hành luật chuyên biệt về bảo vệ dữ liệu, đồng thời bác bỏ quy định của ngân hàng trung ương buộc khách hàng chỉ được dùng Thẻ căn cước quốc gia hoặc số thẻ này để xác minh danh tính khi giao dịch ngân hàng. Quyết định ảnh hưởng đến hệ thống đã thu thập thông tin cá nhân của hơn 20,7 triệu công dân thông qua 539 trung tâm thu thập dữ liệu.

Phán quyết ngày 9 tháng 10, do các thẩm phán Sapana Pradhan Malla và Meghraj Pokharel đưa ra, yêu cầu các ngân hàng chấp nhận giấy chứng nhận quốc tịch và những giấy tờ tùy thân khác cho đến khi khách hàng nhận được Thẻ căn cước quốc gia hoặc số thẻ. Người dân không được mất quyền tiếp cận dịch vụ ngân hàng chỉ vì chưa có giấy tờ này.

Các thẩm phán cũng kêu gọi thành lập một cơ quan quản lý độc lập để giám sát việc sử dụng dữ liệu cá nhân, tiếp nhận khiếu nại và xử lý vi phạm. Khi kiểm tra danh tính, ngân hàng chỉ nên nhận được câu trả lời có hoặc không, thay vì quyền truy cập rộng vào dữ liệu vân tay và các hồ sơ nhạy cảm khác trong hệ thống quốc gia.

Phán quyết kết nối hai vấn đề thực tế: người dân không thể sử dụng tài khoản của mình, và chính phủ mở rộng cơ sở dữ liệu chứa thông tin nhận dạng sinh trắc học trước khi thiết lập luật toàn diện điều chỉnh việc sử dụng dữ liệu. Tác động trước mắt liên quan đến quyền tiếp cận dịch vụ ngân hàng, còn định hướng lập pháp mở rộng phạm vi bảo vệ dữ liệu cá nhân.

Khách hàng ngân hàng sẽ chịu ảnh hưởng ra sao?

Luật sư Sarita Adhikari khởi kiện sau khi một ngân hàng yêu cầu số Thẻ căn cước quốc gia thay vì chấp nhận giấy chứng nhận quốc tịch của bà để cập nhật thông tin khách hàng. Đơn kiện của bà phản đối các yêu cầu gắn dịch vụ ngân hàng với việc xác minh qua cơ sở dữ liệu căn cước quốc gia.

Chỉ thị tháng 6 của Ngân hàng Rastra Nepal áp dụng cho việc mở tài khoản và cập nhật thông tin nhận biết khách hàng, thường gọi là KYC. KYC là quy trình ngân hàng dùng để xác minh danh tính khách hàng và cập nhật thông tin nhận dạng. Đơn kiện cũng đề cập đến các yêu cầu ảnh hưởng đến việc thay đổi số điện thoại di động đã đăng ký của khách hàng.

Tòa vô hiệu hóa quy định trong Chỉ thị tổng hợp 2082, được xác định là Chỉ thị E.P. số 19. 082, trong phạm vi quy định này coi Thẻ căn cước quốc gia hoặc số thẻ là căn cứ duy nhất được chấp nhận để xác minh danh tính. Các ngân hàng phải cung cấp dịch vụ dựa trên giấy chứng nhận quốc tịch và những giấy tờ tùy thân khác trong khi khách hàng chờ được cấp NID hoặc số thẻ.

Các thẩm phán phân biệt giấy chứng nhận quốc tịch với hệ thống nhận dạng mới phục vụ cung cấp dịch vụ. Giấy chứng nhận quốc tịch xác lập tư cách công dân của một người, còn Thẻ căn cước quốc gia được xây dựng như một phương tiện nhận dạng khi cung cấp dịch vụ. Tòa cho rằng sự chậm trễ hành chính trong việc cấp giấy tờ mới không được khiến người dân mất quyền tiếp cận các dịch vụ đó.

Vì sao tòa yêu cầu ban hành luật

Điều 28 Hiến pháp Nepal bảo vệ quyền riêng tư. Bà Adhikari lập luận rằng việc truy cập hồ sơ sinh trắc học khi chưa có quy định rõ ràng về mục đích sử dụng, thời hạn lưu trữ và sự đồng thuận sẽ đe dọa quyền này.

Chính phủ bảo vệ các quy định hiện hành theo Luật Thẻ căn cước quốc gia và Đăng ký. Chính phủ viện dẫn một ủy ban do Thứ trưởng Nội vụ đứng đầu cùng các tiêu chuẩn an ninh dành cho hệ thống quản lý căn cước. Những tiêu chuẩn này được gọi là Tiêu chuẩn An ninh 2082, cũng được mô tả là Tiêu chuẩn An ninh Hệ thống Thông tin Quản lý Căn cước quốc gia năm 2025.

Hội đồng thẩm phán Tòa án Tối cao cho rằng các biện pháp bảo vệ do cơ quan hành pháp đặt ra không thể thay thế luật. Giải thích về cơ sở pháp lý cần thiết để bảo vệ dữ liệu, các thẩm phán nêu rõ:

Ở đây, 'luật' có nghĩa là đạo luật do Quốc hội ban hành, chứ không phải chỉ thị, thông tư hay tiêu chuẩn do cơ quan hành pháp hoặc hành chính ban hành,

Chỉ thị hướng dẫn quan chức hoặc tổ chức thực hiện nhiệm vụ trong phạm vi trách nhiệm của mình. Đạo luật do Quốc hội ban hành có thể thiết lập các quyền, nghĩa vụ và biện pháp khắc phục có tính ràng buộc đối với mọi tổ chức xử lý thông tin của người dân. Tòa muốn có khuôn khổ pháp lý rộng hơn này, thay vì để việc bảo vệ dữ liệu phụ thuộc vào hướng dẫn hành chính.

Luật Bảo vệ Dữ liệu được đề xuất sẽ xác định lý do được phép thu thập thông tin, giới hạn việc sử dụng, quy định quyền của công dân và thiết lập cơ chế giám sát. Luật cũng sẽ quy định hình phạt, tiền phạt, bồi thường và biện pháp khắc phục pháp lý khi các quy định bị vi phạm.

Cơ chế xác minh danh tính bằng câu trả lời có hoặc không

Dấu vân tay và dữ liệu sinh trắc học mắt đặc biệt nhạy cảm vì người dân không thể thay đổi chúng như mật khẩu. Các thẩm phán cảnh báo việc dữ liệu nhận dạng sinh học bị xâm phạm có thể gây tổn hại lâu dài cho cá nhân và tạo ra rủi ro an ninh quốc gia.

Tòa cũng chỉ ra nguy cơ các tổ chức thương mại sử dụng thông tin thu thập cho một mục đích vào mục đích khác. Giải pháp được đề xuất là giới hạn lượng thông tin một tổ chức nhận được khi xác minh danh tính.

Ngân hàng có thể gửi yêu cầu xác minh danh tính và nhận được xác nhận thông tin có khớp hay không, mà không nhận dữ liệu sinh trắc học gốc. Kết quả hữu ích là câu trả lời cho việc xác minh, chứ không phải bản sao thông tin nhạy cảm được dùng để đưa ra câu trả lời đó.

Mã hóa và mã token được nêu là những công cụ có thể áp dụng theo cách này. Mã hóa khiến thông tin không thể đọc được nếu không có khóa phù hợp. Mã token thay thông tin nhạy cảm bằng một giá trị tham chiếu, cho phép hệ thống sử dụng giá trị đó thay vì để lộ hồ sơ gốc. Yêu cầu trọng tâm của tòa là giới hạn thông tin phản hồi cho tổ chức gửi yêu cầu xác minh.

Nirajan Shrestha, giám đốc kiêm cán bộ thông tin của Cục Thẻ căn cước quốc gia và Đăng ký, cho biết các ngân hàng chưa được cấp quyền truy cập dữ liệu căn cước quốc gia. Ông nói cục đã đề nghị các ngân hàng ghi nhận số căn cước và đang phối hợp với Ngân hàng Rastra Nepal xây dựng hạ tầng để xác minh các số này.

Cơ quan quản lý độc lập sẽ tiếp nhận khiếu nại

Cơ quan quản lý được đề xuất sẽ giám sát việc bảo vệ dữ liệu, tiếp nhận khiếu nại và xử lý vi phạm. Nhờ đó, người dân sẽ có nơi khiếu nại về việc xử lý thông tin của mình, ngoài các tổ chức thu thập hoặc sử dụng thông tin.

Ủy ban hiện nay hoạt động dưới sự lãnh đạo của Thứ trưởng Nội vụ. Lời kêu gọi thành lập cơ quan độc lập của tòa sẽ bổ sung cơ chế giám sát riêng bên cạnh trách nhiệm vận hành hệ thống căn cước của chính phủ.

Luật được yêu cầu sẽ gắn hoạt động giám sát với các biện pháp xử lý. Người dân có thông tin bị sử dụng sai mục đích cần có con đường tìm kiếm biện pháp khắc phục, còn các tổ chức cần biết rõ giới hạn hoạt động và mức phạt cụ thể khi vi phạm.

Tòa yêu cầu Văn phòng Thủ tướng và Hội đồng Bộ trưởng, Bộ Nội vụ cùng các bị đơn khác xúc tiến xây dựng luật. Ngân hàng Nepal Investment Mega Limited cũng được nêu tên trong số các bị đơn trong đơn kiện của bà Adhikari.

Hàng triệu người có số căn cước, nhưng số thẻ được cấp ít hơn nhiều

Số liệu của cục cho thấy quy mô đăng ký và khối lượng công việc còn lại để phân phát thẻ. Hơn 20 triệu người đã được cấp số căn cước quốc gia, 7,8 triệu thẻ đã được in và 4 triệu thẻ đã đến tay người dân.

4 triệu thẻ đã được giao tương đương khoảng 51% trong tổng số 7,8 triệu thẻ đã in. Chênh lệch vào khoảng 3,8 triệu thẻ. Khoảng cách này cho thấy việc chấp nhận giấy tờ tùy thân thay thế có ý nghĩa thiết thực, dù một số yêu cầu ngân hàng chấp nhận số căn cước thay vì đòi hỏi thẻ vật lý.

Người phát ngôn Ngân hàng Rastra Nepal, Guruprasad Paudel, cho biết các ngân hàng và tổ chức tài chính có hơn 63 triệu tài khoản. Khách hàng có thể sở hữu nhiều tài khoản, vì vậy con số này phản ánh tổng số tài khoản trong toàn hệ thống ngân hàng chứ không phải số lượng khách hàng riêng biệt.

Ông Paudel cho biết các ngân hàng đã thu thập nhiều thông tin nhận dạng, bao gồm giấy tờ quốc tịch và thông tin cá nhân. Ông mô tả kế hoạch kết nối là một cách để kiểm tra thông tin, chứ không phải nỗ lực trao cho ngân hàng toàn bộ hồ sơ trong cơ sở dữ liệu căn cước quốc gia. Ông cũng ủng hộ việc xây dựng các quy định pháp lý phù hợp để bảo vệ dữ liệu.

Chính phủ tiếp tục đầu tư vào hạ tầng căn cước. Tháng 6, Nội các phê duyệt mua 10 triệu giấy phép đối chiếu sinh trắc học từ IN Groupe. Phần mềm đối chiếu giúp hệ thống so sánh hồ sơ sinh trắc học khi xác minh danh tính.

Quy định được hình thành như thế nào?

Tranh chấp trong lĩnh vực ngân hàng diễn ra sau nỗ lực rộng hơn nhằm kết nối dịch vụ công với một hệ thống căn cước quốc gia duy nhất. Các quan chức cho biết NID đã được liên kết với 13 cơ quan, bao gồm những dịch vụ liên quan đến ngân hàng và hộ chiếu.

Những bước chính được đề cập trong hồ sơ vụ việc và các giải thích chính thức sau đó gồm:

• Tháng Asar năm 2081: Chính phủ công bố thông báo trên công báo, đưa ra yêu cầu về Thẻ căn cước quốc gia đối với dịch vụ ngân hàng, an sinh xã hội và các dịch vụ khác theo lộ trình địa lý.
• Tháng 6: Ngân hàng Rastra Nepal ban hành yêu cầu xác minh danh tính trong lĩnh vực ngân hàng, liên quan đến NID hoặc số thẻ và việc đối chiếu với hồ sơ điện tử.
• Ngày 8 tháng 6: Bà Adhikari nộp đơn kiện phản đối các hạn chế và việc bảo vệ thông tin cá nhân.
• Ngày 9 tháng 10: Tòa án Tối cao bác bỏ việc chỉ dựa vào NID để xác minh danh tính trong lĩnh vực ngân hàng và yêu cầu chính phủ xúc tiến ban hành luật chuyên biệt về bảo vệ dữ liệu.
• Ngày 16 tháng 12: Một yêu cầu riêng trong lĩnh vực bảo hiểm y tế dự kiến áp dụng với công dân từ 16 tuổi trở lên khi đăng ký, gia hạn hoặc sử dụng dịch vụ.

Các quy định trong công báo miễn trừ trẻ em, người không thể tự chăm sóc bản thân, người lâm vào cảnh túng quẫn hoặc mất năng lực hành vi, và công dân trên 90 tuổi. Người Nepal ở nước ngoài có thể mở tài khoản bằng giấy tờ tùy thân khác, nhưng phải cập nhật thông tin NID trong vòng 35 ngày kể từ khi trở về Nepal.

Kế hoạch trước đó về việc yêu cầu thẻ trong các đợt gia hạn trợ cấp an sinh xã hội theo từng giai đoạn đã bị hoãn sau khi vấp phải phản đối. Phán quyết trong lĩnh vực ngân hàng là một ví dụ cụ thể khác về mâu thuẫn giữa việc mở rộng nhận dạng số và duy trì khả năng tiếp cận dịch vụ trong quá trình triển khai.

Các dịch vụ khác đang được rà soát pháp lý

Yêu cầu của Hội đồng Bảo hiểm Y tế áp dụng từ ngày 16 tháng 12 đưa vấn đề quyền riêng tư vào một dịch vụ khác mà các hộ gia đình sử dụng. Quy định này áp dụng với công dân từ 16 tuổi trở lên khi đăng ký, gia hạn hoặc sử dụng chương trình bảo hiểm y tế.

Ông Paudel cho biết cần làm rõ phán quyết ảnh hưởng đến mọi dịch vụ thuộc phạm vi thông báo trên công báo hay chỉ áp dụng với ngân hàng và tổ chức tài chính. Ông Shrestha cho biết cục sẽ xin ý kiến pháp lý và thực hiện theo quyết định tiếp theo của chính phủ. Vì vậy, phạm vi triển khai rộng hơn vẫn đang chờ được làm rõ, và chưa có thời điểm cụ thể nào được công bố cho việc thông qua luật bảo vệ dữ liệu mới.

Nepal cũng đề nghị Ấn Độ công nhận Thẻ căn cước quốc gia của nước này theo cách tương tự giấy tờ quốc tịch Nepal. Hai nước chưa đạt được kết luận về đề nghị đó. Trong phạm vi Nepal, tòa đã xác định rõ nguyên tắc: việc mở rộng sử dụng hệ thống căn cước phải đi kèm biện pháp bảo vệ pháp lý và duy trì quyền tiếp cận dịch vụ ngân hàng cho những người đang chờ được cấp giấy tờ.

Hiện một số cơ quan có trách nhiệm xử lý các nhiệm vụ thực tế. Các ngân hàng phải chấp nhận giấy tờ thay thế theo chỉ đạo, chính phủ phải xây dựng luật và Quốc hội phải xem xét khuôn khổ pháp lý. Hạ tầng xác minh cũng phải đáp ứng yêu cầu của tòa về việc giới hạn thông tin cung cấp cho các tổ chức kiểm tra danh tính.

Điểm chính

• Phán quyết ngày 9 tháng 10 của Tòa án Tối cao chấm dứt việc chỉ chấp nhận Thẻ căn cước quốc gia hoặc số thẻ để xác minh danh tính trong lĩnh vực ngân hàng.
• Các ngân hàng phải chấp nhận giấy chứng nhận quốc tịch và những giấy tờ tùy thân khác cho đến khi khách hàng nhận được NID hoặc số thẻ.
• Tòa kêu gọi ban hành luật bảo vệ dữ liệu được Quốc hội thông qua và thành lập cơ quan quản lý độc lập.
• Việc xác minh danh tính nên chỉ trả về câu trả lời có hoặc không, thay vì làm lộ hồ sơ sinh trắc học.
• Chương trình căn cước đã thu thập thông tin của hơn 20,7 triệu công dân; các quan chức cho biết 7,8 triệu thẻ đã được in và 4 triệu thẻ đã được giao.
• Các quan chức đang rà soát ảnh hưởng của phán quyết đối với những yêu cầu ngoài lĩnh vực ngân hàng, bao gồm việc mở rộng sử dụng NID nói chung.