Decisão sobre privacidade afeta banco de dados com milhões de identidades
A Suprema Corte do Nepal determinou que o governo avance com uma lei específica de proteção de dados e derrubou uma exigência do banco central que tornava o Cartão Nacional de Identidade, ou seu número, a única forma de identificar clientes bancários. A decisão afeta um sistema que coletou dados pessoais de mais de 20,7 milhões de cidadãos em 539 centros de coleta.
Conteúdo
- Decisão sobre privacidade afeta banco de dados com milhões de identidades
- O que muda para os clientes dos bancos?
- Por que a corte quer uma lei aprovada pelo Parlamento
- Como funcionaria uma verificação de identidade com resposta de sim ou não
- Órgão regulador independente receberia reclamações
- Milhões têm números de identidade, mas muito menos têm os cartões
- Como as exigências foram estabelecidas
- Outros serviços também aguardam análise jurídica
- Principais pontos
A decisão de 9 de outubro, proferida pelas juízas Sapana Pradhan Malla e Meghraj Pokharel, exige que os bancos aceitem certificados de cidadania e outros documentos de identidade até que os clientes obtenham um Cartão Nacional de Identidade ou seu número. Os cidadãos não devem perder acesso aos serviços bancários por não terem o documento.
As juízas também defenderam a criação de um órgão regulador independente para fiscalizar o uso de dados pessoais, receber reclamações e tomar medidas contra violações. Ao verificar identidades, os bancos devem receber uma resposta de sim ou não, em vez de amplo acesso a impressões digitais e outros registros sensíveis armazenados no sistema nacional.
A decisão relaciona dois problemas práticos: pessoas sem conseguir usar suas contas e o governo ampliando um banco de dados com identificadores biológicos antes de estabelecer uma lei abrangente que regule seu uso. O efeito imediato diz respeito ao acesso aos serviços bancários, enquanto a orientação legislativa abrange de forma mais ampla a proteção de dados pessoais.
O que muda para os clientes dos bancos?
A advogada Sarita Adhikari entrou com a ação depois que um banco exigiu seu número do Cartão Nacional de Identidade, em vez de aceitar seu certificado de cidadania para atualizar os dados cadastrais. Sua petição contestou as exigências que condicionavam os serviços bancários à verificação pelo banco de dados nacional de identidade.
A diretiva de junho do Nepal Rastra Bank abrangia a abertura de contas e a atualização dos dados de conheça seu cliente, comumente chamados de KYC. KYC é o processo usado pelos bancos para confirmar a identidade dos clientes e manter seus dados de identificação atualizados. A contestação também envolvia exigências que afetavam a alteração dos números de celular cadastrados pelos clientes.
A corte invalidou o dispositivo da Diretiva Integrada 2082, identificado como Diretiva E.P. nº 19. 082, na medida em que tornava o Cartão Nacional de Identidade ou seu número a única forma aceitável de identificação. Os bancos devem prestar serviços com base em certificados de cidadania e outros documentos de identidade enquanto os clientes aguardam a emissão do NID ou de seu número.
As juízas distinguiram a cidadania do sistema mais recente de identificação para acesso a serviços. O certificado de cidadania comprova a cidadania de uma pessoa, enquanto o Cartão Nacional de Identidade foi desenvolvido como meio de identificar pessoas na prestação de serviços. A corte afirmou que atrasos administrativos na emissão do novo documento não devem privar os cidadãos do acesso a esses serviços.
Por que a corte quer uma lei aprovada pelo Parlamento
O artigo 28 da Constituição do Nepal protege a privacidade. Adhikari argumentou que o acesso a registros biométricos sem regras claras sobre uso, armazenamento e consentimento colocava esse direito em risco.
O governo defendeu as normas em vigor com base na Lei do Cartão Nacional de Identidade e Registro. Também apontou a existência de um comitê presidido pelo secretário do Interior e de padrões de segurança para o sistema de gestão de identidade. Esses padrões são identificados como Padrões de Segurança 2082, também descritos como Padrões de Segurança 2025 do Sistema Nacional de Informações de Gestão de Identidade.
A turma da Suprema Corte afirmou que as salvaguardas do Executivo não poderiam substituir uma lei. Ao explicar a proteção jurídica necessária, as juízas declararam:
Aqui, 'lei' significa uma norma aprovada pelo Parlamento, e não uma diretiva, circular ou padrão emitido por um órgão executivo ou administrativo,
Uma diretiva orienta autoridades ou instituições sobre como agir dentro de suas atribuições. Uma lei aprovada pelo Parlamento pode estabelecer direitos, deveres e recursos vinculantes para todas as organizações que lidam com informações das pessoas. A corte quer essa estrutura jurídica mais ampla, em vez de deixar a proteção a cargo de instruções administrativas.
A proposta de Lei de Proteção de Dados definiria por que as informações podem ser coletadas, limitaria seu uso, especificaria os direitos dos cidadãos e estabeleceria mecanismos de fiscalização. Também preveria sanções, multas, indenizações e medidas judiciais quando essas regras fossem violadas.
Como funcionaria uma verificação de identidade com resposta de sim ou não
Impressões digitais e dados biométricos dos olhos são especialmente sensíveis porque as pessoas não podem substituí-los como fariam com uma senha. As juízas alertaram que o comprometimento de identificadores biológicos poderia causar danos duradouros às pessoas e criar riscos à segurança nacional.
A corte também apontou o risco de instituições comerciais usarem informações coletadas para uma finalidade em outra. A solução proposta é limitar os dados recebidos por uma organização ao verificar uma identidade.
Um banco poderia enviar uma solicitação de verificação de identidade e receber a confirmação de que os dados correspondem, sem ter acesso ao registro biométrico subjacente. O resultado útil é a resposta à verificação de identidade, e não uma cópia das informações sensíveis usadas para obtê-la.
Criptografia e tokenização foram apontadas como possíveis ferramentas para essa abordagem. A criptografia torna as informações ilegíveis sem a chave adequada. A tokenização substitui informações sensíveis por um valor de referência, permitindo que um sistema use essa referência sem expor o registro original. A exigência central da corte diz respeito à resposta limitada fornecida à organização que solicita a verificação.
Nirajan Shrestha, diretor e responsável pelas informações do Departamento de Cartão Nacional de Identidade e Registro, afirmou que os bancos ainda não tinham recebido acesso aos dados nacionais de identidade. Segundo ele, o departamento pediu aos bancos que registrassem os números de identidade e trabalhava com o Nepal Rastra Bank na infraestrutura para verificá-los.
Órgão regulador independente receberia reclamações
O órgão regulador proposto fiscalizaria a proteção de dados, receberia reclamações e tomaria medidas. Isso daria aos cidadãos um canal para contestar o tratamento de suas informações, além das próprias organizações que as coletam ou utilizam.
O comitê existente é liderado pelo secretário do Interior. A defesa da corte por uma autoridade independente acrescenta uma fiscalização separada à responsabilidade do governo pela operação do sistema de identidade.
A lei proposta vincularia essa fiscalização a consequências. Um cidadão cujas informações fossem usadas indevidamente precisaria ter meios para buscar reparação, enquanto as organizações precisariam de limites claros para sua atuação e de sanções definidas para violações.
A corte determinou que o Gabinete do Primeiro-Ministro e do Conselho de Ministros, o Ministério do Interior e os demais réus avancem com a legislação. O Nepal Investment Mega Bank Limited também foi citado entre os réus na petição de Adhikari.
Milhões têm números de identidade, mas muito menos têm os cartões
Dados do departamento mostram a dimensão tanto do cadastramento quanto do trabalho de distribuição ainda pendente. Mais de 20 milhões de pessoas haviam recebido números nacionais de identidade, 7,8 milhões de cartões tinham sido impressos e 4 milhões haviam chegado aos cidadãos.
Os 4 milhões de cartões entregues correspondem a cerca de 51% dos 7,8 milhões impressos. A diferença é de aproximadamente 3,8 milhões de cartões. Essa lacuna torna a aceitação de formas alternativas de identificação especialmente importante na prática, embora algumas exigências bancárias aceitassem o número de identidade, sem exigir o cartão físico.
Guruprasad Paudel, porta-voz do Nepal Rastra Bank, afirmou que bancos e instituições financeiras mantinham mais de 63 milhões de contas. Como os clientes podem ter várias contas, o número indica o total de contas no sistema bancário, e não a quantidade de clientes individuais.
Paudel disse que os bancos já coletavam muitas informações de identificação, incluindo documentos de cidadania e dados pessoais. Ele descreveu a conexão planejada como uma forma de verificar informações, e não como uma tentativa de dar aos bancos acesso a todos os registros do banco de dados nacional de identidade. Também defendeu medidas jurídicas adequadas para proteger os dados.
O governo continuou investindo na infraestrutura de identidade. Em junho, o Conselho de Ministros aprovou a compra de 10 milhões de licenças de correspondência biométrica da IN Groupe. O software de correspondência ajuda um sistema a comparar registros biométricos durante a verificação de identidades.
Como as exigências foram estabelecidas
A disputa bancária ocorre após um esforço mais amplo para conectar serviços públicos a um único sistema nacional de identidade. Autoridades afirmaram que o NID já havia sido integrado a 13 órgãos, inclusive serviços relacionados a bancos e passaportes.
As principais etapas descritas no processo e em explicações oficiais posteriores foram:
- Asar 2081: O governo publicou um aviso oficial que introduziu a exigência do Cartão Nacional de Identidade para serviços bancários, benefícios de seguridade social e outros serviços, seguindo um cronograma geográfico.
- Junho: O Nepal Rastra Bank publicou exigências de identificação bancária envolvendo o NID ou seu número e a verificação em registros eletrônicos.
- 8 de junho: Adhikari apresentou sua petição contestando as restrições e a proteção das informações pessoais.
- 9 de outubro: A Suprema Corte proibiu que o NID fosse a única forma de identificação bancária e determinou que o governo avançasse com uma lei específica de proteção de dados.
- 16 de dezembro: Está prevista a entrada em vigor de uma exigência separada para o seguro de saúde, aplicável a cidadãos com 16 anos ou mais que queiram se inscrever, renovar a adesão ou acessar os serviços.
As regras publicadas no aviso oficial previam exceções para crianças, pessoas incapazes de cuidar de si mesmas, pessoas em situação de desamparo ou incapacitadas e cidadãos com mais de 90 anos. Nepaleses que vivem no exterior podiam abrir contas com outros documentos de identificação, mas deveriam atualizar seus dados do NID em até 35 dias após retornar ao Nepal.
Um plano anterior que exigia o cartão para a renovação escalonada dos benefícios de seguridade social foi adiado após sofrer oposição. A decisão sobre os serviços bancários é outro exemplo concreto da tensão entre ampliar a identificação digital e manter o acesso a serviços durante essa expansão.
Outros serviços também aguardam análise jurídica
A exigência do Conselho de Seguro de Saúde prevista para 16 de dezembro leva a questão da privacidade a outro serviço usado pelas famílias. A regra abrange cidadãos com 16 anos ou mais que se inscrevam, renovem a adesão ou acessem o programa de seguro de saúde.
Paudel afirmou que as autoridades precisavam esclarecer se a decisão afetava todos os serviços abrangidos pelo aviso oficial ou apenas bancos e instituições financeiras. Shrestha disse que o departamento buscaria orientação jurídica e seguiria a decisão do governo. Assim, a abrangência da implementação ainda aguarda esclarecimentos, e não foi informada uma data específica para a aprovação da nova lei de proteção de dados.
O Nepal também pediu à Índia que reconheça seu Cartão Nacional de Identidade em condições comparáveis às dos documentos nepaleses de cidadania. Os dois países ainda não chegaram a uma conclusão sobre o pedido. Dentro do Nepal, a corte já estabeleceu um limite claro: a ampliação do uso do sistema de identidade deve ser acompanhada de proteção jurídica e da manutenção do acesso aos serviços bancários para quem aguarda a emissão do documento.
As tarefas práticas agora cabem a várias instituições. Os bancos devem aceitar documentos alternativos conforme determinado, o governo deve elaborar a legislação e o Parlamento deve analisar o marco legal. A infraestrutura de verificação também deve atender à exigência da corte de limitar as informações fornecidas às organizações que conferem a identidade.
Principais pontos
- A decisão de 9 de outubro da Suprema Corte acabou com a exigência exclusiva do Cartão Nacional de Identidade ou de seu número para a identificação bancária.
- Os bancos devem aceitar certificados de cidadania e outros documentos de identidade até que os clientes obtenham o NID ou seu número.
- A corte defendeu uma lei de proteção de dados aprovada pelo Parlamento e a criação de um órgão regulador independente.
- A verificação de identidade deve retornar uma resposta de sim ou não, sem expor registros biométricos.
- O programa de identidade coletou dados de mais de 20,7 milhões de cidadãos; segundo autoridades, 7,8 milhões de cartões foram impressos e 4 milhões foram entregues.
- As autoridades analisam como a decisão afeta exigências além dos serviços bancários, inclusive a expansão mais ampla do uso do NID.
