尼泊尔最高法院要求制定数据保护法，终止银行业务仅凭国民身份证办理

隐私权裁决事关一个收录数百万身份信息的数据库

尼泊尔最高法院责令政府推动制定专门的数据保护法，并撤销了央行的一项规定：该规定要求银行客户只能凭国民身份证或其号码确认身份。这项裁决影响到一个通过539个信息采集中心收集了超过2070万名公民个人信息的系统。

这项裁决于10月9日作出，由萨帕娜·普拉丹·马拉法官和梅格拉杰·波卡雷尔法官审理。裁决要求，在客户取得国民身份证或其号码之前，银行必须接受公民身份证及其他身份证明文件。公民不得因没有这份证件而失去银行服务。

法官还呼吁设立独立监管机构，监督个人数据的使用、受理投诉并对违规行为采取行动。银行核验身份时，应只收到“是”或“否”的答复，而非广泛获取国家系统保存的指纹及其他敏感记录。

这项判决将两个实际问题联系起来：有人无法使用自己的账户；政府则在尚未建立全面规范数据使用的法律之前，持续扩充一个包含生物识别信息的数据库。判决的即时影响在于银行服务的可及性，而其立法要求则涉及更广泛的个人数据保护。

银行客户将面临哪些变化？

律师萨丽塔·阿迪卡里提起此案，是因为一家银行在更新她的客户信息时，要求提供国民身份证号码，而不接受她的公民身份证。她在诉状中质疑将银行服务与国家身份数据库核验挂钩的要求。

尼泊尔国家银行6月发布的指令涉及开立账户和更新“了解你的客户”信息，通常简称KYC。KYC是银行用来确认客户身份并及时更新身份信息的流程。诉讼还涉及影响客户登记手机号码变更的要求。

法院撤销了《综合指令2082》中的相关条款，该条款标为E.P. Directive No. 19. 082；撤销范围为其将国民身份证或其号码规定为唯一可接受的身份识别依据。客户等待取得国民身份证或其号码期间，银行必须接受公民身份证及其他身份证明文件提供服务。

法官区分了公民身份与较新的服务身份识别系统。公民身份证用于证明一个人的公民身份，而国民身份证则是为提供服务时识别个人而开发的。法院表示，行政部门延迟签发新证件，不应导致公民无法享受相关服务。

法院为何要求制定议会法律

尼泊尔宪法第28条保护隐私权。阿迪卡里主张，在缺乏明确规定信息使用、保存和同意的规则时，获取生物识别记录会使这项权利面临风险。

政府依据现行《国民身份证及登记法》为现有安排辩护，并提到一个由内政秘书领导的委员会，以及身份管理系统的安全标准。这些标准名为《安全标准2082》，也称《国家身份管理信息系统安全标准（2025年版）》。

最高法院合议庭表示，行政部门制定的保障措施不能取代立法。法官在解释所需的法律保障时指出：

这里所说的‘法律’，是指由议会通过的法案，而非行政或管理机构发布的指令、通告或标准。

指令会告诉官员或机构如何在职责范围内采取行动。议会法案则可在处理个人信息的各个组织中确立具有约束力的权利、义务和救济措施。法院希望建立这种更全面的法律框架，而不是让保护措施仅依赖行政指示。

拟议中的《数据保护法》将规定信息收集的目的、限制信息用途、明确公民权利并建立监督机制。该法还将规定罚则、罚款、赔偿以及违反规则时可采取的法律救济措施。

“是或否”身份核验如何运作

指纹和眼部生物识别信息尤其敏感，因为人们无法像更换密码那样更换这些信息。法官警告，生物识别信息一旦泄露，可能对个人造成长期伤害，也会带来国家安全风险。

法院还指出，商业机构可能将为某一目的收集的信息挪作他用。法院提出的解决办法，是限制机构在身份核验时能够获取的信息。

银行可以提交身份核验请求，并收到信息是否匹配的确认，而无需获取底层生物识别记录。银行真正需要的是身份核验结果，而不是用于得出结果的敏感信息副本。

法院指出，加密和令牌化可以作为实现这一做法的工具。加密会使信息在没有相应密钥的情况下无法读取。令牌化则以一个引用值替代敏感信息，让系统使用该引用值，而不暴露原始记录。法院的核心要求是，向提出核验请求的机构提供有限的答复。

国家身份卡及登记局局长兼信息官尼拉詹·什雷斯塔表示，银行尚未获得国家身份数据的访问权限。他说，该局已要求银行记录身份号码，并正与尼泊尔国家银行合作建设核验这些号码所需的基础设施。

独立监管机构将受理投诉

拟议中的监管机构将负责监督数据保护、受理投诉并采取行动。这将为公民提供一个渠道，让他们可以在收集或使用个人信息的组织之外，对信息处理方式提出异议。

现有委员会由内政秘书领导。法院呼吁设立独立机构，意味着在政府负责运营身份系统的同时，还将有另行的监督机制。

拟议法律将把这种监督与相应后果联系起来。如果公民的信息遭到滥用，他们需要有途径寻求补救；各机构则需要明确其行为边界，并清楚了解违规将受到何种处罚。

法院责令总理府及部长会议、内政部和其他被告推进立法。尼泊尔投资Mega银行有限公司也是阿迪卡里诉状列出的被告之一。

数百万人已获得号码，拿到实体卡的人少得多

该局数据显示，登记工作规模庞大，后续发卡工作仍有很长的路要走。已有超过2000万人获得国民身份号码，780万张卡已印制完成，其中400万张已交付公民。

已交付的400万张卡约占780万张印制卡的51%。两者相差约380万张。这一差距凸显了接受其他身份证明的实际重要性，不过部分银行要求接受身份号码，并未要求客户出示实体卡。

尼泊尔国家银行发言人古鲁普拉萨德·保德尔表示，银行和金融机构持有超过6300万个账户。客户可能拥有多个账户，因此这个数字反映的是整个银行系统的账户总量，而非客户人数。

保德尔说，银行已经收集了大量身份信息，包括公民身份证件和个人资料。他表示，计划中的系统连接是为了核验信息，并非要让银行获取国家身份数据库中的全部记录。他也支持制定适当的法律安排来保护数据。

政府继续投资身份识别基础设施。6月，内阁批准从IN Groupe购买1000万份生物识别比对软件许可。比对软件可帮助系统在核验身份时比较生物识别记录。

相关要求如何逐步形成

这场银行争议是政府推动公共服务接入统一国家身份系统这一更广泛行动的一部分。官员表示，国民身份证系统此前已与13个机构连接，其中包括银行和护照相关服务。

诉讼材料及随后官方说明提及的主要步骤如下：

• 2081年阿萨尔月：政府刊登公报，按照地域时间表对银行业务、社会保障及其他服务提出国民身份证要求。
• 6月：尼泊尔国家银行发布银行身份识别要求，涉及国民身份证或其号码，以及与电子记录进行核验。
• 6月8日：阿迪卡里提起诉讼，质疑相关限制及个人信息保护措施。
• 10月9日：最高法院撤销银行身份识别中仅凭国民身份证办理的要求，并责令政府推动制定专门的数据保护法。
• 12月16日：一项独立的医疗保险要求计划生效，届时年满16岁的公民在登记、续保或使用服务时须满足该要求。

公报中的安排对儿童、无法自理者、无依无靠或失去行为能力者，以及90岁以上公民作出了豁免。海外尼泊尔公民可以凭其他身份证明开设账户，但回到尼泊尔后35天内必须更新国民身份证信息。

此前一项要求分阶段续办社会保障津贴时出示国民身份证的计划，在遭到反对后被推迟。此次银行业务判决又提供了一个具体例子，说明在扩大数字身份识别的同时，如何确保服务持续可及，仍存在矛盾。

其他服务也面临法律审查

医疗保险委员会将于12月16日实施的要求，使隐私问题延伸至另一项家庭常用服务。该规定适用于年满16岁、登记加入、续保或使用医疗保险计划的公民。

保德尔表示，官员需要明确判决是否影响公报通知所涵盖的所有服务，还是仅适用于银行和金融机构。什雷斯塔表示，该局将寻求法律意见，并遵循政府随后作出的决定。因此，相关要求的实施范围仍有待澄清；新数据保护法的通过日期也尚未确定。

尼泊尔还要求印度以类似尼泊尔公民身份证明文件的方式承认其国民身份证。两国尚未就这一请求达成结论。在尼泊尔国内，法院已经明确划定界限：扩大身份系统的使用必须配套法律保护，并确保等待身份认证的民众仍可使用银行服务。

目前，多家机构需要承担实际工作。银行必须按裁决要求接受替代证件，政府必须推动立法，议会则必须审议法律框架。身份核验基础设施也必须体现法院的要求，即限制向核验身份的机构披露的信息。

要点

• 最高法院10月9日的裁决终止了银行身份识别中仅凭国民身份证或其号码办理的做法。
• 客户取得国民身份证或其号码之前，银行必须接受公民身份证及其他身份证明文件。
• 法院呼吁制定经议会通过的数据保护法，并设立独立监管机构。
• 身份核验应只返回“是”或“否”的答复，而非暴露生物识别记录。
• 身份识别项目已收集超过2070万名公民的信息；官员表示，780万张卡已印制，400万张已交付。
• 官员正在审查判决对银行以外要求的影响，包括国民身份证使用范围的进一步扩大。