ศาลฎีกาเนปาลสั่งออกกฎหมายคุ้มครองข้อมูล และยุติการใช้บัตรประจำตัวประชาชนเป็นหลักฐานเดียวสำหรับธุรกรรมธนาคาร

คำวินิจฉัยคุ้มครองความเป็นส่วนตัวเกี่ยวข้องกับฐานข้อมูลที่เก็บข้อมูลระบุตัวตนหลายล้านคน

ศาลฎีกาเนปาลสั่งให้รัฐบาลเดินหน้าผลักดันกฎหมายคุ้มครองข้อมูลโดยเฉพาะ พร้อมเพิกถอนข้อกำหนดของธนาคารกลางที่กำหนดให้บัตรประจำตัวประชาชนแห่งชาติ หรือหมายเลขประจำบัตร เป็นหลักฐานเพียงอย่างเดียวในการยืนยันตัวตนลูกค้าธนาคาร คำตัดสินนี้มีผลต่อระบบที่รวบรวมข้อมูลส่วนบุคคลของประชาชนกว่า 20.7 ล้านคน ผ่านศูนย์จัดเก็บข้อมูล 539 แห่ง

คำวินิจฉัยเมื่อวันที่ 9 ตุลาคม โดยผู้พิพากษาสะปนา ประธาน มัลละ และเมฆราช โปขเรล กำหนดให้ธนาคารรับรองสัญชาติและเอกสารยืนยันตัวตนอื่น ๆ จนกว่าลูกค้าจะได้รับบัตรประจำตัวประชาชนแห่งชาติหรือหมายเลขประจำบัตร ประชาชนต้องไม่ถูกตัดสิทธิ์การใช้บริการธนาคารเพียงเพราะยังไม่มีเอกสารดังกล่าว

ผู้พิพากษายังเรียกร้องให้จัดตั้งหน่วยงานกำกับดูแลอิสระ เพื่อติดตามการใช้ข้อมูลส่วนบุคคล รับเรื่องร้องเรียน และดำเนินการกับการละเมิด ธนาคารที่ตรวจสอบตัวตนควรได้รับคำตอบเพียงว่าใช่หรือไม่ใช่ แทนการเข้าถึงข้อมูลลายนิ้วมือและข้อมูลอ่อนไหวอื่น ๆ ในระบบข้อมูลระดับชาติอย่างกว้างขวาง

คำวินิจฉัยเชื่อมโยงปัญหาในทางปฏิบัติสองประการ ได้แก่ ประชาชนไม่สามารถใช้บัญชีของตนได้ และรัฐบาลขยายฐานข้อมูลที่มีข้อมูลระบุตัวบุคคลทางชีวภาพก่อนจะมีกฎหมายครอบคลุมการใช้ข้อมูลเหล่านั้น ผลในทันทีเกี่ยวข้องกับการเข้าถึงบริการธนาคาร ขณะที่ข้อเสนอด้านกฎหมายครอบคลุมการคุ้มครองข้อมูลส่วนบุคคลในวงกว้างกว่า

ลูกค้าธนาคารได้รับผลอย่างไร?

สริษา อธิการี ทนายความ เป็นผู้ยื่นคำร้องหลังธนาคารแห่งหนึ่งขอหมายเลขบัตรประจำตัวประชาชนแห่งชาติของเธอ แทนที่จะรับรองสัญชาติซึ่งเธอยื่นเพื่อปรับปรุงข้อมูลลูกค้า คำร้องของเธอคัดค้านข้อกำหนดที่ผูกการใช้บริการธนาคารเข้ากับการตรวจสอบผ่านฐานข้อมูลอัตลักษณ์ระดับชาติ

คำสั่งของธนาคารกลางเนปาลเมื่อเดือนมิถุนายนครอบคลุมทั้งการเปิดบัญชีและการปรับปรุงข้อมูลการรู้จักลูกค้า หรือที่เรียกกันทั่วไปว่า KYC ซึ่งเป็นกระบวนการที่ธนาคารใช้ยืนยันตัวตนลูกค้าและปรับปรุงข้อมูลระบุตัวตนให้เป็นปัจจุบัน คำคัดค้านยังเกี่ยวข้องกับข้อกำหนดที่มีผลต่อการเปลี่ยนหมายเลขโทรศัพท์มือถือที่ลงทะเบียนไว้กับธนาคาร

ศาลเพิกถอนข้อกำหนดในคำสั่งรวมฉบับ 2082 ซึ่งระบุเป็นคำสั่ง E.P. หมายเลข 19. 082 ในส่วนที่กำหนดให้บัตรประจำตัวประชาชนแห่งชาติหรือหมายเลขประจำบัตรเป็นหลักฐานยืนยันตัวตนที่ยอมรับได้เพียงอย่างเดียว ธนาคารต้องให้บริการโดยใช้เอกสารรับรองสัญชาติและเอกสารยืนยันตัวตนอื่น ๆ ระหว่างที่ลูกค้ารอบัตร NID หรือหมายเลขประจำบัตร

ผู้พิพากษาแยกความแตกต่างระหว่างสถานะการเป็นพลเมืองกับระบบยืนยันตัวตนเพื่อรับบริการที่จัดทำขึ้นใหม่ เอกสารรับรองสัญชาติใช้ยืนยันสถานะการเป็นพลเมืองของบุคคล ส่วนบัตรประจำตัวประชาชนแห่งชาติจัดทำขึ้นเพื่อใช้ระบุตัวบุคคลในการให้บริการต่าง ๆ ศาลระบุว่าความล่าช้าทางปกครองในการออกเอกสารใหม่ไม่ควรทำให้ประชาชนเสียโอกาสเข้าถึงบริการเหล่านั้น

เหตุใดศาลจึงเรียกร้องให้ตรากฎหมาย

มาตรา 28 ของรัฐธรรมนูญเนปาลคุ้มครองสิทธิความเป็นส่วนตัว อธิการีโต้แย้งว่าการเข้าถึงข้อมูลชีวมิติ โดยไม่มีกฎเกณฑ์ชัดเจนว่าด้วยการใช้ การเก็บรักษา และความยินยอม ทำให้สิทธิดังกล่าวตกอยู่ในความเสี่ยง

รัฐบาลชี้แจงว่ามีมาตรการที่ใช้อยู่แล้วภายใต้กฎหมายบัตรประจำตัวประชาชนและทะเบียนราษฎร โดยอ้างถึงคณะกรรมการที่มีปลัดกระทรวงมหาดไทยเป็นประธาน และมาตรฐานความปลอดภัยสำหรับระบบจัดการข้อมูลอัตลักษณ์ มาตรฐานดังกล่าวระบุเป็นมาตรฐานความปลอดภัย 2082 หรือเรียกอีกชื่อว่ามาตรฐานความปลอดภัยของระบบสารสนเทศเพื่อการจัดการอัตลักษณ์แห่งชาติ ปี 2025

องค์คณะศาลฎีกาเห็นว่ามาตรการคุ้มครองที่ฝ่ายบริหารกำหนดไม่อาจใช้แทนกฎหมายได้ ผู้พิพากษาอธิบายถึงหลักประกันทางกฎหมายที่จำเป็นว่า:

ในที่นี้ 'กฎหมาย' หมายถึงกฎหมายที่ตราขึ้นโดยรัฐสภา ไม่ใช่คำสั่ง หนังสือเวียน หรือมาตรฐานที่ออกโดยหน่วยงานฝ่ายบริหารหรือหน่วยงานทางปกครอง

คำสั่งเป็นแนวทางให้เจ้าหน้าที่หรือองค์กรปฏิบัติภายในขอบเขตหน้าที่ ส่วนกฎหมายที่ตราโดยรัฐสภาสามารถกำหนดสิทธิ หน้าที่ และช่องทางเยียวยาที่มีผลผูกพันต่อทุกองค์กรที่จัดการข้อมูลของประชาชน ศาลต้องการกรอบกฎหมายที่ครอบคลุมกว่านั้น แทนการปล่อยให้การคุ้มครองขึ้นอยู่กับคำสั่งทางปกครอง

กฎหมายคุ้มครองข้อมูลที่เสนอจะกำหนดเหตุผลในการเก็บข้อมูล จำกัดการใช้ข้อมูล ระบุสิทธิของประชาชน และจัดตั้งกลไกกำกับดูแล นอกจากนี้ยังจะกำหนดบทลงโทษ ค่าปรับ ค่าชดเชย และช่องทางทางกฎหมายเมื่อมีการฝ่าฝืนกฎ

การตรวจสอบตัวตนแบบตอบใช่หรือไม่ใช่ทำงานอย่างไร

ข้อมูลลายนิ้วมือและชีวมิติจากดวงตาเป็นข้อมูลอ่อนไหวอย่างยิ่ง เพราะบุคคลไม่สามารถเปลี่ยนข้อมูลเหล่านี้ได้เหมือนเปลี่ยนรหัสผ่าน ผู้พิพากษาเตือนว่าหากข้อมูลระบุตัวบุคคลทางชีวภาพรั่วไหลหรือถูกเจาะระบบ อาจก่ออันตรายระยะยาวต่อบุคคลและสร้างความเสี่ยงต่อความมั่นคงของชาติ

ศาลยังชี้ถึงความเป็นไปได้ที่สถาบันพาณิชย์อาจนำข้อมูลที่เก็บรวบรวมเพื่อวัตถุประสงค์หนึ่งไปใช้ในอีกวัตถุประสงค์หนึ่ง แนวทางที่ศาลเสนอคือจำกัดข้อมูลที่องค์กรได้รับเมื่อตรวจสอบตัวตน

ธนาคารอาจส่งคำขอตรวจสอบตัวตนและได้รับการยืนยันว่าข้อมูลตรงกัน โดยไม่ต้องได้รับข้อมูลชีวมิติที่เป็นต้นฉบับ สิ่งที่เป็นประโยชน์คือผลการตรวจสอบตัวตน ไม่ใช่สำเนาข้อมูลอ่อนไหวที่ใช้ในการตรวจสอบ

ศาลระบุว่าการเข้ารหัสและการทำโทเค็นเป็นเครื่องมือที่อาจใช้กับแนวทางนี้ได้ การเข้ารหัสทำให้ข้อมูลอ่านไม่ออกหากไม่มีรหัสที่เหมาะสม ส่วนการทำโทเค็นจะแทนข้อมูลอ่อนไหวด้วยค่าที่ใช้อ้างอิง เพื่อให้ระบบทำงานกับค่านั้นแทนการเปิดเผยข้อมูลต้นฉบับ ข้อกำหนดสำคัญของศาลอยู่ที่การจำกัดข้อมูลตอบกลับให้แก่องค์กรที่ขอตรวจสอบ

นิราจัน เศรษฐะ ผู้อำนวยการและเจ้าหน้าที่ข้อมูลของกรมบัตรประจำตัวประชาชนและทะเบียนราษฎร กล่าวว่า ธนาคารยังไม่ได้รับสิทธิ์เข้าถึงข้อมูลอัตลักษณ์ระดับชาติ เขาระบุว่ากรมได้ขอให้ธนาคารบันทึกหมายเลขประจำตัว และกำลังทำงานร่วมกับธนาคารกลางเนปาลเพื่อจัดทำโครงสร้างพื้นฐานสำหรับตรวจสอบหมายเลขดังกล่าว

หน่วยงานกำกับดูแลอิสระจะรับเรื่องร้องเรียน

หน่วยงานกำกับดูแลที่เสนอจะติดตามการคุ้มครองข้อมูล รับเรื่องร้องเรียน และดำเนินการ ซึ่งจะเป็นช่องทางให้ประชาชนคัดค้านการจัดการข้อมูลของตน นอกเหนือจากการร้องเรียนต่อองค์กรที่เก็บหรือใช้ข้อมูล

คณะกรรมการที่มีอยู่ในปัจจุบันอยู่ภายใต้การนำของปลัดกระทรวงมหาดไทย ข้อเรียกร้องของศาลให้ตั้งหน่วยงานอิสระจะเพิ่มการตรวจสอบแยกต่างหากควบคู่ไปกับความรับผิดชอบของรัฐบาลในการดำเนินงานระบบอัตลักษณ์

กฎหมายที่ศาลเรียกร้องจะเชื่อมโยงการตรวจสอบดังกล่าวเข้ากับผลที่จะตามมา ประชาชนที่ข้อมูลถูกนำไปใช้ในทางมิชอบต้องมีช่องทางขอรับการเยียวยา ขณะที่องค์กรต่าง ๆ ต้องมีขอบเขตการดำเนินงานที่ชัดเจนและบทลงโทษที่กำหนดไว้สำหรับการละเมิด

ศาลมีคำสั่งให้สำนักงานนายกรัฐมนตรีและคณะรัฐมนตรี กระทรวงมหาดไทย และจำเลยอื่น ๆ เดินหน้าจัดทำกฎหมาย ธนาคารเนปาล อินเวสต์เมนต์ เมกะ จำกัด ก็มีชื่อเป็นหนึ่งในจำเลยในคำร้องของอธิการี

คนหลายล้านคนมีหมายเลข แต่มีบัตรน้อยกว่ามาก

ตัวเลขของกรมแสดงให้เห็นทั้งขนาดของการลงทะเบียนและงานแจกจ่ายที่ยังเหลืออยู่ ประชาชนกว่า 20 ล้านคนได้รับหมายเลขประจำตัวประชาชนแห่งชาติแล้ว มีการพิมพ์บัตร 7.8 ล้านใบ และส่งมอบถึงประชาชนแล้ว 4 ล้านใบ

บัตรที่ส่งมอบแล้ว 4 ล้านใบคิดเป็นประมาณ 51 เปอร์เซ็นต์ของบัตร 7.8 ล้านใบที่พิมพ์เสร็จแล้ว จึงยังมีบัตรค้างส่งประมาณ 3.8 ล้านใบ ช่องว่างนี้ทำให้การยอมรับหลักฐานยืนยันตัวตนรูปแบบอื่นมีความสำคัญในทางปฏิบัติ แม้ว่าข้อกำหนดด้านธนาคารบางส่วนจะยอมรับหมายเลขประจำตัว แทนการกำหนดให้ต้องมีบัตรจริงก็ตาม

คุรุประสาท เปาเดล โฆษกธนาคารกลางเนปาล กล่าวว่า ธนาคารและสถาบันการเงินมีบัญชีรวมกันกว่า 63 ล้านบัญชี ลูกค้าสามารถมีหลายบัญชีได้ ดังนั้นตัวเลขนี้จึงสะท้อนจำนวนบัญชีทั้งหมดในระบบธนาคาร ไม่ใช่จำนวนลูกค้ารายบุคคล

เปาเดลกล่าวว่าธนาคารเก็บข้อมูลระบุตัวตนไว้เป็นจำนวนมากอยู่แล้ว รวมถึงเอกสารรับรองสัญชาติและรายละเอียดส่วนบุคคล เขาอธิบายว่าแผนเชื่อมโยงระบบมีไว้เพื่อตรวจสอบข้อมูล ไม่ใช่เพื่อให้ธนาคารได้รับข้อมูลทั้งหมดในฐานข้อมูลอัตลักษณ์ระดับชาติ และยังสนับสนุนให้มีมาตรการทางกฎหมายที่เหมาะสมเพื่อคุ้มครองข้อมูล

รัฐบาลยังคงลงทุนในโครงสร้างพื้นฐานด้านอัตลักษณ์ ในเดือนมิถุนายน คณะรัฐมนตรีอนุมัติการซื้อใบอนุญาตซอฟต์แวร์จับคู่ข้อมูลชีวมิติ 10 ล้านรายการจาก IN Groupe ซอฟต์แวร์จับคู่ช่วยให้ระบบเปรียบเทียบข้อมูลชีวมิติเมื่อตรวจสอบตัวตน

พัฒนาการของข้อกำหนด

ข้อพิพาทด้านธนาคารเกิดขึ้นหลังจากมีความพยายามในวงกว้างที่จะเชื่อมโยงบริการสาธารณะเข้ากับระบบอัตลักษณ์ระดับชาติแบบเดียวกัน เจ้าหน้าที่ระบุว่า NID เชื่อมโยงกับหน่วยงาน 13 แห่งแล้ว รวมถึงบริการที่เกี่ยวข้องกับธนาคารและหนังสือเดินทาง

ขั้นตอนสำคัญที่ระบุไว้ในกระบวนการพิจารณาและคำชี้แจงของทางการในเวลาต่อมา มีดังนี้:

• อศาร 2081: รัฐบาลประกาศในราชกิจจานุเบกษากำหนดให้ใช้บัตรประจำตัวประชาชนแห่งชาติสำหรับบริการธนาคาร สวัสดิการสังคม และบริการอื่น ๆ ตามกำหนดการแบ่งตามพื้นที่
• มิถุนายน: ธนาคารกลางเนปาลออกข้อกำหนดด้านการยืนยันตัวตนสำหรับธนาคาร ซึ่งเกี่ยวข้องกับ NID หรือหมายเลขประจำบัตร และการตรวจสอบกับข้อมูลอิเล็กทรอนิกส์
• 8 มิถุนายน: อธิการียื่นคำร้องคัดค้านข้อจำกัดดังกล่าวและการคุ้มครองข้อมูลส่วนบุคคล
• 9 ตุลาคม: ศาลฎีกายกเลิกการใช้ NID เป็นหลักฐานเพียงอย่างเดียวในการยืนยันตัวตนเพื่อใช้บริการธนาคาร และสั่งให้รัฐบาลเดินหน้าผลักดันกฎหมายคุ้มครองข้อมูลโดยเฉพาะ
• 16 ธันวาคม: ข้อกำหนดด้านประกันสุขภาพอีกฉบับมีกำหนดเริ่มใช้กับประชาชนอายุ 16 ปีขึ้นไปที่ต้องการสมัคร ต่ออายุ หรือใช้บริการ

ข้อกำหนดในราชกิจจานุเบกษายกเว้นเด็ก ผู้ที่ไม่สามารถดูแลตนเอง ผู้ที่ตกอยู่ในภาวะไร้ที่พึ่งหรือทุพพลภาพ และประชาชนอายุเกิน 90 ปี ชาวเนปาลที่อาศัยอยู่ต่างประเทศสามารถเปิดบัญชีด้วยเอกสารยืนยันตัวตนอื่นได้ แต่ต้องปรับปรุงข้อมูล NID ภายใน 35 วันหลังเดินทางกลับเนปาล

แผนก่อนหน้านี้ที่กำหนดให้ใช้บัตรในการต่ออายุสวัสดิการสังคมเป็นระยะถูกเลื่อนออกไปหลังมีเสียงคัดค้าน คำวินิจฉัยด้านธนาคารเป็นอีกตัวอย่างที่ชัดเจนของความตึงเครียดระหว่างการขยายระบบยืนยันตัวตนดิจิทัลกับการรักษาการเข้าถึงบริการให้ประชาชนระหว่างการขยายระบบ

บริการอื่น ๆ อยู่ระหว่างการทบทวนทางกฎหมาย

ข้อกำหนดของคณะกรรมการประกันสุขภาพที่เริ่มวันที่ 16 ธันวาคมทำให้ประเด็นความเป็นส่วนตัวเกี่ยวข้องกับบริการอีกประเภทที่ครัวเรือนใช้ กฎดังกล่าวครอบคลุมประชาชนอายุ 16 ปีขึ้นไปที่สมัคร ต่ออายุ หรือใช้โครงการประกันสุขภาพ

เปาเดลกล่าวว่าเจ้าหน้าที่จำเป็นต้องชี้แจงว่าคำวินิจฉัยมีผลต่อบริการทั้งหมดที่อยู่ภายใต้ประกาศในราชกิจจานุเบกษาหรือเฉพาะธนาคารและสถาบันการเงิน ส่วนเศรษฐะกล่าวว่ากรมจะขอคำแนะนำทางกฎหมายและปฏิบัติตามมติรัฐบาลที่ออกมา ขอบเขตการบังคับใช้ในวงกว้างจึงยังต้องรอความชัดเจน และยังไม่มีการระบุวันที่แน่นอนสำหรับการผ่านกฎหมายคุ้มครองข้อมูลฉบับใหม่

เนปาลยังขอให้อินเดียยอมรับบัตรประจำตัวประชาชนแห่งชาติของเนปาลในระดับเดียวกับเอกสารรับรองสัญชาติเนปาล แต่ทั้งสองประเทศยังไม่ได้ข้อสรุปในเรื่องนี้ ภายในเนปาล ศาลได้วางหลักไว้อย่างชัดเจนแล้วว่า การขยายการใช้ระบบอัตลักษณ์ต้องดำเนินควบคู่กับการคุ้มครองตามกฎหมาย และประชาชนที่รอเอกสารยืนยันตัวตนต้องยังเข้าถึงบริการธนาคารได้

ขณะนี้หลายหน่วยงานมีภารกิจที่ต้องดำเนินการ ธนาคารต้องรับเอกสารทางเลือกตามคำสั่ง รัฐบาลต้องจัดทำกฎหมาย และรัฐสภาต้องพิจารณากรอบกฎหมาย นอกจากนี้ โครงสร้างพื้นฐานสำหรับการตรวจสอบต้องเป็นไปตามข้อกำหนดของศาลที่ให้จำกัดข้อมูลซึ่งส่งให้องค์กรที่ตรวจสอบตัวตน

ประเด็นสำคัญ

• คำวินิจฉัยของศาลฎีกาเมื่อวันที่ 9 ตุลาคมยุติการใช้บัตรประจำตัวประชาชนแห่งชาติหรือหมายเลขประจำบัตรเป็นหลักฐานเพียงอย่างเดียวในการยืนยันตัวตนเพื่อใช้บริการธนาคาร
• ธนาคารต้องรับเอกสารรับรองสัญชาติและเอกสารยืนยันตัวตนอื่น ๆ จนกว่าลูกค้าจะได้รับ NID หรือหมายเลขประจำบัตร
• ศาลเรียกร้องให้ตรากฎหมายคุ้มครองข้อมูลโดยผ่านความเห็นชอบจากรัฐสภา และจัดตั้งหน่วยงานกำกับดูแลอิสระ
• การตรวจสอบตัวตนควรตอบเพียงว่าใช่หรือไม่ใช่ แทนการเปิดเผยข้อมูลชีวมิติ
• โครงการอัตลักษณ์รวบรวมข้อมูลจากประชาชนกว่า 20.7 ล้านคน เจ้าหน้าที่ระบุว่าพิมพ์บัตรแล้ว 7.8 ล้านใบ และส่งมอบแล้ว 4 ล้านใบ
• เจ้าหน้าที่กำลังทบทวนว่าคำวินิจฉัยมีผลต่อข้อกำหนดนอกภาคธนาคารอย่างไร รวมถึงการขยายการใช้ NID ในวงกว้าง