Supremo Tribunal do Nepal exige lei de proteção de dados e põe fim à identificação bancária exclusiva pelo cartão de identidade nacional

Decisão sobre privacidade abrange uma base de dados com milhões de identidades

O Supremo Tribunal do Nepal ordenou ao Governo que avance com uma lei específica de proteção de dados e anulou uma exigência do banco central que impunha o Cartão de Identidade Nacional, ou o respetivo número, como único meio de identificação dos clientes bancários. A decisão afeta um sistema que recolheu dados pessoais de mais de 20,7 milhões de cidadãos através de 539 centros de recolha.

A decisão de 9 de outubro, proferida pelos juízes Sapana Pradhan Malla e Meghraj Pokharel, determina que os bancos aceitem certificados de cidadania e outros documentos de identificação até os clientes obterem um Cartão de Identidade Nacional ou o respetivo número. Os cidadãos não podem perder o acesso aos serviços bancários por não terem esse documento.

Os juízes defenderam também a criação de uma entidade reguladora independente para fiscalizar a utilização de dados pessoais, receber queixas e agir perante infrações. Ao verificar identidades, os bancos devem receber uma resposta afirmativa ou negativa, em vez de terem acesso alargado às impressões digitais e a outros registos sensíveis guardados no sistema nacional.

A decisão relaciona dois problemas concretos: pessoas impedidas de utilizar as suas contas e um Governo que está a expandir uma base de dados com identificadores biométricos antes de estabelecer uma lei abrangente que regule a sua utilização. O efeito imediato diz respeito ao acesso aos serviços bancários, enquanto as orientações legislativas abrangem de forma mais ampla a proteção dos dados pessoais.

O que muda para os clientes bancários?

A advogada Sarita Adhikari avançou com o processo depois de um banco lhe ter pedido o número do Cartão de Identidade Nacional, em vez de aceitar o seu certificado de cidadania para atualizar os dados de cliente. A sua petição contestou as exigências que condicionavam os serviços bancários à verificação através da base de dados nacional de identidade.

A diretiva de junho do Nepal Rastra Bank abrangia a abertura de contas e a atualização dos dados de «conheça o seu cliente», habitualmente designados pela sigla KYC. KYC é o processo utilizado pelos bancos para confirmar a identidade dos clientes e manter os respetivos dados atualizados. A contestação abrangia também exigências relativas à alteração dos números de telemóvel registados pelos clientes.

O tribunal invalidou a disposição da Diretiva Integrada 2082, identificada como Diretiva E.P. n.º 19. 082, na medida em que tornava o Cartão de Identidade Nacional ou o respetivo número o único meio de identificação aceite. Os bancos devem prestar serviços com base em certificados de cidadania e noutros documentos de identificação enquanto os clientes aguardam a emissão do NID ou do respetivo número.

Os juízes distinguiram a cidadania do sistema de identificação mais recente, criado para a prestação de serviços. O certificado de cidadania comprova a cidadania de uma pessoa, enquanto o Cartão de Identidade Nacional foi desenvolvido como meio de identificação no acesso a serviços. O tribunal afirmou que os atrasos administrativos na emissão do novo documento não devem impedir os cidadãos de aceder a esses serviços.

Por que razão o tribunal quer uma lei aprovada pelo Parlamento

O artigo 28.º da Constituição do Nepal protege a privacidade. Adhikari alegou que o acesso a registos biométricos sem regras claras sobre a utilização, conservação e consentimento punha esse direito em risco.

O Governo defendeu as disposições em vigor ao abrigo da Lei do Cartão de Identidade Nacional e do Registo. Invocou um comité presidido pelo secretário do Interior e normas de segurança para o sistema de gestão da identidade. Essas normas são identificadas como Normas de Segurança 2082 e também designadas Normas de Segurança do Sistema de Informação de Gestão da Identidade Nacional, 2025.

O coletivo do Supremo Tribunal afirmou que as salvaguardas do executivo não podiam substituir a legislação. Ao explicar a proteção jurídica necessária, os juízes declararam:

«Neste caso, “lei” significa um ato aprovado pelo Parlamento, não uma diretiva, circular ou norma emitida por um órgão executivo ou administrativo»,

Uma diretiva indica a funcionários ou instituições como devem agir no âmbito das suas responsabilidades. Uma lei aprovada pelo Parlamento pode estabelecer direitos, deveres e mecanismos de reparação vinculativos para todas as organizações que tratam informações pessoais. O tribunal pretende essa estrutura jurídica mais abrangente, em vez de deixar a proteção dependente de instruções administrativas.

A proposta de Lei de Proteção de Dados definiria os motivos que permitem a recolha de informações, limitaria a sua utilização, estabeleceria os direitos dos cidadãos e criaria mecanismos de fiscalização. Preveria também sanções, multas, indemnizações e recursos jurídicos em caso de infração das regras.

Como funcionaria uma verificação de identidade com resposta afirmativa ou negativa

As impressões digitais e os dados biométricos oculares são especialmente sensíveis, porque não podem ser substituídos como uma palavra-passe. Os juízes alertaram para o facto de identificadores biométricos comprometidos poderem causar danos duradouros às pessoas e criar riscos para a segurança nacional.

O tribunal assinalou também o risco de instituições comerciais utilizarem para outros fins informações recolhidas com uma finalidade específica. A solução proposta consiste em limitar os dados que uma organização recebe ao verificar uma identidade.

Um banco poderia enviar um pedido de verificação de identidade e receber a confirmação de que os dados correspondem, sem obter o registo biométrico subjacente. O resultado útil é a resposta à verificação, e não uma cópia das informações sensíveis utilizadas para a produzir.

A encriptação e a tokenização foram identificadas como possíveis ferramentas para esta abordagem. A encriptação torna as informações ilegíveis sem a chave adequada. A tokenização substitui informações sensíveis por um valor de referência, permitindo que um sistema utilize essa referência em vez de expor o registo original. A exigência central do tribunal diz respeito à limitação da resposta enviada à organização que pede a verificação.

Nirajan Shrestha, diretor e responsável pela informação no Departamento do Cartão de Identidade Nacional e do Registo, afirmou que os bancos ainda não tinham acesso aos dados nacionais de identidade. Disse que o departamento pedira aos bancos que registassem os números de identidade e que estava a trabalhar com o Nepal Rastra Bank na infraestrutura necessária para os verificar.

Uma entidade reguladora independente receberia queixas

A entidade reguladora proposta fiscalizaria a proteção de dados, receberia queixas e tomaria medidas. Isso daria aos cidadãos uma forma de contestar o tratamento das suas informações para além das próprias organizações que as recolhem ou utilizam.

O comité existente é presidido pelo secretário do Interior. O apelo do tribunal à criação de uma autoridade independente acrescenta uma fiscalização autónoma à responsabilidade do Governo pela gestão do sistema de identidade.

A lei proposta associaria essa fiscalização a consequências. Um cidadão cujas informações fossem utilizadas indevidamente precisaria de um meio para obter reparação, enquanto as organizações teriam de cumprir limites claros e estar sujeitas a sanções definidas em caso de infração.

O tribunal ordenou ao Gabinete do Primeiro-Ministro e do Conselho de Ministros, ao Ministério do Interior e aos restantes réus que avançassem com a legislação. O Nepal Investment Mega Bank Limited também foi incluído entre os réus na petição de Adhikari.

Milhões têm número de identidade, mas muito menos têm cartão

Os dados do departamento mostram a dimensão tanto do registo como do trabalho de distribuição ainda por concluir. Mais de 20 milhões de pessoas tinham recebido números de identidade nacional, 7,8 milhões de cartões tinham sido impressos e 4 milhões tinham chegado aos cidadãos.

Os 4 milhões de cartões entregues correspondem a cerca de 51% dos 7,8 milhões impressos. A diferença é de aproximadamente 3,8 milhões de cartões. Esta lacuna torna a aceitação de meios de identificação alternativos especialmente importante na prática, embora alguns requisitos bancários aceitassem o número de identidade em vez de exigirem o cartão físico.

Guruprasad Paudel, porta-voz do Nepal Rastra Bank, afirmou que os bancos e as instituições financeiras tinham mais de 63 milhões de contas. Como os clientes podem ter várias contas, este número representa o total de contas do sistema bancário, não a quantidade de clientes individuais.

Paudel disse que os bancos já recolhiam muitos dados de identificação, incluindo documentos de cidadania e informações pessoais. Descreveu a ligação prevista como um meio de verificar informações, e não como uma tentativa de dar aos bancos acesso a todos os registos da base de dados nacional de identidade. Também defendeu a adoção de disposições jurídicas adequadas para proteger os dados.

O Governo continuou a investir na infraestrutura de identidade. Em junho, o Conselho de Ministros aprovou a compra de 10 milhões de licenças de correspondência biométrica à IN Groupe. O software de correspondência permite a um sistema comparar registos biométricos durante a verificação de identidades.

Como evoluíram as exigências

O litígio bancário surge na sequência de um esforço mais amplo para ligar os serviços públicos a um sistema nacional único de identidade. As autoridades disseram que o NID já tinha sido associado a 13 entidades, incluindo serviços relacionados com a banca e os passaportes.

As principais etapas descritas no processo e em declarações oficiais posteriores foram:

• Asar 2081: O Governo publicou um aviso no diário oficial que introduziu a obrigatoriedade do Cartão de Identidade Nacional para serviços bancários, segurança social e outros serviços, de acordo com um calendário geográfico.
• Junho: O Nepal Rastra Bank emitiu requisitos de identificação bancária relativos ao NID ou ao respetivo número, bem como à verificação através de registos eletrónicos.
• 8 de junho: Adhikari apresentou a petição, contestando as restrições e a proteção das informações pessoais.
• 9 de outubro: O Supremo Tribunal pôs fim à utilização exclusiva do NID para identificação bancária e ordenou ao Governo que avançasse com uma lei específica de proteção de dados.
• 16 de dezembro: Está previsto que entre em vigor uma exigência separada relativa ao seguro de saúde, aplicável aos cidadãos com 16 anos ou mais que pretendam inscrever-se, renovar a inscrição ou aceder aos serviços.

As disposições publicadas no diário oficial previam exceções para crianças, pessoas incapazes de cuidar de si próprias, pessoas em situação de desamparo ou incapacidade e cidadãos com mais de 90 anos. Os nepaleses residentes no estrangeiro podiam abrir contas com outros documentos de identificação, mas tinham de atualizar os dados do NID no prazo de 35 dias após regressarem ao Nepal.

Um plano anterior para exigir o cartão na renovação faseada dos subsídios de segurança social foi adiado após contestação. A decisão relativa à banca é mais um exemplo concreto da tensão entre a expansão da identificação digital e a manutenção do acesso aos serviços durante esse processo.

Outros serviços serão alvo de análise jurídica

A exigência do Conselho do Seguro de Saúde, prevista para 16 de dezembro, estende a questão da privacidade a outro serviço utilizado pelas famílias. A regra abrange os cidadãos com 16 anos ou mais que se inscrevam, renovem a inscrição ou acedam ao programa de seguro de saúde.

Paudel afirmou que as autoridades precisavam de esclarecer se a decisão afetava todos os serviços abrangidos pelo aviso publicado no diário oficial ou apenas os bancos e as instituições financeiras. Shrestha disse que o departamento pediria aconselhamento jurídico e seguiria a decisão que viesse a ser tomada pelo Governo. O âmbito mais vasto da aplicação aguarda, por isso, esclarecimento, e não foi indicada uma data específica para a aprovação da nova lei de proteção de dados.

O Nepal também pediu à Índia que reconhecesse o seu Cartão de Identidade Nacional em condições comparáveis às da documentação nepalesa de cidadania. Os dois países ainda não chegaram a uma conclusão sobre esse pedido. Dentro do Nepal, o tribunal já traçou uma linha clara: a expansão da utilização do sistema de identidade tem de ser acompanhada por proteção jurídica e pela manutenção do acesso aos serviços bancários para quem aguarda a emissão dos documentos.

As tarefas práticas cabem agora a várias instituições. Os bancos têm de aceitar documentos alternativos, conforme determinado; o Governo tem de elaborar legislação; e o Parlamento tem de apreciar o enquadramento jurídico. A infraestrutura de verificação também tem de respeitar a exigência do tribunal de limitar as informações disponibilizadas às organizações que verificam identidades.

Pontos principais

• A decisão de 9 de outubro do Supremo Tribunal pôs fim à identificação bancária baseada exclusivamente no Cartão de Identidade Nacional ou no respetivo número.
• Os bancos têm de aceitar certificados de cidadania e outros documentos de identificação até os clientes obterem um NID ou o respetivo número.
• O tribunal defendeu uma lei de proteção de dados aprovada pelo Parlamento e a criação de uma entidade reguladora independente.
• A verificação de identidade deve dar uma resposta afirmativa ou negativa, sem expor registos biométricos.
• O programa de identidade recolheu dados de mais de 20,7 milhões de cidadãos; as autoridades disseram que tinham sido impressos 7,8 milhões de cartões e entregues 4 milhões.
• As autoridades estão a analisar de que forma a decisão afeta exigências para além da banca, incluindo a expansão mais ampla da utilização do NID.