Un fallo sobre privacidad alcanza una base de datos con millones de identidades
La Corte Suprema de Nepal ordenó al Gobierno que impulse una ley específica de protección de datos y anuló una exigencia del banco central que establecía que la tarjeta nacional de identidad, o su número, fuera el único medio para identificar a los clientes bancarios. La decisión afecta a un sistema que ha recopilado datos personales de más de 20,7 millones de ciudadanos a través de 539 centros de registro.
Contenido
- Un fallo sobre privacidad alcanza una base de datos con millones de identidades
- ¿Qué cambia para los clientes bancarios?
- Por qué el tribunal pide una ley aprobada por el Parlamento
- Cómo funcionaría una verificación de identidad con respuesta afirmativa o negativa
- Un organismo regulador independiente atendería las reclamaciones
- Millones tienen un número, pero muchos menos tienen la tarjeta
- Cómo se desarrollaron los requisitos
- Otros servicios serán objeto de una revisión jurídica
- Puntos clave
El fallo del 9 de octubre, dictado por los magistrados Sapana Pradhan Malla y Meghraj Pokharel, exige a los bancos que acepten certificados de ciudadanía y otros documentos de identidad hasta que los clientes obtengan una tarjeta nacional de identidad o un número. Los ciudadanos no deben perder el acceso a los servicios bancarios por carecer del documento.
Los magistrados también pidieron la creación de un organismo regulador independiente que supervise el uso de los datos personales, atienda reclamaciones y actúe ante las infracciones. Al verificar identidades, los bancos deberían recibir una respuesta afirmativa o negativa, en lugar de tener un acceso amplio a las huellas dactilares y otros datos confidenciales almacenados en el sistema nacional.
El fallo vincula dos problemas concretos: la imposibilidad de algunas personas de utilizar sus cuentas y la ampliación por parte del Gobierno de una base de datos con identificadores biométricos antes de establecer una ley integral que regule su uso. Su efecto inmediato afecta al acceso a los servicios bancarios, mientras que sus directrices legislativas abarcan de manera más amplia la protección de los datos personales.
¿Qué cambia para los clientes bancarios?
La abogada Sarita Adhikari presentó la demanda después de que un banco le solicitara su número de tarjeta nacional de identidad, en lugar de aceptar su certificado de ciudadanía para actualizar los datos de su cuenta. En su petición cuestionó los requisitos que vinculaban los servicios bancarios con la verificación a través de la base de datos nacional de identidad.
La directiva de junio del Banco Rastra de Nepal abarcaba la apertura de cuentas y la actualización de los datos de conocimiento del cliente, conocidos comúnmente como KYC. El proceso KYC permite a los bancos confirmar la identidad de sus clientes y mantener actualizados sus datos identificativos. La demanda también cuestionaba requisitos que afectaban a los cambios en los números de teléfono móvil registrados por los clientes.
El tribunal anuló la disposición de la Directiva Integrada 2082 identificada como E.P. Directive No. 19. 082, en la medida en que establecía que la tarjeta nacional de identidad o su número fueran el único medio de identificación aceptable. Los bancos deben prestar servicios con certificados de ciudadanía y otros documentos de identidad mientras los clientes esperan obtener un NID o un número.
Los magistrados distinguieron entre la ciudadanía y el nuevo sistema de identificación para acceder a servicios. El certificado de ciudadanía acredita la ciudadanía de una persona, mientras que la tarjeta nacional de identidad se creó como medio para identificar a las personas al prestar servicios. El tribunal señaló que los retrasos administrativos en la entrega del nuevo documento no deben privar a los ciudadanos del acceso a esos servicios.
Por qué el tribunal pide una ley aprobada por el Parlamento
El artículo 28 de la Constitución de Nepal protege la privacidad. Adhikari sostuvo que el acceso a los datos biométricos sin normas claras sobre su uso, conservación y consentimiento ponía en riesgo ese derecho.
El Gobierno defendió las disposiciones vigentes en virtud de la Ley de la Tarjeta Nacional de Identidad y Registro. Citó un comité presidido por el secretario del Interior y normas de seguridad para el sistema de gestión de identidad. Estas normas se identifican como Security Standards 2082 y también se describen como National Identity Management Information System Security Standards, 2025.
La sala de la Corte Suprema afirmó que las salvaguardias ejecutivas no podían sustituir a la legislación. Al explicar la protección jurídica necesaria, los magistrados señalaron:
«Aquí, “ley” significa una norma aprobada por el Parlamento, no una directiva, circular o estándar emitido por un órgano ejecutivo o administrativo».
Una directiva indica a funcionarios o instituciones cómo actuar dentro de sus competencias. Una ley aprobada por el Parlamento puede establecer derechos, obligaciones y recursos vinculantes para todas las organizaciones que manejan información personal. El tribunal pide una estructura jurídica más amplia, en lugar de dejar la protección en manos de instrucciones administrativas.
La ley de protección de datos propuesta definiría los motivos por los que se puede recopilar información, limitaría su uso, establecería los derechos de los ciudadanos y crearía mecanismos de supervisión. También contemplaría sanciones, multas, indemnizaciones y recursos legales en caso de incumplimiento de esas normas.
Cómo funcionaría una verificación de identidad con respuesta afirmativa o negativa
Las huellas dactilares y los datos biométricos del iris son especialmente sensibles porque las personas no pueden reemplazarlos como harían con una contraseña. Los magistrados advirtieron que la filtración de identificadores biométricos podría causar daños duraderos a las personas y generar riesgos para la seguridad nacional.
El tribunal también señaló la posibilidad de que las instituciones comerciales usaran para otros fines la información recopilada con un propósito determinado. Su propuesta consiste en limitar los datos que recibe una organización cuando verifica una identidad.
Un banco podría enviar una solicitud de verificación de identidad y recibir la confirmación de que los datos coinciden, sin obtener el registro biométrico subyacente. El resultado útil es la respuesta a la verificación de identidad, no una copia de la información confidencial utilizada para obtenerla.
El cifrado y la tokenización se mencionaron como posibles herramientas para aplicar este enfoque. El cifrado hace que la información sea ilegible sin la clave adecuada. La tokenización sustituye la información confidencial por un valor de referencia, lo que permite que un sistema trabaje con esa referencia sin exponer el registro original. El requisito central del tribunal se refiere a limitar la respuesta que recibe la organización que solicita la verificación.
Nirajan Shrestha, director y responsable de información del Departamento de Tarjetas Nacionales de Identidad y Registro, afirmó que todavía no se había concedido a los bancos acceso a los datos nacionales de identidad. Dijo que el departamento había pedido a los bancos que registraran los números de identidad y estaba trabajando con el Banco Rastra de Nepal en la infraestructura para verificarlos.
Un organismo regulador independiente atendería las reclamaciones
El organismo regulador propuesto supervisaría la protección de datos, recibiría reclamaciones y tomaría medidas. Así, los ciudadanos tendrían un lugar donde cuestionar el manejo de su información, aparte de las organizaciones que la recopilan o utilizan.
El comité existente está bajo la dirección del secretario del Interior. El llamado del tribunal a crear un organismo independiente incorporaría una supervisión separada de la responsabilidad del Gobierno de gestionar el sistema de identidad.
La ley solicitada vincularía esa supervisión con consecuencias concretas. Los ciudadanos cuya información se utilizara de forma indebida necesitarían una vía para reclamar una reparación, mientras que las organizaciones requerirían límites claros para su actuación y sanciones definidas en caso de infracción.
El tribunal ordenó a la Oficina del Primer Ministro y el Consejo de Ministros, al Ministerio del Interior y a los demás demandados que avancen con la legislación. Nepal Investment Mega Bank Limited también figuraba entre los demandados en la petición de Adhikari.
Millones tienen un número, pero muchos menos tienen la tarjeta
Las cifras del departamento muestran la magnitud del registro y la labor pendiente de distribución. Más de 20 millones de personas habían recibido números nacionales de identidad, se habían impreso 7,8 millones de tarjetas y 4 millones habían llegado a sus destinatarios.
Las 4 millones de tarjetas entregadas representan cerca del 51 % de los 7,8 millones impresos. La diferencia es de aproximadamente 3,8 millones de tarjetas. Esa brecha hace que sea importante contar con medios de identificación alternativos en la práctica, aunque algunos requisitos bancarios aceptaban un número de identidad y no exigían la tarjeta física.
El portavoz del Banco Rastra de Nepal, Guruprasad Paudel, afirmó que los bancos y las instituciones financieras tenían más de 63 millones de cuentas. Los clientes pueden tener varias cuentas, por lo que la cifra refleja el volumen de cuentas de todo el sistema bancario, no el número de clientes individuales.
Paudel afirmó que los bancos ya recopilaban una gran cantidad de datos identificativos, incluidos documentos de ciudadanía e información personal. Describió la conexión prevista como un mecanismo para verificar datos, no como un intento de dar a los bancos acceso a todos los registros de la base de datos nacional de identidad. También respaldó la creación de disposiciones legales adecuadas para proteger los datos.
El Gobierno ha seguido invirtiendo en la infraestructura de identidad. En junio, el Consejo de Ministros aprobó la compra de 10 millones de licencias de cotejo biométrico a IN Groupe. El software de cotejo permite que un sistema compare datos biométricos al verificar identidades.
Cómo se desarrollaron los requisitos
La disputa bancaria se enmarca en un esfuerzo más amplio por conectar los servicios públicos con un único sistema nacional de identidad. Funcionarios señalaron que el NID ya estaba vinculado a 13 organismos, entre ellos algunos que prestan servicios bancarios y de pasaportes.
Los principales pasos descritos en el proceso judicial y en explicaciones oficiales posteriores fueron:
- Asar de 2081: El Gobierno publicó una notificación oficial que introducía requisitos de la Tarjeta Nacional de Identidad para los servicios bancarios, la seguridad social y otros servicios, de acuerdo con un calendario geográfico.
- Junio: El Banco Rastra de Nepal emitió requisitos de identificación bancaria relacionados con el NID o su número, así como con la verificación mediante registros electrónicos.
- 8 de junio: Adhikari presentó su demanda para cuestionar las restricciones y la protección de la información personal.
- 9 de octubre: La Corte Suprema puso fin al uso exclusivo del NID para la identificación bancaria y ordenó al Gobierno que impulse una ley específica de protección de datos.
- 16 de diciembre: Está previsto que entre en vigor un requisito independiente del seguro médico para los ciudadanos de 16 años o más que quieran inscribirse, renovar su cobertura o acceder a los servicios.
Las disposiciones de la notificación oficial incluían excepciones para niños, personas que no pudieran valerse por sí mismas, personas desamparadas o incapacitadas y ciudadanos mayores de 90 años. Los nepalíes que viven en el extranjero podían abrir cuentas con otros documentos de identidad, pero debían actualizar sus datos del NID en un plazo de 35 días desde su regreso a Nepal.
Un plan anterior para exigir la tarjeta al renovar por etapas las prestaciones de seguridad social se aplazó tras las críticas. El fallo sobre los servicios bancarios es otro ejemplo concreto de la tensión entre ampliar la identificación digital y mantener el acceso a los servicios durante ese proceso.
Otros servicios serán objeto de una revisión jurídica
El requisito de la Junta de Seguro Médico previsto para el 16 de diciembre extiende el debate sobre la privacidad a otro servicio utilizado por los hogares. La norma abarca a los ciudadanos de 16 años o más que se inscriban en el programa de seguro médico, renueven su cobertura o accedan a sus servicios.
Paudel afirmó que los funcionarios debían aclarar si el fallo afectaba a todos los servicios contemplados en la notificación oficial o solo a los bancos y las instituciones financieras. Shrestha dijo que el departamento pediría asesoramiento jurídico y acataría la decisión gubernamental correspondiente. Por tanto, el alcance más amplio de la aplicación de la sentencia sigue pendiente de aclaración y no se anunció una fecha concreta para aprobar la nueva ley de protección de datos.
Nepal también ha pedido a India que reconozca su Tarjeta Nacional de Identidad en condiciones comparables a las de la documentación de ciudadanía nepalesa. Los dos países todavía no habían llegado a una conclusión sobre esa solicitud. Dentro de Nepal, el tribunal ya ha fijado un límite claro: la ampliación del uso del sistema de identidad debe ir acompañada de protección legal y de un acceso continuo a los servicios bancarios para quienes esperan obtener un documento de identidad.
Ahora, varias instituciones tienen tareas concretas. Los bancos deben aceptar documentos alternativos, tal como se ordenó; el Gobierno debe elaborar la legislación y el Parlamento debe examinar el marco jurídico. La infraestructura de verificación también debe ajustarse al requisito del tribunal de limitar la información que se facilita a las organizaciones que comprueban identidades.
Puntos clave
- El fallo de la Corte Suprema del 9 de octubre puso fin al uso exclusivo de la Tarjeta Nacional de Identidad o de su número para la identificación bancaria.
- Los bancos deben aceptar certificados de ciudadanía y otros documentos de identidad hasta que los clientes obtengan un NID o un número.
- El tribunal pidió una ley de protección de datos aprobada por el Parlamento y un organismo regulador independiente.
- La verificación de identidad debería ofrecer una respuesta afirmativa o negativa, en lugar de exponer los datos biométricos.
- El programa de identidad ha recopilado datos de más de 20,7 millones de ciudadanos; según funcionarios, se habían impreso 7,8 millones de tarjetas y entregado 4 millones.
- Los funcionarios están revisando cómo afecta el fallo a los requisitos ajenos a los servicios bancarios, incluida la expansión más amplia del uso del NID.
