Mahkamah Agung Nepal Perintahkan Pembentukan Undang-Undang Perlindungan Data dan Hentikan Ketergantungan Tunggal pada KTP Nasional untuk Layanan Perbankan

Putusan privasi menyangkut basis data yang menyimpan identitas jutaan orang

Mahkamah Agung Nepal memerintahkan pemerintah untuk mengupayakan undang-undang khusus perlindungan data dan membatalkan ketentuan bank sentral yang menjadikan Kartu Identitas Nasional, atau nomornya, sebagai satu-satunya dasar untuk mengidentifikasi nasabah bank. Keputusan ini berdampak pada sistem yang telah mengumpulkan data pribadi lebih dari 20,7 juta warga melalui 539 pusat pengumpulan data.

Putusan 9 Oktober yang dibacakan oleh Hakim Sapana Pradhan Malla dan Meghraj Pokharel mewajibkan bank menerima sertifikat kewarganegaraan dan dokumen identitas lainnya sampai nasabah memperoleh Kartu Identitas Nasional atau nomornya. Warga tidak boleh kehilangan akses perbankan hanya karena belum memiliki dokumen tersebut.

Para hakim juga menyerukan pembentukan regulator independen untuk mengawasi penggunaan data pribadi, menerima pengaduan, dan menindak pelanggaran. Bank yang memeriksa identitas seharusnya menerima jawaban ya atau tidak, bukan akses luas ke sidik jari dan catatan sensitif lainnya yang tersimpan dalam sistem nasional.

Putusan tersebut mengaitkan dua masalah praktis: warga yang tidak dapat menggunakan rekening mereka, dan pemerintah yang memperluas basis data berisi identitas biologis sebelum menetapkan undang-undang komprehensif yang mengatur penggunaannya. Dampak langsungnya menyangkut akses perbankan, sementara arahan legislatifnya mencakup perlindungan data pribadi secara lebih luas.

Apa yang berubah bagi nasabah bank?

Pengacara Sarita Adhikari mengajukan perkara ini setelah sebuah bank meminta nomor Kartu Identitas Nasionalnya, alih-alih menerima sertifikat kewarganegaraannya, untuk memperbarui informasi nasabah. Gugatannya menentang persyaratan yang mengaitkan layanan perbankan dengan verifikasi melalui basis data identitas nasional.

Direktif Nepal Rastra Bank pada Juni mencakup pembukaan rekening dan pembaruan data kenali nasabah Anda, yang umum disebut KYC. KYC adalah proses yang digunakan bank untuk memastikan identitas nasabah dan memperbarui informasi identitas mereka. Gugatan tersebut juga menyoal persyaratan yang memengaruhi perubahan nomor ponsel terdaftar nasabah.

Mahkamah membatalkan ketentuan Direktif Terpadu 2082, yang disebut sebagai E.P. Directive No. 19. 082, sepanjang ketentuan itu menjadikan Kartu Identitas Nasional atau nomornya sebagai satu-satunya dasar identifikasi yang dapat diterima. Bank harus memberikan layanan dengan menggunakan sertifikat kewarganegaraan dan dokumen identitas lainnya selama nasabah menunggu NID atau nomornya.

Para hakim membedakan kewarganegaraan dari sistem identifikasi layanan yang lebih baru. Sertifikat kewarganegaraan membuktikan status kewarganegaraan seseorang, sedangkan Kartu Identitas Nasional dikembangkan sebagai sarana untuk mengidentifikasi orang saat layanan diberikan. Mahkamah menyatakan bahwa keterlambatan administratif dalam menerbitkan dokumen baru tersebut tidak boleh menghilangkan akses warga terhadap layanan itu.

Mengapa Mahkamah menghendaki undang-undang dari parlemen

Pasal 28 Konstitusi Nepal melindungi privasi. Adhikari berpendapat bahwa akses ke catatan biometrik tanpa aturan yang jelas tentang penggunaan, penyimpanan, dan persetujuan membahayakan hak tersebut.

Pemerintah mempertahankan pengaturan yang ada berdasarkan Undang-Undang Kartu Identitas dan Pendaftaran Nasional. Pemerintah merujuk pada komite yang dipimpin sekretaris dalam negeri serta standar keamanan untuk sistem manajemen identitas. Standar tersebut disebut Security Standards 2082, yang juga dikenal sebagai National Identity Management Information System Security Standards, 2025.

Majelis Mahkamah Agung menyatakan bahwa perlindungan oleh eksekutif tidak dapat menggantikan undang-undang. Saat menjelaskan perlindungan hukum yang diperlukan, para hakim menyatakan:

Di sini, 'hukum' berarti undang-undang yang disahkan oleh Parlemen, bukan direktif, surat edaran, atau standar yang diterbitkan oleh badan eksekutif atau administratif,

Direktif memberi tahu pejabat atau lembaga bagaimana bertindak dalam lingkup tanggung jawab mereka. Undang-undang parlemen dapat menetapkan hak, kewajiban, dan upaya hukum yang mengikat seluruh organisasi yang menangani informasi masyarakat. Mahkamah menghendaki kerangka hukum yang lebih luas itu, alih-alih menyerahkan perlindungan pada instruksi administratif.

Undang-Undang Perlindungan Data yang diusulkan akan menetapkan alasan informasi dapat dikumpulkan, membatasi penggunaannya, menguraikan hak warga, dan membentuk mekanisme pengawasan. Undang-undang itu juga akan menetapkan hukuman, denda, kompensasi, dan upaya hukum ketika aturan dilanggar.

Bagaimana verifikasi identitas dengan jawaban ya atau tidak akan bekerja

Sidik jari dan biometrik mata sangat sensitif karena orang tidak dapat menggantinya seperti kata sandi. Para hakim memperingatkan bahwa kebocoran identitas biologis dapat menimbulkan kerugian jangka panjang bagi individu dan risiko bagi keamanan nasional.

Mahkamah juga menyoroti kemungkinan lembaga komersial menggunakan informasi yang dikumpulkan untuk satu tujuan demi tujuan lain. Solusi yang diusulkan adalah membatasi informasi yang diterima organisasi saat memeriksa identitas.

Bank dapat mengirim permintaan verifikasi identitas dan menerima konfirmasi bahwa data tersebut cocok, tanpa memperoleh catatan biometrik yang mendasarinya. Hasil yang dibutuhkan adalah jawaban atas pemeriksaan identitas, bukan salinan informasi sensitif yang digunakan untuk memberikan jawaban tersebut.

Enkripsi dan tokenisasi disebut sebagai teknologi yang dapat digunakan dalam pendekatan ini. Enkripsi membuat informasi tidak dapat dibaca tanpa kunci yang sesuai. Tokenisasi mengganti informasi sensitif dengan nilai referensi, sehingga sistem dapat menggunakan referensi tersebut tanpa memaparkan catatan aslinya. Persyaratan utama Mahkamah menyangkut pembatasan respons yang diberikan kepada organisasi peminta verifikasi.

Nirajan Shrestha, direktur sekaligus petugas informasi di Departemen Kartu Identitas dan Pendaftaran Nasional, mengatakan bank belum diberi akses ke data identitas nasional. Ia mengatakan departemen telah meminta bank mencatat nomor identitas dan sedang bekerja sama dengan Nepal Rastra Bank untuk membangun infrastruktur guna memverifikasinya.

Regulator independen akan menerima pengaduan

Regulator yang diusulkan akan mengawasi perlindungan data, menerima pengaduan, dan mengambil tindakan. Warga akan memiliki tempat untuk mengajukan keberatan atas penanganan informasi mereka, di luar organisasi yang mengumpulkan atau menggunakannya.

Komite yang ada saat ini berada di bawah kepemimpinan sekretaris dalam negeri. Seruan Mahkamah untuk membentuk otoritas independen akan menghadirkan pengawasan terpisah di samping tanggung jawab pemerintah untuk mengoperasikan sistem identitas.

Undang-undang yang diminta akan mengaitkan pengawasan tersebut dengan konsekuensi hukum. Warga yang informasinya disalahgunakan memerlukan jalur untuk memperoleh pemulihan, sementara organisasi memerlukan batasan perilaku yang jelas dan sanksi yang ditetapkan untuk pelanggaran.

Mahkamah memerintahkan Kantor Perdana Menteri dan Dewan Menteri, Kementerian Dalam Negeri, serta para tergugat lainnya untuk melanjutkan proses penyusunan undang-undang. Nepal Investment Mega Bank Limited juga disebut sebagai salah satu tergugat dalam gugatan Adhikari.

Jutaan orang memiliki nomor, jauh lebih sedikit yang memiliki kartu

Data departemen menunjukkan skala pendaftaran sekaligus pekerjaan distribusi yang masih harus dilakukan. Lebih dari 20 juta orang telah menerima nomor identitas nasional, 7,8 juta kartu telah dicetak, dan 4 juta kartu telah sampai kepada warga.

Jumlah 4 juta kartu yang telah diserahkan setara dengan sekitar 51 persen dari 7,8 juta kartu yang dicetak. Selisihnya sekitar 3,8 juta kartu. Kesenjangan ini membuat identitas alternatif penting secara praktis, meskipun beberapa persyaratan perbankan menerima nomor identitas dan tidak mewajibkan kartu fisik.

Juru bicara Nepal Rastra Bank, Guruprasad Paudel, mengatakan bank dan lembaga keuangan memiliki lebih dari 63 juta rekening. Nasabah dapat memiliki beberapa rekening, sehingga angka tersebut menunjukkan jumlah rekening di seluruh sistem perbankan, bukan jumlah nasabah individu.

Paudel mengatakan bank telah mengumpulkan banyak informasi identitas, termasuk dokumen kewarganegaraan dan data pribadi. Ia menggambarkan rencana koneksi sistem itu sebagai sarana untuk memeriksa informasi, bukan upaya memberikan semua catatan dalam basis data identitas nasional kepada bank. Ia juga mendukung pengaturan hukum yang sesuai untuk melindungi data.

Pemerintah terus berinvestasi dalam infrastruktur identitas. Pada Juni, Kabinet menyetujui pembelian 10 juta lisensi pencocokan biometrik dari IN Groupe. Perangkat lunak pencocokan membantu sistem membandingkan catatan biometrik saat memeriksa identitas.

Bagaimana persyaratan ini berkembang

Perselisihan perbankan ini menyusul upaya yang lebih luas untuk menghubungkan layanan publik ke satu sistem identitas nasional. Pejabat mengatakan NID telah dihubungkan dengan 13 lembaga, termasuk layanan yang berkaitan dengan perbankan dan paspor.

Tahapan utama yang dijelaskan dalam proses hukum dan penjelasan resmi setelahnya adalah:

• Asar 2081: Pemerintah menerbitkan pemberitahuan gazette yang memberlakukan persyaratan Kartu Identitas Nasional untuk layanan perbankan, jaminan sosial, dan layanan lainnya sesuai jadwal geografis.
• Juni: Nepal Rastra Bank menerbitkan persyaratan identifikasi perbankan yang melibatkan NID atau nomornya serta verifikasi terhadap catatan elektronik.
• 8 Juni: Adhikari mengajukan gugatan yang menentang pembatasan tersebut dan mempertanyakan perlindungan informasi pribadi.
• 9 Oktober: Mahkamah Agung menghentikan penggunaan NID sebagai satu-satunya dasar identifikasi perbankan dan mengarahkan pemerintah untuk mengupayakan undang-undang khusus perlindungan data.
• 16 Desember: Persyaratan asuransi kesehatan terpisah dijadwalkan berlaku bagi warga berusia 16 tahun ke atas yang ingin mendaftar, memperpanjang, atau mengakses layanan.

Pengaturan dalam gazette mencakup pengecualian bagi anak-anak, orang yang tidak mampu merawat diri, orang yang tidak berdaya atau tidak cakap, serta warga berusia di atas 90 tahun. Warga Nepal di luar negeri dapat membuka rekening dengan identitas lain, tetapi diwajibkan memperbarui data NID mereka dalam waktu 35 hari setelah kembali ke Nepal.

Rencana sebelumnya untuk mewajibkan kartu dalam perpanjangan tunjangan jaminan sosial secara bertahap ditunda setelah mendapat penolakan. Putusan perbankan ini memberikan contoh konkret lain tentang ketegangan antara perluasan identifikasi digital dan upaya menjaga akses layanan selama proses perluasan tersebut.

Layanan lain menghadapi peninjauan hukum

Persyaratan Dewan Asuransi Kesehatan yang berlaku mulai 16 Desember membawa persoalan privasi ini ke layanan lain yang digunakan rumah tangga. Aturan tersebut berlaku bagi warga berusia 16 tahun ke atas yang mendaftar, memperpanjang, atau mengakses program asuransi kesehatan.

Paudel mengatakan pejabat perlu memperjelas apakah putusan itu memengaruhi semua layanan yang tercakup dalam pemberitahuan gazette atau hanya bank dan lembaga keuangan. Shrestha mengatakan departemen akan meminta nasihat hukum dan mengikuti keputusan pemerintah setelahnya. Karena itu, cakupan penerapan yang lebih luas masih menunggu kejelasan, dan belum ada tanggal pasti untuk pengesahan undang-undang perlindungan data yang baru.

Nepal juga meminta India mengakui Kartu Identitas Nasionalnya dengan kedudukan yang setara dengan dokumen kewarganegaraan Nepal. Kedua negara belum mencapai kesepakatan atas permintaan tersebut. Di dalam negeri, Mahkamah telah menetapkan batas yang tegas: perluasan penggunaan sistem identitas harus disertai perlindungan hukum dan akses perbankan yang tetap tersedia bagi mereka yang masih menunggu dokumen identitas.

Tugas praktis kini berada di tangan beberapa lembaga. Bank harus menerima dokumen alternatif sesuai arahan, pemerintah harus menyusun undang-undang, dan Parlemen harus mempertimbangkan kerangka hukumnya. Infrastruktur verifikasi juga harus memenuhi persyaratan Mahkamah untuk membatasi informasi yang diberikan kepada organisasi yang memeriksa identitas.

Poin Utama

• Putusan Mahkamah Agung pada 9 Oktober mengakhiri ketergantungan tunggal pada Kartu Identitas Nasional atau nomornya untuk identifikasi perbankan.
• Bank harus menerima sertifikat kewarganegaraan dan dokumen identitas lainnya sampai nasabah memperoleh NID atau nomornya.
• Mahkamah menyerukan undang-undang perlindungan data yang disahkan Parlemen dan pembentukan regulator independen.
• Verifikasi identitas seharusnya memberikan jawaban ya atau tidak, bukan memaparkan catatan biometrik.
• Program identitas tersebut telah mengumpulkan data lebih dari 20,7 juta warga; pejabat mengatakan 7,8 juta kartu telah dicetak dan 4 juta telah diserahkan.
• Pejabat sedang meninjau dampak putusan terhadap persyaratan di luar perbankan, termasuk perluasan penggunaan NID secara lebih luas.