数百万人の個人情報を保有するデータベースに及んだプライバシー判決
ネパール最高裁判所は政府に対し、専用のデータ保護法の制定に向けて取り組むよう命じるとともに、銀行の顧客確認で国民IDカード（NID）またはその番号だけを本人確認の根拠とする中央銀行の要件を無効とした。この判決は、539カ所の収集センターを通じて2,070万人を超える国民の個人情報を集めてきたシステムに影響する。
目次
サパナ・プラダン・マッラ判事とメグラジ・ポカレル判事が10月9日に言い渡した判決は、顧客がNIDカードまたは番号を取得するまで、銀行が市民権証明書などの身分証明書を受け付けるよう求めている。書類を持っていないことを理由に、国民が銀行サービスを利用できなくなってはならない。
判事らはまた、個人データの利用を監視し、苦情を受け付け、違反に対処する独立規制機関の設置を求めた。銀行が本人確認を行う際には、国のシステムに保管されている指紋などの機微な記録に広くアクセスさせるのではなく、照合結果を「はい」か「いいえ」で返すべきだとしている。
判決は、実務上の2つの問題を結び付けている。口座を利用できない人がいることと、その利用を包括的に規制する法律が整う前に、政府が生体識別情報を含むデータベースを拡大していることだ。直ちに影響するのは銀行サービスへのアクセスだが、立法に関する指針は個人データの保護全般に及ぶ。
銀行の顧客に何が変わるのか
サリタ・アディカリ弁護士は、顧客情報を更新する際、銀行が市民権証明書を受け付けず、NID番号を求めたことを受けて提訴した。訴えでは、銀行サービスを国民IDデータベースによる照合に結び付ける要件に異議を唱えた。
ネパール中央銀行の6月の通達は、口座開設や、一般にKYCと呼ばれる顧客確認情報の更新を対象としていた。KYCとは、銀行が顧客の本人確認を行い、識別情報を最新の状態に保つ手続きだ。顧客が登録した携帯電話番号を変更する際の要件も争点となった。
最高裁は、統合指令2082（E.P. Directive No. 19. 082）の規定について、NIDカードまたは番号だけを本人確認に認める部分を無効とした。顧客がNIDカードまたは番号の発行を待つ間、銀行は市民権証明書などの身分証明書を使ってサービスを提供しなければならない。
判事らは、市民権と新しいサービス用の本人確認システムを区別した。市民権証明書はその人の市民権を証明する一方、NIDカードはサービス提供時に個人を識別する手段として整備された。新しい書類の発行が行政上遅れているからといって、国民がサービスを利用できなくなってはならないと、最高裁は述べた。
なぜ最高裁は国会制定法を求めるのか
ネパール憲法第28条はプライバシーを保護している。アディカリ弁護士は、利用、保管、同意に関する明確な規則がないまま生体情報にアクセスすれば、その権利が危険にさらされると主張した。
政府は、国民IDカード・登録法に基づく既存の仕組みを擁護した。内務次官が委員長を務める委員会や、本人確認管理システムのセキュリティ基準を挙げた。これらの基準は「セキュリティ基準2082」、または「国民ID管理情報システム・セキュリティ基準2025」とされている。
最高裁の合議体は、行政機関による保護措置は法律に代わるものではないと述べた。必要な法的保護について、判事らは次のように説明した。
ここでいう『法律』とは、議会が制定する法律を指し、行政機関や事務機関が出す指令、通達、基準ではない
指令は、機関や組織が所管の範囲内でどのように行動すべきかを定める。国会制定法であれば、人々の情報を扱う組織全体に適用される、拘束力のある権利、義務、救済手段を定められる。最高裁が求めているのは、保護を行政上の指示に委ねず、より広範な法的枠組みを設けることだ。
提案されているデータ保護法は、情報を収集できる目的を定め、その利用を制限し、市民の権利を明確にしたうえで、監督体制を設けるものとなる。規則に違反した場合の罰則、罰金、補償、法的救済も定める。
「はい」か「いいえ」で本人確認する仕組み
指紋や虹彩などの生体情報は、パスワードのように変更できないため、特に機微性が高い。判事らは、生体識別情報が流出すれば個人に長期的な被害をもたらし、国家安全保障上のリスクにもつながりかねないと警告した。
最高裁はまた、商業機関が、ある目的のために集めた情報を別の目的に利用する可能性を指摘した。その対策として、本人確認を行う組織に提供する情報を制限することを提案している。
銀行は本人確認の照会を行い、照合結果だけを受け取ることができる。基になる生体記録を受け取る必要はない。必要なのは本人確認の回答であり、その回答を導くために使われた機微な情報の複製ではない。
この方法に使える手段として、暗号化とトークン化が挙げられた。暗号化は、適切な鍵がなければ情報を読み取れないようにする。トークン化は機微な情報を参照値に置き換え、元の記録を開示せずにシステムがその参照値を使えるようにする。最高裁の中心的な要件は、照合を求める組織に返す情報を限定することだ。
国民IDカード・登録局の局長兼情報担当官、ニラジャン・シュレスタ氏は、銀行にはまだ国民IDデータへのアクセス権を与えていないと述べた。同局は銀行に本人確認番号を記録するよう求めており、番号を照合するためのインフラ整備をネパール中央銀行と進めているという。
独立規制機関が苦情を受け付ける
提案されている規制機関は、データ保護を監視し、苦情を受け付け、必要な措置を取る。これにより市民は、情報を収集・利用する組織の外部にも、取り扱いに異議を申し立てる窓口を持てる。
既存の委員会は内務次官が率いている。最高裁が独立機関を求めたことで、本人確認システムを運用する政府の責任に加え、別個の監督が設けられることになる。
求められている法律は、監督を具体的な結果に結び付ける。情報を不正利用された市民には救済を求める手段が必要であり、組織には行動の明確な限界と、違反に対する具体的な罰則が必要となる。
最高裁は、首相府・閣僚評議会、内務省、その他の被告に立法手続きを進めるよう指示した。アディカリ弁護士の訴えでは、ネパール・インベストメント・メガ銀行も被告に含まれていた。
番号を持つ人は数百万人、カードの受け取りはそれより大幅に少ない
同局の統計は、登録の規模と、カード配布に残る作業の両方を示している。2,000万人を超える人が国民ID番号を取得し、780万枚のカードが印刷された一方、市民に届いたのは400万枚だった。
配布済みの400万枚は、印刷済みの780万枚の約51％に当たる。差は約380万枚だ。この未配布分があるため、代替の身分証明書を認めることは実務上重要となる。ただし銀行の要件には、物理的なカードではなくID番号を認めるものもあった。
ネパール中央銀行の報道官グルプラサド・パウデル氏によると、銀行・金融機関が保有する口座は6,300万件を超える。顧客が複数の口座を持てるため、この数字は個人顧客数ではなく、銀行システム全体の口座数を示している。
パウデル氏は、銀行が市民権関連書類や個人情報など、すでに広範な本人確認情報を収集していると述べた。計画中の接続は、情報を確認するためのもので、国民IDデータベースの記録をすべて銀行に渡す試みではないと説明した。また、データを保護するための適切な法的措置を支持した。
政府は本人確認インフラへの投資を続けている。6月には閣議が、IN Groupeから生体情報照合ライセンス1,000万件を購入することを承認した。照合ソフトは、本人確認時に生体記録を比較するシステムを支援する。
要件が導入された経緯
銀行をめぐる争いの背景には、公共サービスを単一の国民IDシステムに結び付ける、より広範な取り組みがある。政府当局者によると、NIDは銀行やパスポート関連サービスを含む13機関ですでに導入されていた。
訴訟手続きやその後の政府説明で示された主な経緯は次の通り。
- 2081年アサル月：政府が官報告示を公表し、地域別のスケジュールに沿って、銀行、社会保障などのサービスでNIDを求める方針を導入した。
- 6月：ネパール中央銀行が、NIDまたはその番号を用いた銀行での本人確認と、電子記録との照合を含む要件を発出した。
- 6月8日：アディカリ弁護士が、制限と個人情報の保護をめぐり、要件に異議を唱える訴えを起こした。
- 10月9日：最高裁が、銀行でNIDだけに依拠する本人確認を無効とし、専用のデータ保護法の制定に向けて取り組むよう政府に指示した。
- 12月16日：16歳以上の市民が健康保険への加入、更新、サービス利用を申請する際、別の要件が適用される予定。
官報告示の措置では、子ども、自力で身の回りの世話ができない人、無力または行動不能な人、90歳を超える市民が適用除外とされた。在外ネパール人は別の身分証明書で口座を開設できるが、ネパール帰国後35日以内にNID情報を更新する必要があった。
社会保障手当の更新を段階的にカード必須とする以前の計画は、反対を受けて延期された。今回の銀行をめぐる判決は、デジタル本人確認を拡大することと、拡大の過程でもサービスを利用可能に保つことの緊張関係を示す、もう一つの具体例となった。
他のサービスも法的な検討対象に
健康保険委員会が12月16日に導入する要件により、プライバシーをめぐる問題は、家庭に広く利用されている別のサービスにも及ぶ。この規則は、16歳以上の市民が健康保険制度に加入、更新、またはサービスを利用する場合を対象とする。
パウデル氏は、判決が官報告示の対象となるすべてのサービスに影響するのか、銀行・金融機関だけに限られるのかを当局が明確にする必要があると述べた。シュレスタ氏は、同局が法的助言を求め、その後の政府決定に従うとした。したがって、適用範囲の全容はなお確認を待っており、新たなデータ保護法の成立時期も示されていない。
ネパールはまた、ネパールの市民権関連書類に準じる形で、国民IDカードを認めるようインドに求めている。両国はこの要請について結論に至っていない。国内では、最高裁がすでに明確な線を引いた。本人確認システムの利用を拡大するには法的保護を伴わせ、身分証明の発行を待つ人も銀行を利用できるようにしなければならない。
今後の実務は複数の機関が担う。銀行は指示に従って代替書類を受け付け、政府は法案を策定し、議会は法的枠組みを審議する必要がある。本人確認インフラも、照合を行う組織に開示する情報を限定するという最高裁の要件を反映しなければならない。
要点
- 10月9日の最高裁判決により、銀行での本人確認を国民IDカードまたは番号だけに頼ることはできなくなった。
- 顧客がNIDカードまたは番号を取得するまで、銀行は市民権証明書などの身分証明書を受け付けなければならない。
- 最高裁は、議会が承認するデータ保護法と独立規制機関の設置を求めた。
- 本人確認では、生体記録を開示するのではなく、「はい」か「いいえ」の結果を返すべきだ。
- 本人確認事業は2,070万人を超える国民の情報を収集している。当局によると、カードは780万枚が印刷され、400万枚が配布された。
- 当局は、NID利用のさらなる拡大など、銀行以外の要件に判決がどう影響するかを検討している。
