Datenschutzurteil betrifft eine Datenbank mit Millionen Identitäten
Der Oberste Gerichtshof Nepals hat die Regierung angewiesen, ein eigenes Datenschutzgesetz auf den Weg zu bringen, und eine Vorgabe der Zentralbank aufgehoben, nach der die Nationale Identitätskarte oder deren Nummer die einzige Grundlage zur Identifizierung von Bankkunden sein durfte. Die Entscheidung betrifft ein System, das über 539 Erfassungsstellen persönliche Angaben von mehr als 20,7 Millionen Bürgern gesammelt hat.
Inhalt
- Datenschutzurteil betrifft eine Datenbank mit Millionen Identitäten
- Was ändert sich für Bankkunden?
- Warum das Gericht ein Parlamentsgesetz fordert
- Wie eine Identitätsprüfung mit Ja oder Nein funktionieren würde
- Eine unabhängige Aufsichtsbehörde soll Beschwerden bearbeiten
- Millionen haben eine Nummer, deutlich weniger eine Karte
- Wie sich die Vorgaben entwickelt haben
- Weitere Dienstleistungen werden rechtlich überprüft
- Wichtige Punkte
Das am 9. Oktober von den Richtern Sapana Pradhan Malla und Meghraj Pokharel verkündete Urteil verpflichtet Banken, Staatsbürgerschaftsurkunden und andere Ausweisdokumente anzunehmen, bis Kunden eine Nationale Identitätskarte oder -nummer erhalten. Bürgern darf der Zugang zu Bankdienstleistungen nicht verwehrt werden, weil ihnen dieses Dokument fehlt.
Die Richter forderten zudem eine unabhängige Aufsichtsbehörde, die die Nutzung personenbezogener Daten überwacht, Beschwerden entgegennimmt und bei Verstößen Maßnahmen ergreift. Banken, die Identitäten überprüfen, sollten lediglich eine Ja- oder Nein-Antwort erhalten und keinen umfassenden Zugriff auf Fingerabdrücke und andere sensible Daten im nationalen System.
Das Urteil verknüpft zwei praktische Probleme: Menschen können ihre Konten nicht nutzen, während die Regierung eine Datenbank mit biologischen Identifikationsmerkmalen ausbaut, bevor ein umfassendes Gesetz für deren Verwendung geschaffen wurde. Unmittelbar geht es um den Zugang zu Bankdienstleistungen; die gesetzgeberischen Vorgaben betreffen den Schutz personenbezogener Daten insgesamt.
Was ändert sich für Bankkunden?
Die Anwältin Sarita Adhikari brachte den Fall vor Gericht, nachdem eine Bank bei der Aktualisierung ihrer Kundendaten ihre Nummer der Nationalen Identitätskarte verlangt hatte, statt ihre Staatsbürgerschaftsurkunde anzunehmen. Ihre Klage richtete sich gegen Vorgaben, die Bankdienstleistungen an eine Überprüfung über die nationale Identitätsdatenbank knüpften.
Die Juni-Richtlinie der Nepal Rastra Bank galt für die Eröffnung von Konten und die Aktualisierung von KYC-Angaben (Know Your Customer). KYC bezeichnet das Verfahren, mit dem Banken die Identität ihrer Kunden bestätigen und deren Identifikationsdaten aktuell halten. Die Klage betraf auch Anforderungen bei Änderungen der bei Kunden hinterlegten Mobilfunknummern.
Das Gericht erklärte die Bestimmung der Integrierten Richtlinie 2082, bezeichnet als E.P. Directive No. 19. 082, insoweit für ungültig, als sie die Nationale Identitätskarte oder -nummer zur einzigen zulässigen Identifikationsgrundlage machte. Banken müssen Dienstleistungen unter Verwendung von Staatsbürgerschaftsurkunden und anderen Ausweisdokumenten anbieten, solange Kunden auf eine NID oder -nummer warten.
Die Richter unterschieden zwischen der Staatsbürgerschaft und dem neueren System zur Identifizierung bei der Inanspruchnahme von Dienstleistungen. Eine Staatsbürgerschaftsurkunde weist die Staatsbürgerschaft einer Person nach; die Nationale Identitätskarte wurde als Mittel entwickelt, um Menschen bei der Erbringung von Dienstleistungen zu identifizieren. Verwaltungsbedingte Verzögerungen bei der Ausstellung des neueren Dokuments dürften Bürgern nach Ansicht des Gerichts nicht den Zugang zu diesen Dienstleistungen kosten.
Warum das Gericht ein Parlamentsgesetz fordert
Artikel 28 der nepalesischen Verfassung schützt die Privatsphäre. Adhikari argumentierte, der Zugriff auf biometrische Daten ohne klare Regeln für deren Nutzung, Aufbewahrung und Einwilligung gefährde dieses Recht.
Die Regierung verteidigte die bestehenden Regelungen im Rahmen des Gesetzes über die Nationale Identitätskarte und Registrierung. Sie verwies auf einen vom Innenminister geleiteten Ausschuss und Sicherheitsstandards für das Identitätsmanagementsystem. Diese Standards werden als Security Standards 2082 bezeichnet und auch National Identity Management Information System Security Standards, 2025 genannt.
Der Spruchkörper des Obersten Gerichtshofs erklärte, Schutzvorkehrungen der Exekutive könnten ein Gesetz nicht ersetzen. Zur erforderlichen rechtlichen Absicherung erklärten die Richter:
Hier bedeutet ‚Gesetz‘ ein vom Parlament verabschiedetes Gesetz, nicht eine Richtlinie, ein Rundschreiben oder einen von einer Exekutiv- oder Verwaltungsbehörde erlassenen Standard.
Eine Richtlinie legt fest, wie Beamte oder Institutionen innerhalb ihrer Zuständigkeiten handeln sollen. Ein Parlamentsgesetz kann für alle Organisationen, die mit den Daten von Menschen umgehen, verbindliche Rechte, Pflichten und Rechtsbehelfe festlegen. Das Gericht verlangt eine solche umfassendere Rechtsgrundlage, statt den Schutz Verwaltungsanweisungen zu überlassen.
Das geplante Datenschutzgesetz soll festlegen, zu welchen Zwecken Daten erhoben werden dürfen, ihre Nutzung beschränken, die Rechte der Bürger aufführen und eine Aufsicht einrichten. Außerdem soll es bei Verstößen Sanktionen, Geldbußen, Entschädigungen und rechtliche Abhilfemöglichkeiten vorsehen.
Wie eine Identitätsprüfung mit Ja oder Nein funktionieren würde
Fingerabdrücke und biometrische Augenmerkmale sind besonders sensibel, weil Menschen sie nicht wie ein Passwort ersetzen können. Die Richter warnten, dass kompromittierte biologische Identifikationsmerkmale Einzelnen dauerhaften Schaden zufügen und Risiken für die nationale Sicherheit schaffen könnten.
Das Gericht wies auch auf die Möglichkeit hin, dass kommerzielle Institutionen für einen Zweck erhobene Daten für einen anderen verwenden könnten. Als Lösung schlug es vor, den Umfang der Daten zu begrenzen, die eine Organisation bei einer Identitätsprüfung erhält.
Eine Bank könnte eine Anfrage zur Identitätsprüfung stellen und eine Bestätigung erhalten, ob die Angaben übereinstimmen, ohne die zugrunde liegenden biometrischen Daten zu bekommen. Entscheidend ist das Ergebnis der Prüfung und nicht eine Kopie der sensiblen Informationen, auf deren Grundlage es ermittelt wurde.
Verschlüsselung und Tokenisierung wurden als mögliche technische Mittel für diesen Ansatz genannt. Durch Verschlüsselung werden Informationen ohne den passenden Schlüssel unlesbar. Bei der Tokenisierung werden sensible Informationen durch einen Referenzwert ersetzt, sodass ein System mit diesem Wert arbeiten kann, ohne den ursprünglichen Datensatz offenzulegen. Die zentrale Vorgabe des Gerichts betrifft die begrenzte Antwort, die die anfragende Organisation erhält.
Nirajan Shrestha, Direktor und Informationsbeauftragter der Abteilung für Nationale Identitätskarten und Registrierung, sagte, Banken hätten bislang keinen Zugang zu den nationalen Identitätsdaten erhalten. Die Abteilung habe Banken gebeten, Identitätsnummern zu erfassen, und arbeite mit der Nepal Rastra Bank an einer Infrastruktur zu deren Überprüfung.
Eine unabhängige Aufsichtsbehörde soll Beschwerden bearbeiten
Die geplante Aufsichtsbehörde soll den Datenschutz überwachen, Beschwerden entgegennehmen und Maßnahmen ergreifen. Damit erhielten Bürger eine Stelle, bei der sie den Umgang mit ihren Daten anfechten können, die nicht zu den Organisationen gehört, die diese Daten erheben oder nutzen.
Der bestehende Ausschuss steht unter der Leitung des Innenministers. Mit seiner Forderung nach einer unabhängigen Behörde setzt das Gericht eine eigenständige Kontrolle neben die Verantwortung der Regierung für den Betrieb des Identitätssystems.
Das geforderte Gesetz soll diese Kontrolle mit konkreten Konsequenzen verbinden. Bürger, deren Daten missbraucht wurden, brauchen einen Weg, Rechtsbehelfe einzulegen. Zugleich benötigen Organisationen klare Grenzen für ihr Handeln und festgelegte Sanktionen bei Verstößen.
Das Gericht wies das Büro des Premierministers und des Ministerrats, das Innenministerium und weitere Beklagte an, die Gesetzgebung voranzutreiben. Auch die Nepal Investment Mega Bank Limited wurde in Adhikaris Klage als Beklagte genannt.
Millionen haben eine Nummer, deutlich weniger eine Karte
Angaben der Abteilung zeigen sowohl das Ausmaß der Registrierung als auch die noch ausstehende Verteilung. Mehr als 20 Millionen Menschen hatten eine nationale Identitätsnummer erhalten, 7,8 Millionen Karten waren gedruckt und 4 Millionen den Bürgern ausgehändigt worden.
Die 4 Millionen zugestellten Karten entsprechen etwa 51 Prozent der 7,8 Millionen gedruckten Karten. Die Differenz beträgt rund 3,8 Millionen Karten. Das macht alternative Identifikationsnachweise in der Praxis wichtig, auch wenn manche Bankvorgaben eine Identitätsnummer statt der physischen Karte akzeptierten.
Der Sprecher der Nepal Rastra Bank, Guruprasad Paudel, sagte, Banken und Finanzinstitute führten mehr als 63 Millionen Konten. Da Kunden mehrere Konten haben können, beschreibt diese Zahl das Gesamtvolumen der Konten im Bankensystem und nicht die Zahl einzelner Kunden.
Paudel sagte, Banken erhoben bereits umfangreiche Identifikationsdaten, darunter Angaben aus Staatsbürgerschaftsdokumenten und persönliche Daten. Die geplante Verbindung solle dem Abgleich von Angaben dienen und Banken nicht den Zugriff auf sämtliche Datensätze der nationalen Identitätsdatenbank ermöglichen. Geeignete gesetzliche Regelungen zum Datenschutz befürworte er ebenfalls.
Die Regierung investiert weiter in die Identitätsinfrastruktur. Im Juni genehmigte das Kabinett den Kauf von 10 Millionen biometrischen Abgleichlizenzen von IN Groupe. Abgleichssoftware hilft einem System, biometrische Datensätze bei der Identitätsprüfung zu vergleichen.
Wie sich die Vorgaben entwickelt haben
Der Streit im Bankwesen folgt auf umfassendere Bemühungen, öffentliche Dienstleistungen an ein einheitliches nationales Identitätssystem anzubinden. Nach Angaben von Behörden war die NID bereits mit 13 Stellen verknüpft, darunter mit Diensten im Bereich Banken und Pässe.
Die wichtigsten im Verfahren und in späteren offiziellen Erklärungen genannten Schritte waren:
- Asar 2081: Die Regierung veröffentlichte eine Amtsblattbekanntmachung, die nach einem geografischen Zeitplan Anforderungen für die Nationale Identitätskarte im Bankwesen, bei Sozialleistungen und für weitere Dienstleistungen einführte.
- Juni: Die Nepal Rastra Bank erließ Vorgaben zur Identifizierung im Bankwesen, die die NID oder deren Nummer sowie einen Abgleich mit elektronischen Datensätzen vorsahen.
- 8. Juni: Adhikari reichte ihre Klage gegen die Einschränkungen und den Umgang mit personenbezogenen Daten ein.
- 9. Oktober: Der Oberste Gerichtshof hob die alleinige Verwendung der NID zur Identifizierung im Bankwesen auf und wies die Regierung an, ein eigenes Datenschutzgesetz auf den Weg zu bringen.
- 16. Dezember: Eine gesonderte Vorgabe zur Krankenversicherung soll für Bürger ab 16 Jahren gelten, die sich anmelden, ihre Mitgliedschaft verlängern oder Leistungen in Anspruch nehmen wollen.
Die Amtsblattregelungen sahen Ausnahmen für Kinder, Menschen, die nicht für sich selbst sorgen können, hilflose oder geschäftsunfähige Menschen sowie Bürger über 90 Jahre vor. Nepalesen im Ausland durften mit anderen Ausweisdokumenten Konten eröffnen, mussten ihre NID-Angaben jedoch innerhalb von 35 Tagen nach ihrer Rückkehr nach Nepal aktualisieren.
Ein früherer Plan, bei der schrittweisen Verlängerung von Sozialhilfeleistungen die Karte zur Pflicht zu machen, wurde nach Protesten verschoben. Das Urteil zum Bankwesen ist ein weiteres konkretes Beispiel für den Konflikt zwischen dem Ausbau digitaler Identifizierung und dem Erhalt des Zugangs zu Dienstleistungen während dieser Ausweitung.
Weitere Dienstleistungen werden rechtlich überprüft
Die für den 16. Dezember vorgesehene Vorgabe des Krankenversicherungsrats bringt die Datenschutzfrage in einen weiteren Bereich, der für Haushalte relevant ist. Die Regel gilt für Bürger ab 16 Jahren, die sich für das Krankenversicherungsprogramm anmelden, ihre Mitgliedschaft verlängern oder Leistungen in Anspruch nehmen wollen.
Paudel sagte, die Behörden müssten klären, ob sich das Urteil auf alle von der Amtsblattbekanntmachung erfassten Dienstleistungen oder nur auf Banken und Finanzinstitute beziehe. Shrestha sagte, die Abteilung werde Rechtsberatung einholen und der daraus folgenden Regierungsentscheidung folgen. Der Anwendungsbereich muss daher noch geklärt werden; ein konkretes Datum für die Verabschiedung des neuen Datenschutzgesetzes wurde nicht genannt.
Nepal hat Indien außerdem gebeten, seine Nationale Identitätskarte in ähnlicher Weise wie nepalesische Staatsbürgerschaftsdokumente anzuerkennen. Die beiden Länder haben darüber noch keine Einigung erzielt. Innerhalb Nepals hat das Gericht bereits eine klare Grenze gezogen: Der Ausbau des Identitätssystems muss mit rechtlichem Schutz und dem fortbestehenden Zugang zu Bankdienstleistungen für Menschen einhergehen, die noch auf ihre Identifizierung warten.
Die praktischen Aufgaben liegen nun bei mehreren Institutionen. Banken müssen wie angeordnet alternative Dokumente akzeptieren, die Regierung muss einen Gesetzentwurf erarbeiten und das Parlament muss den Rechtsrahmen beraten. Auch die Infrastruktur zur Identitätsprüfung muss der Vorgabe des Gerichts entsprechen, die an Organisationen weitergegebenen Informationen zu begrenzen.
Wichtige Punkte
- Das Urteil des Obersten Gerichtshofs vom 9. Oktober beendete die alleinige Verwendung der Nationalen Identitätskarte oder -nummer zur Identifizierung im Bankwesen.
- Banken müssen Staatsbürgerschaftsurkunden und andere Ausweisdokumente akzeptieren, bis Kunden eine NID oder -nummer erhalten.
- Das Gericht forderte ein vom Parlament verabschiedetes Datenschutzgesetz und eine unabhängige Aufsichtsbehörde.
- Bei Identitätsprüfungen soll eine Ja- oder Nein-Antwort zurückgegeben werden, statt biometrische Datensätze offenzulegen.
- Das Identitätsprogramm hat Angaben von mehr als 20,7 Millionen Bürgern erfasst; nach Behördenangaben wurden 7,8 Millionen Karten gedruckt und 4 Millionen ausgehändigt.
- Die Behörden prüfen, wie sich das Urteil auf Vorgaben außerhalb des Bankwesens auswirkt, darunter den umfassenderen Ausbau der NID-Nutzung.
