नेपाल के सुप्रीम कोर्ट ने डेटा संरक्षण कानून बनाने का आदेश दिया, बैंकिंग में केवल राष्ट्रीय पहचान पत्र पर निर्भरता खत्म

लाखों लोगों की पहचान संबंधी जानकारी रखने वाले डेटाबेस तक पहुंचा निजता का फैसला

नेपाल के सुप्रीम कोर्ट ने सरकार को समर्पित डेटा संरक्षण कानून बनाने की प्रक्रिया आगे बढ़ाने का आदेश दिया है और केंद्रीय बैंक की उस अनिवार्यता को रद्द कर दिया है, जिसके तहत बैंक ग्राहकों की पहचान के लिए राष्ट्रीय पहचान पत्र या उसकी संख्या को ही एकमात्र आधार बनाया गया था। इस फैसले का असर उस व्यवस्था पर पड़ता है, जिसके 539 संग्रह केंद्रों के जरिए 2.07 करोड़ से अधिक नागरिकों की निजी जानकारी जुटाई गई है।

9 अक्टूबर को न्यायमूर्ति सपना प्रधान मल्ल और मेघराज पोखरेल की पीठ ने फैसला सुनाते हुए बैंकों को निर्देश दिया कि ग्राहक के राष्ट्रीय पहचान पत्र या संख्या मिलने तक वे नागरिकता प्रमाणपत्र और अन्य पहचान दस्तावेज स्वीकार करें। दस्तावेज न होने के कारण नागरिकों को बैंकिंग सेवाओं से वंचित नहीं किया जाना चाहिए।

न्यायाधीशों ने निजी डेटा के इस्तेमाल की निगरानी करने, शिकायतें सुनने और उल्लंघनों पर कार्रवाई करने के लिए एक स्वतंत्र नियामक की भी मांग की। पहचान की जांच करने वाले बैंकों को राष्ट्रीय व्यवस्था में मौजूद फिंगरप्रिंट और अन्य संवेदनशील रिकॉर्ड तक व्यापक पहुंच देने के बजाय केवल हां या ना में जवाब मिलना चाहिए।

फैसले में दो व्यावहारिक समस्याओं को जोड़ा गया है: लोगों का अपने खातों का इस्तेमाल न कर पाना और सरकार का निजी पहचान-सूचक जानकारी वाला डेटाबेस बढ़ाना, जबकि उसके इस्तेमाल को नियंत्रित करने वाला व्यापक कानून अभी बना नहीं है। इसका तात्कालिक असर बैंकिंग सेवाओं तक पहुंच पर है, जबकि कानून बनाने का निर्देश निजी डेटा की सुरक्षा के व्यापक मुद्दे से जुड़ा है।

बैंक ग्राहकों के लिए क्या बदलेगा?

अधिवक्ता सरिता अधिकारी ने यह मामला तब दायर किया, जब एक बैंक ने ग्राहक की जानकारी अपडेट करने के लिए उनका नागरिकता प्रमाणपत्र स्वीकार करने के बजाय राष्ट्रीय पहचान पत्र संख्या मांगी। उनकी याचिका में बैंकिंग सेवाओं को राष्ट्रीय पहचान डेटाबेस के जरिए सत्यापन से जोड़ने की अनिवार्यता को चुनौती दी गई थी।

नेपाल राष्ट्र बैंक के जून के निर्देश में खाता खोलने और ग्राहक को जानें से जुड़ी जानकारी अपडेट करने की प्रक्रिया शामिल थी, जिसे आम तौर पर केवाईसी कहा जाता है। केवाईसी वह प्रक्रिया है, जिसके जरिए बैंक ग्राहक की पहचान की पुष्टि करते हैं और उसकी पहचान संबंधी जानकारी को अद्यतन रखते हैं। चुनौती में ग्राहकों के पंजीकृत मोबाइल नंबर बदलने से जुड़ी आवश्यकताएं भी शामिल थीं।

अदालत ने एकीकृत निर्देश 2082 के उस प्रावधान को रद्द कर दिया, जिसे ई.पी. निर्देश संख्या 19. 082 के रूप में पहचाना गया है, जहां तक उसमें राष्ट्रीय पहचान पत्र या संख्या को पहचान का एकमात्र स्वीकार्य आधार बनाया गया था। ग्राहकों को एनआईडी या उसकी संख्या मिलने तक बैंकों को नागरिकता प्रमाणपत्र और अन्य पहचान दस्तावेजों के आधार पर सेवाएं देनी होंगी।

न्यायाधीशों ने नागरिकता और नई सेवा-पहचान व्यवस्था के बीच अंतर स्पष्ट किया। नागरिकता प्रमाणपत्र किसी व्यक्ति की नागरिकता स्थापित करता है, जबकि राष्ट्रीय पहचान पत्र सेवाएं देते समय लोगों की पहचान करने के साधन के रूप में विकसित किया गया था। अदालत ने कहा कि नया दस्तावेज जारी करने में प्रशासनिक देरी के कारण नागरिकों को उन सेवाओं से वंचित नहीं किया जाना चाहिए।

अदालत संसद से कानून क्यों चाहती है

नेपाल के संविधान का अनुच्छेद 28 निजता की रक्षा करता है। अधिकारी ने दलील दी कि इस्तेमाल, डेटा रखने की अवधि और सहमति को नियंत्रित करने वाले स्पष्ट नियमों के बिना बायोमेट्रिक रिकॉर्ड तक पहुंच उस अधिकार को जोखिम में डालती है।

सरकार ने राष्ट्रीय पहचान पत्र एवं पंजीकरण अधिनियम के तहत मौजूदा व्यवस्थाओं का बचाव किया। उसने गृह सचिव की अध्यक्षता वाली समिति और पहचान प्रबंधन प्रणाली के सुरक्षा मानकों का हवाला दिया। इन मानकों को सुरक्षा मानक 2082 के रूप में पहचाना गया है और इन्हें राष्ट्रीय पहचान प्रबंधन सूचना प्रणाली सुरक्षा मानक, 2025 भी कहा जाता है।

सुप्रीम कोर्ट की पीठ ने कहा कि कार्यपालिका के सुरक्षा उपाय कानून का स्थान नहीं ले सकते। आवश्यक कानूनी संरक्षण समझाते हुए न्यायाधीशों ने कहा:

यहां 'कानून' का अर्थ संसद द्वारा बनाया गया अधिनियम है, न कि किसी कार्यकारी या प्रशासनिक निकाय द्वारा जारी निर्देश, परिपत्र या मानक,

निर्देश अधिकारियों या संस्थानों को बताते हैं कि अपनी जिम्मेदारियों के तहत उन्हें कैसे काम करना है। संसद का अधिनियम लोगों की जानकारी संभालने वाले सभी संगठनों पर लागू होने वाले बाध्यकारी अधिकार, कर्तव्य और कानूनी उपाय तय कर सकता है। अदालत प्रशासनिक निर्देशों तक सुरक्षा को सीमित रखने के बजाय व्यापक कानूनी ढांचा चाहती है।

प्रस्तावित डेटा संरक्षण अधिनियम यह तय करेगा कि जानकारी किन कारणों से जुटाई जा सकती है, उसके इस्तेमाल को सीमित करेगा, नागरिकों के अधिकार बताएगा और निगरानी की व्यवस्था बनाएगा। नियमों के उल्लंघन पर इसमें दंड, जुर्माना, मुआवजे और कानूनी उपायों का भी प्रावधान होगा।

पहचान की हां या ना में जांच कैसे काम करेगी

फिंगरप्रिंट और आंखों से जुड़े बायोमेट्रिक डेटा विशेष रूप से संवेदनशील हैं, क्योंकि पासवर्ड की तरह इन्हें बदला नहीं जा सकता। न्यायाधीशों ने चेताया कि जैविक पहचान-सूचकों के साथ छेड़छाड़ से लोगों को स्थायी नुकसान हो सकता है और राष्ट्रीय सुरक्षा को खतरा पैदा हो सकता है।

अदालत ने इस आशंका की ओर भी ध्यान दिलाया कि वाणिज्यिक संस्थान किसी एक उद्देश्य से जुटाई गई जानकारी का इस्तेमाल दूसरे उद्देश्य के लिए कर सकते हैं। अदालत का प्रस्ताव है कि पहचान की जांच करते समय किसी संगठन को मिलने वाली जानकारी सीमित रखी जाए।

कोई बैंक पहचान सत्यापन का अनुरोध भेजकर इस बात की पुष्टि हासिल कर सकता है कि विवरण मेल खाते हैं या नहीं, लेकिन उसे मूल बायोमेट्रिक रिकॉर्ड नहीं मिलेगा। उपयोगी नतीजा पहचान की जांच का जवाब है, न कि उस जवाब तक पहुंचने के लिए इस्तेमाल की गई संवेदनशील जानकारी की प्रति।

इस तरीके के लिए एन्क्रिप्शन और टोकनाइजेशन को संभावित साधनों के रूप में बताया गया। एन्क्रिप्शन के जरिए सही कुंजी के बिना जानकारी पढ़ना असंभव हो जाता है। टोकनाइजेशन संवेदनशील जानकारी की जगह एक संदर्भ मान का इस्तेमाल करता है, जिससे प्रणाली मूल रिकॉर्ड उजागर किए बिना उस संदर्भ के आधार पर काम कर सकती है। अदालत की मुख्य शर्त सत्यापन का अनुरोध करने वाले संगठन को सीमित जवाब देना है।

राष्ट्रीय पहचान पत्र एवं पंजीकरण विभाग के निदेशक और सूचना अधिकारी निराजन श्रेष्ठ ने कहा कि बैंकों को अभी तक राष्ट्रीय पहचान डेटा तक पहुंच नहीं दी गई है। उन्होंने कहा कि विभाग ने बैंकों से पहचान संख्याएं दर्ज करने को कहा है और उनके सत्यापन के लिए बुनियादी ढांचा तैयार करने पर नेपाल राष्ट्र बैंक के साथ काम कर रहा है।

स्वतंत्र नियामक शिकायतें सुनेगा

प्रस्तावित नियामक डेटा संरक्षण की निगरानी करेगा, शिकायतें प्राप्त करेगा और कार्रवाई करेगा। इससे नागरिकों को अपनी जानकारी जुटाने या इस्तेमाल करने वाले संगठनों से परे शिकायत उठाने का मंच मिलेगा।

मौजूदा समिति गृह सचिव के नेतृत्व में काम करती है। स्वतंत्र प्राधिकरण बनाने की अदालत की मांग से पहचान प्रणाली चलाने की सरकार की जिम्मेदारी के साथ एक अलग निगरानी व्यवस्था भी जुड़ेगी।

प्रस्तावित कानून इस निगरानी को कार्रवाई से जोड़ेगा। जिस नागरिक की जानकारी का दुरुपयोग हुआ हो, उसे समाधान मांगने का रास्ता चाहिए; वहीं संगठनों के लिए अपने आचरण की स्पष्ट सीमाएं और उल्लंघन पर तय दंड जरूरी होंगे।

अदालत ने प्रधानमंत्री तथा मंत्रिपरिषद कार्यालय, गृह मंत्रालय और अन्य प्रतिवादियों को कानून बनाने की प्रक्रिया आगे बढ़ाने का निर्देश दिया। अधिकारी की याचिका में नेपाल इन्वेस्टमेंट मेगा बैंक लिमिटेड को भी प्रतिवादी बनाया गया था।

लाखों लोगों को संख्या मिली, कार्ड बहुत कम लोगों तक पहुंचे

विभाग के आंकड़े नामांकन के पैमाने और कार्ड बांटने के बाकी काम, दोनों को दिखाते हैं। 2 करोड़ से अधिक लोगों को राष्ट्रीय पहचान संख्या मिली थी, 78 लाख कार्ड छापे गए थे और 40 लाख कार्ड नागरिकों तक पहुंचाए गए थे।

दिए गए 40 लाख कार्ड, छापे गए 78 लाख कार्डों का लगभग 51 प्रतिशत हैं। दोनों के बीच करीब 38 लाख कार्डों का अंतर है। इस कमी से वैकल्पिक पहचान दस्तावेजों का महत्व बढ़ जाता है, हालांकि बैंकिंग की कुछ आवश्यकताएं भौतिक कार्ड के बजाय पहचान संख्या स्वीकार करती थीं।

नेपाल राष्ट्र बैंक के प्रवक्ता गुरु प्रसाद पौडेल ने कहा कि बैंकों और वित्तीय संस्थानों में 6.3 करोड़ से अधिक खाते हैं। ग्राहक एक से अधिक खाते रख सकते हैं, इसलिए यह आंकड़ा पूरे बैंकिंग तंत्र में खातों की संख्या बताता है, अलग-अलग ग्राहकों की नहीं।

पौडेल ने कहा कि बैंक नागरिकता दस्तावेजों और निजी विवरणों समेत पहचान संबंधी व्यापक जानकारी पहले से जुटाते हैं। उनके अनुसार प्रस्तावित जुड़ाव का मकसद जानकारी की जांच करना है, न कि बैंकों को राष्ट्रीय पहचान डेटाबेस के सभी रिकॉर्ड देना। उन्होंने डेटा की सुरक्षा के लिए उपयुक्त कानूनी व्यवस्था का समर्थन भी किया।

सरकार पहचान संबंधी बुनियादी ढांचे में निवेश जारी रखे हुए है। जून में मंत्रिमंडल ने आईएन ग्रुप से 1 करोड़ बायोमेट्रिक मिलान लाइसेंस खरीदने को मंजूरी दी थी। मिलान सॉफ्टवेयर पहचान की जांच करते समय प्रणाली को बायोमेट्रिक रिकॉर्ड की तुलना करने में मदद करता है।

आवश्यकताएं कैसे लागू हुईं

बैंकिंग विवाद, सार्वजनिक सेवाओं को एक राष्ट्रीय पहचान प्रणाली से जोड़ने की व्यापक कोशिश के बाद सामने आया है। अधिकारियों ने कहा कि एनआईडी को बैंकिंग और पासपोर्ट सेवाओं समेत 13 संस्थाओं से पहले ही जोड़ा जा चुका था।

कार्यवाही और उसके बाद अधिकारियों की ओर से दी गई जानकारी में बताए गए मुख्य कदम ये थे:

• आषाढ़ 2081: सरकार ने राजपत्र अधिसूचना प्रकाशित कर भौगोलिक समय-सारणी के अनुसार बैंकिंग, सामाजिक सुरक्षा और अन्य सेवाओं के लिए राष्ट्रीय पहचान पत्र की अनिवार्यता लागू की।
• जून: नेपाल राष्ट्र बैंक ने बैंकिंग के लिए एनआईडी या उसकी संख्या और इलेक्ट्रॉनिक रिकॉर्ड से सत्यापन संबंधी पहचान आवश्यकताएं जारी कीं।
• 8 जून: अधिकारी ने प्रतिबंधों और निजी जानकारी की सुरक्षा को चुनौती देते हुए याचिका दायर की।
• 9 अक्टूबर: सुप्रीम कोर्ट ने बैंकिंग पहचान के लिए केवल एनआईडी पर निर्भरता खत्म की और सरकार को समर्पित डेटा संरक्षण कानून बनाने की प्रक्रिया आगे बढ़ाने का निर्देश दिया।
• 16 दिसंबर: स्वास्थ्य बीमा से जुड़ी एक अलग अनिवार्यता 16 वर्ष और उससे अधिक उम्र के उन नागरिकों पर लागू होने वाली है, जो नामांकन, नवीनीकरण या सेवाओं का लाभ लेना चाहते हैं।

राजपत्र में बच्चों, अपना ध्यान रखने में असमर्थ लोगों, असहाय या अशक्त लोगों और 90 वर्ष से अधिक उम्र के नागरिकों को छूट दी गई थी। विदेश में रहने वाले नेपाली अन्य पहचान दस्तावेजों से खाते खोल सकते थे, लेकिन नेपाल लौटने के 35 दिनों के भीतर उन्हें अपनी एनआईडी जानकारी अपडेट करनी होती थी।

सामाजिक सुरक्षा भत्ता नवीनीकरण को चरणबद्ध तरीके से कार्ड से जोड़ने की पिछली योजना विरोध के बाद स्थगित कर दी गई थी। बैंकिंग पर आया फैसला डिजिटल पहचान के विस्तार और उस प्रक्रिया के दौरान सेवाएं सुलभ बनाए रखने के बीच तनाव का एक और ठोस उदाहरण है।

अन्य सेवाओं की कानूनी समीक्षा

स्वास्थ्य बीमा बोर्ड की 16 दिसंबर की अनिवार्यता निजता के मुद्दे को घर-घर इस्तेमाल होने वाली एक अन्य सेवा तक ले जाती है। यह नियम स्वास्थ्य बीमा कार्यक्रम में नामांकन, नवीनीकरण या सेवा लेने वाले 16 वर्ष और उससे अधिक उम्र के नागरिकों पर लागू होता है।

पौडेल ने कहा कि अधिकारियों को स्पष्ट करना होगा कि फैसले का असर राजपत्र अधिसूचना में शामिल सभी सेवाओं की आवश्यकताओं पर पड़ता है या केवल बैंकों और वित्तीय संस्थानों पर। श्रेष्ठ ने कहा कि विभाग कानूनी सलाह लेगा और उसके बाद सरकार के फैसले का पालन करेगा। इसलिए फैसले को व्यापक स्तर पर कैसे लागू किया जाए, इस पर अभी स्पष्टीकरण बाकी है। नए डेटा संरक्षण कानून को पारित करने की कोई निश्चित तारीख भी नहीं बताई गई।

नेपाल ने भारत से अपने राष्ट्रीय पहचान पत्र को नेपाली नागरिकता दस्तावेजों के समान आधार पर मान्यता देने का अनुरोध भी किया है। दोनों देश इस अनुरोध पर किसी निष्कर्ष पर नहीं पहुंचे हैं। नेपाल के भीतर अदालत ने स्पष्ट रुख अपनाया है: पहचान प्रणाली का इस्तेमाल बढ़ाने के साथ कानूनी संरक्षण और पहचान दस्तावेज की प्रतीक्षा कर रहे लोगों के लिए बैंकिंग सेवाओं तक पहुंच बनाए रखना जरूरी है।

अब व्यावहारिक जिम्मेदारियां कई संस्थानों के पास हैं। बैंकों को निर्देशानुसार वैकल्पिक दस्तावेज स्वीकार करने होंगे, सरकार को कानून बनाना होगा और संसद को कानूनी ढांचे पर विचार करना होगा। सत्यापन के बुनियादी ढांचे में भी अदालत की उस शर्त का पालन होना चाहिए, जिसके तहत पहचान की जांच करने वाले संगठनों को दी जाने वाली जानकारी सीमित रखी जाए।

मुख्य बातें

• सुप्रीम कोर्ट के 9 अक्टूबर के फैसले ने बैंकिंग पहचान के लिए केवल राष्ट्रीय पहचान पत्र या संख्या पर निर्भरता खत्म कर दी।
• ग्राहकों को एनआईडी या उसकी संख्या मिलने तक बैंकों को नागरिकता प्रमाणपत्र और अन्य पहचान दस्तावेज स्वीकार करने होंगे।
• अदालत ने संसद से मंजूर डेटा संरक्षण अधिनियम और एक स्वतंत्र नियामक की मांग की।
• पहचान सत्यापन में बायोमेट्रिक रिकॉर्ड उजागर करने के बजाय हां या ना में जवाब दिया जाना चाहिए।
• पहचान कार्यक्रम ने 2.07 करोड़ से अधिक नागरिकों की जानकारी जुटाई है; अधिकारियों के अनुसार 78 लाख कार्ड छापे गए और 40 लाख बांटे गए।
• अधिकारी समीक्षा कर रहे हैं कि बैंकिंग से परे अन्य आवश्यकताओं और एनआईडी के व्यापक विस्तार पर फैसले का क्या असर होगा।