La Cour suprême du Népal ordonne l’adoption d’une loi sur la protection des données et met fin à l’obligation de présenter la carte nationale d’identité pour les opérations bancaires

Une décision sur la vie privée concerne une base de données regroupant des millions d’identités

La Cour suprême du Népal a ordonné au gouvernement d’engager l’élaboration d’une loi spécifique sur la protection des données et annulé une exigence de la banque centrale qui imposait la carte nationale d’identité, ou son numéro, comme seul moyen d’identifier les clients des banques. Cette décision concerne un système qui a recueilli des informations personnelles auprès de plus de 20,7 millions de citoyens dans 539 centres de collecte.

Dans leur décision du 9 octobre, les juges Sapana Pradhan Malla et Meghraj Pokharel ont exigé que les banques acceptent les certificats de citoyenneté et d’autres pièces d’identité jusqu’à ce que les clients obtiennent une carte nationale d’identité ou un numéro. Les citoyens ne doivent pas être privés d’accès aux services bancaires faute de ce document.

Les juges ont également demandé la création d’un régulateur indépendant chargé de surveiller l’utilisation des données personnelles, d’examiner les plaintes et de sanctionner les infractions. Lorsqu’elles vérifient l’identité de leurs clients, les banques devraient recevoir une réponse par oui ou par non, plutôt qu’un large accès aux empreintes digitales et aux autres données sensibles conservées dans le système national.

Le jugement met en évidence deux problèmes concrets : des personnes dans l’impossibilité d’utiliser leurs comptes et un gouvernement qui étoffe une base de données contenant des identifiants biométriques avant d’avoir mis en place une loi exhaustive encadrant leur utilisation. À court terme, la décision porte sur l’accès aux services bancaires ; ses orientations législatives concernent plus largement la protection des données personnelles.

Qu’est-ce qui change pour les clients des banques ?

L’avocate Sarita Adhikari a engagé cette procédure après qu’une banque lui a demandé son numéro de carte nationale d’identité au lieu d’accepter son certificat de citoyenneté pour mettre à jour les informations relatives à son compte. Sa requête contestait les règles qui subordonnaient l’accès aux services bancaires à une vérification dans la base de données nationale d’identité.

La directive de juin de Nepal Rastra Bank concernait l’ouverture de comptes et la mise à jour des informations de connaissance du client, communément désignées par le sigle KYC. Il s’agit de la procédure par laquelle les banques vérifient l’identité de leurs clients et tiennent à jour les informations permettant de les identifier. La contestation portait également sur les règles applicables au changement du numéro de téléphone mobile enregistré par les clients.

La Cour a invalidé la disposition de la directive intégrée 2082, désignée comme la directive E.P. n° 19. 082, dans la mesure où elle faisait de la carte nationale d’identité ou de son numéro le seul justificatif d’identité acceptable. Dans l’attente de l’obtention d’un NID ou d’un numéro, les clients doivent pouvoir accéder aux services bancaires sur présentation de leur certificat de citoyenneté ou d’autres pièces d’identité.

Les juges ont distingué la citoyenneté du nouveau système d’identification destiné à l’accès aux services. Le certificat de citoyenneté atteste la citoyenneté d’une personne, tandis que la carte nationale d’identité a été conçue pour identifier les personnes lors de la fourniture de services. Selon la Cour, les retards administratifs dans la délivrance du nouveau document ne doivent pas priver les citoyens de ces services.

Pourquoi la Cour demande une loi votée par le Parlement

L’article 28 de la Constitution népalaise protège la vie privée. Sarita Adhikari a fait valoir que l’accès aux données biométriques en l’absence de règles claires sur leur utilisation, leur conservation et le consentement mettait ce droit en péril.

Le gouvernement a défendu le dispositif existant en s’appuyant sur la loi relative à la carte nationale d’identité et à l’enregistrement. Il a invoqué un comité présidé par le secrétaire à l’Intérieur ainsi que des normes de sécurité pour le système de gestion de l’identité. Ces normes sont désignées sous le nom de normes de sécurité 2082, également présentées comme les normes de sécurité 2025 du système national d’information de gestion de l’identité.

La formation de la Cour suprême a estimé que les garanties décidées par l’exécutif ne pouvaient se substituer à une loi. Précisant la protection juridique nécessaire, les juges ont déclaré :

Ici, le terme “loi” désigne un texte adopté par le Parlement, et non une directive, une circulaire ou une norme émise par un organe exécutif ou administratif.

Une directive indique aux responsables ou aux institutions la conduite à tenir dans le cadre de leurs compétences. Une loi votée par le Parlement peut fixer des droits, des obligations et des voies de recours contraignants pour l’ensemble des organisations qui traitent les informations personnelles. La Cour souhaite un cadre juridique plus large, plutôt que de laisser leur protection dépendre de consignes administratives.

La loi sur la protection des données envisagée définirait les motifs de collecte des informations, en limiterait l’utilisation, préciserait les droits des citoyens et instaurerait un contrôle. Elle prévoirait également des sanctions, des amendes, des indemnisations et des recours juridiques en cas d’infraction.

Comment fonctionnerait une vérification d’identité par oui ou par non

Les empreintes digitales et les données biométriques de l’iris sont particulièrement sensibles, car il est impossible de les remplacer comme on le ferait pour un mot de passe. Les juges ont averti que la compromission de ces identifiants biologiques pourrait causer un préjudice durable aux personnes et présenter des risques pour la sécurité nationale.

La Cour a également relevé que des établissements commerciaux pourraient utiliser à d’autres fins des informations recueillies dans un but précis. La solution qu’elle propose consiste à limiter les données transmises à une organisation lorsqu’elle vérifie une identité.

Une banque pourrait soumettre une demande de vérification d’identité et recevoir confirmation que les informations concordent, sans accéder aux données biométriques elles-mêmes. Le résultat utile est la réponse à la vérification, et non une copie des informations sensibles qui ont permis de l’obtenir.

Le chiffrement et la tokenisation ont été cités comme des outils envisageables. Le chiffrement rend les informations illisibles sans la clé appropriée. La tokenisation remplace les données sensibles par une valeur de référence, ce qui permet à un système d’utiliser cette référence sans exposer les données d’origine. L’exigence centrale de la Cour porte sur la limitation des informations communiquées à l’organisation qui demande la vérification.

Nirajan Shrestha, directeur et responsable de l’information au département de la carte nationale d’identité et de l’enregistrement, a indiqué que les banques n’avaient pas encore accès aux données nationales d’identité. Il a précisé que le département avait demandé aux banques de consigner les numéros d’identité et travaillait avec Nepal Rastra Bank à la mise en place d’une infrastructure permettant de les vérifier.

Un régulateur indépendant serait chargé des plaintes

Le régulateur proposé serait chargé de surveiller la protection des données, de recevoir les plaintes et de prendre des mesures. Les citoyens disposeraient ainsi d’un interlocuteur auprès duquel contester le traitement de leurs informations, en dehors des organismes qui les recueillent ou les utilisent.

Le comité existant est placé sous l’autorité du secrétaire à l’Intérieur. En réclamant une autorité indépendante, la Cour entend instaurer un contrôle distinct de la responsabilité du gouvernement dans le fonctionnement du système d’identité.

La loi demandée associerait ce contrôle à des conséquences concrètes. Un citoyen dont les informations auraient été détournées devrait pouvoir demander réparation, tandis que les organisations seraient soumises à des limites clairement définies et à des sanctions précises en cas d’infraction.

La Cour a demandé au Bureau du Premier ministre et du Conseil des ministres, au ministère de l’Intérieur et aux autres défendeurs de poursuivre l’élaboration d’une loi. Nepal Investment Mega Bank Limited figurait également parmi les défendeurs dans la requête de Sarita Adhikari.

Des millions de personnes ont un numéro, mais bien moins ont une carte

Les chiffres du département témoignent à la fois de l’ampleur de l’enregistrement et du travail de distribution qu’il reste à accomplir. Plus de 20 millions de personnes avaient reçu un numéro national d’identité, 7,8 millions de cartes avaient été imprimées et 4 millions avaient été remises à leurs destinataires.

Les 4 millions de cartes distribuées représentent environ 51 % des 7,8 millions imprimées. Il manque donc environ 3,8 millions de cartes. Cet écart rend particulièrement utile le recours à d’autres justificatifs d’identité, même si certaines exigences bancaires acceptaient un numéro d’identité sans exiger la carte physique.

Le porte-parole de Nepal Rastra Bank, Guruprasad Paudel, a indiqué que les banques et les établissements financiers géraient plus de 63 millions de comptes. Un client pouvant détenir plusieurs comptes, ce chiffre correspond au nombre de comptes dans l’ensemble du système bancaire, et non au nombre de clients individuels.

Guruprasad Paudel a précisé que les banques recueillaient déjà de nombreuses informations d’identification, notamment des documents de citoyenneté et des renseignements personnels. Il a présenté la connexion prévue comme un moyen de vérifier les informations, et non comme un projet visant à donner aux banques accès à l’ensemble des dossiers de la base nationale d’identité. Il s’est également prononcé en faveur d’un cadre juridique adapté à la protection des données.

Le gouvernement a poursuivi ses investissements dans l’infrastructure d’identité. En juin, le Conseil des ministres a approuvé l’achat de 10 millions de licences de rapprochement biométrique auprès d’IN Groupe. Ces logiciels permettent à un système de comparer des données biométriques lors des vérifications d’identité.

Évolution des exigences

Le différend avec le secteur bancaire s’inscrit dans une démarche plus générale visant à relier les services publics à un système national d’identité unique. Des responsables ont indiqué que le NID était déjà relié à 13 organismes, notamment pour des services bancaires et la délivrance de passeports.

Les principales étapes mentionnées dans la procédure et dans les explications officielles qui ont suivi sont les suivantes :

• Asar 2081 : le gouvernement a publié un avis au Journal officiel instaurant l’obligation de présenter une carte nationale d’identité pour les services bancaires, les prestations de sécurité sociale et d’autres services, selon un calendrier géographique.
• Juin : Nepal Rastra Bank a publié des exigences d’identification bancaire faisant intervenir le NID ou son numéro, ainsi que la vérification des données électroniques.
• 8 juin : Sarita Adhikari a déposé sa requête pour contester ces restrictions et les garanties entourant la protection des informations personnelles.
• 9 octobre : la Cour suprême a mis fin à l’obligation de se fier exclusivement au NID pour l’identification bancaire et demandé au gouvernement d’engager l’élaboration d’une loi spécifique sur la protection des données.
• 16 décembre : une nouvelle exigence en matière d’assurance maladie doit s’appliquer aux citoyens âgés de 16 ans et plus souhaitant s’inscrire au régime, renouveler leur adhésion ou accéder aux services.

Les dispositions publiées au Journal officiel prévoyaient des dérogations pour les enfants, les personnes incapables de prendre soin d’elles-mêmes, les personnes démunies ou invalides et les citoyens âgés de plus de 90 ans. Les Népalais vivant à l’étranger pouvaient ouvrir un compte avec d’autres justificatifs, mais devaient mettre à jour leurs informations NID dans les 35 jours suivant leur retour au Népal.

Un projet antérieur visant à imposer la carte lors du renouvellement progressif des allocations de sécurité sociale a été reporté après des protestations. Le jugement sur les services bancaires illustre une nouvelle fois les tensions entre l’extension de l’identification numérique et le maintien de l’accès aux services pendant sa mise en place.

D’autres services font l’objet d’un examen juridique

L’obligation instaurée par le Conseil de l’assurance maladie à compter du 16 décembre étend la question de la vie privée à un autre service utilisé par les ménages. La règle concerne les citoyens âgés de 16 ans et plus qui s’inscrivent au régime d’assurance maladie, renouvellent leur adhésion ou souhaitent accéder aux services.

Guruprasad Paudel a indiqué que les responsables devaient déterminer si le jugement concernait tous les services visés par l’avis publié au Journal officiel ou seulement les banques et les établissements financiers. Nirajan Shrestha a déclaré que le département demanderait un avis juridique et se conformerait à la décision du gouvernement qui en découlerait. La portée plus large de l’application du jugement reste donc à clarifier, et aucune date précise n’a été annoncée pour l’adoption de la nouvelle loi sur la protection des données.

Le Népal a également demandé à l’Inde de reconnaître sa carte nationale d’identité sur une base comparable à celle des documents népalais attestant la citoyenneté. Les deux pays ne sont pas encore parvenus à un accord sur cette demande. Au Népal, la Cour a déjà fixé une limite claire : l’extension de l’utilisation du système d’identité doit s’accompagner de garanties juridiques et du maintien de l’accès aux services bancaires pour les personnes qui attendent leurs documents d’identité.

Plusieurs institutions doivent maintenant passer à l’action. Les banques doivent accepter d’autres justificatifs conformément à la décision, le gouvernement doit élaborer une loi et le Parlement doit examiner le cadre juridique. L’infrastructure de vérification doit également respecter l’exigence de la Cour consistant à limiter les informations communiquées aux organismes qui contrôlent l’identité.

À retenir

• La décision rendue le 9 octobre par la Cour suprême met fin à l’obligation de se fier exclusivement à la carte nationale d’identité ou à son numéro pour identifier les clients des banques.
• Dans l’attente de l’obtention d’un NID ou d’un numéro, les clients peuvent présenter leur certificat de citoyenneté ou d’autres pièces d’identité.
• La Cour réclame une loi sur la protection des données adoptée par le Parlement ainsi qu’un régulateur indépendant.
• La vérification d’identité devrait donner lieu à une réponse par oui ou par non, sans exposer les données biométriques.
• Le programme d’identité a recueilli des informations auprès de plus de 20,7 millions de citoyens ; selon les responsables, 7,8 millions de cartes ont été imprimées et 4 millions distribuées.
• Les responsables examinent les conséquences du jugement pour les exigences qui dépassent le secteur bancaire, notamment l’extension plus générale de l’utilisation du NID.