네팔 대법원, 개인정보 보호법 제정 명령…은행 업무에서 국가 신분증 단독 사용 폐지

수백만 명의 신원정보를 보유한 데이터베이스에 대한 개인정보 보호 판결

네팔 대법원은 정부에 별도의 개인정보 보호법을 추진하라고 명령하고, 은행 고객 신원 확인의 유일한 근거로 국가신분증(National Identity Card) 또는 그 번호를 요구한 중앙은행 규정을 무효화했다. 이번 결정은 539개 수집센터를 통해 2,070만 명이 넘는 시민의 개인정보를 수집한 시스템에 영향을 미친다.

사파나 프라단 말라 대법관과 메그라즈 포카렐 대법관이 내린 10월 9일 판결에 따라, 은행은 고객이 국가신분증이나 번호를 발급받을 때까지 시민권 증명서 등 다른 신분증을 받아야 한다. 해당 서류가 없다는 이유로 시민이 은행 서비스를 이용하지 못하게 해서는 안 된다.

대법관들은 개인정보 이용을 감독하고, 민원을 접수하며, 위반에 조처할 독립 규제기관의 설치도 촉구했다. 신원을 확인하는 은행에는 국가 시스템에 보관된 지문과 기타 민감한 기록에 대한 폭넓은 접근권 대신 일치 여부만 전달해야 한다.

이번 판결은 두 가지 현실적인 문제를 함께 다룬다. 시민이 계좌를 이용하지 못하는 문제와, 생체 식별정보 이용을 규율할 포괄적인 법률을 마련하기도 전에 정부가 데이터베이스를 확대하는 문제다. 당장에는 은행 이용에 영향을 미치지만, 입법을 촉구한 대목은 개인정보 보호 전반에 더 넓게 적용된다.

은행 고객에게 달라지는 점은?

사리타 아디카리 변호사는 은행이 고객정보 갱신을 위해 시민권 증명서를 받는 대신 국가신분증 번호를 요구한 뒤 소송을 제기했다. 아디카리의 청원은 은행 서비스 이용을 국가 신원정보 데이터베이스를 통한 확인과 연계한 요건에 이의를 제기했다.

네팔 중앙은행의 6월 지침은 계좌 개설과 고객확인(KYC) 정보 갱신에 적용됐다. KYC는 은행이 고객 신원을 확인하고 관련 정보를 최신 상태로 유지하는 절차다. 고객의 등록 휴대전화 번호 변경에 영향을 미치는 요건도 청원에서 다뤄졌다.

대법원은 통합 지침 2082 가운데 제19호 E.P. 지침(082)으로 명시된 조항을 무효화했다. 이 조항은 국가신분증이나 번호만을 신원 확인의 유일한 근거로 인정했다. 고객이 NID 또는 번호를 발급받을 때까지 은행은 시민권 증명서와 다른 신분증을 이용해 서비스를 제공해야 한다.

대법관들은 시민권과 새 서비스용 신원 확인 시스템을 구분했다. 시민권 증명서는 개인의 시민권을 증명하며, 국가신분증은 서비스 제공 과정에서 사람을 식별하기 위해 개발됐다. 대법원은 새 신분증 발급이 행정적으로 지연되더라도 시민이 해당 서비스를 이용하지 못하는 일이 있어서는 안 된다고 밝혔다.

대법원이 의회 제정 법률을 요구한 이유

네팔 헌법 제28조는 사생활을 보호한다. 아디카리는 생체정보에 접근하면서 이용, 보관, 동의를 규율하는 명확한 규칙을 두지 않으면 그 권리가 위협받는다고 주장했다.

정부는 국가신분증 및 등록법에 따른 기존 제도를 변호했다. 내무부 장관이 위원장을 맡는 위원회와 신원관리 시스템의 보안 기준을 근거로 들었다. 해당 기준은 보안 기준 2082로 명시됐으며, 국가신원관리정보시스템 보안 기준 2025라고도 불린다.

대법원 재판부는 행정부의 보호 조치가 법률을 대신할 수 없다고 밝혔다. 필요한 법적 보호를 설명하며 대법관들은 다음과 같이 판시했다.

여기서 '법률'은 의회가 제정한 법률을 뜻하며, 행정기관이나 행정기구가 발령한 지침, 회람 또는 기준을 뜻하지 않는다,

지침은 공무원이나 기관이 맡은 업무를 수행하는 방식을 정한다. 의회 제정 법률은 개인 정보를 다루는 여러 기관에 걸쳐 구속력 있는 권리와 의무, 구제 절차를 마련할 수 있다. 대법원은 개인정보 보호를 행정 지침에 맡겨두기보다 이런 폭넓은 법적 틀을 마련하라고 요구했다.

제안된 개인정보 보호법은 정보 수집의 목적을 규정하고 이용을 제한하며 시민의 권리를 명시하고 감독 체계를 마련하게 된다. 규칙 위반에 대한 처벌과 벌금, 배상 및 법적 구제 수단도 담게 된다.

신원 확인을 예·아니요로 처리하는 방식

지문과 홍채 등 생체정보는 비밀번호처럼 바꿀 수 없기 때문에 특히 민감하다. 대법관들은 생체 식별정보가 유출되면 개인에게 장기적인 피해를 주고 국가 안보에도 위험을 초래할 수 있다고 경고했다.

대법원은 상업 기관이 한 가지 목적으로 수집한 정보를 다른 목적으로 사용할 가능성도 지적했다. 제안된 해법은 신원을 확인하는 기관이 받는 정보의 범위를 제한하는 것이다.

은행은 신원 확인 요청을 보내고 정보가 일치한다는 답변을 받을 수 있지만, 그 바탕이 된 생체정보 기록 자체를 받아서는 안 된다. 필요한 것은 민감한 정보를 복사해 받는 일이 아니라, 이를 이용해 확인한 결과다.

대법원은 암호화와 토큰화를 이러한 접근 방식에 활용할 수 있는 수단으로 들었다. 암호화는 적절한 키가 없으면 정보를 읽을 수 없게 만든다. 토큰화는 민감한 정보 대신 참조값을 사용해 원본 기록을 노출하지 않고 시스템이 작동하도록 한다. 대법원의 핵심 요구는 신원 확인을 요청하는 기관에 제한된 답변만 제공하는 것이다.

국가신분증·등록부의 니라잔 슈레스타 국장 겸 정보담당관은 은행에 국가 신원정보 접근권이 아직 부여되지 않았다고 밝혔다. 그는 부처가 은행에 신원 번호를 기록하도록 요청했으며, 번호 확인을 위한 기반시설을 구축하기 위해 네팔 중앙은행과 협력하고 있다고 말했다.

민원을 접수할 독립 규제기관

제안된 규제기관은 개인정보 보호를 감독하고 민원을 접수하며 조처를 하게 된다. 그러면 시민은 자신의 정보를 수집하거나 이용하는 기관을 넘어 별도의 창구에서 정보 처리 방식에 이의를 제기할 수 있다.

현재 위원회는 내무부 장관이 이끈다. 독립 기관을 설치하라는 대법원의 요구는 신원 시스템을 운영하는 정부의 책임과 별도로 독립적인 감독을 두려는 것이다.

요구된 법률은 이러한 감독을 실질적인 제재와 연결하게 된다. 정보가 오용된 시민에게는 구제받을 경로가 필요하며, 기관에는 명확한 행위 제한과 위반 시 적용할 처벌이 있어야 한다.

대법원은 총리실 및 각료회의 사무처, 내무부와 기타 피고들에게 입법을 추진하라고 지시했다. 아디카리의 청원에서는 네팔 인베스트먼트 메가 은행도 피고로 지목됐다.

신원 번호 보유자는 수백만 명, 실물 카드는 훨씬 적어

부처 통계는 등록 규모와 남은 카드 배포 업무의 크기를 보여준다. 2,000만 명이 넘는 사람이 국가 신원 번호를 받았고, 카드 780만 장이 인쇄됐으며, 그중 400만 장이 시민에게 전달됐다.

전달된 카드 400만 장은 인쇄된 780만 장의 약 51%다. 차이는 약 380만 장이다. 이 격차는 대체 신분증을 인정하는 것이 실질적으로 중요함을 보여준다. 다만 일부 은행 요건은 실물 카드가 아니라 신원 번호를 요구했다.

네팔 중앙은행 대변인 구루프라사드 파우델은 은행과 금융기관에 6,300만 개가 넘는 계좌가 있다고 밝혔다. 고객 한 명이 여러 계좌를 보유할 수 있으므로, 이 수치는 개별 고객 수가 아니라 은행 시스템 전체 계좌 규모를 나타낸다.

파우델은 은행이 이미 시민권 서류와 개인정보를 포함한 광범위한 신원 정보를 수집하고 있다고 말했다. 그는 계획된 연계를 은행에 국가 신원 데이터베이스의 모든 기록을 제공하려는 시도가 아니라 정보를 확인하기 위한 절차라고 설명했다. 또한 데이터 보호를 위한 적절한 법적 장치를 지지한다고 밝혔다.

정부는 신원정보 기반시설에 대한 투자를 계속해왔다. 내각은 6월 IN Groupe에서 생체정보 대조 라이선스 1,000만 개를 구매하는 방안을 승인했다. 대조 소프트웨어는 신원 확인 시 시스템이 생체정보 기록을 비교하도록 돕는다.

요건은 어떻게 도입됐나

이번 은행 관련 분쟁은 공공 서비스를 하나의 국가 신원 시스템에 연계하려는 더 광범위한 추진에 뒤이어 벌어졌다. 관계자들은 NID가 은행과 여권 관련 서비스를 포함한 13개 기관에 이미 연계됐다고 밝혔다.

재판 과정과 이후 관계자들의 설명에 나온 주요 절차는 다음과 같다.

• 2081년 아사르월: 정부는 지역별 일정에 따라 은행 업무와 사회보장 등 서비스에 국가신분증을 요구하는 관보 고시를 발표했다.
• 6월: 네팔 중앙은행은 NID 또는 그 번호를 요구하고 전자 기록과 대조하는 은행 신원 확인 요건을 발표했다.
• 6월 8일: 아디카리는 제한 조치와 개인정보 보호에 이의를 제기하는 청원을 제출했다.
• 10월 9일: 대법원은 은행 신원 확인에서 NID만을 유일한 근거로 삼는 조항을 무효화하고, 정부에 별도의 개인정보 보호법을 추진하라고 지시했다.
• 12월 16일: 건강보험 가입·갱신 또는 서비스 이용을 신청하는 16세 이상 시민에게 별도의 건강보험 요건이 적용될 예정이다.

관보 고시에는 아동, 스스로를 돌볼 수 없는 사람, 무력하거나 활동 능력이 없는 사람, 90세 초과 시민에 대한 예외가 포함됐다. 해외 거주 네팔인은 다른 신분증으로 계좌를 개설할 수 있었지만, 네팔로 귀국한 뒤 35일 이내에 NID 정보를 갱신해야 했다.

사회보장 수당을 단계적으로 갱신할 때 카드를 의무화하려던 기존 계획은 반대 여론에 따라 연기됐다. 이번 은행 관련 판결은 디지털 신원 확인을 확대하는 동시에 확대 과정에서도 서비스 접근성을 유지해야 하는 긴장을 보여주는 또 하나의 구체적인 사례다.

다른 서비스도 법률 검토 대상

건강보험위원회의 12월 16일 요건은 개인정보 보호 문제를 가구가 이용하는 또 다른 서비스로 확장한다. 이 규정은 건강보험 프로그램에 가입하거나 갱신하거나 서비스를 이용하는 16세 이상 시민에게 적용된다.

파우델은 관보 고시에 포함된 모든 서비스에 이번 판결이 영향을 미치는지, 아니면 은행과 금융기관에만 해당하는지 관계자들이 명확히 해야 한다고 말했다. 슈레스타는 부처가 법률 자문을 구하고 그에 따른 정부 결정을 따를 것이라고 밝혔다. 따라서 판결의 적용 범위가 어디까지인지는 아직 명확하지 않으며, 새 개인정보 보호법의 구체적인 제정 시기도 발표되지 않았다.

네팔은 인도에도 자국의 국가신분증을 네팔 시민권 서류와 비슷한 기준으로 인정해달라고 요청했다. 양국은 이 요청에 대해 아직 결론을 내리지 못했다. 네팔 안에서는 대법원이 이미 분명한 기준을 제시했다. 신원 시스템을 확대하려면 법적 보호를 함께 마련하고, 신원 확인을 기다리는 사람도 계속 은행을 이용할 수 있어야 한다.

이제 여러 기관이 실무를 맡게 된다. 은행은 지시에 따라 대체 서류를 받아야 하고, 정부는 법률안을 마련해야 하며, 의회는 법적 틀을 심의해야 한다. 신원 확인 기반시설도 신원 확인 기관에 제공되는 정보를 제한하라는 대법원의 요구를 반영해야 한다.

핵심 내용

• 대법원의 10월 9일 판결로 은행 신원 확인에서 국가신분증 또는 번호만을 유일한 근거로 삼는 방식이 폐지됐다.
• 고객이 NID 또는 번호를 발급받을 때까지 은행은 시민권 증명서와 다른 신분증을 받아야 한다.
• 대법원은 의회가 제정하는 개인정보 보호법과 독립 규제기관의 설치를 촉구했다.
• 신원 확인 결과는 생체정보 기록을 공개하는 대신 일치 여부만 전달해야 한다.
• 신원 확인 프로그램은 2,070만 명이 넘는 시민의 정보를 수집했다. 관계자들은 카드 780만 장이 인쇄됐고 400만 장이 전달됐다고 밝혔다.
• 관계자들은 은행 업무를 넘어 NID 이용 확대 등 다른 요건에도 판결이 어떤 영향을 미치는지 검토하고 있다.