銀行保密與職業保密

下載PDF（4頁）

對銀行而言，《聯邦數據保護法》（FADP）之上還疊加了銀行保密。《銀行法》（BankA）第47條規定，銀行機關、僱員、代理人和審計人員洩露以該身份受託的秘密，構成刑事犯罪。¹這種保護延及在IT系統中處理的客戶數據，因而也延及銀行輸入人工智能系統的數據，無論該系統是銀行自有的還是供應商的。如果服務提供商受保密義務約束，並在外包框架內作為銀行的輔助人行事，則向其披露不構成犯罪。向境外提供商披露——其員工可能被外國當局強制要求提供數據——則引發了一些問題，銀行已通過合同和技術措施予以應對，例如加密、假名化以及將密鑰保留在瑞士。瑞士銀行家協會關於使用雲服務的指引闡明瞭業界的做法。²資產管理人、受託人和受託服務機構須遵守《金融機構法》（FinIA）的職業保密規則（FinIA第69條），提契諾州的律師和受託服務機構則須遵守各自的職業保密規定。³

生成式人工智能使這一問題在實踐中具有了新的緊迫性。員工若將一封客戶信函覆制到公共聊天機器人中，便是向該聊天機器人的提供商披露了客戶數據，後者可能將其存儲在境外伺服器上，並可能用於訓練其模型。因此，許多盧加諾機構已禁止將公共聊天機器人用於客戶數據，轉而引入附有合同保障的企業版本，或在自有基礎設施或瑞士平台上運行的模型。如上文所述，瑞士人工智能倡議（Swiss AI Initiative）發佈Apertus，並通過一家瑞士電信運營商提供，正是對這一需求的直接回應。⁴

意大利客戶與GDPR

盧加諾銀行和資產管理人的客戶大多居住在意大利。歐盟以外的控制者，如果在向歐盟境內的數據主體提供商品或服務或監控其行為時處理其個人數據，即適用《通用數據保護條例》（GDPR）（GDPR第3條第2款）。⁵盧加諾銀行是否在此意義上向意大利居民“提供”服務，取決於具體事實，且該分析與第E.IV章討論的跨境金融服務問題相互交叉。在意大利積極推銷其服務的銀行，就這些客戶而言很可能須受GDPR約束，並可能須以書面形式在歐盟境內指定代表（GDPR第27條第1款）。只有當處理屬於偶發性質、不涉及對特殊類別數據或刑事定罪數據的大規模處理、且不太可能對數據主體造成風險時，該義務才告免除（GDPR第27條第2款）；擁有穩定意大利客戶群的銀行很少能援引這一例外。僅應意大利客戶本人主動要求、在瑞士為其提供服務的銀行，則有更充分的理由主張其不在適用範圍之內。無論哪種情況，歐盟委員會均已認定瑞士提供充分的保護水平——這一認定最初見於2000年7月26日第2000/518/EC號決定，並在委員會2024年1月15日的審查中得到確認——因此數據可以從意大利流向瑞士而無需額外保障措施。⁶

意大利數據保護機構Garante per la protezione dei dati personali（個人數據保護監管機構）一直是歐洲在人工智能領域最為活躍的監管機構之一。它於2023年3月30日通過一項緊急決定，暫時限制ChatGPT處理意大利用戶的數據。2024年12月結束調查時，它因違反GDPR對該提供商處以1500萬歐元罰款，違規行為包括在缺乏充分法律依據的情況下處理數據用於訓練、透明度不足、未通報2023年3月發生的數據洩露事件以及未進行年齡驗證，並責令OpenAI在意大利媒體上開展為期六個月的宣傳活動。⁷對於擁有意大利客戶的盧加諾機構而言，Garante的實踐提醒它們：對意大利居民數據使用人工智能，可能會按照意大利和歐洲的標準受到審查，而這些標準在若干方面比瑞士標準更為嚴格。

要點。修訂後的FADP自2023年9月1日起生效，直接適用於人工智能。其對金融機構的關鍵條款包括：設計中的隱私保護（第7條）、處理者（第9條）、向境外披露（第16–17條）、自動化個人決定（第21條）、影響評估（第22條）和數據洩露通報（第24條）。BankA第47條規定的銀行保密和FinIA第69條規定的職業保密，為客戶數據增添了刑法保護。對於在意大利的客戶，GDPR可能依據其第3條第2款適用，而意大利Garante在人工智能領域積極執法。

註釋

1. 《銀行法》（同上），第47條第1款（機關、僱員、代理人、清算人以及審計公司僱員洩露以該身份受託的秘密的；處三年以下自由刑或罰金刑），https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html。 ↩
2. 瑞士銀行家協會，Cloud Guidelines（2019年3月第一版，其後更新）。 ↩
3. FinIA（同上），第69條（“Verletzung des Berufsgeheimnisses”：處三年以下自由刑或罰金刑），https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html；關於提契諾州的受託服務機構，參見第E.III章。 ↩
4. EPFL AI Center（2025年9月2日，同上）（Swisscom為戰略合作伙伴；瑞士主權人工智能平台）。 ↩
5. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (General Data Protection Regulation), OJ L 119, 4.5.2016, p. 1，https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng；第3條第2款及第27條第1–2款的條文查閱自https://gdpr-info.eu/art-3-gdpr/和https://gdpr-info.eu/art-27-gdpr/。 ↩
6. 歐盟委員會，Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC, COM(2024) 7 final，布魯塞爾，2024年1月15日，https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52024DC0007（“Switzerland continues to provide an adequate level of protection for personal data transferred from the EU”）；Commission Decision 2000/518/EC of 26 July 2000 pursuant to Directive 95/46/EC on the adequate protection of personal data provided in Switzerland, C(2000) 2304，https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32000D0518。 ↩
7. Garante per la protezione dei dati personali，2023年3月30日第112號決定（Provvedimento n. 112，針對OpenAI L.L.C.緊急臨時限制處理），https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870832；Garante，新聞稿“ChatGPT, il Garante privacy chiude l'istruttoria”（2024年12月20日），涉及2024年11月2日第755號決定（Provvedimento n. 755；罰款1500萬歐元，為期六個月的宣傳活動，將持續進行的程序移交作為牽頭監管機構的愛爾蘭機構），https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432。 ↩

僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。