人工智能時代的數據保護與銀行保密

修訂後的《聯邦數據保護法》

2020年9月25日《聯邦數據保護法》（FADP）於2023年9月1日生效，取代了1992年的同名法律。¹此次修訂使瑞士法律與歐盟（EU）《通用數據保護條例》（GDPR）以及經現代化修訂的歐洲委員會第108號公約接軌。修訂保留了若干瑞士特色：該法僅保護自然人；更多依賴針對個人的刑事制裁，而非針對公司的行政罰款；並且許多義務的表述比GDPR更為概括。²FADP是技術中立的。它沒有關於人工智能的專章，但其中若干條款直接適用於自動化處理，並且在起草時就已考慮到此類處理。

聯邦數據保護與資訊專員（FDPIC）在2023年11月9日的一份聲明中澄清了這一點。自2023年9月1日起生效的FADP“直接適用於人工智能支持的數據處理”，並且“必須遵守已經生效的數據保護規定”。人工智能系統的製造商、提供者和使用者必須使處理的目的、運作方式和數據來源透明化。數據主體有權知道自己是在與機器對話或通信，以及其數據如何被使用。他們可以反對自動化處理，並可要求由自然人對自動化個人決定進行審查。高風險處理須進行數據保護影響評估；專員認為，公共場所實時人臉識別和全面的“社會評分”等應用與該法不相容。³

對金融機構至關重要的條款

對於盧加諾的銀行或資產管理人而言，使用人工智能時FADP的以下條款最為相關：

● 設計和預設的隱私保護（FADP第7條）：控制者在設計處理時必須確保從規劃階段起即遵守數據保護原則。

● 由處理者進行的處理（FADP第9條）：只有當處理者以控制者本身有權採用的方式處理數據，且無任何法定或約定的保密義務禁止此種委託時，方可通過合同委託處理。

● 向境外披露（FADP第16條和第17條）：如果聯邦委員會已認定相關國家提供充分保護，或存在標準合同條款等適當保障措施，個人數據可以向境外披露。

● 告知義務（FADP第19條）以及關於自動化個人決定的告知義務（FADP第21條）：如果完全基於自動化處理作出的決定對數據主體產生法律效果或造成重大影響，必須告知數據主體，數據主體可要求由自然人進行審查。

● 對於可能對數據主體的人格或基本權利造成高風險的處理，須進行數據保護影響評估（FADP第22條）。● 向FDPIC通報數據安全事件（FADP第24條）。⁴第21條尤其值得關注。關於是否接納客戶、是否發放貸款或是否凍結付款的決定，如果沒有人進行實質性評估，就可能構成自動化個人決定。大多數瑞士機構通過確保由人進行審查並作出最終決定來回避這一問題，這也正是FINMA對合規決定的期望。如果機構採用完全自動化的信貸決定，例如在消費貸款或信用卡額度方面，則必須告知客戶並提供人工審查。⁵

FADP的制裁針對的是個人。私人故意違反某些告知、配合或審慎義務，包括有關向境外披露和處理者的規則的，經告訴可處最高25萬瑞士法郎的罰金（FADP第60條至第61條）。根據FADP第64條，如果查明責任人需要不成比例的調查投入，可由企業代替個人繳納最高5萬瑞士法郎的罰金。⁶合規官、IT主管和管理層成員個人所面臨的風險，是瑞士機構在人工智能項目中對數據保護持謹慎態度的原因之一。

註釋

1. 2020年9月25日《聯邦數據保護法》（《數據保護法》，FADP），SR 235.1，自2023年9月1日起生效，英文文本見https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/en/html/ fedlex-data-admin-ch-eli-cc-2022-491-20230901-en-html-1.html。生效日期亦經下文所引FDPIC聲明確認。 ↩
2. FADP（同上），第2條第1款（該法適用於“自然人個人數據的處理”）及第60–66條（刑事條款，罰金針對私人，依據第64條僅補充性地針對企業）。 ↩
3. 聯邦數據保護與資訊專員（FDPIC），“Current data protection legislation is directly applicable to AI”（2023年11月9日），https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/2023/20231109_ki_dsg.html。 ↩
4. FADP（同上），第7條（設計和預設的數據保護）、第9條（由處理者進行的處理）、第16條（向境外披露的原則）、第17條（例外）、第19條（提供資訊的義務）、第21條（自動化個人決定）、第22條（數據保護影響評估）及第24條（數據安全事件通報）。 ↩
5. FADP第21條第1款（對“完全基於自動化處理”且“對數據主體產生法律後果或重大不利影響”的決定負有告知義務）及第2款（數據主體可“要求由自然人對自動化個人決定進行審查”）；關於FINMA的期望，參見第08/2024號監管指引（同上）。 ↩
6. FADP第60條和第61條（對私人處最高25萬瑞士法郎罰金）及第64條（如查明責任人需採取不成比例的措施，可責令企業繳納最高5萬瑞士法郎的罰金）；由各州進行追訴，FDPIC有權提出告訴（第65條）。 ↩

僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。