银行保密与职业保密

下载PDF（4页）

对银行而言，《联邦数据保护法》（FADP）之上还叠加了银行保密。《银行法》（BankA）第47条规定，银行机关、雇员、代理人和审计人员泄露以该身份受托的秘密，构成刑事犯罪。¹这种保护延及在IT系统中处理的客户数据，因而也延及银行输入人工智能系统的数据，无论该系统是银行自有的还是供应商的。如果服务提供商受保密义务约束，并在外包框架内作为银行的辅助人行事，则向其披露不构成犯罪。向境外提供商披露——其员工可能被外国当局强制要求提供数据——则引发了一些问题，银行已通过合同和技术措施予以应对，例如加密、假名化以及将密钥保留在瑞士。瑞士银行家协会关于使用云服务的指引阐明了业界的做法。²资产管理人、受托人和受托服务机构须遵守《金融机构法》（FinIA）的职业保密规则（FinIA第69条），提契诺州的律师和受托服务机构则须遵守各自的职业保密规定。³

生成式人工智能使这一问题在实践中具有了新的紧迫性。员工若将一封客户信函复制到公共聊天机器人中，便是向该聊天机器人的提供商披露了客户数据，后者可能将其存储在境外服务器上，并可能用于训练其模型。因此，许多卢加诺机构已禁止将公共聊天机器人用于客户数据，转而引入附有合同保障的企业版本，或在自有基础设施或瑞士平台上运行的模型。如上文所述，瑞士人工智能倡议（Swiss AI Initiative）发布Apertus，并通过一家瑞士电信运营商提供，正是对这一需求的直接回应。⁴

意大利客户与GDPR

卢加诺银行和资产管理人的客户大多居住在意大利。欧盟以外的控制者，如果在向欧盟境内的数据主体提供商品或服务或监控其行为时处理其个人数据，即适用《通用数据保护条例》（GDPR）（GDPR第3条第2款）。⁵卢加诺银行是否在此意义上向意大利居民“提供”服务，取决于具体事实，且该分析与第E.IV章讨论的跨境金融服务问题相互交叉。在意大利积极推销其服务的银行，就这些客户而言很可能须受GDPR约束，并可能须以书面形式在欧盟境内指定代表（GDPR第27条第1款）。只有当处理属于偶发性质、不涉及对特殊类别数据或刑事定罪数据的大规模处理、且不太可能对数据主体造成风险时，该义务才告免除（GDPR第27条第2款）；拥有稳定意大利客户群的银行很少能援引这一例外。仅应意大利客户本人主动要求、在瑞士为其提供服务的银行，则有更充分的理由主张其不在适用范围之内。无论哪种情况，欧盟委员会均已认定瑞士提供充分的保护水平——这一认定最初见于2000年7月26日第2000/518/EC号决定，并在委员会2024年1月15日的审查中得到确认——因此数据可以从意大利流向瑞士而无需额外保障措施。⁶

意大利数据保护机构Garante per la protezione dei dati personali（个人数据保护监管机构）一直是欧洲在人工智能领域最为活跃的监管机构之一。它于2023年3月30日通过一项紧急决定，暂时限制ChatGPT处理意大利用户的数据。2024年12月结束调查时，它因违反GDPR对该提供商处以1500万欧元罚款，违规行为包括在缺乏充分法律依据的情况下处理数据用于训练、透明度不足、未通报2023年3月发生的数据泄露事件以及未进行年龄验证，并责令OpenAI在意大利媒体上开展为期六个月的宣传活动。⁷对于拥有意大利客户的卢加诺机构而言，Garante的实践提醒它们：对意大利居民数据使用人工智能，可能会按照意大利和欧洲的标准受到审查，而这些标准在若干方面比瑞士标准更为严格。

要点。修订后的FADP自2023年9月1日起生效，直接适用于人工智能。其对金融机构的关键条款包括：设计中的隐私保护（第7条）、处理者（第9条）、向境外披露（第16–17条）、自动化个人决定（第21条）、影响评估（第22条）和数据泄露通报（第24条）。BankA第47条规定的银行保密和FinIA第69条规定的职业保密，为客户数据增添了刑法保护。对于在意大利的客户，GDPR可能依据其第3条第2款适用，而意大利Garante在人工智能领域积极执法。

注释

1. 《银行法》（同上），第47条第1款（机关、雇员、代理人、清算人以及审计公司雇员泄露以该身份受托的秘密的；处三年以下自由刑或罚金刑），https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html。 ↩
2. 瑞士银行家协会，Cloud Guidelines（2019年3月第一版，其后更新）。 ↩
3. FinIA（同上），第69条（“Verletzung des Berufsgeheimnisses”：处三年以下自由刑或罚金刑），https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html；关于提契诺州的受托服务机构，参见第E.III章。 ↩
4. EPFL AI Center（2025年9月2日，同上）（Swisscom为战略合作伙伴；瑞士主权人工智能平台）。 ↩
5. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (General Data Protection Regulation), OJ L 119, 4.5.2016, p. 1，https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng；第3条第2款及第27条第1–2款的条文查阅自https://gdpr-info.eu/art-3-gdpr/和https://gdpr-info.eu/art-27-gdpr/。 ↩
6. 欧盟委员会，Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC, COM(2024) 7 final，布鲁塞尔，2024年1月15日，https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52024DC0007（“Switzerland continues to provide an adequate level of protection for personal data transferred from the EU”）；Commission Decision 2000/518/EC of 26 July 2000 pursuant to Directive 95/46/EC on the adequate protection of personal data provided in Switzerland, C(2000) 2304，https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32000D0518。 ↩
7. Garante per la protezione dei dati personali，2023年3月30日第112号决定（Provvedimento n. 112，针对OpenAI L.L.C.紧急临时限制处理），https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870832；Garante，新闻稿“ChatGPT, il Garante privacy chiude l'istruttoria”（2024年12月20日），涉及2024年11月2日第755号决定（Provvedimento n. 755；罚款1500万欧元，为期六个月的宣传活动，将持续进行的程序移交作为牵头监管机构的爱尔兰机构），https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432。 ↩

仅供一般参考。本文不构成法律或税务意见，不能替代针对个案的咨询，亦不建立律师与客户之间的委托关系。本文反映截至 十月 2026 的法律状况。