人工智能时代的数据保护与银行保密
修订后的《联邦数据保护法》
2020年9月25日《联邦数据保护法》（FADP）于2023年9月1日生效，取代了1992年的同名法律。1此次修订使瑞士法律与欧盟（EU）《通用数据保护条例》（GDPR）以及经现代化修订的欧洲委员会第108号公约接轨。修订保留了若干瑞士特色：该法仅保护自然人；更多依赖针对个人的刑事制裁，而非针对公司的行政罚款；并且许多义务的表述比GDPR更为概括。2FADP是技术中立的。它没有关于人工智能的专章，但其中若干条款直接适用于自动化处理，并且在起草时就已考虑到此类处理。
联邦数据保护与信息专员（FDPIC）在2023年11月9日的一份声明中澄清了这一点。自2023年9月1日起生效的FADP“直接适用于人工智能支持的数据处理”，并且“必须遵守已经生效的数据保护规定”。人工智能系统的制造商、提供者和使用者必须使处理的目的、运作方式和数据来源透明化。数据主体有权知道自己是在与机器对话或通信，以及其数据如何被使用。他们可以反对自动化处理，并可要求由自然人对自动化个人决定进行审查。高风险处理须进行数据保护影响评估；专员认为，公共场所实时人脸识别和全面的“社会评分”等应用与该法不相容。3
对金融机构至关重要的条款
对于卢加诺的银行或资产管理人而言，使用人工智能时FADP的以下条款最为相关：
● 设计和默认的隐私保护（FADP第7条）：控制者在设计处理时必须确保从规划阶段起即遵守数据保护原则。
● 由处理者进行的处理（FADP第9条）：只有当处理者以控制者本身有权采用的方式处理数据，且无任何法定或约定的保密义务禁止此种委托时，方可通过合同委托处理。
● 向境外披露（FADP第16条和第17条）：如果联邦委员会已认定相关国家提供充分保护，或存在标准合同条款等适当保障措施，个人数据可以向境外披露。
● 告知义务（FADP第19条）以及关于自动化个人决定的告知义务（FADP第21条）：如果完全基于自动化处理作出的决定对数据主体产生法律效果或造成重大影响，必须告知数据主体，数据主体可要求由自然人进行审查。
● 对于可能对数据主体的人格或基本权利造成高风险的处理，须进行数据保护影响评估（FADP第22条）。● 向FDPIC通报数据安全事件（FADP第24条）。4第21条尤其值得关注。关于是否接纳客户、是否发放贷款或是否冻结付款的决定，如果没有人进行实质性评估，就可能构成自动化个人决定。大多数瑞士机构通过确保由人进行审查并作出最终决定来回避这一问题，这也正是FINMA对合规决定的期望。如果机构采用完全自动化的信贷决定，例如在消费贷款或信用卡额度方面，则必须告知客户并提供人工审查。5
FADP的制裁针对的是个人。私人故意违反某些告知、配合或审慎义务，包括有关向境外披露和处理者的规则的，经告诉可处最高25万瑞士法郎的罚金（FADP第60条至第61条）。根据FADP第64条，如果查明责任人需要不成比例的调查投入，可由企业代替个人缴纳最高5万瑞士法郎的罚金。6合规官、IT主管和管理层成员个人所面临的风险，是瑞士机构在人工智能项目中对数据保护持谨慎态度的原因之一。
注释
- 2020年9月25日《联邦数据保护法》（《数据保护法》，FADP），SR 235.1，自2023年9月1日起生效，英文文本见https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/en/html/ fedlex-data-admin-ch-eli-cc-2022-491-20230901-en-html-1.html。生效日期亦经下文所引FDPIC声明确认。 ↩
- FADP（同上），第2条第1款（该法适用于“自然人个人数据的处理”）及第60–66条（刑事条款，罚金针对私人，依据第64条仅补充性地针对企业）。 ↩
- 联邦数据保护与信息专员（FDPIC），“Current data protection legislation is directly applicable to AI”（2023年11月9日），https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/2023/20231109_ki_dsg.html。 ↩
- FADP（同上），第7条（设计和默认的数据保护）、第9条（由处理者进行的处理）、第16条（向境外披露的原则）、第17条（例外）、第19条（提供信息的义务）、第21条（自动化个人决定）、第22条（数据保护影响评估）及第24条（数据安全事件通报）。 ↩
- FADP第21条第1款（对“完全基于自动化处理”且“对数据主体产生法律后果或重大不利影响”的决定负有告知义务）及第2款（数据主体可“要求由自然人对自动化个人决定进行审查”）；关于FINMA的期望，参见第08/2024号监管指引（同上）。 ↩
- FADP第60条和第61条（对私人处最高25万瑞士法郎罚金）及第64条（如查明责任人需采取不成比例的措施，可责令企业缴纳最高5万瑞士法郎的罚金）；由各州进行追诉，FDPIC有权提出告诉（第65条）。 ↩
仅供一般参考。本文不构成法律或税务意见，不能替代针对个案的咨询，亦不建立律师与客户之间的委托关系。本文反映截至 十月 2026 的法律状况。