Банковская тайна и профессиональная тайна

Читать PDF-версию (4 стр.)

Для банков к FADP добавляется банковская тайна. Статья 47 Закона о банках (BankA) квалифицирует как уголовное преступление разглашение органами банка, его сотрудниками, агентами и аудиторами тайны, доверенной им в этом качестве.¹ Защита распространяется на клиентские данные, обрабатываемые в ИТ-системах, а следовательно, и на данные, которые банк вводит в систему искусственного интеллекта, будь то собственную или принадлежащую поставщику. Раскрытие информации поставщику услуг не является преступлением, если поставщик связан обязательством соблюдения тайны и действует как вспомогательное лицо банка в рамках аутсорсинга. Раскрытие поставщику за рубежом, сотрудники которого могут быть принуждены иностранными органами предоставить данные, порождает вопросы, на которые банки ответили договорными и техническими мерами, такими как шифрование, псевдонимизация и хранение ключей в Швейцарии. Подход отрасли изложен в руководящих принципах Швейцарской ассоциации банкиров по использованию облачных услуг.² На управляющих активами, доверительных управляющих и фидуциарные компании распространяются правила о профессиональной тайне Закона о финансовых учреждениях (ст. 69 FinIA), а на адвокатов и фидуциаров в Тичино — их собственная профессиональная тайна.³

Генеративный искусственный интеллект придаёт этому вопросу новую практическую остроту. Сотрудник, копирующий письмо клиента в общедоступный чат-бот, раскрывает данные клиента поставщику чат-бота, который может хранить их на серверах за рубежом и использовать для обучения своих моделей. Поэтому многие учреждения Лугано запретили использование общедоступных чат-ботов для клиентских данных и внедрили корпоративные версии с договорными гарантиями или модели, работающие на собственной инфраструктуре либо на швейцарской платформе. Выпуск Apertus в рамках Swiss AI Initiative, описанный выше, и её доступность через швейцарского телекоммуникационного провайдера непосредственно отвечают на этот запрос.⁴

Итальянские клиенты и GDPR

Большинство клиентов банков и управляющих активами Лугано проживают в Италии. GDPR применяется к контролёру за пределами Европейского союза, если он обрабатывает персональные данные субъектов данных, находящихся в Союзе, в связи с предложением им товаров или услуг либо мониторингом их поведения (ст. 3(2) GDPR).⁵ «Предлагает» ли банк из Лугано услуги итальянским резидентам в этом смысле, зависит от фактических обстоятельств, и этот анализ пересекается с вопросом трансграничных финансовых услуг, рассматриваемым в главе E.IV. Банк, активно продвигающий свои услуги в Италии, скорее всего, подпадает под действие GDPR в отношении этих клиентов и может быть обязан письменно назначить представителя в Союзе (ст. 27(1) GDPR). Эта обязанность отпадает лишь в отношении обработки, которая носит эпизодический характер, не включает масштабную обработку особых категорий данных или данных об уголовных судимостях и вряд ли создаёт риск для субъектов данных (ст. 27(2) GDPR), — на это исключение банк с постоянной итальянской клиентурой сможет сослаться лишь в редких случаях. У банка, обслуживающего итальянских клиентов только по их собственной инициативе и в Швейцарии, больше аргументов в пользу того, что он находится вне сферы действия регламента. В любом случае Европейская комиссия признала, что Швейцария обеспечивает надлежащий уровень защиты, — это было впервые установлено Решением 2000/518/EC от 26 июля 2000 г. и подтверждено в обзоре Комиссии от 15 января 2024 г., поэтому данные могут передаваться из Италии в Швейцарию без дополнительных гарантий.⁶

Итальянский орган по защите данных — Garante per la protezione dei dati personali — входит в число наиболее активных европейских органов в сфере искусственного интеллекта. Срочным решением от 30 марта 2023 г. он временно ограничил обработку данных итальянских пользователей сервисом ChatGPT. Завершая расследование в декабре 2024 г., он оштрафовал поставщика на 15 млн евро за нарушения GDPR, в том числе за обработку данных для обучения без надлежащего правового основания, недостаточную прозрачность, неуведомление об утечке данных в марте 2023 г. и отсутствие проверки возраста, а также обязал OpenAI провести шестимесячную информационную кампанию в итальянских СМИ.⁷ Для учреждений Лугано с итальянскими клиентами практика Garante служит напоминанием о том, что использование искусственного интеллекта в отношении данных итальянских резидентов может проверяться по итальянским и европейским стандартам, которые в ряде отношений строже швейцарских.

Главное. Пересмотренный FADP, действующий с 1 сентября 2023 г., непосредственно применяется к искусственному интеллекту. Его ключевые положения для финансовых учреждений — защита данных путём проектирования (ст. 7), обработчики (ст. 9), раскрытие за рубеж (ст. 16–17), автоматизированные индивидуальные решения (ст. 21), оценка воздействия (ст. 22) и уведомление о нарушениях (ст. 24). Банковская тайна по ст. 47 BankA и профессиональная тайна по ст. 69 FinIA дополняют это уголовно-правовой защитой клиентских данных. В отношении клиентов в Италии может применяться GDPR согласно его ст. 3(2), и итальянский Garante активно обеспечивает его соблюдение в сфере искусственного интеллекта.

Примечания

1. Закон о банках (см. выше), ст. 47 п. 1 (органы, сотрудники, агенты, ликвидаторы и сотрудники аудиторских фирм, разгласившие тайну, доверенную им в этом качестве; лишение свободы на срок до трёх лет или денежное наказание), https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html. ↩
2. Швейцарская ассоциация банкиров, Cloud Guidelines (первое издание — март 2019 г., впоследствии обновлялись). ↩
3. FinIA (см. выше), ст. 69 («Verletzung des Berufsgeheimnisses»: лишение свободы на срок до трёх лет или денежное наказание), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html; о фидуциарах в Тичино см. главу E.III. ↩
4. EPFL AI Center (2 сентября 2025 г., см. выше) (Swisscom как стратегический партнёр; швейцарская суверенная платформа ИИ). ↩
5. Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 г. (Общий регламент по защите данных), OJ L 119, 4.5.2016, с. 1, https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng; текст ст. 3(2) и ст. 27(1)–(2) по: https://gdpr-info.eu/art-3-gdpr/ и https://gdpr-info.eu/art-27-gdpr/. ↩
6. Европейская комиссия, Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC, COM(2024) 7 final, Брюссель, 15 января 2024 г., https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52024DC0007 («Switzerland continues to provide an adequate level of protection for personal data transferred from the EU»); Commission Decision 2000/518/EC of 26 July 2000 pursuant to Directive 95/46/EC on the adequate protection of personal data provided in Switzerland, C(2000) 2304, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32000D0518. ↩
7. Garante per la protezione dei dati personali, Provvedimento n. 112 от 30 марта 2023 г. (срочное временное ограничение обработки в отношении OpenAI L.L.C.), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870832; Garante, пресс-релиз «ChatGPT, il Garante privacy chiude l'istruttoria» (20 декабря 2024 г.) о Provvedimento n. 755 от 2 ноября 2024 г. (штраф 15 млн евро, шестимесячная информационная кампания, передача продолжающегося производства ирландскому органу как ведущему надзорному органу), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432. ↩

Только для общего ознакомления. Настоящая статья не является юридической или налоговой консультацией, не заменяет консультацию по конкретному делу и не создаёт отношений между адвокатом и клиентом. Она отражает правовое положение по состоянию на октябрь 2026 г.