Защита данных и банковская тайна в эпоху искусственного интеллекта
Пересмотренный Федеральный закон о защите данных
Федеральный закон о защите данных от 25 сентября 2020 г. (FADP) вступил в силу 1 сентября 2023 г. и заменил закон 1992 г.1 Пересмотр привёл швейцарское право в соответствие с Общим регламентом Европейского союза по защите данных (GDPR) и модернизированной Конвенцией Совета Европы № 108. При этом сохранился ряд швейцарских особенностей: закон защищает только физических лиц, делает ставку скорее на уголовные санкции против физических лиц, чем на административные штрафы против компаний, и формулирует многие обязанности в более общем виде, чем GDPR.2 FADP технологически нейтрален. Он не содержит специальной главы об искусственном интеллекте, однако ряд его положений непосредственно применим к автоматизированной обработке и был сформулирован с учётом такой обработки.
Федеральный уполномоченный по защите данных и информации (FDPIC) разъяснил этот вопрос в заявлении от 9 ноября 2023 г. FADP, действующий с 1 сентября 2023 г., «непосредственно применим к обработке данных с использованием ИИ», и «уже действующие положения о защите данных подлежат соблюдению». Производители, поставщики и пользователи систем искусственного интеллекта должны раскрывать цель, принцип работы и источники данных при обработке. Субъекты данных имеют право знать, разговаривают ли они или переписываются с машиной и как используются их данные. Они могут возражать против автоматизированной обработки и требовать, чтобы автоматизированное индивидуальное решение было пересмотрено физическим лицом. Обработка с высоким риском требует оценки воздействия на защиту данных, а такие применения, как распознавание лиц в реальном времени в общественных местах и всеобъемлющий «социальный скоринг», уполномоченный счёл несовместимыми с законом.3
Положения, важные для финансовых учреждений
Для банка или управляющего активами из Лугано при использовании искусственного интеллекта наиболее значимы следующие положения FADP:
● Защита данных путём проектирования и по умолчанию (ст. 7 FADP): контролёр обязан организовать обработку так, чтобы принципы защиты данных соблюдались уже на этапе планирования.
● Обработка обработчиками (ст. 9 FADP): обработка может быть передана по договору, только если обработчик обрабатывает данные так, как вправе был бы делать это сам контролёр, и никакая законная или договорная обязанность соблюдения конфиденциальности не запрещает такую передачу.
● Раскрытие за рубеж (ст. 16 и 17 FADP): персональные данные могут раскрываться за рубеж, если Федеральный совет установил, что соответствующее государство обеспечивает надлежащую защиту, или если имеются надлежащие гарантии, например стандартные договорные положения.
● Обязанность информирования (ст. 19 FADP) и обязанность информирования об автоматизированных индивидуальных решениях (ст. 21 FADP): если решение, основанное исключительно на автоматизированной обработке, влечёт правовые последствия или существенно затрагивает субъекта данных, субъект данных должен быть проинформирован и может потребовать пересмотра физическим лицом.
● Оценка воздействия на защиту данных (ст. 22 FADP) при обработке, которая может повлечь высокий риск для личности или основных прав субъекта данных. ● Уведомление FDPIC о нарушениях безопасности данных (ст. 24 FADP).4 Статья 21 заслуживает особого внимания. Решение о принятии клиента, предоставлении кредита или блокировке платежа может быть автоматизированным индивидуальным решением, если ни один человек не производит содержательной оценки. Большинство швейцарских учреждений избегают этой проблемы, обеспечивая, чтобы окончательное решение проверял и принимал человек, — этого же FINMA ожидает и в отношении решений в сфере комплаенса. Если учреждение использует полностью автоматизированные кредитные решения, например в потребительском кредитовании или при установлении карточных лимитов, оно обязано проинформировать клиента и предложить пересмотр человеком.5
Санкции FADP направлены против физических лиц. Частное лицо, умышленно нарушившее определённые обязанности по информированию, сотрудничеству или проявлению осмотрительности, включая правила о раскрытии за рубеж и об обработчиках, может быть оштрафовано на сумму до 250 000 швейцарских франков по жалобе (ст. 60–61 FADP). Согласно ст. 64 FADP вместо физического лица штраф в размере до 50 000 швейцарских франков может быть наложен на предприятие, если установление ответственного лица потребовало бы несоразмерных следственных усилий.6 Личная ответственность сотрудников комплаенса, руководителей ИТ и членов руководства — одна из причин, по которым швейцарские учреждения подходят к защите данных в проектах искусственного интеллекта с осторожностью.
Примечания
- Федеральный закон о защите данных от 25 сентября 2020 г. (Закон о защите данных, FADP), SR 235.1, действует с 1 сентября 2023 г., английский текст: https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/en/html/ fedlex-data-admin-ch-eli-cc-2022-491-20230901-en-html-1.html. Вступление в силу подтверждается также заявлением FDPIC, цитируемым ниже. ↩
- FADP (см. выше), ст. 2 п. 1 (закон применяется к «the processing of personal data of natural persons») и ст. 60–66 (уголовно-правовые положения, предусматривающие штрафы для частных лиц и, согласно ст. 64, лишь субсидиарно для предприятия). ↩
- Федеральный уполномоченный по защите данных и информации (FDPIC), «Current data protection legislation is directly applicable to AI» (9 ноября 2023 г.), https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/2023/20231109_ki_dsg.html. ↩
- FADP (см. выше), ст. 7 (защита данных путём проектирования и по умолчанию), 9 (обработка обработчиками), 16 (принципы раскрытия за рубеж), 17 (исключения), 19 (обязанность предоставления информации), 21 (автоматизированные индивидуальные решения), 22 (оценка воздействия на защиту данных) и 24 (уведомление о нарушениях безопасности данных). ↩
- FADP, ст. 21 п. 1 (обязанность информировать о решении, «based exclusively on automated processing», влекущем «a legal consequence for or a considerable adverse effect on the data subject») и п. 2 (субъект данных может «request that the automated individual decision be reviewed by a natural person»); об ожиданиях FINMA см. Руководство 08/2024 (см. выше). ↩
- FADP, ст. 60 и 61 (штрафы до 250 000 швейцарских франков для частных лиц) и ст. 64 (на предприятие может быть возложена уплата штрафа в размере до 50 000 швейцарских франков, если установление ответственного лица потребовало бы несоразмерных мер); уголовное преследование осуществляют кантоны, FDPIC вправе подать жалобу (ст. 65). ↩
Только для общего ознакомления. Настоящая статья не является юридической или налоговой консультацией, не заменяет консультацию по конкретному делу и не создаёт отношений между адвокатом и клиентом. Она отражает правовое положение по состоянию на октябрь 2026 г.