Защита данных, аутсорсинг и облачные вычисления

Пересмотренный Федеральный закон о защите данных

Пересмотренный Федеральный закон о защите данных (FADP) вступил в силу 1 сентября 2023 г. Он технологически нейтрален и поэтому непосредственно применяется к обработке персональных данных с использованием ИИ. Федеральный уполномоченный по защите данных и информации (FDPIC) подтвердил это в ноябре 2023 г. и ещё раз — в обновлённом заявлении в мае 2025 г. Производители, поставщики и пользователи ИИ-систем обязаны обеспечивать прозрачность цели, принципа работы и источников данных при обработке. Субъекты данных вправе возражать против автоматизированной обработки и, согласно ст. 21 FADP, требовать, чтобы автоматизированное индивидуальное решение было пересмотрено физическим лицом. Им также должно сообщаться, взаимодействуют ли они с машиной и используются ли их данные для обучения самообучающихся систем. Если ИИ-приложения сопряжены с высокими рисками, требуется оценка воздействия на защиту данных согласно ст. 22 FADP. FDPIC добавил, что приложения, предназначенные для подрыва неприкосновенности частной жизни, такие как всеобъемлющее распознавание лиц в реальном времени или социальный скоринг, запрещены швейцарским правом.¹

С тех пор FDPIC применял эти принципы в отдельных случаях. В День защиты данных 2026 г. он сообщил, что изучил использование публикаций на платформе X для обучения ИИ-системы Grok, в результате чего пользователи получили возможность возражать против такого использования. Он также завершил расследование в отношении интеллектуального видеонаблюдения на кассах одного из швейцарских ритейлеров. Уполномоченный резюмировал позицию так: генеративный ИИ как таковой не подпадает под законодательство о защите данных, но начинает подпадать под него, как только обрабатывает персональные данные.²

Система санкций FADP отличается от системы Общего регламента ЕС по защите данных. Она предусматривает уголовные штрафы до 250 000 швейцарских франков для физических лиц, умышленно нарушающих определённые обязанности, в том числе обязанности по информированию и предоставлению доступа, обязанности проявлять должную осмотрительность при привлечении обработчиков и правила трансграничного раскрытия данных. На компании штрафы не налагаются. Ряд правонарушений преследуется только по жалобе, которая должна быть подана в течение трёх месяцев.³ Для сотрудников по комплаенсу и руководителей цюрихских учреждений, принимающих решения о внедрении ИИ-инструментов, личный характер этой ответственности служит стимулом тщательно документировать свои решения.

Аутсорсинг согласно Циркуляру FINMA 2018/3

Когда банк или страховщик использует внешнюю ИИ-модель или выполняет ИИ-нагрузки на облачной платформе, могут применяться правила FINMA об аутсорсинге. Циркуляр FINMA 2018/3 «Outsourcing – banks and insurers» был опубликован в декабре 2017 г. и вступил в силу 1 апреля 2018 г. Он заменил правила 1999 г. и задуман как принципиально-ориентированный и технологически нейтральный. Циркуляр требует от учреждений надлежащим образом учитывать повышенные риски аутсорсинга за рубеж. Он также требует обеспечить возможность реструктуризации или урегулирования несостоятельности учреждения в Швейцарии, что на практике означает, что существенные данные должны быть в любое время доступны из Швейцарии.⁴

Циркуляр применяется, когда поставщик услуг самостоятельно и на постоянной основе выполняет существенную функцию учреждения. Под это определение могут подпадать хранение данных, эксплуатация баз данных и эксплуатация ИТ-систем, что охватывает большинство облачных ИИ-услуг. Договор должен предоставлять учреждению, его аудиторской компании и FINMA неограниченное право в любое время проверять и проводить аудит всей соответствующей информации. При передаче клиентских данных в страну, не обеспечивающую надлежащей защиты данных, требуются гарантии, например признанные договорные условия.⁵ В контексте ИИ реестр, требуемый Руководством 08/2024, и реестр аутсорсинга пересекаются. Многие учреждения объединили их, так что каждая внешняя модель оценивается одновременно как ИИ-система и как потенциальная договорённость об аутсорсинге.

Банковская тайна и облако

Наиболее специфически швейцарское ограничение — банковская тайна. Статья 47 Закона о банках (BankA) устанавливает уголовную ответственность сотрудников и агентов банков за раскрытие сведений, доверенных им в силу их профессиональной деятельности. С момента вступления в силу Закона о финансовых учреждениях (FinIA) в 2020 г. сопоставимая обязанность хранить профессиональную тайну распространяется согласно ст. 69 этого закона и на другие финансовые учреждения, такие как управляющие портфелями и управляющие компании фондов.⁶ Поэтому облачный провайдер или поставщик ИИ, имеющий доступ к незашифрованным идентифицирующим данным клиентов, порождает вопрос уголовно-правового характера. Швейцарская ассоциация банкиров рассмотрела его в своих Руководящих принципах по облачным технологиям (Cloud Guidelines), третье издание которых вышло в ноябре 2025 г. Руководящие принципы рассматривают хранение данных за рубежом как совместимое с банковской тайной, если учреждение принимает надлежащие технические, организационные и договорные меры, в том числе надёжное шифрование и договорную обязанность провайдера уведомлять банк о запросах иностранных органов. Третье издание учитывает Циркуляр FINMA 2023/1 с его новой категорией критически важных данных, пересмотренный FADP и Закон об информационной безопасности.⁷

Ещё одно ограничение вытекает из ст. 271 Уголовного кодекса Швейцарии (SCC), которая запрещает без разрешения совершать на швейцарской территории действия в интересах иностранного государства. Облачный провайдер, передающий данные, хранящиеся для швейцарского банка, иностранному органу в обход каналов международной правовой помощи, может подвергнуть уголовной ответственности себя, а в зависимости от обстоятельств — и банк.⁸ Основной сценарий, обсуждаемый в этой связи, — американский CLOUD Act 2018 г., позволяющий органам США требовать данные у американских провайдеров независимо от места их хранения. Инвестиции Microsoft, Google и AWS в швейцарские центры обработки данных смягчают проблему местонахождения данных, хотя и не устраняют её, поскольку материнские компании остаются подчинены американскому праву. Для ИИ-приложений, обрабатывающих клиентские данные, этот правовой риск — одна из причин, по которым цюрихские учреждения проявляют интерес к открытым моделям, таким как Apertus, которые можно запускать на собственной инфраструктуре или у швейцарских провайдеров.

Примечания

1. FDPIC, “Update – Current data protection legislation is directly applicable to AI”, 8 мая 2025 г., https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai. ↩
2. FDPIC, “Data Protection Day 2026: Uses of generative AI and data protection issues”, 28 января 2026 г., https://www.edoeb.admin.ch/en/data-protection-day-2026. ↩
3. Pestalozzi, “The revised Federal Data Protection Act – sanctions increase as of 1 September 2023”, https://pestalozzilaw.com/en/insights/news/legal-insights/the-revised-federal-data-protection-act-sanctions-increase-as-of-1-september-2023/ (дата обращения: сентябрь 2026 г.). ↩
4. FINMA, “FINMA veröffentlicht Outsourcing-Rundschreiben”, 5 декабря 2017 г., https://www.finma.ch/de/news/2017/12/20171205-mm-rs-outsourcing/. ↩
5. Baker McKenzie, “Cloud Compliance Center – Switzerland”, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland (дата обращения: сентябрь 2026 г.). ↩
6. Федеральный закон о банках и сберегательных кассах (Закон о банках, SR 952.0), ст. 47, двуязычное издание, https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html; Федеральный закон о финансовых учреждениях (FinIA, SR 954.1), ст. 69 (“Verletzung des Berufsgeheimnisses”), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html. Обе нормы цитируются также в Cloud Guidelines SBA, рассматриваемых в следующем примечании. ↩
7. Lenz & Staehelin, “Third edition of the SBA Cloud Guidelines”, ноябрь 2025 г., https://www.lenzstaehelin.com/news-and-insights/browse-thought-leadership-insights/insights-detail/third-edition-of-the-sba-cloud-guidelines/. ↩
8. Baker McKenzie, “Cloud Compliance Center – Switzerland”, раздел о банковской тайне и ст. 271 SCC, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland (дата обращения: сентябрь 2026 г.). ↩

Только для общего ознакомления. Настоящая статья не является юридической или налоговой консультацией, не заменяет консультацию по конкретному делу и не создаёт отношений между адвокатом и клиентом. Она отражает правовое положение по состоянию на октябрь 2026 г.