人工知能の時代におけるデータ保護と銀行の守秘義務
改正連邦データ保護法
2020年9月25日の連邦データ保護法（FADP）は、2023年9月1日に施行され、1992年の法律に取って代わった。1 この改正により、スイス法は欧州連合の一般データ保護規則（GDPR）および現代化された欧州評議会第108号条約と整合することとなった。同法はいくつかのスイス固有の特徴を維持した。すなわち、同法は自然人のみを保護し、企業に対する行政上の制裁金よりも個人に対する刑事制裁に依拠し、多くの義務をGDPRよりも一般的な文言で定めている。2 FADPは技術中立的である。同法は人工知能に関する特別の章を有しないが、その規定のいくつかは自動化された処理に直接適用され、そのような処理を念頭に置いて起草されたものである。
連邦データ保護・情報コミッショナー（FDPIC）は、2023年11月9日の声明でこの点を明確にした。2023年9月1日に施行されたFADPは「AIを用いたデータ処理に直接適用され」、「既に施行されているデータ保護規定は遵守されなければならない」。人工知能システムの製造者、提供者および利用者は、処理の目的、機能およびデータ源を透明にしなければならない。データ主体は、自らが機械と会話または通信しているか否か、およびそのデータがどのように利用されるかを知る権利を有する。データ主体は、自動化された処理に異議を述べることができ、自動化された個人に関する決定を自然人が再審査するよう求めることができる。高リスクの処理にはデータ保護影響評価が必要であり、コミッショナーは、公共空間におけるリアルタイムの顔認識や包括的な「ソーシャル・スコアリング」などの応用は同法と両立しないと判断した。3
金融機関にとって重要な規定
ルガーノの銀行または資産運用会社にとって、人工知能を利用する場合に最も関連するFADPの規定は以下のとおりである。
● 設計および初期設定によるプライバシー保護（FADP第7条）：管理者は、計画段階からデータ保護の原則が尊重されるよう処理を設計しなければならない。
● 処理者による処理（FADP第9条）：処理は、処理者が管理者自身に認められる範囲でのみデータを処理し、かつ法令上または契約上の守秘義務が委託を禁じていない場合に限り、契約により委託することができる。
● 国外への開示（FADP第16条および第17条）：個人データは、連邦参事会が当該国が十分な保護を提供していると決定した場合、または標準契約条項などの適切な保護措置が存在する場合に、国外に開示することができる。
● 情報提供義務（FADP第19条）および自動化された個人に関する決定についての情報提供義務（FADP第21条）：専ら自動化された処理に基づく決定が法的効果を生じ、またはデータ主体に重大な影響を及ぼす場合には、データ主体はその旨の情報提供を受け、自然人による再審査を求めることができる。
● データ主体の人格または基本的権利に対して高いリスクを生じるおそれのある処理についてのデータ保護影響評価（FADP第22条）。● FDPICに対するデータ・セキュリティ侵害の通知（FADP第24条）。4 第21条は特に注意に値する。顧客を受け入れるか否か、融資を行うか否か、または支払を停止するか否かの決定は、人間が実質的な評価を行わない場合には、自動化された個人に関する決定となりうる。大半のスイスの機関は、人が審査し最終決定を下すことを確保することによってこの問題を回避しており、これはコンプライアンス上の判断についてスイス金融市場監督機構（FINMA）が期待するところでもある。機関が、例えば消費者金融やカード利用限度額において完全に自動化された与信判断を用いる場合には、顧客に情報を提供し、人間による再審査を提供しなければならない。5
FADPの制裁は個人に向けられている。国外への開示および処理者に関する規律を含め、一定の情報提供義務、協力義務または注意義務に故意に違反した私人は、告訴に基づき25万スイスフラン以下の罰金に処されうる（FADP第60条から第61条）。FADP第64条の下では、責任者の特定に不相応な捜査上の労力を要する場合には、個人に代えて企業に5万スイスフラン以下の罰金を科すことができる。6 コンプライアンス担当者、IT管理者および経営陣の構成員が個人として負うリスクは、スイスの機関が人工知能プロジェクトにおけるデータ保護に慎重に取り組む理由の一つである。
注
- 2020年9月25日の連邦データ保護法（データ保護法（FADP））、SR 235.1、2023年9月1日施行、英文はhttps://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/en/html/ fedlex-data-admin-ch-eli-cc-2022-491-20230901-en-html-1.html。施行は後掲のFDPICの声明によっても確認される。 ↩
- FADP（前掲）、第2条第1項（同法は「the processing of personal data of natural persons」に適用される）および第60条から第66条（罰則。私人に対する罰金、第64条に基づき企業には補充的にのみ科される）。 ↩
- 連邦データ保護・情報コミッショナー（FDPIC）、「Current data protection legislation is directly applicable to AI」（2023年11月9日）、https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/2023/20231109_ki_dsg.html。 ↩
- FADP（前掲）、第7条（設計および初期設定によるデータ保護）、第9条（処理者による処理）、第16条（国外への開示の原則）、第17条（例外）、第19条（情報提供義務）、第21条（自動化された個人に関する決定）、第22条（データ保護影響評価）および第24条（データ・セキュリティ侵害の通知）。 ↩
- FADP第21条第1項（「a legal consequence for or a considerable adverse effect on the data subject」を伴う「based exclusively on automated processing」決定についての情報提供義務）および第2項（データ主体は「request that the automated individual decision be reviewed by a natural person」ことができる）。FINMAの期待についてはガイダンス08/2024（前掲）を参照。 ↩
- FADP第60条および第61条（私人に対する25万スイスフラン以下の罰金）ならびに第64条（責任者の特定に不相応な措置を要する場合には、企業に5万スイスフラン以下の罰金の支払を命じることができる）。訴追は州が行い、FDPICは告訴権を有する（第65条）。 ↩
本記事は一般的な情報提供のみを目的としています。法律上または税務上の助言を構成するものではなく、個別案件に関する助言に代わるものでもなく、弁護士と依頼者との間に委任関係を生じさせるものでもありません。本記事は2026年10月時点の法的状況を反映しています。