Kerahasiaan bank dan rahasia profesi

Bagi bank, Undang-Undang Federal tentang Perlindungan Data (FADP) dilapisi oleh rahasia bank. Pasal 47 Undang-Undang Perbankan (BankA) menetapkan sebagai tindak pidana pengungkapan rahasia oleh organ bank, karyawan, kuasa, dan auditor yang dipercayakan kepada mereka dalam kapasitas tersebut.¹ Perlindungan ini mencakup data nasabah yang diproses dalam sistem TI dan karenanya juga data yang dimasukkan bank ke dalam sistem kecerdasan buatan, baik milik sendiri maupun milik penyedia. Pengungkapan kepada penyedia jasa bukan merupakan tindak pidana jika penyedia tersebut terikat kewajiban kerahasiaan dan bertindak sebagai pembantu bank dalam kerangka alih daya. Pengungkapan kepada penyedia di luar negeri, yang stafnya dapat dipaksa oleh otoritas asing untuk menyerahkan data, menimbulkan pertanyaan yang dijawab bank-bank melalui langkah-langkah kontraktual dan teknis seperti enkripsi, pseudonimisasi, dan penyimpanan kunci di Swiss. Pedoman Asosiasi Bankir Swiss tentang penggunaan layanan cloud memaparkan pendekatan industri ini.² Manajer aset, wali amanat (trustee), dan penyedia jasa fidusia tunduk pada ketentuan rahasia profesi dalam Undang-Undang Lembaga Keuangan (Pasal 69 FinIA), sedangkan advokat dan penyedia jasa fidusia di Ticino tunduk pada rahasia profesi mereka sendiri.³

Kecerdasan buatan generatif memberikan urgensi praktis yang baru pada persoalan ini. Karyawan yang menyalin surat nasabah ke dalam chatbot publik mengungkapkan data nasabah kepada penyedia chatbot, yang mungkin menyimpannya di server di luar negeri dan mungkin menggunakannya untuk melatih model-modelnya. Oleh karena itu, banyak lembaga di Lugano melarang penggunaan chatbot publik untuk data nasabah dan memperkenalkan versi korporat dengan jaminan kontraktual, atau model yang berjalan di infrastruktur mereka sendiri atau di platform Swiss. Perilisan Apertus oleh Swiss AI Initiative, yang diuraikan di atas, dan ketersediaannya melalui penyedia telekomunikasi Swiss secara langsung menjawab kebutuhan ini.⁴

Nasabah Italia dan GDPR

Sebagian besar nasabah bank dan manajer aset di Lugano tinggal di Italia. Regulasi Umum Perlindungan Data (GDPR) berlaku bagi pengendali di luar Uni Eropa (UE/EU) apabila pengendali tersebut memproses data pribadi subjek data di Uni dalam kaitan dengan penawaran barang atau jasa kepada mereka atau pemantauan perilaku mereka (Pasal 3 ayat (2) GDPR).⁵ Apakah suatu bank di Lugano “menawarkan” jasa kepada penduduk Italia dalam pengertian ini bergantung pada fakta, dan analisisnya bersinggungan dengan persoalan jasa keuangan lintas batas yang dibahas dalam Bab E.IV. Bank yang secara aktif memasarkan jasanya di Italia kemungkinan besar tunduk pada GDPR untuk nasabah-nasabah tersebut dan mungkin harus menunjuk secara tertulis seorang perwakilan di Uni (Pasal 27 ayat (1) GDPR). Kewajiban ini gugur hanya untuk pemrosesan yang bersifat sesekali, tidak mencakup pemrosesan berskala besar atas kategori data khusus atau data tentang putusan pidana, dan kecil kemungkinannya menimbulkan risiko bagi subjek data (Pasal 27 ayat (2) GDPR). Pengecualian ini jarang dapat digunakan oleh bank dengan nasabah Italia yang tetap. Bank yang melayani nasabah Italia hanya atas inisiatif mereka sendiri, di Swiss, memiliki argumen yang lebih kuat bahwa bank tersebut berada di luar cakupan. Dalam kedua hal, Komisi Eropa telah mengakui bahwa Swiss memberikan tingkat perlindungan yang memadai, suatu temuan yang pertama kali dibuat dalam Keputusan 2000/518/EC tanggal 26 Juli 2000 dan dikonfirmasi dalam tinjauan Komisi tanggal 15 Januari 2024, sehingga data dapat mengalir dari Italia ke Swiss tanpa jaminan tambahan.⁶

Otoritas perlindungan data Italia, Garante per la protezione dei dati personali, termasuk otoritas Eropa yang paling aktif di bidang kecerdasan buatan. Melalui keputusan darurat tanggal 30 Maret 2023, otoritas ini untuk sementara membatasi pemrosesan data pengguna Italia oleh ChatGPT. Ketika menutup penyelidikannya pada Desember 2024, otoritas ini mendenda penyedia tersebut sebesar EUR 15 juta karena pelanggaran GDPR, di antaranya pemrosesan data untuk pelatihan tanpa dasar hukum yang memadai, transparansi yang kurang, kelalaian memberitahukan pelanggaran data pada Maret 2023, dan tidak adanya verifikasi usia, serta memerintahkan OpenAI menjalankan kampanye informasi selama enam bulan di media Italia.⁷ Bagi lembaga-lembaga di Lugano dengan nasabah Italia, praktik Garante menjadi pengingat bahwa penggunaan kecerdasan buatan atas data penduduk Italia dapat diperiksa berdasarkan standar Italia dan Eropa, yang dalam beberapa hal lebih ketat daripada standar Swiss.

Inti pokok. FADP yang direvisi, yang berlaku sejak 1 September 2023, berlaku langsung terhadap kecerdasan buatan. Ketentuan-ketentuan utamanya bagi lembaga keuangan adalah perlindungan privasi sejak perancangan (Pasal 7), prosesor (Pasal 9), pengungkapan ke luar negeri (Pasal 16–17), keputusan individual otomatis (Pasal 21), penilaian dampak (Pasal 22), dan pemberitahuan pelanggaran (Pasal 24). Rahasia bank berdasarkan Pasal 47 BankA dan rahasia profesi berdasarkan Pasal 69 FinIA menambahkan perlindungan pidana atas data nasabah. Bagi nasabah di Italia, GDPR dapat berlaku berdasarkan Pasal 3 ayat (2)-nya, dan Garante Italia menegakkannya secara aktif di bidang kecerdasan buatan.

Catatan

1. Undang-Undang Perbankan (di atas), Pasal 47 ayat (1) (organ, karyawan, kuasa, likuidator, dan karyawan kantor audit yang mengungkapkan rahasia yang dipercayakan kepada mereka dalam kapasitas tersebut; pidana penjara hingga tiga tahun atau pidana denda), https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html. ↩
2. Asosiasi Bankir Swiss, Cloud Guidelines (edisi pertama Maret 2019, kemudian diperbarui). ↩
3. FinIA (di atas), Pasal 69 (“Verletzung des Berufsgeheimnisses”: pidana penjara hingga tiga tahun atau pidana denda), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html; mengenai penyedia jasa fidusia di Ticino lihat Bab E.III. ↩
4. EPFL AI Center (2 September 2025, di atas) (Swisscom sebagai mitra strategis; platform AI berdaulat Swiss). ↩
5. Regulasi (UE) 2016/679 Parlemen Eropa dan Dewan tanggal 27 April 2016 (Regulasi Umum Perlindungan Data), OJ L 119, 4.5.2016, hlm. 1, https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng; teks Pasal 3 ayat (2) dan Pasal 27 ayat (1)–(2) dirujuk di https://gdpr-info.eu/art-3-gdpr/ dan https://gdpr-info.eu/art-27-gdpr/. ↩
6. Komisi Eropa, Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC, COM(2024) 7 final, Brussel, 15 Januari 2024, https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52024DC0007 (“Switzerland continues to provide an adequate level of protection for personal data transferred from the EU”); Keputusan Komisi 2000/518/EC tanggal 26 Juli 2000 berdasarkan Direktif 95/46/EC tentang perlindungan data pribadi yang memadai di Swiss, C(2000) 2304, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32000D0518. ↩
7. Garante per la protezione dei dati personali, Provvedimento n. 112 tanggal 30 Maret 2023 (pembatasan sementara pemrosesan secara darurat terhadap OpenAI L.L.C.), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870832; Garante, siaran pers “ChatGPT, il Garante privacy chiude l'istruttoria” (20 Desember 2024), mengenai Provvedimento n. 755 tanggal 2 November 2024 (denda EUR 15 juta, kampanye informasi selama enam bulan, pengalihan proses yang masih berjalan kepada otoritas Irlandia sebagai otoritas utama), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432. ↩

Hanya untuk informasi umum. Artikel ini bukan merupakan nasihat hukum atau pajak, tidak menggantikan nasihat atas kasus individual, dan tidak menimbulkan hubungan antara advokat dan klien. Artikel ini mencerminkan keadaan hukum per Oktober 2026.