Perlindungan data dan kerahasiaan bank di era kecerdasan buatan

Undang-Undang Federal tentang Perlindungan Data yang direvisi

Undang-Undang Federal tentang Perlindungan Data tanggal 25 September 2020 (FADP) mulai berlaku pada 1 September 2023 dan menggantikan undang-undang tahun 1992.¹ Revisi tersebut menyelaraskan hukum Swiss dengan Regulasi Umum Perlindungan Data (GDPR) Uni Eropa (UE/EU) dan dengan Konvensi 108 Dewan Eropa yang telah dimodernisasi. Revisi ini mempertahankan sejumlah kekhasan Swiss: undang-undang tersebut hanya melindungi orang perseorangan, lebih mengandalkan sanksi pidana terhadap individu daripada denda administratif terhadap perusahaan, dan merumuskan banyak kewajiban secara lebih umum daripada GDPR.² FADP bersifat netral teknologi. Undang-undang ini tidak memuat bab khusus tentang kecerdasan buatan, tetapi beberapa ketentuannya berlaku langsung terhadap pemrosesan otomatis dan memang dirumuskan dengan mempertimbangkan pemrosesan semacam itu.

Komisioner Federal untuk Perlindungan Data dan Informasi (FDPIC) menegaskan hal ini dalam pernyataan tanggal 9 November 2023. FADP, yang berlaku sejak 1 September 2023, “berlaku langsung terhadap pemrosesan data yang didukung AI”, dan “ketentuan perlindungan data yang sudah berlaku harus dipatuhi”. Produsen, penyedia, dan pengguna sistem kecerdasan buatan wajib membuat transparan tujuan, cara kerja, dan sumber data pemrosesan. Subjek data berhak mengetahui apakah mereka sedang berbicara atau berkorespondensi dengan mesin dan bagaimana data mereka digunakan. Mereka dapat menolak pemrosesan otomatis dan dapat meminta agar keputusan individual otomatis ditelaah oleh orang perseorangan. Pemrosesan berisiko tinggi memerlukan penilaian dampak perlindungan data, dan Komisioner menganggap aplikasi seperti pengenalan wajah secara waktu nyata di ruang publik dan “social scoring” yang menyeluruh tidak sesuai dengan undang-undang tersebut.³

Ketentuan yang penting bagi lembaga keuangan

Bagi bank atau manajer aset di Lugano, ketentuan-ketentuan FADP berikut paling relevan ketika kecerdasan buatan digunakan:

● Perlindungan privasi sejak perancangan dan secara bawaan (privacy by design and by default) (Pasal 7 FADP): pengendali data wajib merancang pemrosesan sedemikian rupa sehingga prinsip-prinsip perlindungan data dihormati sejak tahap perencanaan.

● Pemrosesan oleh prosesor (Pasal 9 FADP): pemrosesan dapat didelegasikan melalui kontrak hanya jika prosesor memproses data sebagaimana pengendali sendiri berhak melakukannya, dan tidak ada kewajiban kerahasiaan berdasarkan undang-undang atau kontrak yang melarang delegasi tersebut.

● Pengungkapan ke luar negeri (Pasal 16 dan 17 FADP): data pribadi dapat diungkapkan ke luar negeri jika Dewan Federal telah menetapkan bahwa negara yang bersangkutan memberikan perlindungan yang memadai, atau jika terdapat jaminan yang sesuai seperti klausul kontrak standar.

● Kewajiban memberikan informasi (Pasal 19 FADP) dan kewajiban memberikan informasi tentang keputusan individual otomatis (Pasal 21 FADP): apabila suatu keputusan yang semata-mata didasarkan pada pemrosesan otomatis menimbulkan akibat hukum atau secara signifikan memengaruhi subjek data, subjek data harus diberi tahu dan dapat meminta penelaahan oleh orang perseorangan.

● Penilaian dampak perlindungan data (Pasal 22 FADP) untuk pemrosesan yang kemungkinan menimbulkan risiko tinggi bagi kepribadian atau hak-hak dasar subjek data. ● Pemberitahuan pelanggaran keamanan data kepada FDPIC (Pasal 24 FADP).⁴ Pasal 21 patut mendapat perhatian khusus. Keputusan untuk menerima nasabah, memberikan pinjaman, atau memblokir pembayaran dapat merupakan keputusan individual otomatis jika tidak ada manusia yang melakukan penilaian substantif. Sebagian besar lembaga Swiss menghindari persoalan ini dengan memastikan bahwa seseorang menelaah dan mengambil keputusan akhir, yang juga merupakan harapan Otoritas Pengawas Pasar Keuangan Swiss (FINMA) untuk keputusan kepatuhan. Apabila suatu lembaga menggunakan keputusan kredit yang sepenuhnya otomatis, misalnya dalam kredit konsumen atau limit kartu, lembaga tersebut wajib memberi tahu nasabah dan menawarkan penelaahan oleh manusia.⁵

Sanksi FADP ditujukan kepada individu. Orang perseorangan yang dengan sengaja melanggar kewajiban tertentu mengenai pemberian informasi, kerja sama, atau kehati-hatian, termasuk ketentuan tentang pengungkapan ke luar negeri dan tentang prosesor, dapat didenda hingga CHF 250.000 atas dasar pengaduan (Pasal 60 hingga 61 FADP). Berdasarkan Pasal 64 FADP, perusahaan dapat didenda sebagai pengganti individu, hingga CHF 50.000, apabila identifikasi orang yang bertanggung jawab akan memerlukan upaya penyidikan yang tidak proporsional.⁶ Paparan risiko pribadi para petugas kepatuhan, manajer TI, dan anggota manajemen merupakan salah satu alasan mengapa lembaga-lembaga Swiss bersikap hati-hati terhadap perlindungan data dalam proyek kecerdasan buatan.

Catatan

1. Undang-Undang Federal tentang Perlindungan Data tanggal 25 September 2020 (Undang-Undang Perlindungan Data, FADP), SR 235.1, berlaku sejak 1 September 2023, teks bahasa Inggris di https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/en/html/ fedlex-data-admin-ch-eli-cc-2022-491-20230901-en-html-1.html. Mulai berlakunya juga dikonfirmasi oleh pernyataan FDPIC yang dikutip di bawah. ↩
2. FADP (di atas), Pasal 2 ayat (1) (undang-undang ini berlaku terhadap “the processing of personal data of natural persons”) dan Pasal 60–66 (ketentuan pidana, dengan denda terhadap orang perseorangan dan, berdasarkan Pasal 64, hanya secara subsider terhadap perusahaan). ↩
3. Komisioner Federal untuk Perlindungan Data dan Informasi (FDPIC), “Current data protection legislation is directly applicable to AI” (9 November 2023), https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/2023/20231109_ki_dsg.html. ↩
4. FADP (di atas), Pasal 7 (perlindungan data sejak perancangan dan secara bawaan), 9 (pemrosesan oleh prosesor), 16 (prinsip-prinsip pengungkapan ke luar negeri), 17 (pengecualian), 19 (kewajiban memberikan informasi), 21 (keputusan individual otomatis), 22 (penilaian dampak perlindungan data), dan 24 (pemberitahuan pelanggaran keamanan data). ↩
5. FADP, Pasal 21 ayat (1) (kewajiban memberikan informasi tentang keputusan yang “based exclusively on automated processing” dengan “a legal consequence for or a considerable adverse effect on the data subject”) dan ayat (2) (subjek data dapat “request that the automated individual decision be reviewed by a natural person”); mengenai harapan FINMA lihat Panduan 08/2024 (di atas). ↩
6. FADP, Pasal 60 dan 61 (denda hingga CHF 250.000 terhadap orang perseorangan) dan Pasal 64 (perusahaan dapat diperintahkan membayar denda hingga CHF 50.000 apabila identifikasi orang yang bertanggung jawab akan memerlukan tindakan yang tidak proporsional); penuntutan dilakukan oleh kanton, dengan FDPIC berhak mengajukan pengaduan (Pasal 65). ↩

Hanya untuk informasi umum. Artikel ini bukan merupakan nasihat hukum atau pajak, tidak menggantikan nasihat atas kasus individual, dan tidak menimbulkan hubungan antara advokat dan klien. Artikel ini mencerminkan keadaan hukum per Oktober 2026.