Sigilo bancário e sigilo profissional

No caso dos bancos, à Lei Federal sobre a Proteção de Dados (FADP) sobrepõe-se o sigilo bancário. O art. 47 da Lei Federal sobre os Bancos (BankA) tipifica como crime a divulgação, por órgãos, empregados, mandatários e auditores de bancos, de segredos que lhes tenham sido confiados nessa qualidade.¹ A proteção abrange os dados de clientes tratados em sistemas de TI e, portanto, os dados que um banco insere em um sistema de inteligência artificial, seja próprio, seja de um fornecedor. A divulgação a um prestador de serviços não constitui crime se o prestador estiver vinculado ao sigilo e atuar como auxiliar do banco no âmbito de uma terceirização. A divulgação a um prestador no exterior, cujos funcionários poderiam ser obrigados por autoridades estrangeiras a entregar os dados, suscita questões às quais os bancos responderam com medidas contratuais e técnicas, como criptografia, pseudonimização e a manutenção das chaves na Suíça. As diretrizes da Associação Suíça de Banqueiros sobre o uso de serviços em nuvem expõem a abordagem do setor.² Gestores de patrimônio, trustees e fiduciárias estão sujeitos às regras de sigilo profissional da Lei Federal sobre as Instituições Financeiras (art. 69 FinIA), e os advogados e fiduciários do Ticino ao seu próprio sigilo profissional.³

A inteligência artificial generativa confere à questão uma nova urgência prática. Um empregado que copia uma carta de cliente em um chatbot público divulga os dados do cliente ao fornecedor do chatbot, que pode armazená-los em servidores no exterior e utilizá-los para treinar seus modelos. Por isso, muitas instituições de Lugano proibiram o uso de chatbots públicos para dados de clientes e introduziram versões corporativas com garantias contratuais, ou modelos que funcionam em sua própria infraestrutura ou em uma plataforma suíça. O lançamento do Apertus pela Swiss AI Initiative, descrito acima, e sua disponibilização por meio de um provedor suíço de telecomunicações respondem diretamente a essa demanda.⁴

Clientes italianos e o RGPD

A maioria dos clientes dos bancos e gestores de patrimônio de Lugano reside na Itália. O Regulamento Geral sobre a Proteção de Dados (RGPD/GDPR) aplica-se a um controlador estabelecido fora da União Europeia (UE) quando este trata dados pessoais de titulares que se encontram na União no âmbito da oferta de bens ou serviços ou do monitoramento de seu comportamento (art. 3(2) GDPR).⁵ Saber se um banco de Lugano “oferece” serviços a residentes na Itália nesse sentido depende dos fatos, e a análise sobrepõe-se à questão dos serviços financeiros transfronteiriços tratada no capítulo E.IV. Um banco que comercializa ativamente seus serviços na Itália provavelmente estará sujeito ao GDPR em relação a esses clientes e poderá ter de designar por escrito um representante na União (art. 27(1) GDPR). Esse dever só deixa de existir para tratamentos ocasionais, que não incluam o tratamento em grande escala de categorias especiais de dados ou de dados relativos a condenações penais e que não sejam suscetíveis de implicar risco para os titulares dos dados (art. 27(2) GDPR), exceção que um banco com clientela italiana regular raramente poderá invocar. Um banco que atende clientes italianos apenas por iniciativa destes, na Suíça, dispõe de um argumento mais sólido de que se encontra fora do âmbito de aplicação. Em qualquer caso, a Comissão Europeia reconheceu que a Suíça oferece um nível de proteção adequado, constatação feita pela primeira vez na Decisão 2000/518/CE, de 26 de julho de 2000, e confirmada na revisão da Comissão de 15 de janeiro de 2024, de modo que os dados podem fluir da Itália para a Suíça sem garantias adicionais.⁶

A autoridade italiana de proteção de dados, o Garante per la protezione dei dati personali, tem estado entre as autoridades europeias mais ativas em matéria de inteligência artificial. Por uma decisão urgente de 30 de março de 2023, limitou temporariamente o tratamento de dados de usuários italianos pelo ChatGPT. Ao encerrar sua investigação em dezembro de 2024, aplicou ao fornecedor uma multa de EUR 15 milhões por violações do GDPR, entre elas o tratamento de dados para treinamento sem base jurídica adequada, a transparência deficiente, a falta de notificação de uma violação de dados ocorrida em março de 2023 e a ausência de verificação de idade, e ordenou à OpenAI que realizasse uma campanha informativa de seis meses nos meios de comunicação italianos.⁷ Para as instituições de Lugano com clientes italianos, a prática do Garante lembra que o uso de inteligência artificial sobre dados de residentes na Itália pode ser examinado à luz de padrões italianos e europeus, que são, em vários aspectos, mais rigorosos do que os suíços.

Essencial. A FADP revisada, em vigor desde 1º de setembro de 2023, aplica-se diretamente à inteligência artificial. Suas disposições centrais para as instituições financeiras são a proteção de dados desde a concepção (art. 7), os operadores (art. 9), a comunicação ao exterior (arts. 16–17), as decisões individuais automatizadas (art. 21), as avaliações de impacto (art. 22) e a notificação de violações (art. 24). O sigilo bancário previsto no art. 47 BankA e o sigilo profissional previsto no art. 69 FinIA acrescentam proteção penal aos dados dos clientes. Para clientes na Itália, o GDPR pode ser aplicável nos termos de seu art. 3(2), e o Garante italiano o aplica ativamente no campo da inteligência artificial.

Notas

1. Lei sobre os Bancos (acima), art. 47, § 1º (órgãos, empregados, mandatários, liquidantes e empregados de empresas de auditoria que divulguem um segredo que lhes tenha sido confiado nessa qualidade; pena privativa de liberdade de até três anos ou pena pecuniária), https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html. ↩
2. Associação Suíça de Banqueiros, Cloud Guidelines (primeira edição em março de 2019, posteriormente atualizada). ↩
3. FinIA (acima), art. 69 (“Verletzung des Berufsgeheimnisses”: pena privativa de liberdade de até três anos ou pena pecuniária), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html; sobre os fiduciários no Ticino, ver o capítulo E.III. ↩
4. EPFL AI Center (2 de setembro de 2025, acima) (Swisscom como parceira estratégica; plataforma suíça de IA soberana). ↩
5. Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados), JO L 119, de 4.5.2016, p. 1, https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng; texto do art. 3(2) e do art. 27(1)–(2) consultado em https://gdpr-info.eu/art-3-gdpr/ e https://gdpr-info.eu/art-27-gdpr/. ↩
6. Comissão Europeia, Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC, COM(2024) 7 final, Bruxelas, 15 de janeiro de 2024, https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52024DC0007 (“a Suíça continua a oferecer um nível adequado de proteção aos dados pessoais transferidos da UE”); Decisão 2000/518/CE da Comissão, de 26 de julho de 2000, nos termos da Diretiva 95/46/CE, relativa à adequação da proteção dos dados pessoais na Suíça, C(2000) 2304, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32000D0518. ↩
7. Garante per la protezione dei dati personali, Provvedimento n. 112, de 30 de março de 2023 (limitação temporária urgente do tratamento contra a OpenAI L.L.C.), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870832; Garante, comunicado de imprensa “ChatGPT, il Garante privacy chiude l’istruttoria” (20 de dezembro de 2024), sobre o Provvedimento n. 755, de 2 de novembro de 2024 (multa de EUR 15 milhões, campanha informativa de seis meses, transferência dos procedimentos em curso para a autoridade irlandesa como autoridade principal), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432. ↩

Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.