Proteção de dados e sigilo bancário na era da inteligência artificial

A Lei Federal sobre a Proteção de Dados revisada

A Lei Federal sobre a Proteção de Dados, de 25 de setembro de 2020 (LPD/FADP), entrou em vigor em 1º de setembro de 2023 e substituiu a lei de 1992.¹ A revisão alinhou o direito suíço ao Regulamento Geral sobre a Proteção de Dados (RGPD/GDPR) da União Europeia (UE) e à Convenção 108 modernizada do Conselho da Europa. Ela manteve diversas particularidades suíças: a lei protege apenas pessoas naturais, apoia-se mais em sanções penais contra indivíduos do que em multas administrativas contra empresas e formula muitos deveres em termos mais gerais do que o GDPR.² A FADP é tecnologicamente neutra. Não contém um capítulo especial sobre inteligência artificial, mas várias de suas disposições aplicam-se diretamente ao tratamento automatizado e foram redigidas tendo esse tratamento em vista.

O Encarregado Federal da Proteção de Dados e da Informação (EDÖB/FDPIC) esclareceu a questão em uma declaração de 9 de novembro de 2023. A FADP, em vigor desde 1º de setembro de 2023, “é diretamente aplicável ao tratamento de dados apoiado por IA”, e “as disposições de proteção de dados já em vigor devem ser observadas”. Fabricantes, fornecedores e usuários de sistemas de inteligência artificial devem tornar transparentes a finalidade, o funcionamento e as fontes de dados do tratamento. Os titulares dos dados têm o direito de saber se estão conversando ou se correspondendo com uma máquina e de que forma seus dados são utilizados. Podem opor-se ao tratamento automatizado e solicitar que uma decisão individual automatizada seja revista por uma pessoa natural. O tratamento de alto risco exige uma avaliação de impacto sobre a proteção de dados, e o Encarregado considerou aplicações como o reconhecimento facial em tempo real em espaços públicos e o “social scoring” abrangente incompatíveis com a lei.³

As disposições relevantes para as instituições financeiras

Para um banco ou gestor de patrimônio de Lugano, as seguintes disposições da FADP são as mais relevantes quando se utiliza inteligência artificial:

● Proteção de dados desde a concepção e por padrão (art. 7 FADP): o controlador deve conceber o tratamento de modo que os princípios de proteção de dados sejam respeitados desde a fase de planejamento.

● Tratamento por operadores (art. 9 FADP): o tratamento só pode ser delegado por contrato se o operador tratar os dados da forma como o próprio controlador estaria autorizado a fazê-lo e se nenhum dever legal ou contratual de sigilo proibir a delegação.

● Comunicação ao exterior (arts. 16 e 17 FADP): dados pessoais podem ser comunicados ao exterior se o Conselho Federal tiver constatado que o Estado em questão oferece proteção adequada, ou se existirem garantias apropriadas, como cláusulas contratuais padrão.

● Dever de informar (art. 19 FADP) e dever de informar sobre decisões individuais automatizadas (art. 21 FADP): quando uma decisão baseada exclusivamente em tratamento automatizado produz efeitos jurídicos ou afeta significativamente o titular dos dados, este deve ser informado e pode solicitar a revisão por uma pessoa natural.

● Avaliação de impacto sobre a proteção de dados (art. 22 FADP) para tratamentos que possam resultar em alto risco para a personalidade ou os direitos fundamentais do titular dos dados. ● Notificação de violações da segurança de dados ao FDPIC (art. 24 FADP).⁴ O artigo 21 merece atenção especial. A decisão de aceitar um cliente, conceder um empréstimo ou bloquear um pagamento pode constituir uma decisão individual automatizada se nenhum ser humano fizer uma avaliação substantiva. A maioria das instituições suíças evita a questão assegurando que uma pessoa revise e tome a decisão final, o que é também o que a Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA) espera para as decisões de compliance. Quando uma instituição utiliza decisões de crédito totalmente automatizadas, por exemplo no crédito ao consumo ou nos limites de cartões, deve informar o cliente e oferecer revisão humana.⁵

As sanções da FADP dirigem-se a indivíduos. Um particular que viole dolosamente determinados deveres de informação, cooperação ou diligência, incluindo as regras sobre a comunicação ao exterior e sobre operadores, pode ser multado em até CHF 250.000 mediante queixa (arts. 60 a 61 FADP). Nos termos do art. 64 FADP, a empresa pode ser multada em lugar do indivíduo, em até CHF 50.000, quando a identificação da pessoa responsável exigir um esforço de investigação desproporcional.⁶ A exposição pessoal de compliance officers, gestores de TI e membros da administração é uma das razões pelas quais as instituições suíças abordam a proteção de dados em projetos de inteligência artificial com cautela.

Notas

1. Lei Federal sobre a Proteção de Dados, de 25 de setembro de 2020 (Lei de Proteção de Dados, FADP), SR 235.1, em vigor desde 1º de setembro de 2023, texto em inglês em https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/en/html/ fedlex-data-admin-ch-eli-cc-2022-491-20230901-en-html-1.html. A entrada em vigor é também confirmada pela declaração do FDPIC citada abaixo. ↩
2. FADP (acima), art. 2, § 1º (a lei aplica-se ao “tratamento de dados pessoais de pessoas naturais”) e arts. 60–66 (disposições penais, com multas aplicáveis a particulares e, nos termos do art. 64, apenas subsidiariamente à empresa). ↩
3. Encarregado Federal da Proteção de Dados e da Informação (FDPIC), “Current data protection legislation is directly applicable to AI” (9 de novembro de 2023), https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/2023/20231109_ki_dsg.html. ↩
4. FADP (acima), arts. 7 (proteção de dados desde a concepção e por padrão), 9 (tratamento por operadores), 16 (princípios para a comunicação ao exterior), 17 (exceções), 19 (dever de informar), 21 (decisões individuais automatizadas), 22 (avaliação de impacto sobre a proteção de dados) e 24 (notificação de violações da segurança de dados). ↩
5. FADP, art. 21, § 1º (dever de informar sobre uma decisão “baseada exclusivamente em tratamento automatizado” com “uma consequência jurídica para o titular dos dados ou um efeito adverso considerável sobre ele”) e § 2º (o titular dos dados pode “solicitar que a decisão individual automatizada seja revista por uma pessoa natural”); sobre as expectativas da FINMA, ver a Comunicação 08/2024 (acima). ↩
6. FADP, arts. 60 e 61 (multas de até CHF 250.000 aplicáveis a particulares) e art. 64 (a empresa pode ser condenada ao pagamento de multa de até CHF 50.000 quando a identificação da pessoa responsável exigir medidas desproporcionais); persecução pelos cantões, com o FDPIC legitimado a apresentar queixa (art. 65). ↩

Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.