Proteção de dados, terceirização e computação em nuvem

A Lei Federal sobre a Proteção de Dados revisada

A Lei Federal sobre a Proteção de Dados revisada (LPD/FADP) entrou em vigor em 1º de setembro de 2023. Ela é tecnologicamente neutra e aplica-se, portanto, diretamente ao tratamento de dados pessoais apoiado por IA. O Encarregado Federal da Proteção de Dados e da Transparência (EFPD/FDPIC) confirmou esse entendimento em novembro de 2023 e novamente em uma declaração atualizada de maio de 2025. Fabricantes, fornecedores e implantadores de sistemas de IA devem tornar transparentes a finalidade, o funcionamento e as fontes de dados de seu tratamento. Os titulares dos dados têm o direito de se opor ao tratamento automatizado e, nos termos do art. 21 LPD, de solicitar que uma decisão individual automatizada seja revista por uma pessoa física. Devem também ser informados se estão interagindo com uma máquina e se seus dados são utilizados para treinar sistemas de autoaprendizagem. Quando as aplicações de IA envolverem riscos elevados, é exigida uma avaliação de impacto sobre a proteção de dados nos termos do art. 22 LPD. O EFPD acrescentou que as aplicações concebidas para minar a privacidade, como o reconhecimento facial abrangente em tempo real ou a pontuação social (social scoring), são proibidas pelo direito suíço.¹

Desde então, o EFPD aplicou esses princípios em casos concretos. No Dia da Proteção de Dados de 2026, informou ter examinado o uso de publicações na plataforma X para o treinamento do sistema de IA Grok, com o resultado de que os usuários puderam se opor a esse uso. Concluiu também uma investigação sobre a videovigilância inteligente nos caixas de um varejista suíço. O Encarregado resumiu a posição afirmando que a IA generativa, enquanto tal, não está sujeita ao direito de proteção de dados, mas passa a estar assim que trata dados pessoais.²

O regime sancionatório da LPD difere do Regulamento Geral sobre a Proteção de Dados europeu. Ele prevê multas penais de até CHF 250.000 contra pessoas físicas que violem dolosamente determinados deveres, entre eles os deveres de informação e de acesso, os deveres de diligência na contratação de operadores e as regras sobre a comunicação transfronteiriça de dados. As multas não são aplicadas às empresas. Várias infrações só são processadas mediante queixa, que deve ser apresentada no prazo de três meses.³ Para os responsáveis de compliance e os gestores das instituições de Zurique que decidem sobre a introdução de ferramentas de IA, o caráter pessoal dessa responsabilidade é um incentivo para documentar suas decisões com cuidado.

A terceirização nos termos da Circular FINMA 2018/3

Quando um banco ou uma seguradora utiliza um modelo de IA externo ou executa cargas de trabalho de IA em uma plataforma de nuvem, podem aplicar-se as regras da Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA) sobre terceirização. A Circular FINMA 2018/3 “Outsourcing – banks and insurers” foi publicada em dezembro de 2017 e entrou em vigor em 1º de abril de 2018. Substituiu regras que datavam de 1999 e foi concebida para ser baseada em princípios e tecnologicamente neutra. A circular exige que as instituições levem devidamente em conta os riscos mais elevados da terceirização para o exterior. Exige também que assegurem que a instituição possa ser reestruturada ou liquidada na Suíça, o que, na prática, significa que os dados essenciais devem permanecer acessíveis a partir da Suíça a todo momento.⁴

A circular aplica-se quando um prestador de serviços exerce, de forma independente e contínua, uma função significativa da instituição. O armazenamento de dados, a operação de bancos de dados e a operação de sistemas de TI podem enquadrar-se nessa hipótese, o que abrange a maioria dos serviços de IA baseados em nuvem. O contrato deve conferir à instituição, à sua firma de auditoria e à FINMA direitos irrestritos de inspecionar e auditar todas as informações relevantes a qualquer momento. Quando dados de clientes forem transferidos para um país sem proteção de dados adequada, são exigidas salvaguardas como cláusulas contratuais reconhecidas.⁵ No contexto da IA, o inventário exigido pelas Orientações 08/2024 e o inventário de terceirizações se sobrepõem. Muitas instituições os combinaram, de modo que cada modelo externo é avaliado tanto como sistema de IA quanto como possível arranjo de terceirização.

O sigilo bancário e a nuvem

A restrição mais especificamente suíça é o sigilo bancário. O art. 47 da Lei Federal sobre os Bancos e as Caixas Econômicas (BankA) tipifica como crime a revelação, por funcionários e mandatários de bancos, de informações que lhes tenham sido confiadas em razão de sua atividade profissional. Desde a entrada em vigor da Lei Federal sobre as Instituições Financeiras (FinIA), em 2020, um dever de sigilo profissional comparável aplica-se a outras instituições financeiras, como gestores de carteiras e sociedades gestoras de fundos, nos termos do art. 69 dessa lei.⁶ Um fornecedor de nuvem ou de IA que tenha acesso a dados de identificação de clientes não criptografados levanta, portanto, uma questão de direito penal. A Associação Suíça de Banqueiros tratou do tema em suas Cloud Guidelines, cuja terceira edição foi publicada em novembro de 2025. As Guidelines consideram o armazenamento de dados no exterior compatível com o sigilo bancário se a instituição adotar medidas técnicas, organizacionais e contratuais adequadas, entre elas criptografia forte e o dever contratual do fornecedor de notificar o banco sobre solicitações de autoridades estrangeiras. A terceira edição leva em conta a Circular FINMA 2023/1, com sua nova categoria de dados críticos, a LPD revisada e a Lei sobre a Segurança da Informação.⁷

Outra restrição decorre do art. 271 do Código Penal suíço (CP/SCC), que proíbe a prática, sem autorização, de atos por conta de um Estado estrangeiro em território suíço. Um fornecedor de nuvem que entregue a uma autoridade estrangeira dados armazenados para um banco suíço fora dos canais da cooperação internacional pode expor a si próprio e, conforme as circunstâncias, o banco a responsabilidade penal.⁸ O CLOUD Act norte-americano de 2018, que permite às autoridades dos Estados Unidos (EUA) exigir dados mantidos por fornecedores norte-americanos independentemente do local onde estejam armazenados, é o principal cenário discutido nesse contexto. Os investimentos da Microsoft, do Google e da AWS em data centers suíços reduzem o problema da localização dos dados, embora não o eliminem, pois as empresas-mãe continuam sujeitas ao direito norte-americano. Para as aplicações de IA que tratam dados de clientes, esse risco jurídico é uma das razões pelas quais as instituições de Zurique demonstram interesse por modelos abertos como o Apertus, que podem ser executados em infraestrutura própria (on premises) ou com fornecedores suíços.

Notas

1. EFPD, “Update – Current data protection legislation is directly applicable to AI”, 8 de maio de 2025, https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai. ↩
2. EFPD, “Data Protection Day 2026: Uses of generative AI and data protection issues”, 28 de janeiro de 2026, https://www.edoeb.admin.ch/en/data-protection-day-2026. ↩
3. Pestalozzi, “The revised Federal Data Protection Act – sanctions increase as of 1 September 2023”, https://pestalozzilaw.com/en/insights/news/legal-insights/the-revised-federal-data-protection-act-sanctions-increase-as-of-1-september-2023/ (acesso em setembro de 2026). ↩
4. FINMA, “FINMA veröffentlicht Outsourcing-Rundschreiben”, 5 de dezembro de 2017, https://www.finma.ch/de/news/2017/12/20171205-mm-rs-outsourcing/. ↩
5. Baker McKenzie, “Cloud Compliance Center – Switzerland”, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland (acesso em setembro de 2026). ↩
6. Lei Federal sobre os Bancos e as Caixas Econômicas (BankA, SR 952.0), art. 47, edição bilíngue, https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html; Lei Federal sobre as Instituições Financeiras (FinIA, SR 954.1), art. 69 (“Verletzung des Berufsgeheimnisses”), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html. Ambas as disposições são citadas também nas SBA Cloud Guidelines discutidas na nota seguinte. ↩
7. Lenz & Staehelin, “Third edition of the SBA Cloud Guidelines”, novembro de 2025, https://www.lenzstaehelin.com/news-and-insights/browse-thought-leadership-insights/insights-detail/third-edition-of-the-sba-cloud-guidelines/. ↩
8. Baker McKenzie, “Cloud Compliance Center – Switzerland”, seção sobre o sigilo bancário e o art. 271 CP, https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/emea/switzerland (acesso em setembro de 2026). ↩

Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.