은행 비밀유지와 직업상 비밀유지

은행의 경우 「연방 데이터보호법」(FADP) 위에 은행 비밀유지가 중첩된다. 「은행법」(BankA) 제47조는 은행의 기관, 직원, 대리인 및 감사인이 그 자격으로 위탁받은 비밀을 누설하는 행위를 형사범죄로 규정한다.¹ 이 보호는 IT 시스템에서 처리되는 고객 데이터에도 미치며, 따라서 은행이 자체 시스템이든 제공자의 시스템이든 인공지능 시스템에 입력하는 데이터에도 미친다. 서비스 제공자가 비밀유지 의무를 지고 아웃소싱의 틀 안에서 은행의 보조자로 행위하는 경우, 그 제공자에 대한 공개는 범죄가 아니다. 반면 외국 당국에 의해 직원이 데이터 제출을 강제당할 수 있는 국외 제공자에 대한 공개는 문제를 제기하며, 은행들은 암호화, 가명처리 및 암호키의 스위스 내 보관과 같은 계약적·기술적 조치를 통해 이에 대응해 왔다. 스위스 은행가협회의 클라우드 서비스 이용에 관한 지침은 업계의 접근 방식을 제시한다.² 자산관리인, 수탁자 및 수탁회사는 「금융기관법」의 직업상 비밀유지 규정(「금융기관법」 제69조(FinIA))의 적용을 받으며, 티치노의 변호사와 수탁회사는 각자의 직업상 비밀유지 의무를 진다.³

생성형 인공지능은 이 문제에 새로운 실무적 긴급성을 부여한다. 고객 서신을 공개 챗봇에 복사하는 직원은 고객의 데이터를 챗봇 제공자에게 공개하는 것이며, 제공자는 이를 국외 서버에 저장하고 자사 모델의 학습에 사용할 수 있다. 이에 따라 많은 루가노 기관은 고객 데이터에 대한 공개 챗봇 사용을 금지하고, 계약상 보장이 있는 기업용 버전 또는 자체 인프라나 스위스 플랫폼에서 구동되는 모델을 도입하였다. 앞서 설명한 Swiss AI Initiative의 Apertus 공개와 스위스 통신사업자를 통한 그 제공은 이러한 수요에 직접 부응하는 것이다.⁴

이탈리아 고객과 GDPR

루가노 은행과 자산운용사의 고객 대부분은 이탈리아에 거주한다. EU의 「일반개인정보보호규정」(GDPR)은 EU 역외의 관리자가 EU 내 정보주체에게 재화나 서비스를 제공하거나 그 행동을 모니터링하는 것과 관련하여 그들의 개인정보를 처리하는 경우 그 관리자에게 적용된다(「일반개인정보보호규정」 제3조 제2항(GDPR)).⁵ 루가노 은행이 이러한 의미에서 이탈리아 거주자에게 서비스를 “제공”하는지는 사실관계에 따라 달라지며, 이 분석은 제E.IV장에서 다루는 국경 간 금융서비스의 문제와 겹친다. 이탈리아에서 서비스를 적극적으로 마케팅하는 은행은 이들 고객에 대하여 GDPR의 적용을 받을 가능성이 높으며, EU 내 대리인을 서면으로 지정해야 할 수 있다(「일반개인정보보호규정」 제27조 제1항(GDPR)). 이 의무는 처리가 일시적이고, 특수한 범주의 데이터나 형사 유죄판결에 관한 데이터의 대규모 처리를 포함하지 않으며, 정보주체에게 위험을 초래할 가능성이 낮은 경우에만 면제된다(「일반개인정보보호규정」 제27조 제2항(GDPR)). 정기적인 이탈리아 고객층을 가진 은행이 이 예외를 원용할 수 있는 경우는 드물 것이다. 이탈리아 고객에게 오로지 고객 자신의 주도로 스위스에서만 서비스를 제공하는 은행은 적용 범위 밖에 있다는 더 나은 논거를 가진다. 어느 경우이든 유럽연합 집행위원회는 스위스가 적정한 수준의 보호를 제공한다고 인정하였다. 이 판단은 2000년 7월 26일 「결정 2000/518/EC」에서 처음 내려졌고 2024년 1월 15일 집행위원회의 검토에서 확인되었으므로, 데이터는 추가적인 보호조치 없이 이탈리아에서 스위스로 이전될 수 있다.⁶

이탈리아 데이터 보호 당국인 Garante per la protezione dei dati personali(이하 “Garante”)는 인공지능 분야에서 가장 적극적인 유럽 당국 가운데 하나였다. Garante는 2023년 3월 30일 긴급 결정으로 ChatGPT의 이탈리아 이용자 데이터 처리를 일시적으로 제한하였다. 2024년 12월 조사를 종결하면서 Garante는 GDPR 위반을 이유로 제공자에게 1,500만 유로의 과징금을 부과하였다. 위반 사항에는 적절한 법적 근거 없는 학습용 데이터 처리, 투명성 결여, 2023년 3월 데이터 침해의 미통지 및 연령 확인 부재가 포함되었다. 또한 Garante는 OpenAI에 이탈리아 언론에서 6개월간 정보 캠페인을 실시하도록 명령하였다.⁷ 이탈리아 고객을 둔 루가노 기관에게 Garante의 실무는 이탈리아 거주자의 데이터에 대한 인공지능 사용이 이탈리아 및 유럽의 기준에 따라 심사될 수 있음을 상기시킨다. 이들 기준은 여러 측면에서 스위스의 기준보다 엄격하다.

핵심 사항. 2023년 9월 1일부터 시행 중인 개정 FADP는 인공지능에 직접 적용된다. 금융기관에 대한 핵심 규정은 설계에 의한 개인정보 보호(제7조), 수탁처리자(제9조), 국외 제공(제16조–제17조), 자동화된 개별 결정(제21조), 영향평가(제22조) 및 침해 통지(제24조)이다. 「은행법」 제47조(BankA)에 따른 은행 비밀유지와 「금융기관법」 제69조(FinIA)에 따른 직업상 비밀유지는 고객 데이터에 대한 형사적 보호를 더한다. 이탈리아 고객에 대하여는 GDPR 제3조 제2항에 따라 GDPR이 적용될 수 있으며, 이탈리아 Garante는 인공지능 분야에서 이를 적극적으로 집행하고 있다.

주석

1. 「은행법」(위의 자료), 제47조 제1항(그 자격으로 위탁받은 비밀을 누설한 기관, 직원, 대리인, 청산인 및 감사법인 직원; 3년 이하의 자유형 또는 벌금형), https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html. ↩
2. 스위스 은행가협회, Cloud Guidelines(초판 2019년 3월, 이후 개정). ↩
3. 「금융기관법」(위의 자료), 제69조(“Verletzung des Berufsgeheimnisses”: 3년 이하의 자유형 또는 벌금형), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html; 티치노의 수탁회사에 관하여는 제E.III장 참조. ↩
4. EPFL AI Center(2025년 9월 2일, 위의 자료)(Swisscom이 전략적 파트너; 스위스 주권형 AI 플랫폼). ↩
5. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (General Data Protection Regulation), OJ L 119, 4.5.2016, p. 1, https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng; 제3조 제2항 및 제27조 제1항–제2항의 조문은 https://gdpr-info.eu/art-3-gdpr/ 및 https://gdpr-info.eu/art-27-gdpr/에서 확인. ↩
6. European Commission, Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC, COM(2024) 7 final, Brussels, 2024년 1월 15일, https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52024DC0007(“Switzerland continues to provide an adequate level of protection for personal data transferred from the EU”); Commission Decision 2000/518/EC of 26 July 2000 pursuant to Directive 95/46/EC on the adequate protection of personal data provided in Switzerland, C(2000) 2304, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32000D0518. ↩
7. Garante per la protezione dei dati personali, 2023년 3월 30일 Provvedimento n. 112(OpenAI L.L.C.에 대한 처리의 긴급 일시 제한), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870832; Garante, 보도자료 “ChatGPT, il Garante privacy chiude l'istruttoria”(2024년 12월 20일), 2024년 11월 2일 Provvedimento n. 755에 관한 것(1,500만 유로의 과징금, 6개월간의 정보 캠페인, 계속 중인 절차의 주관 당국인 아일랜드 당국으로의 이송), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432. ↩

일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.