인공지능 시대의 정보보호와 은행 비밀유지

개정 「연방 데이터보호법」

2020년 9월 25일 「연방 데이터보호법」(FADP)은 2023년 9월 1일 시행되어 1992년 법률을 대체하였다.¹ 이 개정으로 스위스 법은 유럽연합(EU)의 「일반개인정보보호규정」(GDPR) 및 현대화된 「유럽평의회 협약 제108호」와 정합성을 갖추게 되었다. 다만 이 법은 몇 가지 스위스 고유의 특성을 유지하였다. 즉 이 법은 자연인만을 보호하고, 기업에 대한 행정 과징금보다는 개인에 대한 형사 제재에 더 의존하며, 많은 의무를 GDPR보다 더 일반적인 용어로 규정한다.² FADP는 기술 중립적이다. 인공지능에 관한 별도의 장은 없으나, 여러 규정이 자동화된 처리에 직접 적용되며 그러한 처리를 염두에 두고 작성되었다.

연방 데이터보호·정보 위원(FDPIC)은 2023년 11월 9일 성명에서 이 점을 명확히 하였다. 2023년 9월 1일부터 시행 중인 FADP는 “AI 기반 데이터 처리에 직접 적용되며”, “이미 시행 중인 데이터 보호 규정을 준수해야 한다”. 인공지능 시스템의 제조자, 제공자 및 이용자는 처리의 목적, 작동 방식 및 데이터 출처를 투명하게 해야 한다. 정보주체는 자신이 기계와 대화하거나 서신을 주고받는지, 그리고 자신의 데이터가 어떻게 사용되는지 알 권리가 있다. 정보주체는 자동화된 처리에 이의를 제기할 수 있고, 자동화된 개별 결정을 자연인이 검토하도록 요청할 수 있다. 고위험 처리에는 데이터 보호 영향평가가 필요하며, 위원은 공공장소에서의 실시간 얼굴 인식이나 포괄적인 “사회적 점수화”와 같은 애플리케이션은 이 법과 양립할 수 없다고 보았다.³

금융기관에 중요한 규정

루가노의 은행이나 자산운용사가 인공지능을 사용할 때 가장 관련성이 높은 FADP 규정은 다음과 같다.

● 설계 및 기본설정에 의한 개인정보 보호(「연방 데이터보호법」 제7조(FADP)): 관리자는 계획 단계부터 데이터 보호 원칙이 준수되도록 처리를 설계해야 한다.

● 수탁처리자에 의한 처리(「연방 데이터보호법」 제9조(FADP)): 처리는 수탁처리자가 관리자 자신이 할 수 있는 방식으로만 데이터를 처리하고, 법률상 또는 계약상 비밀유지 의무가 위탁을 금지하지 않는 경우에 한하여 계약으로 위탁할 수 있다.

● 국외 제공(「연방 데이터보호법」 제16조 및 제17조(FADP)): 개인정보는 연방평의회가 해당 국가가 적정한 보호를 제공한다고 결정한 경우, 또는 표준계약조항과 같은 적절한 보호조치가 존재하는 경우 국외로 제공될 수 있다.

● 정보제공 의무(「연방 데이터보호법」 제19조(FADP)) 및 자동화된 개별 결정에 관한 정보제공 의무(「연방 데이터보호법」 제21조(FADP)): 오로지 자동화된 처리에 기초한 결정이 법적 효과를 발생시키거나 정보주체에게 중대한 영향을 미치는 경우, 정보주체에게 이를 알려야 하며 정보주체는 자연인에 의한 검토를 요청할 수 있다.

● 정보주체의 인격 또는 기본권에 높은 위험을 초래할 가능성이 있는 처리에 대한 데이터 보호 영향평가(「연방 데이터보호법」 제22조(FADP)). ● FDPIC에 대한 데이터 보안 침해 통지(「연방 데이터보호법」 제24조(FADP)).⁴ 제21조는 특별한 주의를 요한다. 고객 수용, 대출 승인 또는 지급 차단 여부에 관한 결정은 사람이 실질적인 평가를 하지 않는 경우 자동화된 개별 결정이 될 수 있다. 대부분의 스위스 기관은 사람이 검토하고 최종 결정을 내리도록 함으로써 이 문제를 피하며, 이는 FINMA가 컴플라이언스 결정에 대하여 기대하는 바이기도 하다. 기관이 예컨대 소비자 대출이나 카드 한도에서 완전 자동화된 신용 결정을 사용하는 경우, 고객에게 이를 알리고 사람에 의한 검토를 제공해야 한다.⁵

FADP의 제재는 개인을 대상으로 한다. 국외 제공 및 수탁처리자에 관한 규칙을 포함하여 일정한 정보제공, 협력 또는 주의 의무를 고의로 위반한 사인은 고소에 따라 최대 25만 스위스 프랑의 벌금에 처해질 수 있다(「연방 데이터보호법」 제60조부터 제61조까지(FADP)). 「연방 데이터보호법」 제64조(FADP)에 따르면, 책임자를 특정하는 데 과도한 수사 노력이 필요한 경우 개인을 대신하여 기업에 최대 5만 스위스 프랑의 벌금을 부과할 수 있다.⁶ 컴플라이언스 담당자, IT 관리자 및 경영진 구성원이 개인적으로 노출되는 위험은 스위스 기관이 인공지능 프로젝트에서 데이터 보호에 신중하게 접근하는 이유 가운데 하나이다.

주석

1. 2020년 9월 25일 「연방 데이터보호법」(「데이터보호법」, FADP), SR 235.1, 2023년 9월 1일 시행, 영문 조문은 https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/en/html/ fedlex-data-admin-ch-eli-cc-2022-491-20230901-en-html-1.html. 시행 사실은 아래에서 인용하는 연방 데이터보호·정보 위원(FDPIC) 성명으로도 확인된다. ↩
2. FADP(위의 자료), 제2조 제1항(이 법은 “the processing of personal data of natural persons”에 적용된다) 및 제60조–제66조(형사 규정, 사인에 대한 벌금, 제64조에 따라 기업에는 보충적으로만 부과). ↩
3. 연방 데이터보호·정보 위원(FDPIC), “Current data protection legislation is directly applicable to AI”(2023년 11월 9일), https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/2023/20231109_ki_dsg.html. ↩
4. FADP(위의 자료), 제7조(설계 및 기본설정에 의한 데이터 보호), 제9조(수탁처리자에 의한 처리), 제16조(국외 제공의 원칙), 제17조(예외), 제19조(정보제공 의무), 제21조(자동화된 개별 결정), 제22조(데이터 보호 영향평가) 및 제24조(데이터 보안 침해 통지). ↩
5. FADP 제21조 제1항(“a legal consequence for or a considerable adverse effect on the data subject”를 수반하는 “based exclusively on automated processing” 결정에 관한 정보제공 의무) 및 제2항(정보주체는 “request that the automated individual decision be reviewed by a natural person”할 수 있다); FINMA의 기대 사항에 관하여는 「감독 안내 08/2024」(위의 자료) 참조. ↩
6. FADP 제60조 및 제61조(사인에 대한 최대 25만 스위스 프랑의 벌금) 및 제64조(책임자 특정에 과도한 조치가 필요한 경우 기업에 최대 5만 스위스 프랑의 벌금 납부를 명할 수 있다); 기소는 주(칸톤)가 담당하며, FDPIC는 고소권을 가진다(제65조). ↩

일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.