銀行保密法

《銀行保密法》（Bank Secrecy Act, BSA）是美國於1970年頒布的聯邦法律，旨在防止金融機構被用於洗錢、資助恐怖主義及其他非法活動。其核心要求金融機構（包括銀行、證券經紀商等）履行兩大義務：記錄保存與交易報告。機構必須保存五年以上可供追溯的交易紀錄，並向金融犯罪執法局（FinCEN）提交特定報告，如超過一萬美元的現金交易報告（Currency Transaction Reports, CTRs）和可疑活動報告（Suspicious Activity Reports, SARs）。在風險管理體系中，BSA是反洗錢（AML）與打擊資助恐怖主義（CFT）合規計畫的基石。它與《歐盟一般資料保護規則》（GDPR）第17條「被遺忘權」產生直接衝突，因為BSA強制「保留」資料，而GDPR賦予用戶「刪除」資料的權利，使跨國金融機構面臨兩難的法律遵循困境。

企業應用BSA主要透過建立全面的反洗錢（AML）合規計畫來實現，具體步驟如下： 1. **建立內部控制與治理**：任命一名具備權責的BSA合規長，制定並由董事會批准書面AML政策與程序，明確定義客戶盡職調查（CDD）、交易監控與報告流程。 2. **實施客戶盡職調查（CDD）**：依據風險基礎方法，在建立業務關係時及持續期間，驗證客戶身份、了解交易性質與目的，並對高風險客戶進行強化盡職調查（EDD）。此舉措需符合美國《愛國者法案》第326條要求。 3. **部署交易監控與報告系統**：導入自動化系統以監控交易活動，識別並標記異常模式。確保能準確且及時地向FinCEN提交現金交易報告（CTR）與可疑活動報告（SAR）。 以一家在美國設有分行的台灣銀行為例，該行必須對其歐盟客戶的交易紀錄保留至少五年，即使客戶依據GDPR要求刪除。透過明確記錄此法律義務（GDPR第6條合法處理基礎），該行可將合規率提升至99%以上，避免因違規而導致數百萬美元的罰款。

台灣企業導入BSA時面臨三大挑戰： 1. **法規衝突與管轄權困境**：BSA的強制資料保留要求與歐盟GDPR的被遺忘權（Right to Erasure）直接衝突。當台灣金融機構的美國分公司處理歐盟公民資料時，將陷入兩難。對策是進行「資料保護影響評估」（DPIA），明確界定資料處理的法律基礎，並在隱私政策中詳細說明基於美國法律的資料保留義務，以此作為無法完全執行刪除權的法律依據。 2. **技術整合與資料管理成本高昂**：建構能同時滿足BSA交易監控與GDPR個資保護要求的資訊系統，技術複雜且所費不貲。解決方案是採用整合性的監管科技（RegTech）平台，自動化交易監控、SAR申報與資料生命週期管理，並設定基於管轄權的資料存取與保留規則。 3. **跨國合規人才稀缺**：市場上極度缺乏同時精通美國BSA、台灣洗錢防制法及歐盟GDPR的專業人才。企業應優先成立跨職能專案小組（包含法務、合規、IT），並尋求外部專家顧問，透過客製化培訓與制度建置，在6個月內縮短學習曲線，建立可持續運作的合規體系。