RODO a wezwanie urzędu skarbowego do przedłożenia dokumentów – granice obowiązku i ochrona danych osobowych w praktyce podatnika

W praktyce pojawia się wiele wątpliwości dotyczących tego, czy przekazanie dokumentów zawierających dane osobowe organowi podatkowemu na jego wezwanie pozostaje zgodne z przepisami RODO. Wątpliwości dotyczą zwłaszcza sytuacji, gdy urząd żąda umów, faktur, zestawień lub korespondencji zawierających dane kontrahentów, pracowników czy członków zarządu.

Podstawa prawna przetwarzania danych osobowych przez organy podatkowe

Zgodnie z art. 45 ustawy z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej (ustawa o KAS) organy KAS, w tym urzędy skarbowe, mają prawo żądać udostępnienia dokumentów zawierających dane osobowe w celu realizacji ustawowych zadań oraz przetwarzać te informacje, w tym dane osobowe. Podmioty zobowiązane do udostępnienia tych dokumentów mogą zostać ukarane w przypadku odmowy.

Przekazanie danych osobowych w ramach prawidłowego wezwania organu nie narusza RODO. Przetwarzanie danych odbywa się wówczas w oparciu o:

• art. 6 ust. 1 lit. c RODO – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych,
• art. 6 ust. 1 lit. e RODO – przetwarzanie służy wykonaniu zadania realizowanego w interesie publicznym.

W praktyce oznacza to, że przekazanie dokumentów na formalne wezwanie organu podatkowego jest legalne, gdy jest związane z ustawowym obowiązkiem podatnika. RODO nie ogranicza uprawnień organów wynikających z prawa krajowego, w tym Ordynacji podatkowej.

Zakres żądania danych a zasada minimalizacji

Legalność przekazania danych nie oznacza dowolności w żądaniu informacji. Zgodnie z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO), urząd powinien żądać wyłącznie informacji niezbędnych do realizacji konkretnego celu postępowania.

Jeżeli wezwanie obejmuje dane wykraczające poza przedmiot postępowania, podatnik ma prawo domagać się doprecyzowania podstawy prawnej oraz celu przetwarzania. Obowiązek współdziałania z organem nie eliminuje prawa podatnika do ochrony danych osób trzecich.

Obowiązek informacyjny i transparentność

Organy podatkowe jako administratorzy danych, są zobowiązane do realizacji obowiązku informacyjnego wynikającego z RODO. W praktyce oznacza to, że w pismach kierowanych do podatników powinny znaleźć się informacje o:

• administratorze danych,
• podstawie prawnej i celu przetwarzania,
• prawach osób, których dane dotyczą.

Jednocześnie zgodnie z art. 14 ust. 5 lit. c RODO obowiązek informacyjny wobec osób, których dane dotyczą, nie ma zastosowania, jeśli przetwarzanie jest wyraźnie przewidziane prawem Unii lub państwa członkowskiego i obejmuje środki chroniące interesy osób, których dane dotyczą.

Dane osób trzecich w dokumentach

Szczególną uwagę należy zwrócić na dane osób trzecich – kontrahentów, pracowników czy członków zarządu – zawarte w dokumentach. Przekazanie ich organowi podatkowemu jest zgodne z prawem, jeżeli dokumenty są istotne dla postępowania i podstawą przetwarzania jest obowiązek prawny.

Nie jest konieczne uzyskiwanie dodatkowej zgody osób trzecich, jednak administrator powinien ograniczyć przekazywane dane do tych, które są adekwatne i niezbędne do realizacji celu postępowania.

Podsumowanie

• Przekazanie dokumentów z danymi osobowymi na wezwanie urzędu skarbowego jest zgodne z RODO, jeśli wynika z obowiązku prawnego.
• Podstawę prawną stanowią przepisy szczególne, w tym ustawa o KAS.
• Nie jest wymagana zgoda osób, których dane dotyczą, ani realizacja obowiązku informacyjnego wobec nich (art. 14 ust. 1-4 RODO).
• Naruszenie RODO może wystąpić wyłącznie w przypadku braku podstawy prawnej, przekroczenia zakresu danych lub naruszenia zasady minimalizacji i celowości przetwarzania.

RODO nie stanowi ochrony przed obowiązkami publicznoprawnymi, lecz zapewnia, że realizacja tych obowiązków odbywa się z poszanowaniem zasad legalności, proporcjonalności i przejrzystości. Przedsiębiorcy powinni świadomie łączyć obowiązki podatkowe z obowiązkami w zakresie ochrony danych osobowych, ograniczając przekazywane informacje do niezbędnego minimum i dokumentując celowość przetwarzania.

Autorki: 

radca prawny Ewa Lejman

asystentka prawna Julia Sośniak