Od 13 stycznia 2018 roku obowiązują przepisy tzw. ustawy STIR – ustawy z dnia 24 listopada 2017 roku o zmianie niektórych ustaw w celu przeciwdziałania wykorzystywaniu sektora finansowego do wyłudzeń skarbowych. Umożliwia ona Krajowej Administracji Skarbowej (KAS) dostęp do danych o transakcjach dokonywanych za pośrednictwem banków i SKOK-ów w celu identyfikacji potencjalnych przestępstw lub wykroczeń skarbowych. W dniu 22 sierpnia 2018 roku zaczęła obowiązywać przeważająca część pierwszej nowelizacji tych przepisów. Poniżej omawiamy najważniejsze zmiany.

Rozszerzenie przypadków zastosowania STIR

STIR to system teleinformatyczny izby rozliczeniowej umożliwiający wymianę informacji między KAS a sektorem bankowym. Analizuje operacje na rachunkach podmiotów kwalifikowanych (rachunkach bankowych i SKOK, innych niż rachunki osób fizycznych wykorzystywane do celów prywatnych) w oparciu o objęte tajemnicą algorytmy, które ustalają wskaźnik ryzyka wykorzystywania rachunków do wyłudzeń skarbowych.

Nowelizacja wprowadza możliwość użycia STIR do innych celów niż tylko ustalanie i przekazywanie informacji o wskaźniku ryzyka wyłudzeń, jeśli cele te zostaną określone ustawą. Jako przykład takiego zastosowania wskazano możliwość przekazywania za pomocą STIR do banków lub SKOK-ów, informacji o wydaniu przez naczelnika US zgody na przekazanie środków z rachunku VAT podatnika na rachunek ROR połączony z tym rachunkiem VAT.

Zwiększenie możliwości STIR

Oprócz nowych zastosowań rozszerzono możliwości samego STIR, nakładając na banki i SKOK-i obowiązek przesyłania do systemu dodatkowych danych od 1 lipca 2019 roku:

• rodzaj rachunku podmiotu kwalifikowanego (ROR, rachunek VAT)
• numer rachunku lokaty terminowej
• data zakończenia okresu na jaki zawarta została lokata terminowa
• adres IP, z którego następowały logowania do rachunku ze wskazaniem identyfikatora osoby, która dokonała logowania, daty i godziny logowania,
• adres IP, z którego złożone zostały dyspozycje operacji na rachunku ze wskazaniem identyfikatora osoby składającej takie dyspozycje, daty i godziny dyspozycji
• informacja o blokadach środków na rachunku wraz ze szczegółowymi danymi dotyczącymi blokad,
• informacje o zajęciach wierzytelności z rachunku podmiotu kwalifikowanego zawierające m.in. kwotę należności pieniężnej, na poczet której dokonano zajęcia,

Zdaniem ustawodawcy zwiększenie zakresu danych ma prowadzić do wzrostu skuteczności analizy ryzyka. Jednakże takie stanowisko może budzić wątpliwości w kontekście przepisów RODO – Ogólnego rozporządzenia o ochronie danych PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. RODO zakłada bowiem zasadę minimalizacji danych, polegającą na ograniczeniu przetwarzania wyłącznie do tego co adekwatne i niezbędne dla celów przetwarzania. Ustawodawca nie wyjaśnił jednak dlaczego przetwarzanie danych o adresach IP, czy też osobach powiązanych z operacjami na tych adresach IP, jest adekwatne i niezbędne dla funkcjonowania STIR i w jaki sposób przełoży się na skuteczność analizy ryzyka.

Wprost wskazano także, że STIR może sięgać do danych dostępnych publicznie, aby w połączeniu z danymi uzyskiwanymi z sektora bankowego, używać ich do ustalania wskaźniku ryzyka.

Na chwilę obecną Krajowa Izba Rozliczeniowa prowadząca STIR, podaje, że w ramach zbioru danych osobowych STIR przetwarza: imię i nazwisko, PESEL, NIP, adres prowadzonej działalności gospodarczej i siedziby, adres korespondencyjny, numer telefonu, adres poczty elektronicznej, numer rachunku bankowego.

Zwiększenie zakresu tych danych w połączeniu z ich zautomatyzowanym przetwarzaniem daje potężne narzędzie nie tylko do analizy, ale i potencjalnego profilowania podmiotów kwalifikowanych.

Zmiana definicji rachunku podmiotu kwalifikowanego

Podobnych kontrowersji nie wzbudza objęcie systemem rachunków lokat terminowych, które będąc poza możliwościami analizy przez system STIR mogły być wykorzystywane do transferu środków przez przestępców skarbowych na inne rachunki rozliczeniowe. Ze względów technicznych zmiana w tym zakresie obowiązywać będzie od dnia 1 lipca 2019 roku.

W oparciu o nowelizację, STIR przetwarza już informacje o rachunkach VAT funkcjonujących od 1 lipca 2018 roku na gruncie podatku VAT w ramach mechanizmu podzielonej płatności (tzw. Split Payment).

Blokada

Z punktu widzenia podatników, największe kontrowersje w ustawie STIR budziła możliwość wydania przez Szefa KAS postanowienia o blokadzie rachunku przedsiębiorcy na okres nie dłuższy niż 72 godziny, jeżeli posiadane informacje, w szczególności wyniki analizy ryzyka, wskazywały na to, że rachunek może być wykorzystywany do celów przestępczych. Blokada mogła zostać przedłużona na okres nie dłuższy niż 3 miesiące, przy czym podatnik miał możliwość złożenia skargi na blokadę do wojewódzkiego sądu administracyjnego.

Nowelizacja ustawy o STIR usuwa możliwość zaskarżenia blokady ustanowionej na okres dłuższy niż 72 godziny, co jest rozwiązaniem powszechnie krytykowanym ze względu na dotkliwość tego środka i istotną ingerencję w prawa i wolności, która powinna być przedmiotem kontroli odwoławczej.

Ustawodawca wprowadza jedynie możliwość złożenia zażalenia na postanowienie o przedłużeniu blokady na okres dłuższy niż 72 godziny, ale krótszy niż 3 miesiące. Zażalenie rozpatruje Szef KAS niezwłocznie, ale nie później niż w terminie 7 dni od dnia jego otrzymania, dopiero w przypadku negatywnej decyzji Szefa KAS, otwiera się możliwość odwołania do sądu administracyjnego.

Podsumowanie

Zmiany w systemie STIR wpisują się w trend intensywnego rozwoju narzędzi informatycznych przez organy podatkowe. Obawę mogą budzić coraz szersze możliwości systemu, który niepostrzeżenie wkracza coraz bardziej w sferę prywatności podatników.

Autorem artykułu jest Piotr Świstak, adwokat w GWW.