Więcej danych, większa odpowiedzialność – Global Forum o bezpieczeństwie informacji podatkowych

Zespół CASP

W dniu 6 października 2026 r. Global Forum on Transparency and Exchange of Information for Tax Purposes opublikowało nowe wytyczne „Safeguarding Tax Information – Practical Guidance for Tax Authorities on Confidentiality, Information Security Management and Cyber Security”. Dokument dotyczy jednego z coraz ważniejszych elementów międzynarodowej współpracy podatkowej – bezpieczeństwa ogromnych ilości informacji o podatnikach, które są obecnie gromadzone i automatycznie przekazywane pomiędzy administracjami podatkowymi.

Rozwój międzynarodowej przejrzystości podatkowej w ostatnich kilkunastu latach koncentrował się przede wszystkim na zwiększaniu dostępu administracji do informacji. Obok klasycznej wymiany informacji na żądanie powstały systemy automatycznej wymiany danych o rachunkach finansowych w ramach Common Reporting Standard, a kolejnym etapem jest Crypto-Asset Reporting Framework dotyczący transakcji z wykorzystaniem kryptoaktywów. Uzupełniają je inne mechanizmy raportowania i wymiany informacji dotyczących działalności transgranicznej.

Wraz ze wzrostem ilości gromadzonych danych zmienia się jednak charakter wyzwań stojących przed administracjami podatkowymi. Pytanie nie dotyczy już wyłącznie tego, jakie informacje powinny być raportowane i w jaki sposób mogą być przekazywane innym państwom. Coraz większego znaczenia nabiera zapewnienie, że szczegółowe informacje finansowe i podatkowe pozostaną odpowiednio chronione na każdym etapie ich przetwarzania.

Global Forum wskazuje, że współczesne administracje działają w otoczeniu obejmującym rosnącą liczbę cyberataków, zagrożenia wewnętrzne, rozwój usług cyfrowych oraz coraz większe zbiory wrażliwych danych podatników. Nowe wytyczne mają pomóc administracjom w tworzeniu i rozwijaniu systemów zarządzania bezpieczeństwem informacji, które odpowiadają na te zagrożenia i jednocześnie umożliwiają bezpieczne uczestniczenie w międzynarodowej wymianie informacji.

Ochrona danych nie jest przy tym jedynie elementem dobrej praktyki administracyjnej. Stanowi część międzynarodowych standardów przejrzystości podatkowej nadzorowanych przez Global Forum. Państwo uczestniczące w automatycznej wymianie informacji musi posiadać odpowiednie ramy prawne oraz procedury zapewniające poufność, właściwe wykorzystywanie i bezpieczeństwo przekazywanych danych. Zasady te obejmują zarówno techniczne zabezpieczenia systemów informatycznych, jak i rozwiązania organizacyjne dotyczące dostępu do danych, zarządzania personelem, dostawców zewnętrznych czy reagowania na incydenty.

W odniesieniu do automatycznej wymiany informacji Global Forum stosuje odrębny system oceny Confidentiality and Data Safeguards. Jurysdykcja przystępująca do takiej wymiany podlega ocenie jeszcze przed rozpoczęciem przekazywania danych, a następnie również po rozpoczęciu działania systemu. W związku z szybko zmieniającym się otoczeniem technologicznym i cyberbezpieczeństwa wprowadzono także kolejne rundy oceny istniejących zabezpieczeń.

Od 2026 r. funkcjonuje ponadto coroczny proces monitorowania, który ma zapewnić, że administracje nie tylko spełniają wymagania w momencie przystępowania do systemu, lecz utrzymują odpowiedni poziom bezpieczeństwa także później. Jeżeli zostaną zidentyfikowane poważne nieprawidłowości, Global Forum może formułować rekomendacje i prowadzić dodatkową ocenę. W szczególnych przypadkach, gdy istnieje ryzyko dla poufności przekazywanych informacji, możliwość otrzymywania danych przez daną jurysdykcję może zostać czasowo zawieszona.

Pokazuje to interesującą cechę współczesnego systemu międzynarodowej wymiany informacji. Zaufanie pomiędzy państwami opiera się nie tylko na gotowości do przekazywania danych, lecz również na przekonaniu, że administracja otrzymująca informacje jest w stanie odpowiednio je chronić. Państwo o niewystarczającym poziomie bezpieczeństwa informacyjnego może więc mieć ograniczoną możliwość uczestniczenia w systemie automatycznej wymiany, nawet jeżeli posiada odpowiednią podstawę prawną do jej prowadzenia.

Nowe wytyczne obejmują cały cykl życia informacji. Bezpieczeństwo danych powinno być uwzględniane od momentu ich pozyskania, przez przechowywanie, przetwarzanie i wykorzystywanie, aż po usunięcie lub archiwizację. Global Forum zwraca przy tym uwagę zarówno na ryzyka techniczne, jak i organizacyjne. Naruszenie bezpieczeństwa może być skutkiem zaawansowanego cyberataku, ale również niewłaściwego nadania uprawnień pracownikowi, niewystarczającej kontroli nad dostawcą zewnętrznym czy braku odpowiednich procedur reagowania na incydenty.

Szczególnego znaczenia nabiera korzystanie z usług podmiotów zewnętrznych i rozwiązań chmurowych. Administracje podatkowe, podobnie jak inne instytucje publiczne, coraz częściej korzystają z infrastruktury i oprogramowania dostarczanego przez wyspecjalizowanych usługodawców. Pozwala to na zwiększenie efektywności i dostęp do zaawansowanych technologii, ale jednocześnie powoduje, że bezpieczeństwo informacji zależy również od podmiotów znajdujących się poza bezpośrednią strukturą administracji. Nowe podejście Global Forum obejmuje zatem zarządzanie bezpieczeństwem dostawcy na wszystkich etapach współpracy – od jego wyboru i weryfikacji, przez warunki umowne i dostęp do systemów, aż po monitorowanie i zakończenie współpracy.

Kolejnym nowym zagadnieniem jest sztuczna inteligencja. Nowe wytyczne zostały zaprezentowane podczas Information Security Management Days, które odbyły się 5–6 października 2026 r. i zgromadziły 465 specjalistów z administracji podatkowych reprezentujących 111 jurysdykcji. Jednym z głównych tematów spotkania było bezpieczne wykorzystywanie AI przez organy podatkowe. Global Forum przygotowało również odrębne wytyczne dotyczące bezpiecznego stosowania sztucznej inteligencji w administracji podatkowej.

AI może zwiększać możliwości analizy dużych zbiorów informacji, automatyzować procesy administracyjne oraz wspierać identyfikowanie ryzyk podatkowych. Jej wykorzystanie może jednak tworzyć nowe zagrożenia dla poufności informacji. Systemy oparte na AI mogą przetwarzać znaczne ilości danych, a korzystanie z zewnętrznych modeli lub infrastruktury może prowadzić do powstania dodatkowych punktów dostępu do informacji podatników. W efekcie bezpieczeństwo AI staje się częścią szerszego problemu zarządzania informacją podatkową, a nie wyłącznie zagadnieniem technologicznym.

Znaczenie nowych wytycznych będzie rosło wraz z dalszym rozszerzaniem automatycznej wymiany informacji. Szczególnym przykładem jest CARF, który ma objąć informacje dotyczące transakcji z wykorzystaniem kryptoaktywów. Wprowadzenie kolejnego standardu raportowania oznacza jednocześnie powstanie nowych kategorii danych, które będą gromadzone i przekazywane pomiędzy administracjami. Rozszerzanie transparentności podatkowej zwiększa więc także znaczenie infrastruktury służącej ochronie pozyskanych informacji.

Nowe wytyczne Global Forum pokazują tym samym kolejny etap rozwoju międzynarodowej współpracy podatkowej. Pierwszy etap koncentrował się na stworzeniu podstaw prawnych umożliwiających wymianę informacji. Kolejny przyniósł rozwój automatycznych systemów obejmujących coraz większą liczbę państw i kategorii danych. Obecnie jednym z kluczowych wyzwań staje się zapewnienie, że powstała infrastruktura jest odporna na zagrożenia technologiczne i organizacyjne.

W miarę postępu cyfryzacji granica pomiędzy polityką podatkową a bezpieczeństwem informacji staje się zatem coraz mniej wyraźna. Skuteczność międzynarodowej transparentności podatkowej zależy już nie tylko od zakresu danych, jakie państwa są gotowe sobie przekazywać, ale także od poziomu zaufania do sposobu, w jaki informacje te będą przechowywane i wykorzystywane. Rozwój cyberbezpieczeństwa, zarządzania danymi i zasad bezpiecznego stosowania sztucznej inteligencji staje się w ten sposób kolejnym elementem infrastruktury współczesnego międzynarodowego systemu podatkowego.

Żródło w linku