Art. 2. Ilekroć w ustawie jest mowa o:

1) dyrektywie 2011/16/UE - rozumie się przez to dyrektywę Rady 2011/16/UE z dnia 15 lutego 2011 r. w sprawie współpracy administracyjnej w dziedzinie opodatkowania i uchylającą dyrektywę 77/799/EWG (Dz. Urz. UE L 64 z 11.03.2011, str. 1, z późn. zm.);

2) informacjach podatkowych - rozumie się przez to informacje wymieniane z innymi państwami na podstawie ustawy, które mogą być istotne dla celów stosowania i wykonywania przepisów prawa podatkowego państw dokonujących wymiany tych informacji;

2a) naruszeniu ochrony danych - rozumie się przez to naruszenie bezpieczeństwa danych na skutek umyślnego działania niezgodnego z prawem, zaniedbania lub zdarzenia losowego, prowadzące do zniszczenia, utraty lub zmiany informacji lub innego zdarzenia polegającego na niewłaściwym lub nieuprawnionym dostępie do informacji, ujawnieniu lub wykorzystaniu informacji, w szczególności w odniesieniu do danych osobowych przekazywanych, przechowywanych lub w inny sposób przetwarzanych, przy czym naruszenie to może dotyczyć poufności, dostępności lub integralności danych;

3) państwie członkowskim - rozumie się przez to państwo członkowskie Unii Europejskiej;

4) rozporządzeniu Komisji (UE) nr 2015/2378 - rozumie się przez to rozporządzenie wykonawcze Komisji (UE) nr 2015/2378 z dnia 15 grudnia 2015 r. ustanawiające szczegółowe zasady wykonywania niektórych przepisów dyrektywy Rady 2011/16/UE w sprawie współpracy administracyjnej w dziedzinie opodatkowania i uchylające rozporządzenie wykonawcze (UE) nr 1156/2012 (Dz. Urz. UE L 332 z 18.12.2015, str. 19);

5) ustawie o podatku dochodowym od osób fizycznych - rozumie się przez to ustawę z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (Dz. U. z 2024 r. poz. 226, 232, 854, 858, 859 i 863);

6) ustawie o podatku dochodowym od osób prawnych - rozumie się przez to ustawę z dnia 15 lutego 1992 r. o podatku dochodowym od osób prawnych (Dz. U. z 2023 r. poz. 2805 oraz z 2024 r. poz. 232, 854 i 1222);

7) ustawie - Ordynacja podatkowa - rozumie się przez to ustawę z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz. U. z 2023 r. poz. 2383 i 2760 oraz z 2024 r. poz. 879);

7a) ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu - rozumie się przez to ustawę z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2023 r. poz. 1124, 1285, 1723 i 1843 oraz z 2024 r. poz. 850 i 1222);

8) właściwym organie - rozumie się przez to właściwą w sprawach podatkowych władzę danego państwa;

9) zagranicznym zakładzie - rozumie się przez to zagraniczny zakład, o którym mowa w art. 4a pkt 11 ustawy o podatku dochodowym od osób prawnych.

Art. 4. 1. Organy administracji publicznej oraz instytucje finansowe wymienione w art. 48 ust. 1-6 ustawy z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej (Dz. U. z 2023 r. poz. 615, z późn. zm.), na sporządzone na piśmie żądanie ministra właściwego do spraw finansów publicznych lub Szefa Krajowej Administracji Skarbowej, są obowiązane do udzielenia informacji podatkowych w razie wystąpienia właściwego organu w zakresie i na zasadach określonych odpowiednio w:

1) ust. 3 i 4 oraz dziale II lub ratyfikowanych umowach o unikaniu podwójnego opodatkowania i innych ratyfikowanych umowach międzynarodowych, których stroną jest Rzeczpospolita Polska;

2) ust. 4 i rozporządzeniu Rady (UE) nr 904/2010 z dnia 7 października 2010 r. w sprawie współpracy administracyjnej oraz zwalczania oszustw w dziedzinie podatku od wartości dodanej (Dz. Urz. UE L 268 z 12.10.2010, str. 1, z późn. zm.).

1a. W celu realizacji zadań związanych z wymianą informacji podatkowych instytucje obowiązane wymienione w art. 2 ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, na sporządzone na piśmie żądanie ministra właściwego do spraw finansów publicznych lub Szefa Krajowej Administracji Skarbowej, są obowiązane do udzielenia informacji gromadzonych na potrzeby realizacji obowiązków związanych ze stosowaniem środków bezpieczeństwa finansowego wynikających z tej ustawy.

2. Żądania, o których mowa w ust. 1 i 1a, oznacza się klauzulą "Tajemnica skarbowa", a ich przekazanie następuje w trybie przewidzianym dla dokumentów zawierających informacje niejawne o klauzuli "zastrzeżone" w rozumieniu przepisów o ochronie informacji niejawnych.

3. Zakres informacji podatkowych wymienianych z innymi państwami obejmuje informacje niezbędne do celów stosowania i wykonywania krajowych przepisów państwa właściwego organu, które są możliwe do pozyskania przez organy podatkowe na podstawie obowiązujących przepisów prawa i znajdują się w posiadaniu organu lub instytucji, o których mowa w ust. 1 i 1a.

4. Żądania, o których mowa w ust. 1 i 1a, obejmują wskazanie właściwego organu, który wystąpił o udzielenie informacji podatkowych, zakres żądanych informacji podatkowych, okres, którego żądane informacje podatkowe mają dotyczyć, termin ich przekazania oraz pouczenie o treści art. 90a.

Art. 5. 1. Właściwym organem Rzeczypospolitej Polskiej w sprawach wymiany informacji podatkowych z innymi państwami jest Szef Krajowej Administracji Skarbowej i w tym zakresie przysługują mu uprawnienia organu podatkowego.

1a. Od decyzji i postanowień w sprawach z zakresu wymiany informacji podatkowych z innymi państwami wydanych w pierwszej instancji przez Szefa Krajowej Administracji Skarbowej nie służy odwołanie ani zażalenie, jednakże strona niezadowolona z decyzji, od której zgodnie z odrębnymi przepisami przysługuje odwołanie, lub postanowienia, na które zgodnie z odrębnymi przepisami służy zażalenie, może zwrócić się do tego organu z wnioskiem o ponowne rozpatrzenie sprawy. Do wniosku stosuje się odpowiednio przepisy dotyczące odwołań od decyzji lub zażaleń na postanowienia.

1b. W przypadku gdy zgodnie z odrębnymi przepisami właściwy do załatwienia sprawy z zakresu wymiany informacji podatkowych z innymi państwami w pierwszej instancji jest organ wyższego stopnia w stosunku do Szefa Krajowej Administracji Skarbowej, organem właściwym do załatwienia tej sprawy jest Szef Krajowej Administracji Skarbowej.

2. (uchylony)

3. Szef Krajowej Administracji Skarbowej może upoważnić osoby zatrudnione lub pełniące służbę w urzędach obsługujących organy Krajowej Administracji Skarbowej do bezpośredniej wymiany informacji podatkowych w związku z realizowaniem zadań z zakresu planowanych lub trwających jednoczesnych kontroli oraz do uczestnictwa w spotkaniach organizacyjnych dotyczących tych kontroli.

Art. 5a. 1. Minister właściwy do spraw finansów publicznych dąży do zapewnienia jednolitego stosowania przepisów działów III, IIIA i V:

1) dokonując ich interpretacji, z urzędu lub na wniosek (interpretacje ogólne);

2) wydając z urzędu ogólne wyjaśnienia przepisów prawa podatkowego dotyczące stosowania tych przepisów (objaśnienia podatkowe).

2. Dyrektor Krajowej Informacji Skarbowej, na wniosek zainteresowanego, wydaje, w jego indywidualnej sprawie, interpretację przepisów działów III, IIIA i V (interpretację indywidualną).

3. W zakresie nieuregulowanym w ust. 1 i 2 do wydawania interpretacji ogólnych, objaśnień podatkowych i interpretacji indywidualnych stosuje się odpowiednio przepisy działu II rozdziału 1a ustawy - Ordynacja podatkowa.

Art. 6. 1. Do ujawnienia ministrowi właściwemu do spraw finansów publicznych, upoważnionemu przez niego organowi Krajowej Administracji Skarbowej, Szefowi Krajowej Administracji Skarbowej lub jego upoważnionemu przedstawicielowi informacji podatkowych w trybie i zakresie przewidzianych ustawą nie stosuje się przepisów ograniczających udostępnianie danych objętych tajemnicą prawnie chronioną, z wyjątkiem informacji niejawnych.

2. Dane osobowe przetwarzane w celu wykonywania zadań wynikających z ustawy podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na:

1) dopuszczeniu przez administratora danych do przetwarzania danych osobowych wyłącznie osób do tego uprawnionych;

2) sporządzonym na piśmie zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy;

3) regularnym testowaniu i doskonaleniu stosowanych środków technicznych i organizacyjnych;

4) zapewnieniu bezpiecznej komunikacji w sieciach teleinformatycznych, w szczególności poprzez zagwarantowanie, by proces pozyskiwania i przekazywania danych osobowych podmiotom zewnętrznym wykorzystywał techniki kryptograficzne;

5) zapewnieniu ochrony przed nieuprawnionym dostępem do systemów informatycznych;

6) zapewnieniu integralności danych w systemach informatycznych;

7) określeniu zasad bezpieczeństwa przetwarzanych danych osobowych.

Art. 6a. Do udostępniania informacji otrzymanych na podstawie ustawy oraz umów o unikaniu podwójnego opodatkowania, innych ratyfikowanych umów, których stroną jest Rzeczpospolita Polska, oraz innych umów międzynarodowych, których stroną jest Unia Europejska, a także porozumień zawartych na podstawie tych umów, nie stosuje się przepisów ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2023 r. poz. 1206) w zakresie, w jakim jest to niezgodne z postanowieniami tych umów lub porozumień lub przepisami ustawy.

Art. 6b. 1. Raportująca instytucja finansowa w rozumieniu art. 24 ust. 1 pkt 44 oraz raportujący operator platformy w rozumieniu art. 75a ust. 1 pkt 14 są obowiązani do udzielenia osobie fizycznej, której informacje podatkowe dotyczą, informacji o:

1) gromadzeniu, przetwarzaniu i przekazywaniu informacji zgodnie z ustawą oraz

2) przysługującym tej osobie prawie do uzyskania od administratora danych informacji, jakie ma prawo od tego administratora danych uzyskać, w czasie wystarczającym do skorzystania z jej praw do ochrony danych osobowych, zanim informacje zostaną przekazane.

2. Raportująca instytucja finansowa w rozumieniu art. 24 ust. 1 pkt 44 oraz raportujący operator platformy w rozumieniu art. 75a ust. 1 pkt 14 zawiadamiają niezwłocznie odpowiednio osobę raportowaną w rozumieniu art. 24 ust. 1 pkt 21 i sprzedawcę w rozumieniu art. 75a ust. 1 pkt 18 o naruszeniu ochrony danych w zakresie ich danych osobowych gromadzonych i przetwarzanych na potrzeby automatycznej wymiany informacji, w przypadku gdy istnieje prawdopodobieństwo, że to naruszenie ochrony danych wpłynie negatywnie na ochronę ich danych osobowych.

Art. 6c. 1. W przypadku gdy doszło do naruszenia ochrony danych w związku z ich przetwarzaniem przez Szefa Krajowej Administracji Skarbowej na potrzeby wykonywania zadań wynikających z ustawy, Szef Krajowej Administracji Skarbowej niezwłocznie zgłasza Komisji Europejskiej to naruszenie ochrony danych, a także wszelkie późniejsze działania zmierzające do usunięcia tego naruszenia ochrony danych.

2. Szef Krajowej Administracji Skarbowej może zawiesić w trybie natychmiastowym wymianę informacji podatkowych z państwem członkowskim, w którym doszło do naruszenia ochrony danych, jeżeli to naruszenie ochrony danych nie może zostać niezwłocznie i odpowiednio powstrzymane. O zawieszeniu wymiany informacji podatkowych Szef Krajowej Administracji powiadamia na piśmie Komisję Europejską oraz państwo członkowskie, którego to naruszenie ochrony danych dotyczy.

3. Szef Krajowej Administracji Skarbowej wyjaśnia okoliczności naruszenia ochrony danych, powstrzymuje naruszenie ochrony danych i podejmuje działania naprawcze w celu usunięcia naruszenia ochrony danych, a jeżeli naruszenie ochrony danych nie może zostać niezwłocznie i odpowiednio powstrzymane, występuje do Komisji Europejskiej z wnioskiem o zawieszenie dostępu do wspólnej platformy stworzonej przez Unię Europejską na potrzeby wszystkich transmisji dokonywanych drogą elektroniczną między właściwymi organami państw członkowskich.

4. Po usunięciu naruszenia ochrony danych Szef Krajowej Administracji Skarbowej:

1) przekazuje Komisji Europejskiej informację o usunięciu tego naruszenia ochrony danych;

2) może wystąpić do Komisji Europejskiej z wnioskiem o wspólne sprawdzenie, czy działania naprawcze podjęte w celu usunięcia naruszenia ochrony danych były skuteczne.

5. Szef Krajowej Administracji Skarbowej ustala procedury naprawcze na wypadek naruszenia ochrony danych, które niezwłocznie wdraża w życie w przypadku zaistnienia takiego naruszenia ochrony danych.