Izba skarbowa: ograniczony zakres działania

Przeczytaj także: Rzecznik Praw Podatnika, czyli koń trojański fiskusa

Podstawa prawna przetwarzania danych osobowych przez organy

Biorąc pod uwagę przepisy Konstytucji, a w szczególności art. 51 ust. 5 Konstytucji RP, zgodnie z którym zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa, należy zauważyć, że ustawa z dnia 21 czerwca 1996 r. o urzędach i izbach skarbowych nie zawiera przepisów wskazujących zasady, cele i zakres przetwarzania przez izby skarbowe danych osobowych obywateli RP. Izba skarbowa, posługująca się w swej działalności danymi osobowymi użytkowników serwisów internetowych, zebranymi przez ten organ podatkowy samodzielnie lub otrzymanymi od podmiotu zewnętrznego, mogłaby zatem przetwarzać te dane w oparciu o przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (zwanej dalej „UODO”), w tym na podstawie ogólnych przesłanek dopuszczalności ujętych w art. 23 UODO.

Dyrektor Izby Skarbowej, zgodnie z przytoczonymi przepisami, mógłby przetwarzać dane osobowe, gdy:

• jest ono niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 UODO),
• jest ono niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (art. 23 ust. 1 pkt 4 UODO), lub
• jest ono niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 pkt 5 UODO).

Analizując pierwszą z przesłanek, uznać trzeba, że organ przesłanki tej nie spełni, gdy gromadzenie i posługiwanie się danymi osobowymi użytkowników serwisów internetowych nie będzie służyć realizacji przyznanych ustawowych kompetencji. Jeśli dojdzie do przetwarzania danych osobowych przez organ podatkowy w celach wykraczających poza ustawowy zakres jego działania, nie będą spełnione także pozostałe dwie przesłanki, gdyż takie przetwarzanie nie będzie także niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (art. 23 ust. 1 pkt 4 UODO) ani niezbędne dla wypełnienia prawnie usprawiedliwionych celów administratora danych osobowych czy też odbiorcy danych (art. 23 ust. 1 pkt 5 UODO).

Zasada działania organu administracji publicznej na podstawie przepisów prawa i w granicach przyznanych ustawowo kompetencji jest zasadą nadrzędną także wobec przesłanek dopuszczalności przetwarzania danych osobowych. Nie sposób bowiem zaakceptować tezy, iż przesłanki zawarte w UODO mogą być stosowane w przypadku działań organu podatkowego podejmowanych z przekroczeniem jego kompetencji. Tym samym, zgoda osoby, której dane dotyczą, na przetwarzanie jej danych przez organ lub umowne ustalenia pomiędzy organem a podmiotem zewnętrznym w przedmiocie udostępnienia organowi danych, nie mogą sanować wykorzystywania przez organ uzyskanych danych dla wykonywania czynności nie mieszczących się w zakresie przyznanych organowi uprawnień.

Użytkownicy nie są bezbronni

W konsekwencji, wykorzystywanie przez organ podatkowy danych osobowych użytkowników serwisów internetowych (w tym np. serwisów aukcyjnych) do działań wykraczających poza ustawowe uprawnienia organu, naruszy bez wątpienia prawa i wolności tych osób. W takiej sytuacji będą oni mogli skorzystać z uprawnień kontrolnych przewidzianych w rozdziale 4 UODO. W szczególności jednak, wskutek stwierdzenia przez użytkownika, że jego dane zostały zebrane z naruszeniem ustawy albo są zbędne do realizacji celu, dla którego je zebrano, użytkownik będzie mógł żądać od dyrektora izby skarbowej usunięcia jego danych. W razie niezastosowania się przez organ do treści żądania, użytkownik może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych z wnioskiem o nakazanie organowi usunięcia danych.