www.pwc.pl/legal Identyfikacja klientów na potrzeby FATCA Nowości prawne 27 sierpnia 2012 r.
I. Wstęp W dniu 1 stycznia 2013 r. zacznie obowiązywać amerykańska ustawa Foreign Account Tax Compliance Act ( FATCA ), która nakłada na zagraniczne banki i instytucje finansowe, w tym polskie, m.in. obowiązek informowania amerykańskich organów podatkowych ( IRS ) o rachunkach prowadzonych na rzecz podatników amerykańskich. Ze względu na ograniczenia prawne, w szczególności dotyczące ochrony tajemnicy bankowej i danych osobowych, realizacja obowiązków wynikających z FATCA bez stosownych zmian w prawie polskim wydaje się niemożliwa. Stąd zamiarem niniejszego opracowania jest wskazanie wybranych zmian w prawie polskim, koniecznych do umożliwienia polskim bankom identyfikacji klientów posiadających status tzw. U.S. Person w rozumieniu FATCA. Niniejsze opracowanie ograniczone zostało jedynie do wskazania zmian przepisów potrzebnych do wykonywania pierwszego z działań wymaganych przez FATCA tj. identyfikacji klientów posiadających status U.S. Person. Z uwagi na skomplikowany charakter zagadnienia, zmiany w polskim prawie konieczne do prowadzenia dalszych działań wynikających z FATCA, takich jak w szczególności: (i) raportowanie o rachunkach klientów posiadających status U.S. Person; oraz (ii) pobór podatku na potrzeby FATCA, powinny być przedmiotem odrębnego opracowania. Niniejsze opracowanie zostało przygotowane przy założeniu, że Polska zawrze ze Stanami Zjednoczonymi międzynarodową umowę implementującą FATCA, o treści odpowiadającej modelowej umowie międzyrządowej bez klauzuli wzajemności (Model Intergovermental Agreement To Improve Tax Compliance And To Implement FATCA - Nonreciprocal Version), opublikowanej przez US Treasury w dniu 26 lipca 2012 r. (http://www.treasury. gov/press-center/press-releases/pages/ tg1653.aspx) ( Umowa Międzynarodowa ). Umowa Międzynarodowa zostanie następnie ratyfikowana przez Prezydenta, po uzyskaniu zgody Sejmu, wyrażonej w ustawie. Umowa Międzynarodowa będzie podstawą do wprowadzenia odpowiednich zmian w polskich przepisach prawa. W niniejszym opracowaniu zidentyfikowane zostały jedynie te przepisy prawa polskiego, które w omawianym zakresie wymagają zmian na potrzeby FATCA, z punktu widzenia banków krajowych. Nie wskazano zatem, jakie przepisy wymagałyby zmian na potrzeby innych instytucji finansowych, podlegających regulacji FATCA, jak również polskich organów podatkowych, które będą wykonywać postanowienia Umowy Międzynarodowej. 2012 Identyfikacja klientów na potrzeby FATCA Nowości prawne 3
II. Identyfikacja klienta na potrzeby FATCA 4 Identyfikacja klientów na potrzeby FATCA Nowości prawne 2012
W celu realizacji postanowień FATCA, banki w Polsce powinny dokonywać identyfikacji swoich klientów (osób fizycznych, osób prawnych, jednostek organizacyjnych nie posiadających osobowości prawnej; zarówno obecnych, jak i nowych), aby ustalić, czy dany klient ma status tzw. U.S. Person. Przeprowadzając identyfikację banki będą poszukiwały tzw. poszlak amerykańskich, obejmujących m.in.: miejsce urodzenia w USA, adres zamieszkania w USA, numer telefonu w USA, adres w USA do korespondencji. W przypadku zidentyfikowania tzw. poszlak amerykańskich i tym samym uznania, że dana osoba może mieć status US Person banki powinny zażądać od klienta dodatkowych dokumentów lub informacji w celu ostatecznego ustalenia czy daną osobę należy zakwalifikować jako U.S. Person. Zidentyfikowanie osób o statusie U.S. Person, nakłada na banki dalsze obowiązki dotyczące, w szczególności raportowania m.in. informacji dotyczących kont klientów do polskich organów podatkowych, które następnie na gruncie Umowy Międzynarodowej będą przekazywać otrzymane od banków informacje do IRS (te działania pozostają poza zakresem niniejszego opracowania). 2012 Identyfikacja klientów na potrzeby FATCA Nowości prawne 5
III. Ochrona tajemnicy bankowej 6 Identyfikacja klientów na potrzeby FATCA Nowości prawne 2012
Zgodnie z art. 104 ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (tekst jednolity - Dz.U. z 2002 r., Nr 72, poz. 665 z późn. zm.) ( Prawo bankowe ), tajemnica bankowa obejmuje wszystkie informacje dotyczące czynności bankowej, uzyskane w czasie negocjacji, w trakcie zawierania i realizacji umowy, na podstawie której bank tę czynność wykonuje. Początkowym momentem obowiązywania tajemnicy bankowej jest chwila pozyskania informacji stanowiących tajemnicę bankową w jakikolwiek sposób (nie tylko poprzez przekazanie tych informacji przez beneficjenta tajemnicy bankowej). Dokonując identyfikacji klienta na potrzeby FATCA, bank poszukuje wyżej wspomnianych tzw. poszlak amerykańskich i w tym celu: (i) przeszukuje swoją dotychczasową bazę danych o klientach; albo (ii) przeprowadza weryfikację nowych klientów już na etapie zawierania przez nich umów z bankiem. Tym samym bank dokonując identyfikacji klienta zbiera informacje, które stanowią tajemnicę bankową. Przepisy Prawa bankowego dotyczące tajemnicy bankowej ograniczają dostęp do zebranych przez bank informacji osobom trzecim (w tym polskim i amerykańskim organom podatkowym). Sama jednak identyfikacja klientów na potrzeby FATCA jest z punktu widzenia przepisów Prawa bankowego czynnością techniczną i nie wiąże się z koniecznością ujawniania zebranych informacji osobom trzecim (inaczej niż na etapie raportowania przez bank do urzędu skarbowego o klientach na potrzeby FATCA). Stąd też, w naszej ocenie, na gruncie obecnie obowiązujących przepisów Prawa bankowego, nie ma przeszkód, aby banki w Polsce przeprowadzały identyfikacje klientów na potrzeby FATCA i w związku z tym wydaje się, że zmiana przepisów Prawa bankowego nie jest na obecnym etapie konieczna. 2012 Identyfikacja klientów na potrzeby FATCA Nowości prawne 7
IV. Dane Osobowe 8 Identyfikacja klientów na potrzeby FATCA Nowości prawne 2012
(i) Podstawa prawna do przetwarzania danych osobowych klientów, w celu identyfikacji klientów posiadających status U.S. Person Zgodnie z ustawą o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (tekst jednolity - Dz.U. z 2002 r., Nr 101, poz. 926 z póżn. zm.) ( Ustawa ) wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej stanowią dane osobowe. Zestaw informacji wykorzystywanych w procesie identyfikacji na potrzeby FATCA, takich jak m.in. imię i nazwisko posiadacza rachunku bankowego, jego adres zamieszkania, numer telefonu, informacja o środkach zgromadzonych na rachunku bankowym, będzie stanowić dane osobowe w rozumieniu Ustawy. Przetwarzaniem danych osobowych jest, zgodnie z Ustawą, wykonywanie jakichkolwiek operacji na danych osobowych (w tym: zbieranie, utrwalanie, zmienianie, opracowywanie, udostępnianie). Czynności, jakie banki będą wykonywać na danych osobowych obecnych i nowych klientów w celu identyfikacji na potrzeby FATCA, będą stanowiły przetwarzanie danych osobowych w rozumieniu Ustawy. Przepisy Ustawy będą miały zastosowanie do operacji przetwarzania danych osobowych na potrzeby identyfikacji związanej z FATCA, jeśli operacje te będą wykonywane przez banki mające siedzibę na terytorium Polski, za pomocą środków technicznych tutaj zlokalizowanych. Zgodnie z Ustawą, przetwarzanie danych osobowych jest dopuszczalne, o ile podmiot przetwarzający dane może wykazać się podstawą prawną upoważniającą go do przetwarzania danych. Konieczność posiadania odpowiedniej podstawy prawnej odnosi się do każdego pojedynczego celu, dla którego prowadzone jest przetwarzanie danych osobowych, np. cel związany z wykonaniem umowy, cel marketingowy. Również przetwarzanie danych w związku z identyfikacją klientów na potrzeby FATCA, należy uznać za osobny cel przetwarzania wymagający wykazania się właściwą podstawą prawną. Obowiązujące przepisy Prawa bankowego przewidują dla banków podstawę prawną do przetwarzania danych osobowych klientów w celu: (a) realizacji umów zawartych z klientami; (b) oceny ich zdolności kredytowej; (c) analizy ryzyka kredytowego, a także (d) w zakresie udzielania informacji uprawnionym podmiotom. Żaden z tych przepisów nie daje bankom podstawy prawnej do przetwarzania danych osobowych klientów, w celach związanych z identyfikacją na potrzeby FATCA. W naszej ocenie, takiej podstawy nie dają również przepisy Ustawy (art. 23 i 27 Ustawy). W związku z tym, widzimy konieczność wprowadzenia przepisu o charakterze lex specialis w stosunku do Ustawy, który będzie stanowił podstawę prawną dla banków do przetwarzania danych 2012 Identyfikacja klientów na potrzeby FATCA Nowości prawne 9
osobowych na potrzeby identyfikacji klientów w związku z FATCA (takie stanowisko zostało również przedstawione w piśmie ciała doradczego Komisji Europejskiej ds. danych osobowych; Article 29 Data Protection Working Party; nr. referencyjny Ares(2012)746461 21/06/2012). Upoważnienie dla banków do przetwarzania danych na potrzeby FATCA powinno zostać umiejscowione w przepisach o randze ustawowej. Regulacja powinna określać dopuszczalność przetwarzania danych w rozważanym celu. Jest to niezbędne, nawet dla pierwszego z działań wymaganych w ramach FATCA, jakim jest weryfikacja istniejących baz danych klientów w celu identyfikacji. Działanie takie, stanowi bowiem przetwarzanie danych wychodzące poza dopuszczalne prawnie przetwarzanie danych na potrzeby wykonywania czynności bankowych. Proponowana podstawa prawna przetwarzania danych osobowych powinna mieć, w naszej ocenie, charakter uniwersalny, tj. zapewniający ramy prawne do wprowadzenia identycznych uregulowań w razie zawierania przez Polskę umów podobnych do Umowy Międzynarodowej z innymi państwami. Biorąc pod uwagę brzmienie art. 105 ust. 2 Prawa bankowego, który w zakresie przekazywania przez banki informacji organom podatkowym odsyła do odrębnych przepisów (m.in. do ustawy z dnia 29 sierpnia 1997 r. ordynacja podatkowa (tekst jednolity - Dz.U. z 2012 r. poz. 749 z późn. zm.) ( Ordynacja podatkowa )), wydaje się, że praktycznym rozwiązaniem byłoby 10 Identyfikacja klientów na potrzeby FATCA Nowości prawne 2012
uregulowanie również kwestii identyfikacji w przepisach Ordynacji podatkowej. Ze względu na fakt, że zakres danych zbieranych przez banki na potrzeby identyfikacji klientów będzie szerszy niż informacje, które będą następnie przekazywane przez banki do urzędów skarbowych, należy, w naszej ocenie, wprowadzić osobną podstawę prawną dla banków do gromadzenia informacji o klientach na potrzeby identyfikacji ( 1 art. 82b Ordynacji podatkowej w części V(i) opracowania) i osobną podstawę prawną do raportowania informacji o klientach do urzędu skarbowego ( 2 art. 82b Ordynacji podatkowej poza zakresem opracowania). Propozycja rozwiązania legislacyjnego w tym zakresie została przedstawiona w części V(i) niniejszego opracowania. (ii) Zakres danych, które mogą być przetwarzane przez banki, w celu dokonania identyfikacji klientów na potrzeby FATCA Zakres danych osobowych przetwarzanych obecnie przez banki nie pokrywa się w pełni z danymi, których przetwarzanie stanie się niezbędne dla potrzeb identyfikacji w zakresie FATCA. Umowa Międzynarodowa przewiduje m.in. że w celu identyfikacji niezbędne może być pozyskanie dodatkowych kategorii danych, np. danych zawartych na formularzach IRS W-8 lub innych dokumentach składanych przez klientów banków. W związku z tym, na potrzeby identyfikacji klientów zgodnie z FATCA, należy szczegółowo określić katalog danych, które będą mogły być przetwarzane przez banki dla wskazanego celu. Szczegółowy zakres 2012 Identyfikacja klientów na potrzeby FATCA Nowości prawne 11
(iii) takich danych, w naszej ocenie, może zostać wskazany we właściwym rozporządzeniu wykonawczym do ustawy, określającym m.in. procedury związane z identyfikacją U.S. Person (jak i inne procedury dotyczące FATCA). Propozycja rozwiązania legislacyjnego (tj. upoważnienia ustawowego do wydania rozporządzenia) w tym zakresie została przedstawiona w części V(i) niniejszego opracowania. Obowiązek informacyjny Zgodnie z Ustawą, administratorzy danych osobowych zobowiązani są przekazać osobom, których dane dotyczą, określone przepisami informacje - w tym o swoim adresie i nazwie, celu przetwarzania danych oraz o potencjalnych odbiorcach danych osobowych. Banki, wykonując wskazany obowiązek informacyjny względem klientów, powinny również uwzględnić informacje dotyczące przetwarzania danych osobowych na potrzeby FATCA, w tym poinformować klientów o potencjalnych odbiorcach ich danych osobowych. Informacja taka może być przekazana w różnej formie także poprzez zamieszczanie odpowiednich klauzul informacyjnych w umowach lub regulaminach. W stosunku do obecnych klientów, banki powinny rozesłać do nich odpowiednie zawiadomienia. Banki powinny wykonać wskazany obowiązek, chyba że zostaną z niego zwolnione przez odpowiedni przepis ustawy. W analizowanym przypadku można rozważyć, czy obowiązek taki powinien zostać utrzymany. Z jednej strony bowiem, klienci powinni być 12 Identyfikacja klientów na potrzeby FATCA Nowości prawne 2012
(iv) informowani, o tym w jaki sposób ich dane osobowe są przetwarzane. Z drugiej strony jednak, z uwagi na potencjalne koszty oraz utrudnienia organizacyjne, można postulować zwolnienie z obowiązku informacyjnego w omawianym zakresie poprzez stosowne zwolnienie ustawowe. Propozycja rozwiązania legislacyjnego przewidująca zwolnienie z obowiązku informacyjnego została przedstawiona w części V (i) niniejszego opracowania. Rejestracja zbiorów danych Dane osobowe, gromadzone przez banki na potrzeby FATCA będą, w naszej ocenie, stanowiły odrębny zbiór danych osobowych w stosunku do już istniejących zbiorów danych w bankach. Takie założenie jest uzasadnione odrębnym celem i rozszerzonym zakresem danych, jakie bank będzie przetwarzać na potrzeby identyfikacji w związku z FATCA. Zgodnie z Ustawą, administratorzy danych zobowiązani są zgłosić taki zbiór danych osobowych do rejestru prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych. Zgłoszenie powinno nastąpić przed rozpoczęciem przetwarzania danych osobowych w zbiorze. W Ustawie przewidziany został szereg zwolnień z obowiązku zgłoszenia zbioru danych osobowych. Zwolnienia te nie obejmą zbiorów tworzonych w związku z identyfikacją na potrzeby FATCA. Z uwagi na fakt, że prowadzenie przetwarzania na potrzeby identyfikacji i związane z tym wyodrębnienie zbiorów jest skutkiem narzuconych obowiązków, można postulować zwolnienie banków z obowiązku zgłoszenia zbioru do rejestru. Propozycja rozwiązania legislacyjnego w tym zakresie została przedstawiona w części V (ii) niniejszego opracowania. 2012 Identyfikacja klientów na potrzeby FATCA Nowości prawne 13
V. Propozycja zmian w przepisach prawa 14 Identyfikacja klientów na potrzeby FATCA Nowości prawne 2012
(i) Upoważnienie dla banków do przetwarzania danych na potrzeby FATCA oraz zwolnienie z obowiązku informacyjnego Proponujemy dodanie do Ordynacji podatkowej nowego art. 82b w następującym brzmieniu: Art. 82b. 1. Banki, [inne podmioty poza zakresem opracowania], uprawnione są do przetwarzania informacji o osobach fizycznych w celu realizacji obowiązków wynikających z ratyfikowanych umów międzynarodowych, których stroną jest Rzeczpospolita Polska, w zakresie określonym w rozporządzeniu, o którym mowa w 5. 2. [w tym paragrafie powinien zostać zawarty obowiązek banków i innych instytucji finansowych do raportowania informacji do urzędu skarbowego poza zakresem opracowania.] 3. [w tym paragrafie powinna zostać zawarta podstawa prawna do przeprowadzania przez urząd skarbowy kontroli prawidłowości identyfikacji i przekazywanych danych poza zakresem opracowania.] 4. Przetwarzanie danych osobowych w celu i zakresie określonym w 1 oraz rozporządzeniu, o którym mowa w 5, przez podmioty wymienione w 1, nie wymaga spełnienia obowiązku określonego w art. 24 i 25 ustawy z dnia 27 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity - Dz.U. z 2002 r, Nr 101, poz. 926 z późn. zm.). (ii) 5. Minister właściwy do spraw finansów publicznych, z uwzględnieniem praw i wolności osób, których dane dotyczą określi, w drodze rozporządzenia: 1) zakres informacji, o których mowa w 1, a także szczegółowe zasady ich gromadzenia, ze szczególnym uwzględnieniem danych identyfikujących osoby fizyczne na potrzeby ustalenia ich rezydencji podatkowej; 2) [w tym punkcie powinna zostać zawarta delegacja ustawowa określająca zakres, tryb i zasady przekazywania danych, o których mowa w 2 poza zakresem analizy.] Zwolnienie zgłoszenia zbiorów danych osób posiadających status U.S. Person Proponujemy dodanie do art. 43 1 Ustawy nowego punktu 12, w następującym brzmieniu: Art. 43 1. Z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych: (...) 12) przetwarzanych w celu wykonania obowiązków wynikających z ratyfikowanych umów międzynarodowych, o których mowa w art. 82b ustawy z dnia 29 sierpnia 1997 r. ordynacja podatkowa (tekst jednolity - Dz.U. z 2012 r., poz. 749 z późn. zm.). 2012 Identyfikacja klientów na potrzeby FATCA Nowości prawne 15
Celem uzyskania dodatkowych informacji prosimy o kontakt: Ewa Szurmińska-Jaworska partner, radca prawny Specjalizacja: spory sądowe e-mail: ewa.szurminska-jaworska@pl.pwc.com tel. (22) 746 7352 Janusz Fiszer radca prawny, doradca podatkowy, doktor nauk prawnych Specjalizacja: międzynarodowe prawo podatkowe e-mail: janusz.fiszer@pl.pwc.com tel. (22) 746 6517 Anna Kobylańska counsel, adwokat Specjalizacja: ochrona własności intelektualnej, prawo nowych technologii, ochrona danych osobowych e-mail: anna.kobylanska@pl.pwc.com tel. (22) 746 6226 Mateusz Ordyk senior associate, radca prawny Specjalizacja: rynki kapitałowe, bankowość, finanse e-mail: mateusz.ordyk@pl.pwc.com tel. (22) 746 6284 Anna Werner senior associate, radca prawny Specjalizacja: bankowość i finanse e-mail: anna.werner@pl.pwc.com tel. (22) 746 7009 Maciej Wilczkiewicz starszy menedźer Specjalizacja: podatki e-mail: maciej.wilczkiewicz@pl.pwc.com tel. (22) 523 4533 Niniejsze opracowanie ma charakter wyłącznie informacyjny i nie może być traktowane jako porada prawna. Nie powinni Państwo opierać swoich działań/decyzji na treści informacji zawartych w niniejszym opracowaniu. Nie gwarantujemy (w sposób wyraźny, ani dorozumiany) prawidłowości, ani dokładności informacji zawartych w niniejszym opracowaniu. Ponadto, w zakresie przewidzianym przez prawo polskie, PricewaterhouseCoopers Legal Szurmińska-Jaworska spółka komandytowa, jej partnerzy, pracownicy, ani przedstawiciele nie podejmują wobec Państwa żadnych zobowiązań oraz nie przyjmują na siebie żadnej odpowiedzialności ani umownej, ani z żadnego innego tytułu - za jakiejkolwiek straty, szkody ani wydatki, które mogą być pośrednim lub bezpośrednim skutkiem działania podjętego na podstawie informacji zawartych w niniejszym opracowaniu lub decyzji podjętych na podstawie niniejszego opracowania. 2012 PricewaterhouseCoopers Legal Szurmińska-Jaworska sp. k. Wszelkie prawa zastrzeżone. PricewaterhouseCoopers Legal Szurmińska-Jaworska sp. k. jest firmą członkowską PricewaterhouseCoopers International Limited. Nazwy PricewaterhouseCoopers i PwC odnoszą się do firm wchodzących w skład sieci PricewaterhouseCoopers International Limited, z których każda stanowi odrębny i niezależny podmiot prawny.