KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Rady (UE) nr 904/2010 z dnia 7 października 2010 r. w sprawie współpracy administracyjnej oraz zwalczania oszustw w dziedzinie podatku od wartości dodanej (¹), w szczególności jego art. 24e,

a także mając na uwadze, co następuje:

(1) Dyrektywa Rady 2006/112/WE (²), zmieniona dyrektywą Rady (UE) 2020/284 (³), wprowadza od dnia 1 stycznia 2024 r. obowiązki dostawców usług płatniczych w zakresie przekazywania informacji. Od tego czasu dostawcy usług płatniczych, którzy mają siedzibę i świadczą usługi płatnicze w Unii Europejskiej, mają przechowywać określoną ewidencję płatności transgranicznych pochodzących od płatników w państwach członkowskich i określone informacje o odbiorcach płatności oraz przekazywać tę ewidencję państwom członkowskim w celu zwalczania oszustw związanych z podatkiem od wartości dodanej (VAT).

(2) Zgodnie z rozporządzeniem (UE) nr 904/2010, zmienionym rozporządzeniem Rady (UE) 2020/283 (⁴), państwa członkowskie mają przekazywać tę ewidencję do centralnego elektronicznego systemu informacji o płatnościach ("CESOP"), który ma zostać opracowany przez Komisję i być przez nią utrzymywany, prowadzony i zarządzany pod względem technicznym.

(3) W celu zapewnienia prawidłowego funkcjonowania CESOP oraz zgodnie z art. 24e lit. a) rozporządzenia (UE) nr 904/2010 konieczne jest przyjęcie środków technicznych w celu ustanowienia CESOP. Środki te powinny zapewniać niezbędne funkcje CESOP na potrzeby rozwoju możliwości CESOP opisanych w art. 24c rozporządzenia (UE) nr 904/2010. Środki te powinny również zapewniać wysoki poziom przyjazności dla użytkownika poprzez uwzględnienie narzędzi wyszukiwania i wizualizacji w CESOP. Ponadto CESOP powinien ułatwiać wymianę informacji między urzędnikami łącznikowymi Eurofisc poprzez umożliwianie im szybkiej i bezpiecznej wymiany informacji na temat oszustw związanych z VAT bezpośrednio w CESOP. Należy również określić środki, jakie powinna przyjąć Komisja w celu utrzymania systemu CESOP po jego uruchomieniu, aby zapewnić operacyjne standardy jakości infrastruktury informatycznej CESOP i jej funkcjonalności oraz aby w razie potrzeby dokonywane były wymagane aktualizacje w celu reagowania na incydenty systemu mające miejsce w komunikacji między Komisją a państwami członkowskimi.

(4) Państwa członkowskie jako administratorzy CESOP są odpowiedzialne za zarządzanie systemem, natomiast Komisja jako podmiot prowadzący i przetwarzający ma szereg obowiązków ograniczających się do zarządzania CESOP pod względem technicznym zgodnie z art. 24e lit. b) rozporządzenia (UE) nr 904/2010. Obowiązki te powinny obejmować zadania techniczne niezbędne do codziennego administrowania CESOP, takie jak prowadzenie ewidencji urzędników łącznikowych Eurofisc mających dostęp do CESOP, prowadzenie ewidencji dostawców usług płatniczych, którzy przekazali dane do państw członkowskich, wprowadzanie odpowiednich organizacyjnych środków bezpieczeństwa na potrzeby CESOP, a także zapewnianie niezbędnych szkoleń i wsparcia dla urzędników łącznikowych Eurofisc w celu efektywnego korzystania z CESOP.

(5) Zgodnie z art. 24b ust. 1 lit. b) rozporządzenia (UE) nr 904/2010 państwa członkowskie mają przesyłać dane do CESOP w standardowym formacie. Należy określić elementy danych, jakie mają być przekazywane przez dostawców usług płatniczych w formacie dokumentu XML. W celu zapewnienia ogólnej operacyjności między krajowymi systemami elektronicznymi i CESOP zgodnie z art. 24b ust. 3 rozporządzenia (UE) nr 904/2010 państwa członkowskie powinny sprawdzać, czy dane przekazywane przez dostawców usług płatniczych zawierają obowiązkowe i syntaktycznie poprawne elementy danych zgodnie z art. 243d dyrektywy 2006/112/WE, ponieważ CESOP działa tylko wówczas, gdy dane obowiązkowe zostały prawidłowo wprowadzone do CESOP.

(6) Państwa członkowskie powinny wyznaczyć urzędników łącznikowych Eurofisc, którzy będą mieli dostęp do CESOP, i poinformować Komisję o swojej decyzji. W tym względzie Komisja powinna zapewnić tym urzędnikom niepowtarzalny identyfikator dostępu do CESOP i prowadzić wykaz wszystkich urzędników łącznikowych Eurofisc, którzy mają dostęp do CESOP, na podstawie informacji otrzymywanych od państw członkowskich.

(7) Zgodnie z art. 24e lit. g) rozporządzenia (UE) nr 904/2010 Komisja ma ustanowić procedury zapewniające stosowanie odpowiednich technicznych i organizacyjnych środków bezpieczeństwa do celów rozwoju i funkcjonowania CESOP. Szereg aspektów bezpieczeństwa centralnych komponentów CESOP zależy również od wdrożenia krajowych środków bezpieczeństwa, takich jak środki kontroli bezpieczeństwa przekazywanych danych oraz środki zapewniające, by dostęp do CESOP mieli wyłącznie urzędnicy łącznikowi Eurofisc z ważnym niepowtarzalnym identyfikatorem. W związku z tym państwa członkowskie powinny przekazać Komisji informacje na temat swoich własnych środków bezpieczeństwa. Państwa członkowskie i Komisja powinny informować się wzajemnie o wprowadzonych środkach bezpieczeństwa oraz o potrzebie ewentualnego ulepszenia tych środków.

(8) Przetwarzanie danych osobowych na podstawie niniejszego rozporządzenia oraz obowiązki państw członkowskich i Komisji podlegają przepisom określonym w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 (⁵) oraz w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2018/1725 (⁶). Zgodnie z art. 24e lit. h) rozporządzenia (UE) nr 904/2010 należy określić role i obowiązki państw członkowskich i Komisji w odniesieniu do administrowania systemem CESOP. Państwa członkowskie należy wspólnie uznać za administratorów CESOP, ponieważ to one decydują o sposobach przetwarzania i wykorzystywania danych w CESOP. Komisję należy uznać za podmiot przetwarzający, ponieważ wykonuje ona wszystkie swoje zadania w imieniu państw członkowskich.

(9) Niniejsze rozporządzenie powinno mieć zastosowanie dopiero od dnia 1 stycznia 2024 r. w celu dostosowania go do stosowania rozporządzenia (UE) 2020/283 i dyrektywy (UE) 2020/284.

(10) Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia 2 lutego 2022 r.

(11) Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią Stałego Komitetu Współpracy Administracyjnej,

PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:

Artykuł 1

Środki techniczne służące ustanowieniu i utrzymaniu CESOP

1. Komisja opracowuje środki techniczne służące ustanowieniu CESOP o następujących funkcjach:

a) otrzymywanie danych dotyczących płatności przekazanych przez państwa członkowskie;

b) bezpieczne przechowywanie danych dotyczących płatności przez okres maksymalnie 5 lat od końca roku kalendarzowego, w którym państwa członkowskie przekazały informacje do systemu;

c) usuwanie nieprawidłowości i błędów, w tym powielania tej samej płatności, z danych dotyczących płatności;

d) agregowanie danych dotyczących płatności w odniesieniu do każdego odbiorcy płatności;

e) umożliwianie wyszukiwania i wizualizacji danych dotyczących płatności w CESOP;

f) analizowanie i przeprowadzanie kontroli krzyżowych danych dotyczących płatności z danymi przechowywanymi i wymienianymi zgodnie z art. 17 ust. 1 lit. a), b), d), e) i f) oraz art. 33 ust. 2 lit. b) rozporządzenia 904/2010;

g) przeprowadzanie automatycznej analityki i oznakowywanie podejrzanych odbiorców płatności;

h) umożliwienie urzędnikom łącznikowym Eurofisc przeprowadzania nieautomatycznych kontroli i analiz;

i) sporządzanie sprawozdań z wyników analiz i kontroli przeprowadzonych przez CESOP i urzędników łącznikowych Eurofisc;

j) zapewnienie urzędnikom łącznikowych Eurofisc infrastruktury zarządzania kontrolą dostępu użytkowników;

k) umożliwienie urzędnikom łącznikowym Eurofisc wymiany bezpośrednio w CESOP informacji dotyczących dochodzeń w sprawie transgranicznych oszustw związanych z VAT i wykrywania takich oszustw;

l) zapewnienie państwom członkowskim infrastruktury technicznej umożliwiającej zarządzanie prawami dostępu dla ich urzędników łącznikowych Eurofisc.

2. Komisja wykonuje następujące zadania związane z utrzymaniem CESOP:

a) zapewnienie działania CESOP i jego funkcji;

b) wykonywanie prac konserwacyjnych poza godzinami pracy;

c) zapewnienie aktualizacji technicznych niezbędnych do prawidłowego funkcjonowania i usprawnienia CESOP;

d) rozwiązywanie problemów technicznych.

Artykuł 2

Zadania Komisji w zakresie zarządzania CESOP pod względem technicznym

Komisja wykonuje następujące zadania związane z zarządzaniem CESOP pod względem technicznym:

a) przechowywanie i aktualizowanie wykazu urzędników łącznikowych Eurofisc, którzy mają dostęp do CESOP, oraz ich niepowtarzalnego kodu identyfikacyjnego użytkownika zgodnie z art. 5;

b) wdrażanie organizacyjnych i technicznych środków bezpieczeństwa, o których mowa w art. 6;

c) ustanowienie, prowadzenie i utrzymywanie wykazu dostawców usług płatniczych, którzy przekazali dane na podstawie art. 24b ust. 1 rozporządzenia (UE) nr 904/2010 zgodnie z danymi przekazanymi przez państwa członkowskie;

d) zapewnienie urzędnikom łącznikowym Eurofisc, którzy mają dostęp do CESOP, zautomatyzowanego dostępu do wykazu utrzymywanego zgodnie z lit. c);

e) zapewnianie urzędnikom łącznikowym pomocy technicznej Eurofisc podczas korzystania z CESOP;

f) zapewnianie urzędnikom łącznikowym Eurofisc szkoleń w zakresie korzystania z CESOP.

Artykuł 3

Połączenie i ogólna interoperacyjność między CESOP i krajowymi systemami elektronicznymi

1. Państwa członkowskie wprowadzają wszelkie niezbędne środki w celu zapewnienia, aby krajowe systemy elektroniczne służące do gromadzenia informacji o płatnościach ustanowione zgodnie z art. 24b ust. 2 rozporządzenia (UE) nr 904/2010 były funkcjonalne i zdolne do gromadzenia informacji o płatnościach zgodnie z art. 24b ust. 1 tego rozporządzenia.

2. Państwa członkowskie przekazują do CESOP wyłącznie informacje dotyczące płatności z wypełnionymi wszystkimi polami obowiązkowymi zgodnie z art. 243d dyrektywy 2006/112/WE, zgodne z wymogami określonymi w załączniku do niniejszego rozporządzenia.

3. Komisja zapewnia interoperacyjność między CESOP i krajowymi systemami elektronicznymi, o których mowa w ust. 1.

Artykuł 4

Standardowy formularz elektroniczny

Standardowy formularz elektroniczny, o którym mowa w art. 24b ust. 1 lit. b) rozporządzenia (UE) nr 904/2010, przedkłada się w standardowym formacie XML zgodnie z tabelą danych w załączniku do niniejszego rozporządzenia.

Artykuł 5

Ustalenia praktyczne dotyczące urzędników łącznikowych Eurofisc, którzy będą mieli dostęp do CESOP

1. Państwa członkowskie wyznaczają urzędników łącznikowych Eurofisc, którzy będą mieli dostęp do CESOP, oraz przekazują Komisji ich nazwiska i adresy e-mail.

2. Państwa członkowskie informują Komisję o wszelkich zmianach w informacjach przekazanych na podstawie ust. 1, w tym o zmianach dotyczących wyznaczonych urzędników łącznikowych Eurofisc, w odpowiednim czasie, nie później niż w ciągu 30 dni kalendarzowych po wystąpieniu tych zmian.

3. Komisja niezwłocznie przekazuje urzędnikom łącznikowym Eurofisc, o których mowa w ust. 1, niepowtarzalny osobisty kod identyfikacyjny użytkownika umożliwiający im dostęp do CESOP.

Artykuł 6

Procedury dotyczące technicznych i organizacyjnych środków bezpieczeństwa do celów rozwoju i funkcjonowania CESOP

1. Państwa członkowskie przekazują Komisji informacje na temat stosowania i każdej aktualizacji swoich środków bezpieczeństwa na szczeblu krajowym.

Informacje te obejmują szczegółowe informacje na temat środków wprowadzonych w celu zapewnienia dostępu do CESOP wyłącznie urzędnikom łącznikowym Eurofisc, o których mowa w art. 5, oraz szczegółowe informacje na temat środków wprowadzonych w celu zapewnienia szyfrowania danych przekazywanych przez państwa członkowskie.

2. Do dnia 30 kwietnia każdego roku, począwszy od roku następującego po dacie rozpoczęcia stosowania niniejszego rozporządzenia, Komisja informuje państwa członkowskie o środkach wprowadzonych w celu zapewnienia bezpieczeństwa CESOP.

Informacje te obejmują co najmniej następujące elementy:

a) cyberincydenty, które miały miejsce w poprzednim roku, oraz sposób ich rozwiązania;

b) szczegółowe informacje na temat przyjętych środków bezpieczeństwa lub zmian istniejących środków bezpieczeństwa;

c) ocena istniejących środków bezpieczeństwa oraz informacja o tym, czy zdaniem Komisji konieczna jest jakakolwiek zmiana tych środków.

Artykuł 7

Role i obowiązki administratorów i podmiotu przetwarzającego

1. Państwa członkowskie są wspólnie administratorami CESOP zgodnie z definicją w art. 4 pkt 7 rozporządzenia (UE) 2016/679. Obowiązki administratorów CESOP są ustalane w porozumieniu zawieranym między administratorami, w którym określa się zasady wykonywania praw przez osoby, których dane dotyczą, oraz obowiązki administratorów w odniesieniu do udzielania informacji, o których mowa w art. 13 i 14 rozporządzenia (UE) 2016/679.

Państwa członkowskie są odpowiedzialne za:

a) sporządzenie specyfikacji technicznych CESOP i w razie potrzeby ich dostosowanie, tak aby Komisja mogła:

a) ustanowić i utrzymywać CESOP zgodnie z art. 1 niniejszego rozporządzenia;

b) zarządzać CESOP pod względem technicznym zgodnie z art. 2 niniejszego rozporządzenia;

c) zapewnić interoperacyjność krajowych systemów elektronicznych, o których mowa w art. 24b rozporządzenia (UE) nr 904/2010, i CESOP zgodnie z art. 3 ust. 3 niniejszego rozporządzenia;

d) wprowadzić środki bezpieczeństwa, o których mowa w art. 6 ust. 2 akapit pierwszy niniejszego rozporządzenia;

b) określenie zasad i procedur wyboru urzędników łącznikowych Eurofisc, którzy będą mieli dostęp do CESOP;

c) odpowiadanie na wnioski osób, których dane dotyczą, dotyczące wykonywania praw określonych w rozdziale III rozporządzenia (UE) 2016/679.

2. Komisja jest w odniesieniu do CESOP podmiotem przetwarzającym zgodnie z definicją w art. 3 pkt 12 rozporządzenia (UE) 2018/1725.

Komisja:

a) przetwarza dane osobowe w imieniu państw członkowskich zgodnie z ich instrukcjami i przechowuje dokumentację dotyczącą tych instrukcji;

b) zapewnia poufność danych osobowych przetwarzanych na podstawie niniejszego rozporządzenia;

c) zapewnia niezbędną infrastrukturę techniczną umożliwiającą państwom członkowskim odpowiadanie na wnioski, o których mowa w ust. 1 lit. c);

d) pomaga państwom członkowskim w wypełnianiu obowiązków określonych w art. 33-41 rozporządzenia (UE) 2016/679;

e) zapewnia usunięcie wszystkich danych osobowych przechowywanych w CESOP, zgodnie z art. 24c ust. 2 rozporządzenia (UE) nr 904/2010;

f) udostępnia państwom członkowskim wszelkie informacje niezbędne do wykazania wypełnienia obowiązków określonych w niniejszym artykule oraz umożliwia przeprowadzanie przez państwa członkowskie lub innego audytora upoważnionego przez państwa członkowskie audytów, w tym inspekcji, i wnosi wkład w te audyty, z pełnym poszanowaniem Protokołu (nr 7) do Traktatu o funkcjonowaniu Unii Europejskiej w sprawie przywilejów i immunitetów Unii Europejskiej.

Artykuł 8

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się od dnia 1 stycznia 2024 r.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Brukseli dnia 6 kwietnia 2022 r.

ZAŁĄCZNIK

Elektroniczny formularz do przekazywania danych