Le président de l'autorité polonaise de protection des données (UODO) est intervenu à plusieurs reprises pour dénoncer les pouvoirs d'accès aux informations bancaires des citoyens accordés à l'Administration Nationale Fiscale (KAS), jugés disproportionnés et non conformes au RGPD.

Un projet de loi parlementaire, examiné par la Commission des finances publiques le 16 septembre 2026, vise à modifier l'article 48 de la loi sur la KAS pour limiter son accès aux données bancaires. Actuellement, la KAS peut obtenir un large éventail d'informations sans contrôle judiciaire. La modification proposée restreindrait cette prérogative aux seules personnes ayant le statut de suspect dans une procédure, tout autre accès nécessitant une autorisation du tribunal. Cette proposition, qui pourrait être intégrée dans la loi bancaire, répond à des demandes formulées par le président de l'UODO dès juillet 2024.

Le président de l'UODO a souligné que les articles 46a et 48 de la loi sur la KAS constituent une ingérence disproportionnée dans la vie privée et le droit à la protection des données. Il a alerté sur les risques liés au traitement de catégories particulières de données, au profilage, et à l'utilisation de données à des fins non prévues par la loi, comme l'analyse, qui devrait se faire exclusivement sur des données anonymisées. Il a également noté que l'article 46a, concernant l'échange d'informations avec le ministère de la Santé, est formulé de manière trop générale et pourrait permettre le traitement de données sensibles, préconisant une interdiction explicite sur le modèle de la loi régissant la Chambre Suprême de Contrôle (NIK). Enfin, il a rappelé que l'élargissement des pouvoirs de la KAS en 2022 n'avait pas été justifié par sa nécessité, un point également soulevé par le Médiateur des droits civiques.