隐私保护成焦点

对很多民营企业来说，在CRS制度框架下，比补税的资金损失更可怕的问题是个人和企业隐私被暴露的风险。北京瑞银律师事务所王昊律师告诉记者，“从个人角度来讲，很多企业所有者可能都是离岸公司背后的实际控制人，他们可能会从两个层面考虑，一个是企业的税负问题；另外一个更受关注的问题是，他作为股东，他的个人财富及隐私权是否会受到影响。”

在王昊看来，现在包括未来一段时间内，为了应对CRS，企业可能会重置或者拆解海外资产结构，但其更重要的目的可能是基于个人或家族的隐私保护问题。“可以说，CRS的实施对个人和家族隐私存在非常大的潜在风险，所以有一些人既使不存在税务方面的风险，企业也可能为了保护隐私，对资产重新调整和安排。” 

“很多人担心在签署CRS框架协议的101个国家里面，很多国家的数据保护力度不够，他们担忧当个人信息在这么多国家之间进行互换时，很难保证每一个环节皆无纰漏。”

事实上，这也是CRS未来在实施过程中面临的一个巨大挑战。在CRS进入实施阶段之前，OECD国家曾经考虑过，是否将过去五年或十年的资料进行共享，但这个问题并没有达成一致意见。欧洲很多从事隐私保护的律师认为，这种大范围交换客户的信息，隐私泄露风险非常大。甚至有律师准备和客户一起向欧盟人权法院起诉CRS违反欧盟的《人权法案》。事实上，欧洲已经出现过一些类似的案例。比如2016年法国出台了一个信托登记的法律制度，这也是顺应欧盟2015年出台的一项规定，即要求各国披露所有权结构的最终受益人是谁。“前不久就有人因此起诉了法国政府，认为这种公开披露方式是违反人权保护的。随后法国政府修改了法律，要求信托登记制度只在特定人群中公示，不再公开披露。”

除了欧盟有《人权法案》，各个国家还有各个国家相关的法律法规，如果一旦引起冲突，CRS的实施势必会遇到挑战。

同样以美国的FATCA法案（俗称反肥猫法案）为例，虽然美国承诺对等披露，但是目前该法案已经实施了两年左右的时间，美国没有向任何一个跟它签署协议的政府披露过相关信息，它的理由是美国国内法律不允许。

因此对于CRS来说，在互相交换信息方面2017年只是刚刚开始，将来各国信息会披露到什么程度，包括各国会从中受益到什么程度，现在还很难预测。

个人隐私保护法规缺位

中国人民大学金融与财税电子化研究所特聘研究员、原国税总局研究员李雪若表示，“CRS需要识别和披露的信息中包括大量个人隐私信息，如果在一个没有严格的、严谨的、严密的个人数据保护法情况下实施CRS，我觉得是很危险的事情。”

在李雪若看来，海外关于保护个人信息往来的法规已经非常完善，从欧盟20年来关于保护个人隐私立法的资料来看，欧盟对个人隐私保护非常严格。举例来说，两年前欧盟专门针对谷歌发布了一个法案。法案规定，凡是欧盟公民看到谷歌上有自己不愿意公布的信息，谷歌必须删除。因为这一法案，谷歌很快删掉了几十万条信息。再以美国为例，为保护相关医疗信息隐私，美国专门出台了一个关于传输电子病例的法案，不仅严格规定了如何使用电子病例，法案还对电子病例的传输方式、传输设备、传输软件等都进行了严格规定。

“但是，目前我国在隐私保护方面仍处于一个裸奔的状态，很多隐私信息可以被很廉价地获取。如果实施CRS以后在信息交换过程中个人的信息和隐私被暴露，这将是非常可怕的事情。”李雪若认为，“目前国内有关个人隐私保护的法规散见在各个法规里，还没有一部专门法律对隐私保护进行规定。虽然不久前公布的《国家安全法》中涉及了对个人数据安全的保护，但这只是一个起步。在一些通过泄露个人信息进行牟利的案例中，现在的处理方式是按照诈骗罪处理，基本上是参照一些基础法律条文进行处理，我觉得这是非常不够的。对于个人隐私和信息保护，我们需要进行严格地、严谨地、严厉地专门立法，法规名称可以直接称为个人信息或个人数据保护法，这样才能够在大数据时代实现安全的信息交换。”

“从国内税务部门掌握的涉税信息来看，除了信息孤岛现象之外，实际上中国税务部门对涉税信息掌握得非常不全面。做大数据工作首先要有一个基础性的工作，要重新修订涉税信息的样本或者科目。目前我们国家的税法大概可以分为四个层次：第一层次是人大的立法；第二层次是国务院颁布的法规；第三层次是税务部门或者财政部的实施细则；第四层次是各个税种的会计处理规定。跟国外相比，中国税法显得非常单薄。”李雪若表示，“因此，税务部门要用大数据做好税务工作，要针对两个方向解决问题：一个是要解决信息孤岛的问题，另一个就是通过立法，全面搜集涉税信息。”

另外，实施CRS后税务系统的人力挑战也是一个重要问题。当中国接到别的国家汇总过来的材料，比如说在BVI有多少人，在中国香港有多少人，那国家税务总局需要多少人去分析这些资料，中国有没有那么多人力来处理这个事情是个问题。“这种分析还很难外包，因为一旦外包就涉及到信息泄露。所以，来自人力的挑战与隐私的保护又纠结在了一起。目前我国还没有一部用来保护商业机密信息的法律，因此未来国家在推进CRS的同时，也必须出台相关法律。”李雪若说道。