Dyrektor wyjaśnił również, że przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723), w tym przywołany art. 39 ust. 2 (zawarty w rozdziale 5 tej ustawy) pozostają w mocy do czasu wejścia w życie przepisów wdrażających dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r., ale tylko w odniesieniu do obszarów czynów zabronionych (przestępstw i wykroczeń). Zatem wbrew twierdzeniom skarżącej art. 39 ust. 2 powołanej ostatnio ustawy nie ma zastosowania. Zgodnie z pkt 31 wstępu do rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE nr 119 poz. 1 ze zm. - dalej w skrócie: "rozporządzenie RODO"), organy publiczne, którym ujawnia się dane osobowe w związku z ich prawnym obowiązkiem sprawowania funkcji publicznej (takich jak organy podatkowe, organy celne, finansowe jednostki analityki finansowej, niezależne organy administracyjne czy organy rynków finansowych regulujące i nadzorujące rynki papierów wartościowych), nie powinny być traktowane jako odbiorcy, jeżeli otrzymane przez nie dane osobowe są niezbędne do przeprowadzenia określonego postępowania w interesie ogólnym zgodnie z prawem Unii lub prawem państwa członkowskiego. Żądanie ujawnienia danych osobowych, z którym występują takie organy publiczne, powinno mieć formę pisemną, być uzasadnione, mieć charakter wyjątkowy, nie powinno dotyczyć całego zbioru danych ani prowadzić do połączenia zbiorów danych. Przetwarzając otrzymane dane osobowe, takie organy powinny przestrzegać mających zastosowanie przepisów o ochronie danych, zgodnie z celami przetwarzania.
Podsumowując rozważania Dyrektor stwierdził, że organ pierwszej instancji wypełnił dyspozycję art. 45 ust. 1 ustawy o KAS. Pozyskanie żądanych danych w ocenie organu odwoławczego nie jest również sprzeczne z obowiązującymi przepisami o ochronie danych osobowych.
Skarżąca, reprezentowana przez pełnomocnika pismem z 16 kwietnia 2019 r. wniosła skargę na wskazane powyżej postanowienie Dyrektora wnosząc m. in. o jego uchylenie wraz z poprzedzającym je postanowieniem organu pierwszej instancji oraz przekazanie sprawy do ponownego rozpatrzenia. Ponadto wniesiono o zasądzenie kosztów postępowania w tym kosztów zastępstwa prawnego według norm przepisanych.
Spółka zaskarżonemu postanowieniu zarzuciła naruszenie:
1) art. 45 ust. 1 ustawy o KAS w zw. z art. 5 oraz art. 120 O.p. oraz art. 7 Konstytucji RP poprzez brak wykazania przez organy drugiej jak i pierwszej instancji w sposób niebudzący wątpliwości, że informacje udostępnione przez skarżącą będą miały bezpośredni wpływ na powstanie lub wysokość zobowiązania podatkowego, co jest warunkiem niezbędnym aby organ administracji publicznej mógł żądać udostępnienia informacji na podstawie art. 45 ust. 1 ustawy o KAS;