涉税信息保密：谁掌握你的纳税情况、泄露怎么追责、共享的边界在哪

一家区域性的建材经销商，2025 年参加一个工程招标。开标前一周，竞争对手在一次饭局上准确说出了它去年的营业收入区间、主要客户构成，甚至连它有一笔大额进项留抵都知道。老板回来第一件事就是问财务：这些东西除了税务局，还有谁知道？

另一件事发生在个人身上。某公司高管连续接到贷款中介的电话，对方不仅知道他的名字和单位，还能说出他的大致年薪区间和专项附加扣除项目。他怀疑是个税申报数据流出去的。

第三件事反过来。某银行收到税务机关的账户查询通知，以「保护客户隐私」为由拖延提供，被税务机关依据《税收征收管理法》第七十三条处以罚款。

三件事指向同一个制度：涉税信息在谁手里、能流向谁、流错了怎么办。很多人以为涉税信息是「绝对保密」的，这个理解既不准确，也不利于保护自己——因为不知道边界在哪，就不知道哪些泄露是真的违法，哪些只是自己以为的「秘密」。

这一篇要解决四个问题： 第一，涉税信息从哪几个渠道产生，谁手里有；第二，保密的对象到底是哪些信息，哪些明确不在保密范围；第三，税务机关可以把信息给谁，法定通道有哪几条；第四，真的泄露了，行政、民事、刑事三条线怎么追。

一句话定义：涉税信息保密，是指税务机关、税务人员以及因履行职责或者提供服务而知悉纳税人、扣缴义务人涉税信息的单位和个人，对依法获取的商业秘密与个人隐私负有不得违法提供、泄露或者公开的义务；其保护范围、例外情形与责任后果，由法律、行政法规规定。

构成要件

一、信息从哪来：四条渠道，四个掌握者

涉税信息不是一个来源，而是四条渠道汇入，理解这一点，才能判断泄露可能发生在哪一环。

第一条是纳税人自行申报。申报表、财务报表、附送资料，包含收入、成本、利润、资产、关联交易等核心经营数据。这些信息由纳税人主动提供，掌握在主管税务机关。

第二条是扣缴义务人报送。单位代扣代缴个人所得税，掌握本单位员工的姓名、身份证号、收入构成、专项附加扣除信息。这部分信息同时存在于两个主体手里：扣缴单位和税务机关。

第三条是第三方提供。银行账户流水、不动产登记信息、市场监管登记信息、海关进出口数据、平台交易数据，通过信息共享或者依法查询进入税务系统。 《税收征收管理法》第六条第一款明确，国家有计划地用现代信息技术装备各级税务机关，建立健全税务机关与政府其他管理机关的信息共享制度。

第四条是税务机关调查取得。稽查、检查、询问、调取账簿、查询存款账户，形成案卷材料。这部分信息只在税务机关内部流转，敏感度最高。

四条渠道对应四类风险点。申报环节的风险在系统与网络，扣缴环节的风险在单位内部管理，第三方环节的风险在共享接口，调查环节的风险在案卷管理。判断一次泄露可能出在哪，先看泄露的内容属于哪条渠道。

二、谁负有保密义务：不止税务机关

《税收征收管理法》第八条第二款把义务主体写成「税务机关」，但实际承担保密义务的主体远不止这一个。

第一类是税务机关与税务人员。这是最直接的主体，义务来源是第八条第二款与《实施细则》第五条。

第二类是扣缴义务人。单位代扣代缴个人所得税，掌握全部员工的收入信息。 《税收征收管理法》第八条的保密权赋予「纳税人、扣缴义务人」，反过来，扣缴义务人对因扣缴而知悉的员工个人信息，同样负有不得随意提供、公开的义务。实务中单位在内部公示工资明细、把个税申报数据发给无关人员，都可能构成泄露。

第三类是金融机构。银行因协助查询、执行冻结或者扣缴而掌握涉税信息。 《税收征收管理法》第十七条第二款规定，银行和其他金融机构应当在从事生产、经营的纳税人的账户中登录税务登记证件号码，并在税务登记证件中登录从事生产、经营的纳税人的账户账号。这是双向登录义务，银行因此掌握企业账户与税务登记之间的对应关系，同样受保密约束。

第四类是涉税中介与代理人。税务师事务所、会计师事务所、代理记账机构、律师，因受托办理涉税事项而知悉企业信息。它们的保密义务来自委托合同与执业规范，同时受《民法典》与《刑法》相关条文约束。

第五类是其他因履职知悉的机关。公安、海关、市场监管、审计等部门通过信息共享获得涉税信息，使用时受提供目的限制，不得转作他用或者对外公开。

三、保密的对象：商业秘密与个人隐私，两项

《实施细则》第五条把「情况」这个词收窄成两项，这是整个保密制度的核心条文。

税收征管法第八条所称为纳税人、扣缴义务人保密的情况，是指纳税人、扣缴义务人的商业秘密及个人隐私。

商业秘密，按《反不正当竞争法》的定义，是不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。落到涉税场景，成本结构、定价策略、客户名单、供应商体系、毛利率、关联交易定价方法，都属于这一类。

个人隐私，指自然人的私人生活安宁与不愿为他人知晓的私密空间、私密活动、私密信息。落到涉税场景，身份证号、家庭住址、联系电话、银行账号、家庭成员的扣除信息，都属于这一类。

《民法典》第一千零三十四条把个人信息的范围写得更细：姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。同条第三款还规定，个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。这条规则在涉税场景的意义是：涉税个人信息既可以按隐私权主张，也可以按个人信息保护规则主张，两条路可以根据具体情形选择。

四、不在保密范围的三类：这一条必须说清楚

《实施细则》第五条的后半句同样重要，而且更常被忽略。

纳税人、扣缴义务人的税收违法行为不属于保密范围。

这一句划掉了很大一块。被立案检查、被认定少缴税款、被行政处罚、被列入重大税收违法失信名单，这些事实本身属于税收违法行为，不在保密范围之内。所以「你们不许告诉别人我们被查了」这类要求，法律上没有支撑。

第二类不在保密范围的是依法公开的信息。税务机关依法向社会公告的欠税信息、非正常户信息、处罚决定信息，属于主动公开或者依申请公开的范畴，不适用保密规定。

第三类是依法向国家机关提供的信息。税务机关依照法律、行政法规的规定，向公安、海关、司法机关等提供涉税信息，属于履行法定职责，不构成泄露。判断标准是有没有法律、行政法规的依据，以及是否在必要范围内。

这三类之外的，才回到保密范围。实践中的争点往往在于：一条信息同时包含违法事实与商业秘密。比如处罚决定书里写了企业的成本结构作为证据，公开决定书时是否要隐去成本数据。处理原则是区分对待：违法事实可以公开，商业秘密应当作技术处理后公开。

五、共享的法定通道：四条，各有依据

税务机关把信息给出去，必须走在通道里。四条主要通道如下。

第一条是政府机关之间的信息共享。依据是《税收征收管理法》第六条第一款与《实施细则》第四条。 《实施细则》第四条第二款规定，地方各级人民政府应当积极支持税务系统信息化建设，并组织有关部门实现相关信息的共享。

第二条是金融机构的协助义务。 《税收征收管理法》第十七条第三款：税务机关依法查询从事生产、经营的纳税人开立账户的情况时，有关银行和其他金融机构应当予以协助。这是一条明确的法定义务，银行不能以客户隐私为由拒绝。

第三条是刑事司法程序中的移送。涉嫌犯罪的案件，税务机关依法移送公安机关，随案移送相关证据材料。 《税收征收管理法》第七十七条对此有明确规定。

第四条是检举与举报处理中的必要告知。 《税收征收管理法》第十三条规定，收到检举的机关和负责查处的机关应当为检举人保密。这一条约束的是「向被检举人透露检举人身份」，不是禁止向办案机关提供材料。

四条通道之外，还有一条容易被误用的：向社会公开。公开不是「给谁看」的问题，而是「依什么程序公开」的问题。公开要有依据、有范围、有期限，还要给当事人陈述申辩的机会。没有依据的公开，与泄露没有区别。

开头那家银行的做法，正是走错了方向。 《税收征收管理法》第十七条第三款是明确的协助义务，拒绝协助的后果写在第七十三条：由税务机关处十万元以上五十万元以下的罚款，对直接负责的主管人员和其他直接责任人员处一千元以上一万元以下的罚款。以「客户隐私」为由拒绝，不但挡不住，还会把银行自己搭进去。

六、泄露的三条责任线：行政、民事、刑事

信息泄露之后，追责有三条线，可以并行。

第一条是行政责任。税务人员违反规定泄露涉税信息，按《税收征收管理法》与相关规范给予处分；金融机构拒绝协助或者帮助转移存款的，按第七十三条处罚；扣缴义务人、中介机构违规提供信息的，按其行业管理规定处理。

第二条是民事责任。 《民法典》第一千零三十四条明确自然人的个人信息受法律保护。信息主体可以主张停止侵害、删除、赔偿损失。企业主张商业秘密被侵害的，按《反不正当竞争法》的路径处理，需要证明信息属于商业秘密、对方有获取或者使用行为、造成了损失。

第三条是刑事责任。 《刑法》第二百五十三条之一规定了侵犯公民个人信息罪：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

这一条的第二款尤其要留意：违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。「履行职责或者提供服务过程中获得」这个限定，把税务人员、银行职员、扣缴单位经办人、中介机构从业人员全部纳入射程，而且是从重处罚。第四款还规定单位犯罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员定罪处罚。

三条线的关系不是「选一条」，而是可以同时推进。行政责任解决职务与资格问题，民事责任解决损失填补，刑事责任解决最严重的情形。当事人能启动的是后两条，第一条由有权机关启动。

七、纳税人的信息提供义务：保密权的另一面

谈到保密，容易只讲「你们不能泄露」，忘了另一半。

《税收征收管理法》第六条第二款：纳税人、扣缴义务人和其他有关单位应当按照国家有关规定如实向税务机关提供与纳税和代扣代缴、代收代缴税款有关的信息。

这一款与保密权是一体两面。税务机关有依法获取信息的权力，纳税人有如实提供的义务；在此基础上，税务机关对获取的信息承担保密义务。不能只主张后一半，否认前一半。

实务中的错位主张有两种。第一种是「这些是我们的商业秘密，不能提供」——商业秘密可以主张保密，但不能成为拒绝依法提供资料的理由。第二种是「你们要的信息太多了」——税务机关要求提供的范围应当与纳税事项相关且必要，超出必要范围的部分可以提出异议，但异议的方式是说明理由、申请调整范围，不是一概拒绝。

《民法典》第一千零三十五条关于个人信息处理的规定，有一句「但是法律、行政法规另有规定的除外」。这句话正是税务机关依法收集涉税信息的规范接口： 不需要逐次取得每一个纳税人的同意，但处理行为仍受合法、正当、必要原则约束，也不得超出法定目的使用。

八、信息的全生命周期：七个环节，每个环节都有风险

《民法典》第一千零三十五条第二款把个人信息的处理拆成七个环节：收集、存储、使用、加工、传输、提供、公开。这七个环节同样适用于涉税信息，逐一对照，风险点就清楚了。

收集环节的风险是超范围。税务机关要求提供的资料应当与纳税事项相关且必要。企业这一侧的对应动作是：核对要求提供的清单是否落在申报、检查的合理范围内，超出部分书面提出异议。

存储环节的风险是保管不严。纸质申报表、完税凭证、稽查案卷如果随意堆放，物理层面的泄露比网络泄露更常见。企业保管自己的涉税资料，也应当有专门的档案柜与借阅登记。

使用环节的风险是超目的。为纳税申报收集的信息，不能拿去营销、不能拿去对外披露。这一条对中介机构尤其关键：受托办理汇算清缴而知悉的收入结构，不能用于推销其他产品。

加工环节的风险是二次生成。把原始数据加工成分析报告、排行榜、行业对比，加工后的成果同样可能包含商业秘密。「这不是原始数据，是我们自己算的」不能成为免责理由。

传输环节的风险是通道不安全。邮件、聊天工具、网盘传输涉税资料，一旦发错人、发错群，撤回也来不及。稳妥做法是限定接收人、加密压缩、发送后电话确认。

提供环节的风险是无依据。这一环节对应本篇的核心：有没有法律、行政法规依据，有没有超出必要范围。两个问题都过关，才是依法提供。

公开环节的风险是程序缺失。公开要有依据、有范围、有期限、有当事人的陈述申辩机会。程序缺失的公开，性质上与泄露相同。

七个环节里，企业能控制的是收集、存储、使用、传输、提供五个；能主张的是加工与公开两个。分清楚哪几个环节是自己的事，才知道资源该往哪里投。

九、企业自查六个动作：把保密从「知道」变成「做到」

第一个动作，列出涉税信息的知悉人员清单。工资表、申报表、完税凭证、稽查资料，分别有哪些岗位能看到，写下来。清单之外的人要看，走审批。

第二个动作，给对外提供的资料分级。投标、融资、审计、评估需要的涉税资料，哪些可以原件、哪些必须脱敏、哪些只能现场查阅不给带走，提前定规则。临时决定的，通常按最宽松的方式处理。

第三个动作，签保密协议时写清用途与期限。只写「双方对知悉的信息保密」不够，要写明用于什么事项、用完之后怎么处理、违约怎么赔。没有用途限定的保密条款，实际约束力很弱。

第四个动作，建立留痕机制。谁在什么时间把什么资料给了谁，登记一行字。真发生泄露时，这份登记就是排查的起点，也是自证已尽管理义务的证据。

第五个动作，把员工的个税信息单独管理。工资、专项附加扣除、年终奖，这些数据不要与业务数据混在一个共享盘里。权限按岗位分配，离职当天收回。

第六个动作，每年做一次泄露演练。假设某一份资料流出去了，从谁知道、怎么传的、能追到哪一步，走一遍流程。演练暴露的漏洞，比事后追责有价值得多。

这六个动作都不复杂，复杂的是坚持。涉税信息保密这件事，出事之前看起来是形式，出事之后才知道是底线。

法条依据

说明：本词条依据《中华人民共和国税收征收管理法》（2015 年 4 月 24 日修正）、《中华人民共和国税收征收管理法实施细则》（2016 年 2 月 6 日修订）、《中华人民共和国刑法》与《中华人民共和国民法典》编写，法条原文均取自现行有效文本。需要提示三点：第一，《实施细则》第五条把保密对象限定为商业秘密与个人隐私，并明确税收违法行为不属于保密范围，「不要告诉别人我们被查了」这类要求没有依据，而对依法公开的欠税信息、非正常户信息、处罚信息主张保密，同样站不住；第二，保密义务不是绝对的，依法向公安、海关、司法机关提供，依法向银行查询账户，都属于履行法定职责，判断标准是有没有法律、行政法规依据以及是否在必要范围内；第三，泄露的责任分三条线，《刑法》第二百五十三条之一第二款对「履行职责或者提供服务过程中获得」的信息出售、提供行为规定从重处罚，这一款把税务人员、银行职员、扣缴单位经办人、中介从业人员全部纳入射程。法条核对日期：2026 年 10 月 29 日。以上意见仅供参考，具体请以律师正式意见为准。

与相邻概念的区别

这张表里最容易混淆的是「依法提供」与「违法泄露」。两者的分界不在「有没有给出去」，而在「有没有依据、有没有超出必要范围」。税务机关依法向公安机关移送涉嫌犯罪案件，是依法提供；同一份材料被经办人员私下发给朋友，是违法泄露。同一个动作，两种性质，区别全在依据与目的。

实操指引

第一步，判断一条信息是否属于保密范围，问三个问题。它是不是商业秘密或者个人隐私？它是不是税收违法行为本身？它是不是已经依法公开？三个问题走完，多数争议就有答案了。

第二步，发现信息可能泄露，先定位渠道。泄露的内容是申报数据、扣缴数据、银行流水还是稽查案卷，对应四条不同的来源渠道。定位渠道之后，才知道该向谁核实：主管税务机关、扣缴单位、银行、还是办案部门。

第三步，固定证据再交涉。泄露的载体（截图、录音、邮件、聊天记录）、时间、内容、对方身份，尽量固定。没有证据的投诉，通常只能得到「我们会核查」的答复。

第四步，选择追责路径。要求停止侵害、删除信息、赔偿损失，走民事；要求查处税务人员或者机构，走监察、上级税务机关或者行业主管部门；涉嫌犯罪的，向公安机关报案，重点是《刑法》第二百五十三条之一第二款的从重情节。

第五步，企业管好自己的知悉范围。涉税数据的知悉人员应当限定在必要范围，工资表、申报表、完税凭证的流转要有登记。对外提供（审计、评估、融资、投标）时，能脱敏的脱敏，不能脱敏的签保密协议并限定用途。

第六步，面对税务机关的信息提供要求，先核对范围再决定。与纳税事项相关且必要的，如实提供；明显超出必要范围的，书面说明理由、申请调整。一概拒绝的后果，可能落在《税收征收管理法》第七十条的「逃避、拒绝或者以其他方式阻挠税务机关检查」，罚款一万元以下，情节严重的五万元以下。

第七步，银行等机构不要错判协助义务。 《税收征收管理法》第十七条第三款的协助义务是法定的，拒绝协助的后果写在第七十三条，罚款十万元以上五十万元以下，直接责任人员一千元以上一万元以下。以客户隐私为由拒绝，既挡不住查询，又给自己招来处罚。

常见问题

税务机关会把我的纳税信息给别人吗？

会依法提供给特定主体，但必须走法定通道。主要包括：政府机关之间的信息共享（第六条第一款、细则第四条）、银行等金融机构的协助查询（第十七条第三款）、涉嫌犯罪案件向公安机关移送（第七十七条）。通道之外的提供，才构成违法。

我被稽查的事，能不能要求税务机关保密？

不能。《实施细则》第五条明确规定，纳税人、扣缴义务人的税收违法行为不属于保密范围。被立案检查、被认定少缴税款、被处罚，都属于税收违法行为范畴。可以主张保密的是其中的商业秘密与个人隐私部分，比如案卷里的成本结构、客户名单。

单位把我们的工资和个税数据发在群里，算泄露吗？

可能构成泄露。单位作为扣缴义务人，因扣缴而知悉员工的收入与扣除信息，属于个人信息的范畴。在无关范围内公示、转发，缺乏合法依据与必要性，员工可以要求停止侵害、删除，造成损失的可以主张赔偿。

银行能不能以保护客户隐私为由拒绝税务机关查询？

不能。《税收征收管理法》第十七条第三款规定，税务机关依法查询从事生产、经营的纳税人开立账户的情况时，有关银行和其他金融机构应当予以协助。拒绝协助的，按第七十三条处十万元以上五十万元以下罚款，对直接责任人员处一千元以上一万元以下罚款。

税务机关向公安机关移送案件，是不是泄露？

不是。第七十七条规定，纳税人、扣缴义务人有第六十三条、第六十五条、第六十六条、第六十七条、第七十一条规定的行为涉嫌犯罪的，税务机关应当依法移交司法机关追究刑事责任。这是法定职责，属于依法提供，不构成泄露。

涉税信息被泄露，能追究刑事责任吗？

情节严重时可以。《刑法》第二百五十三条之一规定了侵犯公民个人信息罪，第二款还规定，在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，从重处罚。这一款把税务人员、银行职员、扣缴单位经办人、中介从业人员都纳入射程。

企业的成本结构被泄露，能主张什么？

可以主张商业秘密被侵害。需要证明三点：该信息属于商业秘密（不为公众所知悉、有商业价值、采取了保密措施）；对方有获取或者使用行为；造成了损失或者有损失可能。路径是民事救济，必要时可以同时向主管部门投诉。

税务机关要求提供的资料太多，能不能拒绝？

不能一概拒绝，但可以就范围提出异议。《税收征收管理法》第六条第二款规定了如实提供义务，同时要求提供的范围应当与纳税事项相关且必要。超出必要范围的，书面说明理由、申请调整范围；一概拒绝的，可能落在第七十条的阻挠检查，面临罚款。

我们公司的涉税数据被中介机构拿去用了，怎么办？

先看委托合同里的保密条款与用途限定，再固定证据。中介机构因受托而知悉企业信息，负有保密义务，超出委托目的使用构成违约，也可能构成侵权。可以主张停止使用、删除、赔偿损失；涉及个人信息的，还可以按个人信息保护规则主张。

依法公开的欠税公告，能不能要求撤下来？

一般不能。欠税信息属于依法公开的范畴，公告有依据、有范围、有程序。可以主张的是公告内容有误（比如金额、期限错误），要求更正；不能仅以「影响经营」为由要求撤下。这与保密权是两个不同的问题。

关联阅读

• 纳税人权利：八项权利怎么用、保密的范围到哪里、申辩什么时候提，本篇讲信息流转，那篇讲权利体系。
• 税务稽查：案源从哪来、六项检查权能查什么，其中查询存款账户正是涉税信息进入税务系统的通道之一。
• 税收保全措施：冻结账户、扣押财产时，涉税信息与第三方协助义务如何交织。
• 非正常户：认定后会公告，属于依法公开的信息，与保密主张的边界正好相反。
• 《中华人民共和国税收征收管理法》：第六条定信息共享与提供义务，第八条定保密权，第十七条定银行协助，第十三条定检举保密。
• 《中华人民共和国税收征收管理法实施细则》：第四条讲信息化与共享，第五条划定保密范围，两条合起来才是完整的边界。
• 第三方涉税保密信息查询：站内关于第三方信息查询的问答汇编，谁能查、查什么、怎么留痕。
• 个人信息被泄露、被冒用怎么办：从固定证据到投诉、报案、起诉的完整路径，与涉税个人信息泄露的处置思路相通。
• 反不正当竞争与商业秘密：客户名单被带走、技术图纸被拷走时怎么保住权利，与涉税商业秘密的保护互相印证。
• 个人信息保护维权判定器：按场景判断是否构成个人信息侵权，给出可走的维权路径。