Если вкратце, то:
- банки (и некоторые другие институции финансового рынка) обязаны выявлять клиентов-нерезидентов (и если банк не страдает головой, тут все сводится к банальному указанию страны резидентства в анкете, обновляемой ежегодно, и в системе — никаких вам GPS и подкожных чипов)
- банки обязаны собрать у таких клиентов национальные идентификаторы или аналоги ИНН (поэтому IBUшки банков на Кипре, к примеру, просят ИНН у всех понаехавших с паспортами РФ года с 15го-16го)
- банки по окончании года передают данные за прошлый год всех, кто числится нерезидентом по их внутренним системам, в свою национальную налоговую (или аналог)
- во второй половине года (август-сентябрь) национальные налоговые обмениваются между собой за прошлый год (на основании указанного резидентства, не гражданства), и по полученным идентификаторам пытаются сматчить, хуизху
- налоговые могут отказаться от обмена - например, если посчитают, что другая сторона не способна обеспечить безопасное хранение и обработку переданных данных (этим предлогом уже британцы пользовались)
- никакая оецд ни одной ногой в обмене не участвует
- "и за прошлые годы тоже" никто в здравом уме передавать не будет (зачастую эти данные просто неоткуда взять), обычно правила объявляются заранее. Например, в 20м году говорят: "начинаем, товарищи банкиры, участвовать в обмене — так что готовьтесь собирать данные за 21й и 22й, которые будут переданы в 23м, и далее каждый год"