Ochrona danych w KSeF - czy dane przedsiębiorców są bezpieczne?

Jedną z wielu rzeczy, którą Polska może się pochwalić na arenie międzynarodowej, jest poziom elektronizacji. Rozwija się w tym kierunku nie tylko prywatny biznes, ale również, a może przede wszystkim, administracja państwowa. Niewiele mamy już obszarów publicznych, w których musimy się poruszać w sposób analogowy. Niemalże każdą sprawę jesteśmy teraz w stanie załatwić przez internet. Kolejnym udogodnieniem przewidzianym przez prawodawcę ma być Krajowy System e-Faktur. Zastanówmy się jak wygląda ochrona danych w KSeF.

KSeF – czym jest dokładnie?

Krajowy System e-Faktur, w skrócie KSeF, to działający już – na razie dobrowolnie – system rejestracji, odbioru i przechowywania faktur, stworzony przez Ministerstwo Finansów.

System ten służy do obsługi faktur VAT o ustrukturyzowanej formie. Ustrukturyzowana faktura oznacza dokument, którego struktura jest zgodna z określonymi specyfikacjami. W tym wypadku jest to format XML, który umożliwia odbiorcom jej automatyczne przetwarzanie. Oznacza to, że faktury przesyłane za pośrednictwem KSeF muszą być oznaczone unikalnym numerem identyfikacyjnym, który zostaje przypisany dokumentowi przez system. Bez takiego numeru faktura byłaby jedynie „zwykłym” dokumentem sprzedaży. Faktura ustrukturyzowana będzie zatem uznana za wystawioną i doręczoną w momencie przydzielenia jej numeru identyfikującego.

Faktury ustrukturyzowane można wystawić z wykorzystaniem bezpłatnych narzędzi, które udostępnia Ministerstwo Finansów, lub przy użyciu programów komercyjnych. Tutaj akurat nie ma to żadnego znaczenia, oba sposoby korzystają z tych samych rozwiązań.

Z KSeF mogą korzystać, a w przyszłości będą musieli, następujące podmioty:

• przedsiębiorcy zarejestrowani jako czynni podatnicy podatku VAT,
• przedsiębiorcy zwolnieni z podatku VAT,
• podatnicy zidentyfikowani w Polsce do szczególnej procedury unijnej OSS, posiadający polski identyfikator podatkowy NIP.

Od kiedy KSeF będzie obowiązkowy?

Krajowy System e-Faktur został wprowadzony do porządku prawnego dobrych kilkanaście miesięcy temu. Pilotaż z udziałem podatników został „odpalony” już w październiku 2021 roku.

Od 1 stycznia 2022 roku wprowadzono KSeF jako rozwiązanie fakultatywne. Od tego momentu możliwe jest wystawianie faktur ustrukturyzowanych w ramach Krajowego Systemu, nie jest ono jednak w dalszym ciągu obowiązkowe. Obligatoryjny obowiązek korzystania z systemu zostanie wprowadzony za ponad pół roku, tj. od 1 lipca 2024 roku.

Do czego służy KSeF?

Krajowy System e-Faktur służy oczywiście do wystawiania e-faktur. Ale nie tylko, możliwości tego rozwiązania są o wiele szersze. Jak wskazuje Ministerstwo Finansów, funkcjonalności KSeF pozwalają w szczególności na:

1. nadawanie, zmiany lub odbieranie uprawnień do korzystania z KSeF oraz powiadamianie podmiotów o nadanych uprawnieniach lub ich odebraniu,
2. uwierzytelnienie oraz weryfikację uprawnień do korzystania z KSeF,
3. wystawianie faktur ustrukturyzowanych (e-Faktur) oraz ich przechowywanie,
4. oznaczanie e-Faktur numerem identyfikującym przydzielonym w KSeF,
5. analizę i kontrolę prawidłowości danych z e-Faktur,
6. otrzymywanie e-Faktur oraz dostęp do nich,
7. powiadamianie podmiotów o: 
• dacie i czasie wystawienia e-Faktury oraz numerze identyfikującym e-Fakturę; przydzielonym w KSeF oraz dacie i czasie jego przydzielenia,
• dacie i czasie odrzucenia faktury w przypadku jej niezgodności ze wzorem,
• braku możliwości wystawienia e-Faktur – w przypadku niedostępności KSeF,
• braku uprawnień do korzystania z KSeF. 

Kogo ominie obowiązek wystawiania faktur ustrukturyzowanych?

Nie wszyscy zostaną zobligowani do korzystania z KSeF od 1 lipca 2024 roku. Niektórzy przedsiębiorcy będą w dalszym ciągu mogli korzystać z tradycyjnych rozwiązań. Jak wskazuje art. 106ga ust. 2 ustawy o VAT, obowiązek wystawiania faktur ustrukturyzowanych nie dotyczy wystawiania faktur:

1. przez podatnika nieposiadającego siedziby działalności gospodarczej ani stałego miejsca prowadzenia działalności gospodarczej na terytorium kraju,
2. przez podatnika nieposiadającego siedziby działalności gospodarczej na terytorium kraju, który ma stałe miejsce prowadzenia działalności gospodarczej na terytorium kraju, przy czym to stałe miejsce prowadzenia działalności nie uczestniczy w dostawie towarów lub świadczeniu usług, dla których wystawiono fakturę,
3. przez podatnika korzystającego z wybranych procedur szczególnych, w odniesieniu do faktur dokumentujących czynności rozliczane w tych procedurach,
4. na rzecz nabywcy towarów lub usług będącego osobą fizyczną nieprowadzącą działalności gospodarczej,
5. w okresie trwania awarii Krajowego Systemu e-Faktur,
6. w okresie trwania niedostępności Krajowego Systemu e-Faktur oraz w przypadkach, gdy podatnik nie ma możliwości wystawienia faktury ustrukturyzowanej z innego powodu niż awaria Krajowego Systemu e-Faktur (określonych w komunikatach ministra właściwego do spraw finansów publicznych),
7. w przypadkach odpowiednio dokumentowanych dostaw towarów lub świadczenia usług, określonych w odrębnym rozporządzeniu ministra właściwego do spraw finansów publicznych.

Ochrona danych w KSeF – co z danymi przedsiębiorców?

Zanim przedsiębiorca będzie mógł korzystać z Systemu Krajowego, musi przejść proces uwierzytelnienia i autoryzacji. Wiąże się to zatem z koniecznością wskazania wszystkich swoich danych. Bez tego kroku nie będzie możliwe wystawianie faktur w KSeF, a co za tym idzie, od 1 lipca 2024 roku nie będzie możliwe wystawianie ich w ogóle. Jeżeli przedsiębiorstwo będzie działało przez swojego reprezentanta, pełnomocnika czy innego podmiotu uprawnionego (np. biuro rachunkowe), konieczne będzie również wskazanie danych osobowych tych osób.

W przypadku osób fizycznych prowadzących jednoosobowe działalności gospodarcze proces ten będzie prosty i intuicyjny. Wystarczy użyć profilu zaufanego lub podpisu kwalifikowanego, aby potwierdzić identyfikację swojej firmy. Nieco bardziej skomplikowane będzie już uwierzytelnienie osób prawnych. Prowadząc spółkę, przedsiębiorca będzie zmuszony zgłosić się do naczelnika urzędu skarbowego. Tam będzie musiał złożyć odpowiednie zawiadomienie (ZAW-FA) o nadaniu uprawnień do korzystania z platformy dla konkretnej osoby. W ten sam sposób należy zgłaszać odebranie uprawnień. Prawidłowy wniosek skutkuje wyznaczeniem administratora, którego zadaniem jest zarządzanie uprawnieniami pracowników w KSeF.

Ochrona danych w KSeF - czy jest czym się martwić?

Doświadczenie nauczyło przedsiębiorców, że systemy państwowe nie należą do najbardziej dopracowanych, zoptymalizowanych i szczelnych. Powstaje zatem pytanie – czy tak olbrzymia baza danych przedsiębiorców, ich klientów i kontrahentów jest bezpiecznym rozwiązaniem?

Papierowe faktury oraz ich cyfrowe wersje przetrzymywane na prywatnych serwerach firm są z pewnością bezpieczniejsze. Po pierwsze są rozproszone – nie znajdują się na jednym dysku organu państwowego. Po drugie serwery prywatne lub te prowadzone przez globalne korporacje (typu Microsoft czy Google) są z pewnością o wiele lepiej chronione. Mimo zapewnień Ministerstwa Finansów o tym, że nie ma powodów do zmartwień, przedsiębiorcy oraz specjaliści od cyberbezpieczeństwa obawiają się wycieku danych na ogromną skalę.

Ministerstwo zapewnia, że bezpieczeństwo KSeF wynika przede wszystkim z tego, że konstrukcja KSeF wyklucza anonimowy dostęp. To konkretne, znane z imienia i nazwiska osoby uzyskają dostęp do faktur ustrukturyzowanych. Do tego podmioty publiczne odpowiedzialne za przechowywanie danych są zobligowane do wdrożenia rozwiązań, które zminimalizują ryzyko nieautoryzowanego dostępu do e-faktur. Co więcej, każda faktura ustrukturyzowana, czyli e-faktura wystawiana w ramach systemu KSeF, ma indywidualny numer identyfikacyjny, który ma uniemożliwić próby ich fałszowania lub modyfikowania.

Mimo owego braku anonimowości występuje wiele zagrożeń, które potencjalnie mogą przyczynić się do zmniejszenia bezpieczeństwa danych. Przede wszystkim chodzi o czynnik ludzki. Po stronie organów administracyjnych, nawet przy najlepszym przeszkoleniu, może pojawić się osoba, która „nie słuchała”, lub nowy pracownik, jeszcze nie w pełni wdrożony. Jak to przy systemach informatycznych bywa, wystarczy mały błąd, aby rozszczelnić cały mechanizm bezpieczeństwa. To samo może pojawić się po stronie użytkowników KSeF. Przedsiębiorcy mają obowiązek korzystania z systemu. Ale czy mają również zapewnione wystarczające wsparcie merytoryczne, aby nie popełniać błędów? Problemy mogą wynikać również z procesu integracji KSeF z oprogramowaniem komercyjnym. Kilka źle napisanych linijek kodu i dane, również te osobowe, mogą w łatwy sposób trafić do osób trzecich, o niekoniecznie szlachetnych zamiarach.

Jak widać, jest się czego bać. Być może cały proces przejścia na faktury ustrukturyzowane nie sprawi większych kłopotów. Mimo to należy przygotować się na wiele wyzwań i ryzyk.