Ochrona danych w KSeF - czy dane przedsiębiorców są bezpieczne?

Jedną z wielu rzeczy, którą Polska może się pochwalić na arenie międzynarodowej, jest poziom elektronizacji. Rozwija się w tym kierunku nie tylko prywatny biznes, ale również, a może przede wszystkim, administracja państwowa. Niewiele mamy już obszarów publicznych, w których musimy się poruszać w sposób analogowy. Niemalże każdą sprawę jesteśmy teraz w stanie załatwić przez internet. Kolejnym udogodnieniem przewidzianym przez prawodawcę ma być Krajowy System e-Faktur. Zastanówmy się jak wygląda ochrona danych w KSeF.

Najważniejsze zagadnienia o KSeF - webinar

KSeF – czym jest dokładnie?

Krajowy System e-Faktur, w skrócie KSeF, to działający już – na razie dobrowolnie – system rejestracji, odbioru i przechowywania faktur, stworzony przez Ministerstwo Finansów.

System ten służy do obsługi faktur VAT o ustrukturyzowanej formie. Ustrukturyzowana faktura oznacza dokument, którego struktura jest zgodna z określonymi specyfikacjami. W tym wypadku jest to format XML, który umożliwia odbiorcom jej automatyczne przetwarzanie. Oznacza to, że faktury przesyłane za pośrednictwem KSeF muszą być oznaczone unikalnym numerem identyfikacyjnym, który zostaje przypisany dokumentowi przez system. Bez takiego numeru faktura byłaby jedynie „zwykłym” dokumentem sprzedaży. Faktura ustrukturyzowana będzie zatem uznana za wystawioną i doręczoną w momencie przydzielenia jej numeru identyfikującego.

Faktury ustrukturyzowane można wystawić z wykorzystaniem bezpłatnych narzędzi, które udostępnia Ministerstwo Finansów, lub przy użyciu programów komercyjnych. Tutaj akurat nie ma to żadnego znaczenia, oba sposoby korzystają z tych samych rozwiązań.

Z KSeF mogą korzystać, a w przyszłości będą musieli, następujące podmioty:

• przedsiębiorcy zarejestrowani jako czynni podatnicy podatku VAT,
• przedsiębiorcy zwolnieni z podatku VAT,
• podatnicy zidentyfikowani w Polsce do szczególnej procedury unijnej OSS, posiadający polski identyfikator podatkowy NIP.

Od kiedy KSeF będzie obowiązkowy?

Od 1 stycznia 2022 roku wprowadzono KSeF jako rozwiązanie fakultatywne. Od tego momentu możliwe jest wystawianie faktur ustrukturyzowanych w ramach Krajowego Systemu e-Faktur, nie jest ono jednak w dalszym ciągu obowiązkowe. Obligatoryjny obowiązek korzystania z systemu zostanie wprowadzony od 1 lutego 2026 dla dużych podmiotów, którzy w roku 2024 przekroczyli 200 mln złotych obrotu, a dla pozostałych przedsiębiorców od 1 kwietnia 2026. Przy czym od lutego 2026 roku tak na prawdę wszyscy będą zobowiązani pobierać faktury z KSeF.

Do czego służy KSeF?

Krajowy System e-Faktur służy oczywiście do wystawiania e-faktur. Ale nie tylko, możliwości tego rozwiązania są o wiele szersze. Jak wskazuje Ministerstwo Finansów, funkcjonalności KSeF pozwalają w szczególności na:

1. nadawanie, zmiany lub odbieranie uprawnień do korzystania z KSeF oraz powiadamianie podmiotów o nadanych uprawnieniach lub ich odebraniu,
2. uwierzytelnienie oraz weryfikację uprawnień do korzystania z KSeF,
3. wystawianie faktur ustrukturyzowanych (e-Faktur) oraz ich przechowywanie,
4. oznaczanie e-Faktur numerem identyfikującym przydzielonym w KSeF,
5. analizę i kontrolę prawidłowości danych z e-Faktur,
6. otrzymywanie e-Faktur oraz dostęp do nich,
7. powiadamianie podmiotów o: 
• dacie i czasie wystawienia e-Faktury oraz numerze identyfikującym e-Fakturę; przydzielonym w KSeF oraz dacie i czasie jego przydzielenia,
• dacie i czasie odrzucenia faktury w przypadku jej niezgodności ze wzorem,
• braku możliwości wystawienia e-Faktur – w przypadku niedostępności KSeF,
• braku uprawnień do korzystania z KSeF. 

Kogo ominie obowiązek wystawiania faktur ustrukturyzowanych?

Nie wszyscy zostaną zobligowani do korzystania z KSeF od 1 lutego 2026. Niektórzy przedsiębiorcy będą w dalszym ciągu mogli korzystać z tradycyjnych rozwiązań. Jak wskazuje art. 106ga ust. 2 ustawy o VAT, obowiązek wystawiania faktur ustrukturyzowanych nie dotyczy wystawiania faktur:

1. przez podatnika nieposiadającego siedziby działalności gospodarczej ani stałego miejsca prowadzenia działalności gospodarczej na terytorium kraju,
2. przez podatnika nieposiadającego siedziby działalności gospodarczej na terytorium kraju, który ma stałe miejsce prowadzenia działalności gospodarczej na terytorium kraju, przy czym to stałe miejsce prowadzenia działalności nie uczestniczy w dostawie towarów lub świadczeniu usług, dla których wystawiono fakturę,
3. przez podatnika korzystającego z wybranych procedur szczególnych, w odniesieniu do faktur dokumentujących czynności rozliczane w tych procedurach,
4. na rzecz nabywcy towarów lub usług będącego osobą fizyczną nieprowadzącą działalności gospodarczej,
5. w przypadkach odpowiednio dokumentowanych dostaw towarów lub świadczenia usług, określonych w przepisach wydanych na podstawie art. 106s,
6. przez podatnika z siedzibą w innym państwie członkowskim UE korzystającego ze zwolnienia podmiotowego.

Ochrona danych w KSeF – co z danymi przedsiębiorców?

Zanim przedsiębiorca będzie mógł korzystać z Systemu Krajowego, musi przejść proces uwierzytelnienia i autoryzacji. Wiąże się to zatem z koniecznością wskazania wszystkich swoich danych. Bez tego kroku nie będzie możliwe wystawianie faktur w KSeF, a co za tym idzie, od 1 lutego 2026 nie będzie możliwe wystawianie ich w ogóle. Jeżeli przedsiębiorstwo będzie działało przez swojego reprezentanta, pełnomocnika czy innego podmiotu uprawnionego (np. biuro rachunkowe), konieczne będzie również wskazanie danych osobowych tych osób.

W przypadku osób fizycznych prowadzących jednoosobowe działalności gospodarcze proces ten będzie prosty i intuicyjny. Wystarczy użyć profilu zaufanego lub podpisu kwalifikowanego, aby potwierdzić identyfikację swojej firmy. Nieco bardziej skomplikowane będzie już uwierzytelnienie osób prawnych. Prowadząc spółkę, przedsiębiorca będzie zmuszony zgłosić się do naczelnika urzędu skarbowego. Tam będzie musiał złożyć odpowiednie zawiadomienie (ZAW-FA) o nadaniu uprawnień do korzystania z platformy dla konkretnej osoby. W ten sam sposób należy zgłaszać odebranie uprawnień. Prawidłowy wniosek skutkuje wyznaczeniem administratora, którego zadaniem jest zarządzanie uprawnieniami pracowników w KSeF.

Ochrona danych w KSeF - czy jest czym się martwić?

Doświadczenie nauczyło przedsiębiorców, że systemy państwowe nie należą do najbardziej dopracowanych, zoptymalizowanych i szczelnych. Powstaje zatem pytanie – czy tak olbrzymia baza danych przedsiębiorców, ich klientów i kontrahentów jest bezpiecznym rozwiązaniem?

Papierowe faktury oraz ich cyfrowe wersje przetrzymywane na prywatnych serwerach firm są z pewnością bezpieczniejsze. Po pierwsze są rozproszone – nie znajdują się na jednym dysku organu państwowego. Po drugie serwery prywatne lub te prowadzone przez globalne korporacje (typu Microsoft czy Google) są z pewnością o wiele lepiej chronione. Mimo zapewnień Ministerstwa Finansów o tym, że nie ma powodów do zmartwień, przedsiębiorcy oraz specjaliści od cyberbezpieczeństwa obawiają się wycieku danych na ogromną skalę.

Ministerstwo zapewnia, że bezpieczeństwo KSeF wynika przede wszystkim z tego, że konstrukcja KSeF wyklucza anonimowy dostęp. To konkretne, znane z imienia i nazwiska osoby uzyskają dostęp do faktur ustrukturyzowanych. Do tego podmioty publiczne odpowiedzialne za przechowywanie danych są zobligowane do wdrożenia rozwiązań, które zminimalizują ryzyko nieautoryzowanego dostępu do e-faktur. Co więcej, każda faktura ustrukturyzowana, czyli e-faktura wystawiana w ramach systemu KSeF, ma indywidualny numer identyfikacyjny, który ma uniemożliwić próby ich fałszowania lub modyfikowania.

Mimo owego braku anonimowości występuje wiele zagrożeń, które potencjalnie mogą przyczynić się do zmniejszenia bezpieczeństwa danych. Przede wszystkim chodzi o czynnik ludzki. Po stronie organów administracyjnych, nawet przy najlepszym przeszkoleniu, może pojawić się osoba, która „nie słuchała”, lub nowy pracownik, jeszcze nie w pełni wdrożony. Jak to przy systemach informatycznych bywa, wystarczy mały błąd, aby rozszczelnić cały mechanizm bezpieczeństwa. To samo może pojawić się po stronie użytkowników KSeF. Przedsiębiorcy mają obowiązek korzystania z systemu. Ale czy mają również zapewnione wystarczające wsparcie merytoryczne, aby nie popełniać błędów? Problemy mogą wynikać również z procesu integracji KSeF z oprogramowaniem komercyjnym. Kilka źle napisanych linijek kodu i dane, również te osobowe, mogą w łatwy sposób trafić do osób trzecich, o niekoniecznie szlachetnych zamiarach.

Jak widać, jest się czego bać. Być może cały proces przejścia na faktury ustrukturyzowane nie sprawi większych kłopotów. Mimo to należy przygotować się na wiele wyzwań i ryzyk.

Integracja z KSeF w systemie wFirma.pl

System wFirma.pl umożliwia prostą i wygodną integrację z Krajowym Systemem e-Faktur (KSeF). Po wystawieniu faktury sprzedażowej, dokument może zostać natychmiast przesłany do KSeF, natomiast faktury kosztowe mogą być automatycznie importowane z systemu. Aby uruchomić integrację z KSeF w wFirma, należy przejść do zakładki USTAWIENIA » FAKTURY » E-FAKTURY » KRAJOWY SYSTEM E-FAKTUR , a następnie wybrać opcję WŁĄCZ INTEGRACJĘ i dokonać jednorazowego połączenia z platformą KSeF.

 Integracja z KSeF możliwa jest na dwa sposoby:

1. Wygenerowanie tokena autoryzacyjnego poprzez pobranie pliku metadanych na dysk kliknięciem przycisku „Zapisz metadane na dysku” oraz podpisanie go za pomocą pieczęci lub podpisu elektronicznego, na przykład Profilu Zaufanego w systemie ePUAP. Po kliknięciu przycisku „Załącz podpisany plik XML” trzeba wybrać wspomniany podpisany plik z dysku lub przeciągnąć go i upuścić we wskazane miejsce.
2. Wygenerowanie numeru tokena autoryzacyjnego z poziomu aplikacji KSeF, a następnie wklejenie go w wyznaczone pole, które wyświetli się po kliknięciu w przycisk WGRAJ TOKEN.