Ochrona danych w KSeF – co z tajemnicą przedsiębiorstwa i RODO po wprowadzeniu KSeF?

×

Co musi zawierać faktura VAT i czym różni się faktura ustrukturyzowana (KSeF)?

Zgodnie z art. 106e ust. 1 ustawy o podatku od towarów i usług każda faktura VAT powinna zawierać następujące elementy:

• datę wystawienia,
• kolejny numer nadany w ramach jednej lub więcej serii, który w sposób jednoznaczny identyfikuje fakturę,
• imiona i nazwiska lub nazwę podatnika oraz nabywcy towarów lub usług, a także ich adresy,
• numer, za pomocą którego podatnik jest zidentyfikowany na potrzeby podatku (a w przypadku transakcji wewnątrzunijnych – numer Vat UE),
• numer, za pomocą którego nabywca towarów lub usług jest zidentyfikowany na potrzeby podatku lub podatku od wartości dodanej, pod którym otrzymał towary lub usługi,
• datę dokonania lub zakończenia dostawy towarów albo wykonania usługi bądź datę otrzymania zapłaty, jeśli nastąpiła przed sprzedażą – o ile taka data jest określona i różni się od daty wystawienia faktury,
• nazwę (rodzaj) towaru lub usługi,
• miarę i ilość (liczbę) dostarczonych towarów lub zakres wykonanych usług,
• cenę jednostkową towaru lub usługi bez kwoty podatku (cenę jednostkową netto),
• kwoty wszelkich opustów lub obniżek cen, w tym rabatów z tytułu wcześniejszej zapłaty – o ile nie zostały one uwzględnione w cenie jednostkowej netto,
• wartość dostarczonych towarów lub wykonanych usług objętych transakcją bez kwoty podatku (wartość sprzedaży netto),
• stawkę podatku,
• sumę wartości sprzedaży netto z podziałem na sprzedaż objętą poszczególnymi stawkami podatku oraz sprzedaż zwolnioną od podatku,
• kwotę podatku od sumy wartości sprzedaży netto, z podziałem na kwoty dotyczące poszczególnych stawek podatku,
• kwotę należności ogółem (czyli kwotę brutto).

Co musi zawierać faktura ustrukturyzowana?

Faktura ustrukturyzowana powinna zawierać elementy/dane, takie które występują w zwykłej fakturze VAT, m.in.:

• data wystawienia,
• numer faktury (jednoznaczny w ramach serii),
• dane sprzedawcy i nabywcy (nazwa, adres, NIP / VAT UE),
• data dokonania lub zakończenia dostawy albo wykonania usługi (lub otrzymania zapłaty, jeśli była wcześniej),
• nazwa towaru lub usługi,
• ilość, jednostkę miary,
• cena jednostkową netto,
• kwota rabatów i obniżek,
• wartość sprzedaży netto,
• stawka podatku VAT,
• wartość VAT z podziałem na stawki,
• kwota należności ogółem (brutto).

Poza tymi obowiązkowymi danymi faktura ustrukturyzowana powinna zawierać dodatkowe dane techniczne i systemowe, tj.:

• numer identyfikujący w KSeF (KSeF ID) – unikalny numer nadawany automatycznie przez system po przyjęciu faktury,
• dane podmiotu wystawiającego w imieniu podatnika (jeśli faktura jest wystawiana przez biuro rachunkowe lub pełnomocnika),
• informacje o korelacji z innymi dokumentami (np. numer faktury korygowanej, powiązanie z zamówieniem lub dostawą),
• dane płatności (forma, termin, numer rachunku bankowego, kwoty częściowe),
• oznaczenia GTU, MPP, procedur szczególnych i innych kodów wymaganych w strukturze FA(2),
• dane identyfikujące podmioty trzecie, jeśli uczestniczą w transakcji (np. przedstawiciela podatkowego, płatnika),
• identyfikator pliku i podpis systemowy, które zapewniają integralność dokumentu,
• metadane techniczne (np. wersja struktury logicznej, data przesłania, status w systemie).

Najważniejsze cechy faktury ustrukturyzowanej

KSeF a bezpieczeństwo danych

Wdrożenie KSeF oznacza, że w jednym systemie państwowym będą gromadzone i przetwarzane ogromne ilości danych gospodarczych i osobowych.

Nie ulega wątpliwości, że faktury w KSeF zawierają szeroki zakres informacji, zarówno danych osobowych, jak i danych o charakterze biznesowym, które zazwyczaj objęte są tajemnicą przedsiębiorstwa, tj. dane osobowe, dane finansowe i dane handlowe.

Na czym polega ochrona danych w KSeF? Przede wszystkim ochrona danych w KSeF polega podjęciu następujących działań:

• NADAWANIE UPRAWNIEŃ W KSeF – dostęp do faktur powinny mieć tylko osoby lub podmioty faktycznie upoważnione (zakres tych uprawnień warto regularnie sprawdzać i aktualizować, aby uniknąć nieuprawnionego dostępu;
• OCHRONA TAJEMNICY PRZEDSIĘBIORSTWA – warto sprawdzić, jakie informacje znajdują się na fakturach, i usunąć te, które mogą ujawnić poufne dane o firmie lub jej strategii cenowej;
• MONITOROWANIE DOSTĘPU I AUTORYZACJI – trzeba regularnie kontrolować aktywność użytkowników w KSeF, cyzli sprawdzać, kto korzysta z systemu i jakie działania podejmuje;
• ZABEZPIECZENIA SYSTEMOWE KSEF – KSeF został wyposażony w nowoczesne zabezpieczenia, które chronią dane przedsiębiorców i zapewniają ich poufność. System stosuje m.in. szyfrowanie danych, uwierzytelnianie użytkowników, rejestrację wszystkich działań oraz regularne aktualizacje bezpieczeństwa, co zmniejsza ryzyko nieuprawnionego dostępu lub utraty danych;
• AKTUALIZACJA POLITYKI RODO I REJESTRÓW CZYNNOŚCI PRZETWARZANIA – KSeF wprowadza nowy, bezpieczniejszy sposób przetwarzania danych, ale wymaga też aktualizacji dokumentacji RODO.

W praktyce oznacza to, że wdrożenie KSeF nie kończy się na kwestiach technicznych, ponieważ przedsiębiorcy muszą zadbać o bezpieczeństwo danych zarówno własnych, jak i kontrahentów poprzez aktualizację dokumentacji RODO, właściwe zarządzanie uprawnieniami użytkowników oraz stałe monitorowanie dostępu do systemu, przy czym sam system KSeF zapewnia szyfrowanie danych i ogranicza dostęp wyłącznie do upoważnionych osób w systemie oraz właściwych organów państwowych, takich jak KAS.

KSeF a ochrona danych osobowych

KSeF ułatwia fakturowanie elektroniczne, ale nie zwalnia przedsiębiorcy z odpowiedzialności za ochronę danych osobowych. Przedsiębiorca nadal musi zapewnić bezpieczeństwo danych, prowadzić dokumentację, reagować na wnioski osób, których dane dotyczą oraz oceniać ryzyko przetwarzania, zwłaszcza przy dużej skali danych Do takich obowiązków należy:

• zapewnienie prawa osób do ich danych – każdy, którego dane są przetwarzane, może wnioskować o dostęp do nich, ich poprawienie lub ograniczenie przetwarzania;
• obowiązek informacyjny – przedsiębiorca musi poinformować osoby fizyczne, np. prowadzące JDG lub występujące na fakturach o zakresie i celu przetwarzania ich danych;
• ocena ryzyka (DPIA) – przy przetwarzaniu danych w dużej skali warto przeprowadzić ocenę skutków dla ochrony danych, aby zminimalizować potencjalne zagrożenia.

Aby korzystanie z KSeF było zgodne z RODO i gwarantowało bezpieczeństwo danych osobowych, warto wdrożyć kilka podstawowych zasad:

• nadawanie uprawnień w KSeF,
• aktualizacja polityki RODO i rejestrów czynności przetwarzania,
• szyfrowanie danych,
• przeprowadzenie audytów bezpieczeństwa,
• ocena wpływu na ochronę danych (DPIA).

Co zrobić w razie naruszenia danych osobowych w KSeF? Nawet przy najlepiej wdrożonych procedurach ochrony danych osobowych może dojść do incydentu, takiego jak wyciek danych kontrahentów czy nieuprawniony dostęp. W takiej sytuacji należy postępować zgodnie z procedurami przewidzianymi w RODO:

• zgłoszenie incydentu do organu nadzorczego (PUODO) w ciągu 72 godzin
• poinformowanie osób, których dane zostały naruszone, jeśli istnieje wysokie ryzyko dla ich praw i wolności
• udokumentowanie zdarzenia – opis przyczyn naruszenia oraz działań naprawczych, aby uniknąć powtórzenia sytuacji

KSeF a tajemnica przedsiębiorstwa

W KSeF gromadzone są informacje biznesowe, tj. ceny, kontrahentów czy warunki współpracy. Takie dane stanowią tajemnicę przedsiębiorstwa i ich ujawnienie mogłoby naruszyć konkurencyjność firmy.

Należy zapamiętać, że dostęp do danych w KSeF mają tylko podmioty korzystające z systemu oraz właściwe organy państwowe. Mimo to przedsiębiorcy obawiają się o bezpieczeństwo centralnego systemu, bo w jednym miejscu gromadzone są informacje o całym obrocie firmy. Z punktu widzenia prawa przedsiębiorca musi zadbać nie tylko o ochronę danych osobowych, ale też o poufność informacji biznesowych poprzez stosowanie ograniczonego dostępu, szyfrowanie oraz wprowadzenie procedur poufności dla pracowników.