Przetwarzanie danych osobowych w KSeF: Kompletny przewodnik dla IOD ebook

KSeF jako centralna platforma dla e-faktur, znacznie ułatwia obsługę podatkową, ale równocześnie stawia przed organizacjami specyficzne wyzwania w zakresie ochrony danych osobowych. IOD zachowuje swoje standardowe obowiązki przewidziane w RODO, takie jak nadzór nad dostępem do danych, doradztwo w zapewnieniu bezpieczeństwa przetwarzania, reagowania na incydenty czy prowadzenia dokumentacji i oceny ryzyka, jednak muszą być one dostosowane do specyfiki systemu, rodzaju przetwarzanych danych oraz sposobu ich udostępniania.

Krajowy System e-Faktur wprowadza nowy model przetwarzania danych fakturowych, w którym centralną rolę administratora pełni organ państwowy – Szef KAS. Choć podstawą przetwarzania jest solidny fundament prawny w postaci obowiązku ustawowego, kluczowe dla zaufania do systemu będzie zapewnienie najwyższych standardów bezpieczeństwa i transparentności. Zarówno na administratorze, jak i na podatnikach ciążą konkretne obowiązki, których należyte wypełnienie będzie decydować o skutecznej ochronie danych osobowych w nowej erze cyfrowego fakturowania.

Dobrze prowadzony nadzór IOD pozwala organizacji korzystającej z KSeF łączyć obowiązki rachunkowe i podatkowe z najwyższymi standardami ochrony danych osobowych, zapewniając rozliczalność i pełną zgodność z RODO.

Życzę miłej lektury!

Redakcja

Ten e-book jest zgodny z wymogami Europejskiego Aktu o Dostępności (EAA)

Wdrożenie Krajowego Systemu e-Faktur (KSeF) stanowi jedną z najistotniejszych zmian w polskim systemie podatkowym ostatnich lat. Centralizacja fakturowania w jednym, państwowym systemie teleinformatycznym rodzi jednak fundamentalne pytania o bezpieczeństwo i zasady przetwarzania danych, w tym w szczególności osobowych. Każda faktura, zwłaszcza w obrocie z osobami fizycznymi prowadzącymi działalność gospodarczą, zawiera szereg informacji stanowiących dane osobowe.

Status prawny podmiotów w procesie przetwarzania danych w KSeF

Fundamentem konstrukcji prawnej bezpieczeństwa informacji w dobie cyfryzacji podatków jest precyzyjne rozgraniczenie ról poszczególnych uczestników obrotu gospodarczego. Kluczową kwestią dla rzetelnego określenia obowiązków w zakresie ochrony danych osobowych jest ustalenie statusu prawnego podmiotów operujących wewnątrz i na obrzeżach ekosystemu faktur ustrukturyzowanych.

Taka atrybucja roli administratora niesie za sobą daleko idące konsekwencje wynikające bezpośrednio z RODO. To na Szefie KAS jako na publicznym dysponencie systemu spoczywa główny ciężar odpowiedzialności za zgodne z prawem, rzetelne i przejrzyste przetwarzanie danych. Obejmuje to nie tylko zapewnienie integralności i poufności faktur w ogromnej bazie centralnej, ale także realizację skomplikowanych procesów w obszarze retencji danych, minimalizacji ich zakresu oraz wdrożenia mechanizmów umożliwiających realizację praw osób, których dane dotyczą (m.in. prawa dostępu do danych czy ich sprostowania).

Obowiązki podatnika i Szefa KAS jako niezależnych administratorów

Rola podatnika (wystawcy faktury), w tym scentralizowanym ekosystemie jest znacznie bardziej złożona i wielowymiarowa, niż mogłoby się wydawać na pierwszy rzut oka. Podatnik, wprowadzając dane do KSeF, nie działa w próżni prawnej – realizuje on ustawowy obowiązek nałożony na niego przez państwo, co stanowi przesłankę legalności przetwarzania z art. 6 ust. 1 lit. c RODO. Należy jednak wyraźnie zaznaczyć, że przesłanie faktury do systemu ministerialnego nie zdejmuje z przedsiębiorcy statusu niezależnego administratora danych. Podatnik pozostaje wyłącznym administratorem danych swoich kontrahentów, pracowników czy zleceniobiorców, które to dane przetwarza we własnych systemach finansowo-księgowych, systemach ERP, czy bazach CRM.

W momencie transmisji pliku XML do KSeF dochodzi do procesu udostępnienia danych nowemu administratorowi (Szefowi KAS). Ten dualizm ról oznacza, że podatnik jest w pełni odpowiedzialny za „wejściową” jakość danych – czyli za ich prawidłowość, adekwatność oraz legalność pozyskania na etapie przedwysyłkowym. To po stronie podatnika leży obowiązek upewnienia się, że posiada on podstawę prawną do przetwarzania danych nabywcy (często osób fizycznych prowadzących działalność gospodarczą) oraz że dopełnił wobec nich własnego obowiązku informacyjnego.

Relacja między podatnikiem a Szefem KAS nie jest przy tym relacją powierzenia przetwarzania (procesingu), lecz relacją między dwoma odrębnymi, niezależnymi administratorami, którzy przetwarzają ten sam zbiór danych w różnych celach:

• podatnik w celu dokumentowania transakcji i prowadzenia biznesu, a

  • Szef KAS w celu uszczelniania systemu podatkowego i analityki skarbowej.

Takie rozgraniczenie jest krytyczne dla audytów zgodności, ponieważ wyznacza granice odpowiedzialności za ewentualne wycieki danych lub naruszenia procedur ochrony prywatności na poszczególnych etapach „życia” e-faktury.

Podstawa prawna przetwarzania danych w KSeF

Fundamentem legalności wszelkich operacji przetwarzania danych osobowych w ramach Krajowego Systemu e-Faktur jest precyzyjne umocowanie w europejskim i krajowym porządku prawnym. Kluczowym instrumentem regulacyjnym jest tutaj art. 6 ust. 1 lit. c RODO. Zgodnie z literalnym brzmieniem tego przepisu, przetwarzanie danych uznaje się za zgodne z prawem w sytuacjach, gdy jest ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. W kontekście KSeF mamy do czynienia z unikalną sytuacją, w której ta sama podstawa prawna legitymizuje działania dwóch różnych kategorii podmiotów, choć w oparciu o inne cele operacyjne.

Obowiązek ustawowy jako źródło legitymacji

Obowiązek przetwarzania danych z faktury naturalnie nie jest abstrakcyjny. Wynika on bezpośrednio z rygorystycznych przepisów ustawy z 11 marca 2004 roku o podatku od towarów i usług (ustawa o VAT). Ustawodawca krajowy, wprowadzając obligatoryjne fakturowanie elektroniczne, nałożył na podatników konkretny imperatyw działania:

• wystawianie,

• przesyłanie oraz

• odbieranie faktur ustrukturyzowanych

musi odbywać się za pośrednictwem dedykowanego systemu teleinformatycznego. Z drugiej strony, te same przepisy nakładają na Szefa Krajowej Administracji Skarbowej (KAS) ustawową powinność prowadzenia, utrzymywania i nadzorowania tego systemu, co stanowi o jego roli jako strażnika danych podatkowych.

W tak skonstruowanym modelu prawnym, przetwarzanie danych osobowych nie wymaga uzyskania zgody osób, których te dane dotyczą (art. 6 ust. 1 lit. a RODO). Jest to istotne rozróżnienie, gdyż w obrocie gospodarczym często błędnie zakłada się prymat zgody nad innymi przesłankami.

Zasada minimalizacji danych w e-fakturowaniu

Rozwijając tę kwestię, należy odwołać się do zasady minimalizacji danych oraz zasady ograniczenia celu. Choć art. 6 ust. 1 lit. c RODO daje ogólne przyzwolenie, to zakres danych wprowadzanych do KSeF musi być ściśle skorelowany z wymogami merytorycznymi samej faktury, określonymi w art. 106e ustawy o VAT. System nie może być wykorzystywany do gromadzenia danych nadmiarowych, które nie są konieczne do celów podatkowych. Tym samym, każda informacja zawarta w polu tekstowym faktury ustrukturyzowanej (np. w uwagach) musi znajdować uzasadnienie w potrzebie udokumentowania zdarzenia gospodarczego.

Dodatkowo, należy zwrócić uwagę na art. 6 ust. 3 RODO, który precyzuje, że podstawa obowiązku prawnego musi być określona w prawie Unii lub prawie państwa członkowskiego. W przypadku KSeF Polska uzyskała stosowną decyzję derogacyjną Rady Unii Europejskiej, co ostatecznie domyka klamrę legislacyjną i czyni system w pełni osadzonym w unijnych standardach ochrony prywatności.

Skutki prawne dla przedsiębiorców i organów administracji

Przyjęcie art. 6 ust. 1 lit. c RODO jako fundamentu funkcjonowania Krajowego Systemu e-Faktur niesie za sobą doniosłe skutki praktyczne, które redefiniują tradycyjne podejście do zarządzania prywatnością w relacjach biznesowych. Dla szerokiego spektrum podatników – od mikroprzedsiębiorców po wielonarodowe korporacje – oznacza to przede wszystkim radykalne uproszczenie procesowe w jednym specyficznym obszarze tj.:

• całkowite wyłączenie konieczności implementowania oraz

• zarządzania mechanizmami wycofywania zgody (tzw. consent management)

w odniesieniu do procesu przesyłania faktur do centralnego repozytorium.

W klasycznym modelu ochrony danych, opartym na zgodzie, osoba, której dane dotyczą, posiada niemal absolutną władzę nad losem swoich informacji, w tym prawo do nagłego i nieuzasadnionego wycofania zgody w dowolnym momencie. W ekosystemie KSeF ten mechanizm zostaje zawieszony na rzecz nadrzędności interesu publicznego i stabilności fiskalnej państwa. Obowiązek transmisji danych fakturowych jest bowiem całkowicie autonomiczny i niezależny od jakichkolwiek postanowień umownych czy preferencji wyrażanych w ramach relacji cywilnoprawnej między wystawcą a odbiorcą faktury.

Z perspektywy Szefa Krajowej Administracji Skarbowej, ta sama podstawa prawna pełni funkcję dwuwarstwową:

• z jednej strony legitymizuje gromadzenie danych na niespotykaną dotąd skalę,

• z drugiej – wyznacza niezwykle sztywne i nieprzekraczalne granice bezpiecznego przetwarzania.

Zasada legalizmu, wywodząca się z art. 7 Konstytucji RP, w połączeniu z zasadą celowości RODO, narzuca organowi administracji publicznej obowiązek działania wyłącznie w granicach i na podstawie prawa.

KSeF jak narzędzie do wymiany danych

W efekcie końcowym, KSeF przestaje być postrzegany jedynie jako platforma technologiczna, a staje się unikalnym, wysoce sformalizowanym narzędziem, w którym zaawansowana inżynieria danych spotyka się z prawem podatkowym. System ten tworzy – przynajmniej w swoich założeniach - szczelny, hermetyczny obieg informacji, w którym każda najmniejsza operacja na danych osobowych – od momentu walidacji pliku XML, przez nadanie numeru KSeF, aż po wieloletnią archiwizację – posiada swoje bezpośrednie i niepodważalne źródło w mandacie ustawowym państwa. Taka konstrukcja ma na celu zapewnienie maksymalnego bezpieczeństwa prawnego obu stronom tj.: państwo zyskuje potężne narzędzie analityczne do walki z luką VAT, a podatnik otrzymuje pewność, że realizując swoje obowiązki wobec fiskusa, nie naraża się na zarzuty dotyczące bezprawnego przetwarzania danych osobowych swoich klientów.

Zakres przetwarzanych danych w e-fakturach

Zakres danych osobowych oraz informacji o charakterze gospodarczym przetwarzanych w ramach Krajowego Systemu e-Faktur jest niezwykle szeroki i wykracza poza standardowe ramy systemów ewidencyjnych. Wynika to z faktu, że faktura ustrukturyzowana w formacie XML nie jest jedynie dokumentem księgowym, lecz bogatym zbiorem danych ustrukturyzowanych, który musi zawierać wszystkie elementy obligatoryjne przewidziane przez ustawę o VAT oraz rozporządzenia wykonawcze. W przypadku osób fizycznych prowadzących działalność gospodarczą (w tym samozatrudnionych i profesjonalistów w ramach wolnych zawodów), system gromadzi dane o wysokim stopniu szczegółowości, które bezpośrednio identyfikują te osoby w obrocie prawnym.

Ten e-book jest zgodny z wymogami Europejskiego Aktu o Dostępności (EAA)