Wdrożenie Krajowego Systemu e-Faktur (KSeF) stanowi jedną z najistotniejszych zmian w polskim systemie podatkowym ostatnich lat. Centralizacja fakturowania w jednym, państwowym systemie teleinformatycznym rodzi jednak fundamentalne pytania o bezpieczeństwo i zasady przetwarzania danych, w tym w szczególności osobowych. Każda faktura, zwłaszcza w obrocie z osobami fizycznymi prowadzącymi działalność gospodarczą, zawiera szereg informacji stanowiących dane osobowe.
Status prawny podmiotów w procesie przetwarzania danych w KSeF
Fundamentem konstrukcji prawnej bezpieczeństwa informacji w dobie cyfryzacji podatków jest precyzyjne rozgraniczenie ról poszczególnych uczestników obrotu gospodarczego. Kluczową kwestią dla rzetelnego określenia obowiązków w zakresie ochrony danych osobowych jest ustalenie statusu prawnego podmiotów operujących wewnątrz i na obrzeżach ekosystemu faktur ustrukturyzowanych.
WAŻNE
Ustawodawca wprost wskazał, że administratorem danych osobowych zawartych w Krajowym Systemie e-Faktur (KSeF) jest Szef Krajowej Administracji Skarbowej (art. 106nd ust. 1 ustawy z 11 marca 2004 roku o podatku od towarów i usług).
Taka atrybucja roli administratora niesie za sobą daleko idące konsekwencje wynikające bezpośrednio z RODO. To na Szefie KAS jako na publicznym dysponencie systemu spoczywa główny ciężar odpowiedzialności za zgodne z prawem, rzetelne i przejrzyste przetwarzanie danych. Obejmuje to nie tylko zapewnienie integralności i poufności faktur w ogromnej bazie centralnej, ale także realizację skomplikowanych procesów w obszarze retencji danych, minimalizacji ich zakresu oraz wdrożenia mechanizmów umożliwiających realizację praw osób, których dane dotyczą (m.in. prawa dostępu do danych czy ich sprostowania).
UWAGA
Szef KAS musi zatem zagwarantować, że infrastruktura techniczna KSeF spełnia najwyższe standardy bezpieczeństwa teleinformatycznego, zapobiegając nieuprawnionemu dostępowi osób trzecich.
Obowiązki podatnika i Szefa KAS jako niezależnych administratorów
Rola podatnika (wystawcy faktury), w tym scentralizowanym ekosystemie jest znacznie bardziej złożona i wielowymiarowa, niż mogłoby się wydawać na pierwszy rzut oka. Podatnik, wprowadzając dane do KSeF, nie działa w próżni prawnej - realizuje on ustawowy obowiązek nałożony na niego przez państwo, co stanowi przesłankę legalności przetwarzania z art. 6 ust. 1 lit. c RODO. Należy jednak wyraźnie zaznaczyć, że przesłanie faktury do systemu ministerialnego nie zdejmuje z przedsiębiorcy statusu niezależnego administratora danych. Podatnik pozostaje wyłącznym administratorem danych swoich kontrahentów, pracowników czy zleceniobiorców, które to dane przetwarza we własnych systemach finansowo-księgowych, systemach ERP, czy bazach CRM.
W momencie transmisji pliku XML do KSeF dochodzi do procesu udostępnienia danych nowemu administratorowi (Szefowi KAS). Ten dualizm ról oznacza, że podatnik jest w pełni odpowiedzialny za "wejściową" jakość danych - czyli za ich prawidłowość, adekwatność oraz legalność pozyskania na etapie przedwysyłkowym. To po stronie podatnika leży obowiązek upewnienia się, że posiada on podstawę prawną do przetwarzania danych nabywcy (często osób fizycznych prowadzących działalność gospodarczą) oraz że dopełnił wobec nich własnego obowiązku informacyjnego.
Relacja między podatnikiem a Szefem KAS nie jest przy tym relacją powierzenia przetwarzania (procesingu), lecz relacją między dwoma odrębnymi, niezależnymi administratorami, którzy przetwarzają ten sam zbiór danych w różnych celach:
- podatnik w celu dokumentowania transakcji i prowadzenia biznesu, a
- Szef KAS w celu uszczelniania systemu podatkowego i analityki skarbowej.
Takie rozgraniczenie jest krytyczne dla audytów zgodności, ponieważ wyznacza granice odpowiedzialności za ewentualne wycieki danych lub naruszenia procedur ochrony prywatności na poszczególnych etapach "życia" e-faktury.
Podstawa prawna przetwarzania danych w KSeF
Fundamentem legalności wszelkich operacji przetwarzania danych osobowych w ramach Krajowego Systemu e-Faktur jest precyzyjne umocowanie w europejskim i krajowym porządku prawnym. Kluczowym instrumentem regulacyjnym jest tutaj art. 6 ust. 1 lit. c RODO. Zgodnie z literalnym brzmieniem tego przepisu, przetwarzanie danych uznaje się za zgodne z prawem w sytuacjach, gdy jest ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. W kontekście KSeF mamy do czynienia z unikalną sytuacją, w której ta sama podstawa prawna legitymizuje działania dwóch różnych kategorii podmiotów, choć w oparciu o inne cele operacyjne.
Obowiązek ustawowy jako źródło legitymacji
Obowiązek przetwarzania danych z faktury naturalnie nie jest abstrakcyjny. Wynika on bezpośrednio z rygorystycznych przepisów ustawy z 11 marca 2004 roku o podatku od towarów i usług (ustawa o VAT). Ustawodawca krajowy, wprowadzając obligatoryjne fakturowanie elektroniczne, nałożył na podatników konkretny imperatyw działania:
- wystawianie,
- przesyłanie oraz
- odbieranie faktur ustrukturyzowanych
musi odbywać się za pośrednictwem dedykowanego systemu teleinformatycznego. Z drugiej strony, te same przepisy nakładają na Szefa Krajowej Administracji Skarbowej (KAS) ustawową powinność prowadzenia, utrzymywania i nadzorowania tego systemu, co stanowi o jego roli jako strażnika danych podatkowych.
W tak skonstruowanym modelu prawnym, przetwarzanie danych osobowych nie wymaga uzyskania zgody osób, których te dane dotyczą (art. 6 ust. 1 lit. a RODO). Jest to istotne rozróżnienie, gdyż w obrocie gospodarczym często błędnie zakłada się prymat zgody nad innymi przesłankami.
UWAGA
W ekosystemie KSeF wola osoby fizycznej (np. kontrahenta prowadzącego jednoosobową działalność gospodarczą) nie ma wpływu na dopuszczalność przetwarzania jej danych, ponieważ interes publiczny, jakim jest uszczelnienie systemu podatkowego i zapobieganie nadużyciom finansowym, uzyskuje tu priorytet ustawowy. Legitymizację procesów przetwarzania stanowi zatem bezpośrednio przepis prawa rangi ustawowej, co zapewnia z kolei stabilność i przewidywalność obrotu prawnego.
Zasada minimalizacji danych w e-fakturowaniu
Rozwijając tę kwestię, należy odwołać się do zasady minimalizacji danych oraz zasady ograniczenia celu. Choć art. 6 ust. 1 lit. c RODO daje ogólne przyzwolenie, to zakres danych wprowadzanych do KSeF musi być ściśle skorelowany z wymogami merytorycznymi samej faktury, określonymi w art. 106e ustawy o VAT. System nie może być wykorzystywany do gromadzenia danych nadmiarowych, które nie są konieczne do celów podatkowych. Tym samym, każda informacja zawarta w polu tekstowym faktury ustrukturyzowanej (np. w uwagach) musi znajdować uzasadnienie w potrzebie udokumentowania zdarzenia gospodarczego.
Dodatkowo, należy zwrócić uwagę na art. 6 ust. 3 RODO, który precyzuje, że podstawa obowiązku prawnego musi być określona w prawie Unii lub prawie państwa członkowskiego. W przypadku KSeF Polska uzyskała stosowną decyzję derogacyjną Rady Unii Europejskiej, co ostatecznie domyka klamrę legislacyjną i czyni system w pełni osadzonym w unijnych standardach ochrony prywatności.
Skutki prawne dla przedsiębiorców i organów administracji
Przyjęcie art. 6 ust. 1 lit. c RODO jako fundamentu funkcjonowania Krajowego Systemu e-Faktur niesie za sobą doniosłe skutki praktyczne, które redefiniują tradycyjne podejście do zarządzania prywatnością w relacjach biznesowych. Dla szerokiego spektrum podatników - od mikroprzedsiębiorców po wielonarodowe korporacje - oznacza to przede wszystkim radykalne uproszczenie procesowe w jednym specyficznym obszarze tj.:
- całkowite wyłączenie konieczności implementowania oraz
- zarządzania mechanizmami wycofywania zgody (tzw. consent management)
w odniesieniu do procesu przesyłania faktur do centralnego repozytorium.
W klasycznym modelu ochrony danych, opartym na zgodzie, osoba, której dane dotyczą, posiada niemal absolutną władzę nad losem swoich informacji, w tym prawo do nagłego i nieuzasadnionego wycofania zgody w dowolnym momencie. W ekosystemie KSeF ten mechanizm zostaje zawieszony na rzecz nadrzędności interesu publicznego i stabilności fiskalnej państwa. Obowiązek transmisji danych fakturowych jest bowiem całkowicie autonomiczny i niezależny od jakichkolwiek postanowień umownych czy preferencji wyrażanych w ramach relacji cywilnoprawnej między wystawcą a odbiorcą faktury.
PRZYKŁAD
Kontrahent nie może skutecznie zakazać podatnikowi wysyłki faktury do systemu KSeF, powołując się na prawo do prywatności, ponieważ działanie podatnika jest egzekucją twardego imperatywu ustawowego, który stoi wyżej w hierarchii norm niż autonomiczna wola stron w zakresie dokumentowania transakcji.
Z perspektywy Szefa Krajowej Administracji Skarbowej, ta sama podstawa prawna pełni funkcję dwuwarstwową:
- z jednej strony legitymizuje gromadzenie danych na niespotykaną dotąd skalę,
- z drugiej - wyznacza niezwykle sztywne i nieprzekraczalne granice bezpiecznego przetwarzania.
Zasada legalizmu, wywodząca się z art. 7 Konstytucji RP, w połączeniu z zasadą celowości RODO, narzuca organowi administracji publicznej obowiązek działania wyłącznie w granicach i na podstawie prawa.
WAŻNE
Każda operacja techniczna wykonywana na danych wewnątrz systemu KSeF - od ich indeksowania, przez profilowanie analityczne w celach wykrywania karuzel VAT, aż po udostępnianie ich innym organom (np. prokuraturze czy służbom specjalnym) - musi mieć precyzyjne oparcie w konkretnym przepisie ustawowym. Jakiekolwiek wykroczenie poza te ramy, np. wykorzystanie danych fakturowych do celów statystycznych niezwiązanych z nadzorem podatkowym bez wyraźnego upoważnienia, mogłoby zostać uznane nie tylko za naruszenie RODO, ale za rażące złamanie konstytucyjnej zasady praworządności.
KSeF jak narzędzie do wymiany danych
W efekcie końcowym, KSeF przestaje być postrzegany jedynie jako platforma technologiczna, a staje się unikalnym, wysoce sformalizowanym narzędziem, w którym zaawansowana inżynieria danych spotyka się z prawem podatkowym. System ten tworzy - przynajmniej w swoich założeniach - szczelny, hermetyczny obieg informacji, w którym każda najmniejsza operacja na danych osobowych - od momentu walidacji pliku XML, przez nadanie numeru KSeF, aż po wieloletnią archiwizację - posiada swoje bezpośrednie i niepodważalne źródło w mandacie ustawowym państwa. Taka konstrukcja ma na celu zapewnienie maksymalnego bezpieczeństwa prawnego obu stronom tj.: państwo zyskuje potężne narzędzie analityczne do walki z luką VAT, a podatnik otrzymuje pewność, że realizując swoje obowiązki wobec fiskusa, nie naraża się na zarzuty dotyczące bezprawnego przetwarzania danych osobowych swoich klientów.
UWAGA
KSeF jako system zaprojektowany z uwzględnieniem ochrony danych (data protection by design) musi zatem nieustannie równoważyć potrzebę transparentności finansowej z nienaruszalnością sfery prywatnej obywateli i przedsiębiorców, co czyni go jednym z najbardziej skomplikowanych projektów na styku prawa i technologii w historii polskiej administracji.
Zakres przetwarzanych danych w e-fakturach
Zakres danych osobowych oraz informacji o charakterze gospodarczym przetwarzanych w ramach Krajowego Systemu e-Faktur jest niezwykle szeroki i wykracza poza standardowe ramy systemów ewidencyjnych. Wynika to z faktu, że faktura ustrukturyzowana w formacie XML nie jest jedynie dokumentem księgowym, lecz bogatym zbiorem danych ustrukturyzowanych, który musi zawierać wszystkie elementy obligatoryjne przewidziane przez ustawę o VAT oraz rozporządzenia wykonawcze. W przypadku osób fizycznych prowadzących działalność gospodarczą (w tym samozatrudnionych i profesjonalistów w ramach wolnych zawodów), system gromadzi dane o wysokim stopniu szczegółowości, które bezpośrednio identyfikują te osoby w obrocie prawnym.
Ten e-book jest zgodny z wymogami Europejskiego Aktu o Dostępności (EAA)
