Tytuł e-booka

Copyright © Warszawa 2026 by Wiedza i Praktyka sp. z o.o.

Autorzy: Marcin Sarna, Ewa Lewańska

Redakcja: Anna Śmigulska-Wojciechowska

Korekta: Zespół

Koordynator produkcji: Mariusz Jezierski

Koordynator projektów wydawniczych: Anna Jagodzińska

Content & Publishing Leader: Marta Grabowska-Peda

Projekt graficzny okładki: Agnieszka Makowska

Zdjęcie na okładce: Freepick

Skład i łamanie: Agnieszka Makowska

Wydanie I

Stan prawny: luty 2026 r.

ISBN: 978-83-8409-569-0

Kod produktu: 1BG0056

Wydawca:

Wiedza i Praktyka sp. z o.o.

03-918 Warszawa, ul. Łotewska 9a

tel. 22 518 29 29, faks 22 617 60 10

www.wip.pl

Publikacja uwzględnia stan prawny obowiązujący na dzień [np. 30 września 2025 r. ]

Niniejsza publikacja oraz wszystkie zawarte w niej teksty, grafiki i materiały są chronione prawem autorskim. Żadna część tego e-booka nie może być reprodukowana, przechowywana w systemach wyszukiwania lub transmitowana w jakiejkolwiek formie i jakimikolwiek środkami – elektronicznymi, mechanicznymi, kopiowania, nagrywania lub innymi – bez uprzedniej pisemnej zgody Redakcji.

Zakaz ten nie dotyczy cytowania ww. materiałów w granicach dozwolonego użytku, z powołaniem się na źródło.

Treści zawarte w niniejszej publikacji mają charakter wyłącznie informacyjny i edukacyjny. Publikacja została przygotowana z zachowaniem najwyższej staranności oraz z wykorzystaniem wysokich kwalifikacji, wiedzy i doświadczenia autorów oraz konsultantów. Niemniej jednak zawiera ona ogólne wskazówki i nie powinna być traktowana jako indywidualna porada prawna, finansowa, medyczna ani żadna inna forma profesjonalnej konsultacji.

Redakcja nie ponosi odpowiedzialności za decyzje podjęte na podstawie informacji zawartych w tej publikacji. W przypadku potrzeby uzyskania specjalistycznej porady zaleca się konsultację z odpowiednim ekspertem lub specjalistą w danej dziedzinie.

SPIS TREŚCI

- WSTĘP

- Ochrona danych osobowych w KSeF – status administratorów i podstawa prawna przetwarzania danych

Przetwarzanie danych osobowych w KSeF: Kompletny przewodnik dla IOD

Copyright © by Wiedza i Praktyka sp. z o.o. Warszawa 2026

Ten e-book jest zgodny z wymogami Europejskiego Aktu o Dostępności (EAA)

WSTĘP

KSeF jako centralna platforma dla e-faktur, znacznie ułatwia obsługę podatkową, ale równocześnie stawia przed organizacjami specyficzne wyzwania w zakresie ochrony danych osobowych. IOD zachowuje swoje standardowe obowiązki przewidziane w RODO, takie jak nadzór nad dostępem do danych, doradztwo w zapewnieniu bezpieczeństwa przetwarzania, reagowania na incydenty czy prowadzenia dokumentacji i oceny ryzyka, jednak muszą być one dostosowane do specyfiki systemu, rodzaju przetwarzanych danych oraz sposobu ich udostępniania.

Krajowy System e-Faktur wprowadza nowy model przetwarzania danych fakturowych, w którym centralną rolę administratora pełni organ państwowy – Szef KAS. Choć podstawą przetwarzania jest solidny fundament prawny w postaci obowiązku ustawowego, kluczowe dla zaufania do systemu będzie zapewnienie najwyższych standardów bezpieczeństwa i transparentności. Zarówno na administratorze, jak i na podatnikach ciążą konkretne obowiązki, których należyte wypełnienie będzie decydować o skutecznej ochronie danych osobowych w nowej erze cyfrowego fakturowania.

Dobrze prowadzony nadzór IOD pozwala organizacji korzystającej z KSeF łączyć obowiązki rachunkowe i podatkowe z najwyższymi standardami ochrony danych osobowych, zapewniając rozliczalność i pełną zgodność z RODO.

Życzę miłej lektury!

Redakcja

Ten e-book jest zgodny z wymogami Europejskiego Aktu o Dostępności (EAA)

Ochrona danych osobowych w KSeF – status administratorów i podstawa prawna przetwarzania danych

Wdrożenie Krajowego Systemu e-Faktur (KSeF) stanowi jedną z najistotniejszych zmian w polskim systemie podatkowym ostatnich lat. Centralizacja fakturowania w jednym, państwowym systemie teleinformatycznym rodzi jednak fundamentalne pytania o bezpieczeństwo i zasady przetwarzania danych, w tym w szczególności osobowych. Każda faktura, zwłaszcza w obrocie z osobami fizycznymi prowadzącymi działalność gospodarczą, zawiera szereg informacji stanowiących dane osobowe.

Status prawny podmiotów w procesie przetwarzania danych w KSeF

Fundamentem konstrukcji prawnej bezpieczeństwa informacji w dobie cyfryzacji podatków jest precyzyjne rozgraniczenie ról poszczególnych uczestników obrotu gospodarczego. Kluczową kwestią dla rzetelnego określenia obowiązków w zakresie ochrony danych osobowych jest ustalenie statusu prawnego podmiotów operujących wewnątrz i na obrzeżach ekosystemu faktur ustrukturyzowanych.

WAŻNE

Ustawodawca wprost wskazał, że administratorem danych osobowych zawartych w Krajowym Systemie e-Faktur (KSeF) jest Szef Krajowej Administracji Skarbowej (art. 106nd ust. 1 ustawy z 11 marca 2004 roku o podatku od towarów i usług).

Taka atrybucja roli administratora niesie za sobą daleko idące konsekwencje wynikające bezpośrednio z RODO. To na Szefie KAS jako na publicznym dysponencie systemu spoczywa główny ciężar odpowiedzialności za zgodne z prawem, rzetelne i przejrzyste przetwarzanie danych. Obejmuje to nie tylko zapewnienie integralności i poufności faktur w ogromnej bazie centralnej, ale także realizację skomplikowanych procesów w obszarze retencji danych, minimalizacji ich zakresu oraz wdrożenia mechanizmów umożliwiających realizację praw osób, których dane dotyczą (m.in. prawa dostępu do danych czy ich sprostowania).

UWAGA

Szef KAS musi zatem zagwarantować, że infrastruktura techniczna KSeF spełnia najwyższe standardy bezpieczeństwa teleinformatycznego, zapobiegając nieuprawnionemu dostępowi osób trzecich.

Obowiązki podatnika i Szefa KAS jako niezależnych administratorów

Rola podatnika (wystawcy faktury), w tym scentralizowanym ekosystemie jest znacznie bardziej złożona i wielowymiarowa, niż mogłoby się wydawać na pierwszy rzut oka. Podatnik, wprowadzając dane do KSeF, nie działa w próżni prawnej – realizuje on ustawowy obowiązek nałożony na niego przez państwo, co stanowi przesłankę legalności przetwarzania z art. 6 ust. 1 lit. c RODO. Należy jednak wyraźnie zaznaczyć, że przesłanie faktury do systemu ministerialnego nie zdejmuje z przedsiębiorcy statusu niezależnego administratora danych. Podatnik pozostaje wyłącznym administratorem danych swoich kontrahentów, pracowników czy zleceniobiorców, które to dane przetwarza we własnych systemach finansowo-księgowych, systemach ERP, czy bazach CRM.

W momencie transmisji pliku XML do KSeF dochodzi do procesu udostępnienia danych nowemu administratorowi (Szefowi KAS). Ten dualizm ról oznacza, że podatnik jest w pełni odpowiedzialny za „wejściową” jakość danych – czyli za ich prawidłowość, adekwatność oraz legalność pozyskania na etapie przedwysyłkowym. To po stronie podatnika leży obowiązek upewnienia się, że posiada on podstawę prawną do przetwarzania danych nabywcy (często osób fizycznych prowadzących działalność gospodarczą) oraz że dopełnił wobec nich własnego obowiązku informacyjnego.

Relacja między podatnikiem a Szefem KAS nie jest przy tym relacją powierzenia przetwarzania (procesingu), lecz relacją między dwoma odrębnymi, niezależnymi administratorami, którzy przetwarzają ten sam zbiór danych w różnych celach:

• podatnik w celu dokumentowania transakcji i prowadzenia biznesu, a

• Szef KAS w celu uszczelniania systemu podatkowego i analityki skarbowej.

Takie rozgraniczenie jest krytyczne dla audytów zgodności, ponieważ wyznacza granice odpowiedzialności za ewentualne wycieki danych lub naruszenia procedur ochrony prywatności na poszczególnych etapach „życia” e-faktury.

Podstawa prawna przetwarzania danych w KSeF

Fundamentem legalności wszelkich operacji przetwarzania danych osobowych w ramach Krajowego Systemu e-Faktur jest precyzyjne umocowanie w europejskim i krajowym porządku prawnym. Kluczowym instrumentem regulacyjnym jest tutaj art. 6 ust. 1 lit. c RODO. Zgodnie z literalnym brzmieniem tego przepisu, przetwarzanie danych uznaje się za zgodne z prawem w sytuacjach, gdy jest ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. W kontekście KSeF mamy do czynienia z unikalną sytuacją, w której ta sama podstawa prawna legitymizuje działania dwóch różnych kategorii podmiotów, choć w oparciu o inne cele operacyjne.

Obowiązek ustawowy jako źródło legitymacji

Obowiązek przetwarzania danych z faktury naturalnie nie jest abstrakcyjny. Wynika on bezpośrednio z rygorystycznych przepisów ustawy z 11 marca 2004 roku o podatku od towarów i usług (ustawa o VAT). Ustawodawca krajowy, wprowadzając obligatoryjne fakturowanie elektroniczne, nałożył na podatników konkretny imperatyw działania:

• wystawianie,

• przesyłanie oraz

• odbieranie faktur ustrukturyzowanych

musi odbywać się za pośrednictwem dedykowanego systemu teleinformatycznego. Z drugiej strony, te same przepisy nakładają na Szefa Krajowej Administracji Skarbowej (KAS) ustawową powinność prowadzenia, utrzymywania i nadzorowania tego systemu, co stanowi o jego roli jako strażnika danych podatkowych.

W tak skonstruowanym modelu prawnym, przetwarzanie danych osobowych nie wymaga uzyskania zgody osób, których te dane dotyczą (art. 6 ust. 1 lit. a RODO). Jest to istotne rozróżnienie, gdyż w obrocie gospodarczym często błędnie zakłada się prymat zgody nad innymi przesłankami.

UWAGA

W ekosystemie KSeF wola osoby fizycznej (np. kontrahenta prowadzącego jednoosobową działalność gospodarczą) nie ma wpływu na dopuszczalność przetwarzania jej danych, ponieważ interes publiczny, jakim jest uszczelnienie systemu podatkowego i zapobieganie nadużyciom finansowym, uzyskuje tu priorytet ustawowy. Legitymizację procesów przetwarzania stanowi zatem bezpośrednio przepis prawa rangi ustawowej, co zapewnia z kolei stabilność i przewidywalność obrotu prawnego.

Zasada minimalizacji danych w e-fakturowaniu

Rozwijając tę kwestię, należy odwołać się do zasady minimalizacji danych oraz zasady ograniczenia celu. Choć art. 6 ust. 1 lit. c RODO daje ogólne przyzwolenie, to zakres danych wprowadzanych do KSeF musi być ściśle skorelowany z wymogami merytorycznymi samej faktury, określonymi w art. 106e ustawy o VAT. System nie może być wykorzystywany do gromadzenia danych nadmiarowych, które nie są konieczne do celów podatkowych. Tym samym, każda informacja zawarta w polu tekstowym faktury ustrukturyzowanej (np. w uwagach) musi znajdować uzasadnienie w potrzebie udokumentowania zdarzenia gospodarczego.

Dodatkowo, należy zwrócić uwagę na art. 6 ust. 3 RODO, który precyzuje, że podstawa obowiązku prawnego musi być określona w prawie Unii lub prawie państwa członkowskiego. W przypadku KSeF Polska uzyskała stosowną decyzję derogacyjną Rady Unii Europejskiej, co ostatecznie domyka klamrę legislacyjną i czyni system w pełni osadzonym w unijnych standardach ochrony prywatności.

Skutki prawne dla przedsiębiorców i organów administracji

Przyjęcie art. 6 ust. 1 lit. c RODO jako fundamentu funkcjonowania Krajowego Systemu e-Faktur niesie za sobą doniosłe skutki praktyczne, które redefiniują tradycyjne podejście do zarządzania prywatnością w relacjach biznesowych. Dla szerokiego spektrum podatników – od mikroprzedsiębiorców po wielonarodowe korporacje – oznacza to przede wszystkim radykalne uproszczenie procesowe w jednym specyficznym obszarze tj.:

• całkowite wyłączenie konieczności implementowania oraz

• zarządzania mechanizmami wycofywania zgody (tzw. consent management)

w odniesieniu do procesu przesyłania faktur do centralnego repozytorium.

W klasycznym modelu ochrony danych, opartym na zgodzie, osoba, której dane dotyczą, posiada niemal absolutną władzę nad losem swoich informacji, w tym prawo do nagłego i nieuzasadnionego wycofania zgody w dowolnym momencie. W ekosystemie KSeF ten mechanizm zostaje zawieszony na rzecz nadrzędności interesu publicznego i stabilności fiskalnej państwa. Obowiązek transmisji danych fakturowych jest bowiem całkowicie autonomiczny i niezależny od jakichkolwiek postanowień umownych czy preferencji wyrażanych w ramach relacji cywilnoprawnej między wystawcą a odbiorcą faktury.

PRZYKŁAD

Kontrahent nie może skutecznie zakazać podatnikowi wysyłki faktury do systemu KSeF, powołując się na prawo do prywatności, ponieważ działanie podatnika jest egzekucją twardego imperatywu ustawowego, który stoi wyżej w hierarchii norm niż autonomiczna wola stron w zakresie dokumentowania transakcji.

Z perspektywy Szefa Krajowej Administracji Skarbowej, ta sama podstawa prawna pełni funkcję dwuwarstwową:

• z jednej strony legitymizuje gromadzenie danych na niespotykaną dotąd skalę,

• z drugiej – wyznacza niezwykle sztywne i nieprzekraczalne granice bezpiecznego przetwarzania.

Zasada legalizmu, wywodząca się z art. 7 Konstytucji RP, w połączeniu z zasadą celowości RODO, narzuca organowi administracji publicznej obowiązek działania wyłącznie w granicach i na podstawie prawa.

WAŻNE

Każda operacja techniczna wykonywana na danych wewnątrz systemu KSeF – od ich indeksowania, przez profilowanie analityczne w celach wykrywania karuzel VAT, aż po udostępnianie ich innym organom (np. prokuraturze czy służbom specjalnym) – musi mieć precyzyjne oparcie w konkretnym przepisie ustawowym. Jakiekolwiek wykroczenie poza te ramy, np. wykorzystanie danych fakturowych do celów statystycznych niezwiązanych z nadzorem podatkowym bez wyraźnego upoważnienia, mogłoby zostać uznane nie tylko za naruszenie RODO, ale za rażące złamanie konstytucyjnej zasady praworządności.

KSeF jak narzędzie do wymiany danych

W efekcie końcowym, KSeF przestaje być postrzegany jedynie jako platforma technologiczna, a staje się unikalnym, wysoce sformalizowanym narzędziem, w którym zaawansowana inżynieria danych spotyka się z prawem podatkowym. System ten tworzy – przynajmniej w swoich założeniach - szczelny, hermetyczny obieg informacji, w którym każda najmniejsza operacja na danych osobowych – od momentu walidacji pliku XML, przez nadanie numeru KSeF, aż po wieloletnią archiwizację – posiada swoje bezpośrednie i niepodważalne źródło w mandacie ustawowym państwa. Taka konstrukcja ma na celu zapewnienie maksymalnego bezpieczeństwa prawnego obu stronom tj.: państwo zyskuje potężne narzędzie analityczne do walki z luką VAT, a podatnik otrzymuje pewność, że realizując swoje obowiązki wobec fiskusa, nie naraża się na zarzuty dotyczące bezprawnego przetwarzania danych osobowych swoich klientów.

UWAGA

KSeF jako system zaprojektowany z uwzględnieniem ochrony danych (data protection by design) musi zatem nieustannie równoważyć potrzebę transparentności finansowej z nienaruszalnością sfery prywatnej obywateli i przedsiębiorców, co czyni go jednym z najbardziej skomplikowanych projektów na styku prawa i technologii w historii polskiej administracji.

Zakres przetwarzanych danych w e-fakturach

Zakres danych osobowych oraz informacji o charakterze gospodarczym przetwarzanych w ramach Krajowego Systemu e-Faktur jest niezwykle szeroki i wykracza poza standardowe ramy systemów ewidencyjnych. Wynika to z faktu, że faktura ustrukturyzowana w formacie XML nie jest jedynie dokumentem księgowym, lecz bogatym zbiorem danych ustrukturyzowanych, który musi zawierać wszystkie elementy obligatoryjne przewidziane przez ustawę o VAT oraz rozporządzenia wykonawcze. W przypadku osób fizycznych prowadzących działalność gospodarczą (w tym samozatrudnionych i profesjonalistów w ramach wolnych zawodów), system gromadzi dane o wysokim stopniu szczegółowości, które bezpośrednio identyfikują te osoby w obrocie prawnym.

Ten e-book jest zgodny z wymogami Europejskiego Aktu o Dostępności (EAA)

Table of Contents

SPIS TREŚCI

Przetwarzanie danych osobowych w KSeF: Kompletny przewodnik dla IOD

WSTĘP

Ochrona danych osobowych w KSeF – status administratorów i podstawa prawna przetwarzania danych

Status prawny podmiotów w procesie przetwarzania danych w KSeF

Obowiązki podatnika i Szefa KAS jako niezależnych administratorów

Podstawa prawna przetwarzania danych w KSeF

Obowiązek ustawowy jako źródło legitymacji

Zasada minimalizacji danych w e-fakturowaniu

KSeF jak narzędzie do wymiany danych

Zakres przetwarzanych danych w e-fakturach