KSEF a RODO – jak chronić dane w Krajowym Systemie e-faktur?

Wprowadzenie obowiązkowego Krajowego Systemu e-Faktur (KSeF) zrewolucjonizowało obieg dokumentów w polskim biznesie. Jednak cyfryzacja procesów księgowych to nie tylko wygoda, ale również ogromne wyzwanie w zakresie ochrony danych osobowych. Każda e-faktura przesyłana do centralnego repozytorium zawiera szereg informacji, które podlegają rygorystycznym przepisom RODO. Jak zatem pogodzić ustawowy obowiązek raportowania z prawem do prywatności?

Czy KSeF jest zgodny z RODO? Podstawy prawne przetwarzania danych

Wielu przedsiębiorców zastanawia się, czy wymuszony przesył danych do rządowej bazy nie narusza unijnych rozporządzeń. Odpowiedź brzmi: KSeF jest systemem legalnym, ale jego obsługa wymaga od firmy precyzyjnych działań dostosowawczych. Podstawą przetwarzania danych w KSeF jest Art. 6 ust. 1 lit. c RODO, czyli wypełnienie obowiązku prawnego ciążącego na administratorze (wystawcy faktury).

Rola Ministerstwa Finansów jako administratora danych w KSeF

W architekturze KSeF mamy do czynienia z dualizmem administratorów. Z jednej strony to Ty jako przedsiębiorca decydujesz o tym, jakie dane trafiają na fakturę. Z drugiej – w momencie przesłania pliku XML do bramki Ministerstwa Finansów, to resort staje się administratorem danych w zakresie ich przechowywania i udostępniania organom skarbowym. Oznacza to, że odpowiedzialność za bezpieczeństwo samej infrastruktury spoczywa na państwie, ale za poprawność i zakres danych odpowiadasz Ty.

Zasada minimalizacji danych w procesie fakturowania

RODO nakłada obowiązek gromadzenia tylko tych danych, które są niezbędne do osiągnięcia celu. W KSeF, który operuje na ustrukturyzowanych polach (schema XML), łatwo o tzw. „nadmiarowość”.

• Wypełniaj tylko pola obowiązkowe, jeśli nie masz jasnej podstawy do podawania danych dodatkowych.
• Unikaj wpisywania danych wrażliwych (np. o stanie zdrowia) w polach opcjonalnych opisu towarów/usług, chyba że jest to bezwzględnie wymagane przez przepisy szczególne.

Obowiązki przedsiębiorcy (ADO) w dobie obowiązkowego KSeF

Jako Administrator Danych Osobowych (ADO), musisz zaktualizować swoją dokumentację wewnętrzną. KSeF nie jest tylko „nowym sposobem wysyłki”, to całkowita zmiana procesowa.

Aktualizacja klauzul informacyjnych

W związku z wdrożeniem Krajowego Systemu e-Faktur (KSeF) na administratorze danych spoczywa obowiązek dostosowania realizacji obowiązku informacyjnego zgodnie z art. 13 i 14 RODO. Dotyczy to w szczególności obowiązków informacyjnych wobec:

• pracowników podatnika, którym powierzono wykonywanie czynności w ramach KSeF,
• osób fizycznych działających w imieniu podmiotów przetwarzających (np. biur rachunkowych), które zostały upoważnione do obsługi systemu,
• kontrahentów i osób go reprezentujących.

W zakresie wskazywania odbiorców danych warto zaznaczyć, że do faktur wystawionych w KSeF dostęp mogą uzyskać także organy egzekucyjne, w tym komornicy sądowi, co powinno znaleźć odzwierciedlenie w treści przekazywanych informacji.

Aktualizacja upoważnień

Wdrożenie KSeF może wymagać aktualizacji wzorów upoważnień do przetwarzania danych osobowych – tak, aby jednoznacznie odzwierciedlały one zakres uprawnień pracowników lub podmiotów zewnętrznych w systemie.

To, czy taka aktualizacja rzeczywiście będzie wymagana, zależy od tego, w jakiej formie i o jakiej treści administrator lub podmiot przetwarzający stosują upoważnienia do przetwarzania danych osobowych na obecną chwilę.

Aktualizacja umów powierzenia

W związku z wdrożeniem KSeF oraz możliwą zmianą sposobu przetwarzania danych osobowych przez podmioty zewnętrzne – takie jak biura rachunkowe – administrator powinien zweryfikować obowiązujące umowy powierzenia przetwarzania danych. Kluczowe jest sprawdzenie, czy obecna treść umowy uwzględnia nowe operacje przetwarzania wynikające z korzystania z systemu, takie jak: dostęp do KSeF, przesyłanie faktur nabywcom, autoryzacja użytkowników czy nadawanie upoważnień.

Jeżeli administrator wdraża wewnętrzne procedury zarządzania dostępami lub zmienia zasady przechowywania danych, może zaistnieć potrzeba aneksowania umowy powierzenia.

Aktualizacja zasad retencji danych

Wraz z wdrożeniem KSeF zmianie ulegają zasady przechowywania danych osobowych zawartych na fakturach. Dane te będą utomatycznie archiwizowane w systemie przez 10 lat od daaty wystawienia faktury. Choć w wielu przypadkach zwalnia to podatnika z obowiązku ich lokalnego przechowywania, należy pamiętać, że w sytuacjach szczególnych – np. gdy przedawnienie zobowiązania podatkowego następuje po tym okresie – konieczne może być dalsze, niezależne przechowywanie faktur poza KSeF.

Zmiana ta wymaga weryfikacji i aktualizacji wewnętrznych procedur dotyczących retencji danych. Administratorzy powinni dostosować polityki przechowywania, rejestry czynności przetwarzania oraz – w razie potrzeby – zapisy w umowach powierzenia i klauzulach informacyjnych, szczególnie jeśli dane z faktur wykorzystywane są również do innych celów niż rozliczenia VAT.

Aktualizacja rejestru czynności przetwarzania (RCP)

Twój Rejestr Czynności Przetwarzania musi odzwierciedlać nowy przepływ danych. Należy w nim uwzględnić:

1. Nowego odbiorcę danych: Ministerstwo Finansów.
2. Nowy system informatyczny: Platformę KSeF oraz ewentualnych pośredników (systemy ERP).
3. Zmieniony czas retencji: Faktury w KSeF są przechowywane przez 10 lat, co może różnić się od Twoich dotychczasowych okresów archiwizacji.

Analiza ryzyka i ocena skutków dla ochrony danych (DPIA)

Dla większości firm przetwarzających dane na dużą skalę, wdrożenie KSeF powinno zostać poprzedzone procesem DPIA (Data Protection Impact Assessment). Pozwala on zidentyfikować punkty zapalne, takie jak ryzyko nieuprawnionego dostępu pracownika do wszystkich faktur firmy czy błędy w integracji API, które mogłyby prowadzić do wycieku danych.

Jak bezpiecznie przesyłać e-faktury? Kluczowe procedury

Bezpieczeństwo w KSeF zaczyna się na poziomie Twojego komputera lub systemu księgowego.

Zarządzanie uprawnieniami i dostępem do systemu

W KSeF możesz nadawać różne poziomy uprawnień (np. tylko do odczytu, tylko do wystawiania). Zgodnie z RODO, powinieneś stosować zasadę najmniejszych przywilejów. Księgowa nie musi mieć dostępu do faktur kosztowych zarządu, jeśli nie leży to w zakresie jej obowiązków.

Anonimizacja danych osobowych w polach opcjonalnych faktury

Struktura e-faktury przewiduje pola dodatkowe. Jeśli prowadzisz działalność np. medyczną lub prawniczą, opisy na fakturach mogą ujawniać sferę prywatną klienta. W takich przypadkach warto stosować ogólne nazewnictwo usług lub kody wewnętrzne, które nie pozwalają na identyfikację szczegółów życia prywatnego osoby fizycznej.

Największe ryzyka RODO w kontekście e-faktur

PESEL na fakturze a ochrona prywatności osób fizycznych

To jeden z najbardziej zapalnych punktów. Numer PESEL jest daną o wysokim znaczeniu. W KSeF, przy fakturach B2C (jeśli są procesowane przez system), PESEL staje się identyfikatorem, który musi być chroniony ze szczególną starannością. Nieuzasadnione gromadzenie numerów PESEL od klientów, którzy ich nie podali, może być uznane za naruszenie zasady adekwatności.

Zagrożenie wyciekiem danych i procedury zgłaszania naruszeń

Pamiętaj, że każdy błąd w integracji, który spowoduje wysłanie faktury do niewłaściwego kontrahenta w KSeF, jest naruszeniem ochrony danych. Masz 72 godziny na zgłoszenie takiego incydentu do UODO, jeśli ryzyko naruszenia praw lub wolności osób jest wysokie.

Jak przygotować firmę na KSeF pod kątem RODO? Instrukcja krok po kroku

Inspektor Ochrony Danych w Twojej firmie powinien w szczególności:

1. wskazać potrzebę aktualizacji rejestru czynności przetwarzania (dodanie nowych pozycji i modyfikacja dotychczasowych), a także dostosowania treści klauzul informacyjnych – zarówno dla kontrahentów, jak i pracowników oraz osób upoważnionych do działania w ramach KSeF;
2. zarekomendować zmiany w obowiązujących zasadach retencji faktur przechowywanych w KSeF oraz ocenić procedurę przyznawania uprawnień do systemu;
3. wspomóc administratora w realizacji analizy ryzyka związanej z przetwarzaniem danych osobowych w kontekście korzystania z KSeF;
4. uwzględnić w harmonogramie rocznych kontroli audyt procedur zarządzania dostępem do KSeF, w tym ocenę zgodności z zasadą minimalizacji danych i ograniczenia dostępu;
5. zaopiniować aspekty bezpieczeństwa oraz sposób korzystania przez użytkowników z aplikacji mobilnej dedykowanej do obsługi KSeF;
6. przeanalizować obowiązujące umowy powierzenia przetwarzania danych z podmiotami wspierającymi administratora – takimi jak biura rachunkowe, dostawcy rozwiązań IT czy centra usług wspólnych (CUW/BFO).

FAQ – 10 najczęstszych pytań o RODO i Krajowy System e-Faktur

1. Czy numer PESEL na fakturze w KSeF jest widocznie chroniony?

Numer PESEL w pliku XML jest widoczny dla osób posiadających uprawnienia do podglądu faktury. System KSeF sam w sobie nie „zakrywa” tych danych przed uprawnionymi użytkownikami, dlatego tak ważne jest restrykcyjne nadawanie dostępów wewnątrz firmy.

2. Kto ponosi odpowiedzialność za wyciek danych osobowych z rządowego systemu KSeF?

Za bezpieczeństwo infrastruktury centralnej odpowiada Ministerstwo Finansów. Jeśli jednak wyciek nastąpi z powodu słabych haseł w Twojej firmie lub błędu w Twoim programie księgowym, odpowiedzialność (w tym finansową przed UODO) ponosisz Ty jako ADO.

3. Czy wdrożenie KSeF wymaga aktualizacji polityki prywatności i klauzul informacyjnych?

Tak. Należy dodać informację o nowej kategorii odbiorców danych (Ministerstwo Finansów) oraz nowej podstawie prawnej przetwarzania związanej z obowiązkowym fakturowaniem elektronicznym.

4. Czy muszę nadawać nowe upoważnienia pracownikom przetwarzającym dane w ramach KSeF?

Prawdopodobnie tak. Przetwarzanie danych w nowym systemie informatycznym (KSeF) powinno zostać poprzedzone wydaniem pisemnych upoważnień do przetwarzania danych w tym konkretnym systemie. Potrzeba wydania upoważnień zależy od kształtu obecnych upoważnień.

5. Czy biuro rachunkowe potrzebuje nowej umowy powierzenia danych (DPA) w związku z obsługą KSeF?

Zalecamy aneksowanie obecnych umów. Nowe procesy pobierania faktur z KSeF w imieniu klienta zmieniają zakres techniczny przetwarzania, co powinno znaleźć odzwierciedlenie w dokumentacji.

6. Jak zasada minimalizacji danych RODO odnosi się do pól opcjonalnych w strukturze e-Faktury?

Zasada ta sugeruje, aby nie wypełniać pól, które nie są niezbędne do celów podatkowych, jeśli zawierają one dane osobowe. Nadmiarowość danych w polu „Dodatkowy opis” może być punktowana podczas kontroli UODO.

7. Jak długo dane osobowe będą przechowywane w systemie KSeF i co z prawem do bycia zapomnianym?

Dane w KSeF są przechowywane przez 10 lat. Prawo do bycia zapomnianym jest w tym przypadku ograniczone, ponieważ obowiązek przechowywania dokumentacji skarbowej wynika z przepisów prawa, które są nadrzędne wobec żądania usunięcia danych przez osobę fizyczną.

8. Czy kontrahent może uzyskać dostęp do innych danych w KSeF niż te zawarte na dedykowanej mu fakturze?

Nie. System KSeF jest zaprojektowany tak, aby kontrahent (odbiorca) miał dostęp wyłącznie do faktur, na których widnieje jako nabywca. Nie ma możliwości podglądu „całej bazy” innych klientów wystawcy.

9. Czy korzystanie z komercyjnych platform (pośredników) KSeF zwiększa ryzyko naruszenia RODO?

Zwiększa tzw. powierzchnię ataku, ponieważ dane przechodzą przez dodatkowy serwer. Dlatego kluczowe jest wybranie dostawcy, który posiada certyfikaty bezpieczeństwa i oferuje pełne szyfrowanie danych end-to-end.

10. Jakie konsekwencje grożą przedsiębiorcy za błędy w ochronie danych osobowych przy fakturowaniu elektronicznym?

Poza sankcjami karno-skarbowymi, ADO naraża się na kary administracyjne od UODO (do 20 mln EUR lub 4% globalnego obrotu) oraz roszczenia cywilne ze strony osób, których dane zostały naruszone.

Podsumowanie: Bezpieczne przejście na KSeF z Adwokatem Mateuszem Orlickim

Wdrożenie KSeF to proces wielowymiarowy. Skupienie się wyłącznie na technicznej wysyłce plików XML, z pominięciem aspektów RODO, jest prostą drogą do incydentów prawnych. Prawidłowo przygotowana analiza ryzyka oraz audyt procedur pozwolą Twojej firmie wejść w erę cyfrowego fakturowania bez obaw o bezpieczeństwo danych klientów i pracowników.

Potrzebujesz wsparcia we wdrożeniu procedur RODO dla KSeF w Twojej firmie? Zapraszam do kontaktu z moją kancelarią – wspólnie przygotujemy audyt rodo i niezbędną dokumentację.