Dostęp do danych z KSeF – czy obowiązujące przepisy zapewniają wystarczającą ochronę przedsiębiorców?

Wraz z wdrożeniem Krajowego Systemu e-Faktur (KSeF) do polskiego systemu podatkowego wprowadzono również przepisy określające zasady udostępniania danych zgromadzonych w tym systemie różnym organom państwowym. Zgodnie z art. 297h Ordynacji podatkowej dostęp do informacji zawartych w KSeF przysługuje nie tylko organom Krajowej Administracji Skarbowej, ale również szeregowi innych instytucji publicznych, w tym organom ścigania, prokuraturze oraz podmiotom wykonującym zadania związane z bezpieczeństwem państwa i kontrolą publiczną.

Jednocześnie obowiązujące przepisy pozostawiają istotne wątpliwości interpretacyjne dotyczące zakresu danych, które mogą być udostępniane. Ustawodawca posłużył się bowiem pojęciem „innych danych wynikających z Krajowego Systemu e-Faktur”, nie wskazując, jakie informacje mieszczą się w tej kategorii. Brak ustawowej definicji oraz precyzyjnego określenia zakresu tych danych powoduje niepewność co do granic dostępu organów publicznych do informacji o działalności gospodarczej przedsiębiorców.

Znaczenie tej kwestii jest szczególnie istotne z uwagi na charakter danych gromadzonych w KSeF. System zawiera szczegółowe informacje dotyczące wystawianych faktur, a tym samym umożliwia odtworzenie znacznej części aktywności gospodarczej podatników, relacji handlowych oraz przebiegu transakcji. Tak szeroki zakres danych wymaga zapewnienia odpowiednich mechanizmów ochrony oraz przejrzystych zasad ich udostępniania.

Na potrzebę stosowania szczególnych gwarancji w przypadku scentralizowanych baz danych zwraca uwagę również orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej. Podkreśla się w nim, że dostęp organów publicznych do rozbudowanych zbiorów informacji dotyczących obywateli i przedsiębiorców powinien podlegać jasno określonym procedurom oraz odpowiednim mechanizmom kontroli. Ma to na celu zapewnienie proporcjonalności korzystania z takich uprawnień oraz ochronę praw podmiotów, których dane są przetwarzane.

Obowiązujące przepisy Ordynacji podatkowej nie przewidują jednak odrębnych rozwiązań dotyczących nadzoru nad udostępnianiem danych z KSeF innym organom państwowym. Nie określono również szczegółowych zasad dokumentowania takich operacji ani mechanizmów pozwalających na ich późniejszą weryfikację. W praktyce rodzi to pytania o poziom ochrony danych przedsiębiorców oraz transparentność korzystania z informacji zgromadzonych w Krajowym Systemie e-Faktur.

Zgodnie z powyższym Ministerstwo Finansów otrzymało następujące pytania:

1. Jakie konkretne kategorie informacji – poza samymi fakturami ustrukturyzowanymi – mieszczą się w pojęciu „innych danych wynikających z Krajowego Systemu e-Faktur”, o którym mowa w art. 297h Ordynacji podatkowej? Czy obejmuje ono m.in. dane techniczne dotyczące przetwarzania faktur, historię operacji wykonywanych w systemie, informacje o użytkownikach korzystających z systemu, a także metadane dotyczące obiegu dokumentów?
2. Jakie przesłanki materialne i proceduralne muszą zostać spełnione przez podmioty wskazane w art. 297h Ordynacji podatkowej w celu uzyskania dostępu do danych zgromadzonych w Krajowym Systemie e-Faktur? W szczególności, czy przepisy przewidują obowiązek wykazania związku pomiędzy zakresem żądanych danych a prowadzonym postępowaniem lub realizowanymi ustawowo zadaniami danego organu?
3. W jaki sposób dokumentowany jest dostęp do danych zgromadzonych w Krajowym Systemie e-Faktur przez podmioty uprawnione na podstawie art. 297h Ordynacji podatkowej? Czy prowadzone są rejestry lub logi obejmujące informacje o podmiocie uzyskującym dostęp, zakresie pozyskanych danych, dacie udostępnienia oraz podstawie prawnej żądania?
4. Czy Ministerstwo Finansów przeprowadzało analizy dotyczące zgodności regulacji określonych w art. 297h Ordynacji podatkowej z europejskimi standardami ochrony danych i prywatności, w szczególności w kontekście orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej dotyczącego zasad proporcjonalności i konieczności ingerencji państwa w sferę danych gromadzonych w systemach teleinformatycznych?
5. Czy w obowiązującym stanie prawnym przewidziano mechanizmy zewnętrznej kontroli nad udostępnianiem danych z Krajowego Systemu e-Faktur podmiotom innym niż organy Krajowej Administracji Skarbowej, w szczególności w postaci uprzedniej kontroli sądowej, kontroli instytucjonalnej lub innych form niezależnego nadzoru nad zakresem i zasadnością dostępu do tych danych?
6. Czy Ministerstwo Finansów analizuje potrzebę doprecyzowania przepisów art. 297h Ordynacji podatkowej w zakresie definicji „innych danych wynikających z Krajowego Systemu e-Faktur”?

W odpowiedzi Ministerstwo wskazało:

Ad 1. Pojęcie „innych danych wynikających z Krajowego Systemu e-Faktur”, o którym mowa w art. 297h ustawy z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa (dalej: O.p.), należy interpretować, jako techniczne dane związane z przetwarzaniem faktur w systemie, obejmujące numer sesji wysyłki oraz jej rodzaj, sposób autoryzacji i podpisu, dokładną datę wysyłki oraz nr SHA256 przesłanego pliku faktury. Zakres udostępnienia tych danych podlega ograniczeniu do informacji niezbędnych dla realizacji ustawowych zadań uprawnionych podmiotów.

Ad 2. Zgodnie z treścią art. 297h O.p,, wprowadzonego ustawą z dnia 16 czerwca 2023 r. o zmianie ustawy o podatku od towarów i usług oraz niektórych innych ustaw: § 1. Faktury ustrukturyzowane, o których mowa w art. 2 pkt 32a ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług, faktury, o których mowa w art. 106nda ust. 1, art. 106nf ust. 1 i art. 106nh ust. 1 tej ustawy, po przesłaniu ich do Krajowego Systemu e-Faktur oraz faktury VAT RR i faktury VAT RR KOREKTA, o których mowa w art. 116 ust. 3b i 3c tej ustawy, wystawione przy użyciu Krajowego Systemu e-Faktur oraz inne dane wynikające z Krajowego Systemu e-Faktur, są udostępniane wyłącznie:

1) organom Krajowej Administracji Skarbowej – w celu realizacji ich ustawowych zadań;

2) organom wymienionym w art. 297 § 1 pkt 2a-3 i 7-9, art. 299g § 1 i art. 299h § 1 – na zasadach określonych w tych przepisach. § 2. Do faktur oraz innych danych wynikających z Krajowego Systemu e-Faktur, udostępnianych organom wymienionym w art. 297 § 1 pkt 2a-3 i 7-9, przepis art. 297 § 3 stosuje się odpowiednio.

Z brzmienia powyższej regulacji wynika, że dostęp do danych zgromadzonych w KSeF jest ograniczony wyłącznie do ściśle określonych podmiotów, tj. organów Krajowej Administracji Skarbowej (dalej: KAS) oraz innych organów enumeratywnie wymienionych w przepisach Ordynacji podatkowej. Należy podkreślić, że dostęp do tych danych może nastąpić wyłącznie w związku z realizacją ustawowo określonych zadań danego organu. Oznacza to, że każdorazowe sięgnięcie po dane zgromadzone w KSeF musi pozostawać w funkcjonalnym związku z prowadzonym postępowaniem podatkowym, czynnościami sprawdzającymi, kontrolą podatkową lub innymi działaniami przewidzianymi przepisami prawa. Jednocześnie zakres pozyskiwanych danych powinien każdorazowo być ograniczony do niezbędnego minimum zgodnie z zasadą proporcjonalności oraz adekwatności przetwarzania danych. Organy korzystające z dostępu do KSeF powinny być w stanie wykazać, że pozyskanie określonych informacji jest niezbędne i pozostaje w bezpośrednim związku z realizowanymi przez nie zadaniami.

Ponadto należy mieć na uwadze, że wszystkie osoby, które mają dostęp do akt i informacji objętych tajemnicą skarbową – a zatem również tych wynikających z KSeF, zobowiązane są na mocy art. 294 § 1 i 4 O.p. do przestrzegania tajemnicy skarbowej, pod rygorem odpowiedzialności karnej, o której mowa w art. 306 O.p.

Dostęp do danych zgromadzonych w KSeF odbywa się przy wykorzystaniu rozwiązań teleinformatycznych zapewniających weryfikację użytkownika oraz rejestrowanie operacji na danych. Osoby uzyskujące dostęp działają w ramach stosownych upoważnień a czynności podejmowane w systemie podlegają ewidencjonowaniu, co umożliwia ich późniejszą weryfikację pod kątem legalności.

Ad 3. Dostęp do danych zgromadzonych w KSeF jest możliwy wyłącznie w ściśle określonych ustawowo sytuacjach. Uzyskanie danych każdorazowo poprzedzone jest złożeniem wniosku o nadanie określonych uprawnień w systemie dla konkretnego pracownika KAS. Złożenie wniosku powinno wynikać z zakresu zadań służbowych realizowanych przez pracownika. Z tego względu wniosek jest podpisywany przez kierownika jednostki wnioskującej. Mechanizm ten zapewnia, że dostęp do danych nie ma charakteru dowolnego, lecz jest ściśle powiązany z realizacją ustawowych kompetencji organów. Każdorazowy wgląd do danej faktury przez uprawnionego pracownika jest na bieżąco monitorowany w systemie i opatrzony dodatkowo wyraźnymi zgodami przełożonych – po uprzednim uzasadnieniu celu poboru danych oraz jest cyklicznie audytowany.

Analogiczne zasady monitorowania i rejestrowania dostępu znajdują zastosowanie w odniesieniu do podmiotów wymienionych w art. 299g i 299h O.p. Oznacza to, że również w ich przypadku każdorazowy dostęp do danych jest identyfikowany, rejestrowany i podlega kontroli na tych samych zasadach, jak ma to miejsce w odniesieniu do pracowników Krajowej Administracji Skarbowej.

Ad 4. Kwestie związane z ochroną danych osobowych zostały kompleksowo uregulowane na poziomie unijnym i są obowiązujące dla wszystkich państw członkowskich, w tym Polski. Przyjęte rozwiązania w zakresie KSeF pozostają zgodne z tymi standardami. Jak wskazano wyżej, katalog podmiotów uprawnionych do dostępu do danych z KSeF został ograniczony do niezbędnego minimum a sam dostęp powiązano z konkretnymi, określonymi ustawowo okolicznościami. Jednocześnie dostęp do tych danych nawet w ramach struktur KAS jest ściśle reglamentowany.

Ad 5. Udostępnienie danych podmiotom innym niż Krajowa Administracja Skarbowa podlega zasadom określonym w Ordynacji podatkowej. Każdy wniosek o dostęp do danych podlega wewnętrznej weryfikacji KAS w zakresie zasadności i celu pozyskania wnioskowanych informacji. W przypadkach budzących wątpliwości wnioski temogą być przedmiotem dodatkowych analiz i wyjaśnień.

Ad 6. Informuję, że aktualnie nie dostrzegamy potrzeby doprecyzowania przepisów art. 297h O.p. w zakresie definicji „innych danych wynikających z Krajowego Systemu e-Faktur”.