Krajowy System e-Faktur (KSeF) stanowi jedną z najbardziej doniosłych reform cyfryzacyjnych w polskim systemie podatkowym ostatnich lat. System, rozwijany przez Ministerstwo Finansów, ma uszczelnić system VAT, ujednolicić fakturowanie i przyspieszyć obieg dokumentów. Jednocześnie pojawia się pytanie: jak KSeF ma się do przepisów o ochronie danych osobowych, czyli do Rozporządzenie o Ochronie Danych Osobowych (RODO)?
To zagadnienie jest szczególnie istotne dla przedsiębiorców, którzy odpowiadają zarówno za poprawność podatkową, jak i bezpieczeństwo danych.
Administrator danych – kto nim jest w KSeF?
Z perspektywy RODO kluczowe jest ustalenie ról:
- Podatnik jest administratorem danych wprowadzonych do systemu oraz z niego odbieranych.
Administrator‑podatnik jest zobowiązany, w szczególności do:
– przeprowadzenia analizy ryzyka (zgodnie z art. 32 RODO), która powinna objąć proces zarządzania uprawnieniami i integrację systemów ERP z KSeF,
– przy dużej skali operacji konieczne może być także przeprowadzenie oceny skutków dla ochrony danych (DPIA),
– zaktualizowania Rejestru Czynności Przetwarzania (RCP).
W dokumentacji tej warto wyodrębnić nowe procesy, tj.: nadawanie i weryfikacja uprawnień do KSeF, archiwizacja e-faktur oraz monitorowanie bezpieczeństwa systemu.
Nowym obszarem wymagającym szczególnej analizy z perspektywy RODO jest mobilna aplikacja KSeF. Za jej pośrednictwem administrator może przetwarzać dane osobowe w zakresie niezbędnym do wystawiania i odbierania faktur, zarządzania danymi nabywców czy rachunków bankowych. Z tego względu kluczowe jest wdrożenie jasnych zasad korzystania z aplikacji oraz zapewnienie, aby każdy użytkownik posiadał odpowiednio nadane i zweryfikowane uprawnienia. Dostęp powinien być ograniczony wyłącznie do osób, którym jest on niezbędny do wykonywania obowiązków służbowych, a nadawanie i odbieranie uprawnień powinno podlegać regularnej kontroli oraz dokumentowaniu.
- Szef Krajowej Administracji Skarbowej jest administratorem danych przetwarzanych przez KSeF.
W praktyce oznacza to, że podstawą przetwarzania danych przekazanych do KSeF jest obowiązek prawny wynikający z przepisów podatkowych (art. 6 ust. 1 lit. c RODO).
Czy trzeba informować kontrahenta o KSeF?
Tak. Administrator (czyli podatnik) powinien spełnić obowiązek informacyjny wobec osoby, której dane przetwarza.
W praktyce warto w klauzuli informacyjnej wskazać, m.in. że:
- dane mogą być przekazywane do organów administracji publicznej,
- przetwarzanie odbywa się na podstawie przepisów prawa podatkowego,
- odbiorcą danych może być Szef Krajowej Administracji Skarbowej.
Transparentność to jeden z fundamentów RODO.
Retencja danych – jak długo dane są przechowywane?
KSeF umożliwia przechowywanie faktur w systemie przez 10 lat. Jednak to na administratorze‑podatniku spoczywa monitorowanie terminów przedawnienia zobowiązań podatkowych (jeżeli okres ten jest dłuższy niż wskazany w systemie, to na podatniku spoczywa obowiązek przechowywania faktur poza KSeF).
Najczęstsze wątpliwości przedsiębiorców
- Czy muszę zawierać umowę powierzenia danych?
Nie – przetwarzanie odbywa się na podstawie przepisów prawa, a nie umowy powierzenia.
- Czy klient może zażądać usunięcia faktury z KSeF?
Nie, jeśli jej przechowywanie wynika z obowiązku podatkowego. Prawo do usunięcia danych (tzw. „prawo do bycia zapomnianym”) nie ma zastosowania, gdy przetwarzanie jest wymagane przepisami prawa.
- Czy KSeF zwiększa ryzyko naruszeń danych?
Centralizacja danych zawsze budzi obawy, ale jednocześnie oznacza profesjonalne zabezpieczenia na poziomie państwowym. Największe ryzyko zwykle dotyczy nie systemu centralnego, lecz błędów po stronie użytkowników.
KSeF i RODO – konflikt czy współistnienie?
Na pierwszy rzut oka może się wydawać, że masowe przekazywanie danych do systemu państwowego stoi w sprzeczności z ideą ochrony prywatności. W rzeczywistości jednak:
- podstawą przetwarzania jest obowiązek prawny,
- zakres danych wynika z przepisów podatkowych,
- prawa osób, których dane dotyczą, są ograniczone w zakresie wynikającym z prawa.
KSeF i RODO nie wykluczają się – funkcjonują równolegle w ramach tego samego porządku prawnego.
Podsumowanie
KSeF to nie tylko narzędzie podatkowe, ale także system przetwarzający ogromne ilości danych osobowych. Dla przedsiębiorców oznacza to konieczność:
- aktualizacji klauzul informacyjnych,
- przeglądu zakresu danych,
- zabezpieczenia dostępu do systemu,
- przeszkolenia pracowników.
Cyfryzacja podatków nie zwalnia z obowiązków wynikających z RODO – ale przy prawidłowym wdrożeniu oba systemy mogą funkcjonować spójnie i bezpiecznie.
Joanna Mikulczyńska – radca prawny | ekspert ds. ochrony danych osobowych
NK Legal Partners
