Kto odpowiada za pozostawienie byłemu pracownikowi biura dostępu do KSeF klienta

PROBLEM

Jesteśmy biurem rachunkowym obsługującym klientów w zakresie KSeF. W ramach współpracy klient nadał dostęp do KSeF osobie zatrudnionej w naszym biurze, która wykonywała czynności związane z obsługą faktur klienta. Pracownik zakończył współpracę z biurem, jednak jego dostęp do KSeF klienta nie został odebrany. Kto w takiej sytuacji odpowiada za ewentualne skutki dalszego korzystania przez byłego pracownika z tego dostępu, w szczególności za pobranie danych, wystawienie faktury albo inne działania w KSeF?

RADA

Odpowiedzialność, o której mowa w pytaniu, zależy przede wszystkim od tego, kto był zobowiązany do odebrania lub aktualizacji uprawnień w KSeF. Jeżeli dostęp nadano bezpośrednio konkretnej osobie, a klient miał możliwość samodzielnego zarządzania tymi uprawnieniami, to zasadniczo na nim spoczywa obowiązek ich odebrania. Inaczej wygląda sytuacja, gdy biuro rachunkowe zobowiązało się wobec klienta do bieżącego zarządzania dostępami albo nie poinformowało go o odejściu pracownika. Wówczas może ponosić odpowiedzialność kontraktową za nienależyte wykonanie umowy. Niezależnie od powyższego sam były pracownik odpowiada za nieuprawnione korzystanie z dostępu. Dotyczy to zwłaszcza pobrania danych, naruszenia tajemnicy przedsiębiorstwa, naruszenia przepisów o ochronie danych osobowych czy nieuprawnionego wystawienia faktury. Najbezpieczniejszym rozwiązaniem jest wprowadzenie procedury, w której klient nadaje uprawnienia biuru rachunkowemu jako podmiotowi, a nie poszczególnym pracownikom. Ogranicza to ryzyko pozostawienia indywidualnych dostępów osobom, które zakończyły pracę w biurze.

UZASADNIENIE

Krajowy System e-Faktur opiera się na mechanizmie uwierzytelnienia i autoryzacji. W praktyce oznacza to, że dostęp do faktur oraz możliwość działania w KSeF (wystawiania, pobierania czy przeglądania dokumentów) zależy wyłącznie od posiadanych uprawnień. Jak wskazuje Ministerstwo Finansów, podatnik może przydzielić dostęp do KSeF zarówno swoim pracownikom, jak i współpracującym firmom, a zakres uprawnień może obejmować m.in. wystawianie i przeglądanie faktur, zarządzanie uprawnieniami oraz nadawanie ich kolejnym osobom. Z oficjalnych wyjaśnień MF wynika ponadto, że biuro rachunkowe, aby móc pobierać lub wystawiać faktury w imieniu klienta, musi być autoryzowane w odniesieniu do NIP danego klienta. Sama praca (obecna czy wcześniejsza) w biurze rachunkowym nic tu nie zmienia. To konkretnie nadane uprawnienia w KSeF, powiązane z danym podatnikiem lub podmiotem go obsługującym, decydują o tym, kto ma dostęp do jego faktur. Kluczowe jest więc ustalenie, komu i w jaki sposób klient nadał uprawnienia. Inaczej bowiem ocenia się sytuację, w której dostęp otrzymała bezpośrednio konkretna osoba fizyczna zatrudniona w biurze, a inaczej tę, w której uprawnienie nadano całemu podmiotowi, tj. biuru rachunkowemu. MF wyjaśnia, że klient nie musi nadawać uprawnień każdemu pracownikowi biura z osobna. Uprawnienie takie może być przydzielone całemu podmiotowi. Jeżeli jednak klient nadał uprawnienie bezpośrednio konkretnej osobie fizycznej, to pozostaje ona uprawniona aż do momentu, gdy dostęp odbierze jej podmiot zarządzający uprawnieniami. Zgodnie z wyjaśnieniami MF zrobić to może wyłącznie osoba posiadająca uprawnienia do zarządzania uprawnieniami. Jeśli więc to klient sam nadał dostęp i zachował nad nim kontrolę, powinien niezwłocznie go cofnąć, gdy tylko dowie się, że dana osoba nie współpracuje już z biurem.

Odpowiedzialność biura rachunkowego i jego pracownika

W określonych sytuacjach odpowiedzialność może obciążać także samo biuro rachunkowe. Jeśli to na nim spoczywał obowiązek informowania klienta o zmianach personalnych, prowadzenia listy osób uprawnionych, zgłaszania konieczności odebrania dostępów albo zarządzania uprawnieniami w jego imieniu – bezczynność w tym zakresie może zostać uznana za nienależyte wykonanie umowy. O odpowiedzialności biura decydują wtedy zasady ogólne: treść umowy, zakres powierzonych obowiązków oraz to, czy dochowano należytej staranności. Dlatego dla biura kluczowe jest, czy umowa lub aneks dotyczące KSeF przewidują procedurę nadawania i odbierania uprawnień. Brak takich zapisów otwiera pole do sporu. Trudno wtedy jednoznacznie ustalić, czy za odebranie dostępu odpowiadał klient jako podatnik i właściciel uprawnień, czy biuro jako podmiot organizujący pracę swoich pracowników. Najlepiej więc, gdy aneks dotyczący KSeF wprost określa, kto nadaje uprawnienia, kto je odbiera, kto prowadzi ich ewidencję, w jakim terminie biuro zgłasza odejście pracownika oraz w jakim terminie klient ma obowiązek cofnąć dostęp. Osobną kwestią pozostaje odpowiedzialność samego byłego pracownika. Jeśli po zakończeniu współpracy bez podstawy korzysta on z dostępu do KSeF klienta (pobiera faktury, ujawnia dane lub wystawia dokumenty), odpowiada za to on sam. W zależności od charakteru naruszenia będzie to odpowiedzialność cywilna, pracownicza, karna lub administracyjna. Działa bowiem już poza poleceniem biura, wykorzystując dostęp, który powinien zostać mu odebrany.

Ryzyka związane z ochroną danych i nieuprawnionym wystawieniem faktury

Szczególnie istotny jest aspekt ochrony danych. Faktury w KSeF mogą zawierać dane kontrahentów, dane osobowe, informacje handlowe oraz dane objęte tajemnicą przedsiębiorstwa. Pozostawienie dostępu osobie, która nie powinna już obsługiwać klienta, może rodzić ryzyko nie tylko podatkowe, ale również związane z RODO, poufnością i bezpieczeństwem informacji. W takim przypadku należy ustalić, czy doszło do naruszenia ochrony danych osobowych, kto był administratorem danych, kto podmiotem przetwarzającym, oraz czy naruszenie wymaga udokumentowania, zgłoszenia do Prezesa UODO lub poinformowania osób, których dane dotyczą.

Jeżeli były pracownik wystawi fakturę w KSeF, problem może być szczególnie poważny, ponieważ zgodnie z art. 106na ust. 1 ustawy z 11 marca 2004 r. o podatku od towarów i usług (dalej: ustawa o VAT) fakturę ustrukturyzowaną uznaje się za wystawioną w dniu jej przesłania do KSeF. Skutek podatkowy wystawienia faktury powstaje zatem w momencie jej przesłania do systemu. Jeżeli faktura została wystawiona bez podstawy, klient powinien niezwłocznie przeanalizować sposób usunięcia skutków takiego działania, w szczególności ewentualną konieczność wystawienia korekty albo podjęcia innych działań wyjaśniających.

Rekomendowane zapisy w aneksie dotyczącym KSeF

W praktyce najbezpieczniejszym rozwiązaniem dla biura rachunkowego jest inny model uprawnień. Klient powinien nadawać dostęp całemu biuru jako podmiotowi, a nie poszczególnym pracownikom (jeśli taki model wystarcza do obsługi). MF potwierdza, że jest to możliwe. Uprawnienie może zostać nadane (jak zostało już wspomniane) całemu podmiotowi zamiast każdemu pracownikowi osobno. Takie rozwiązanie ogranicza ryzyko pozostawienia indywidualnych dostępów osobom, które odeszły z biura. Aneks dotyczący KSeF powinien iść o krok dalej. Warto zapisać w nim, że biuro informuje klienta o zakończeniu współpracy z osobą mającą dostęp do jego KSeF. Klient z kolei zobowiązuje się niezwłocznie odebrać tej osobie uprawnienia, jeśli sam nimi zarządza. Jeśli natomiast to biuro zarządza dostępami, aneks powinien wskazywać konkretny termin na cofnięcie dostępu (na przykład nie później niż w dniu zakończenia zatrudnienia lub współpracy).

Rafał Styczyński

doradca podatkowy, właściciel kancelarii doradztwa podatkowego, autor licznych publikacji z dziedziny podatków

Treści dostępne dla abonentów IFK Platformy Księgowych i Kadrowych

Już dziś zamów dostęp
do IFK Platforma Księgowych i Kadrowych

• Codzienne aktualności prawne
• Porady i artykuły z najpopularniejszych czasopism INFOR wraz z bieżącymi wydaniami
• Bogatą bibliotekę materiałów wideo
• Merytoryczne dodatki, ściągi, plakaty

Zamów teraz Masz już konto? Zaloguj się