KSeF i zmiany kadrowe w biurze rachunkowym. Jak ograniczyć ryzyko związane z uprawnieniami byłych pracowników?

Krajowy System e-Faktur opiera się na mechanizmie uwierzytelnienia i autoryzacji. W praktyce oznacza to, że dostęp do faktur oraz możliwość wystawiania, pobierania czy przeglądania dokumentów w KSeF zależy wyłącznie od posiadanych uprawnień. Uprawnienia te nie wygasają jednak automatycznie wraz z zakończeniem współpracy z pracownikiem biura rachunkowego, co rodzi realne ryzyko – zarówno podatkowe, jak i związane z ochroną danych.

Jak wskazuje Ministerstwo Finansów, podatnik może przydzielić dostęp do KSeF zarówno swoim pracownikom, jak i współpracującym firmom, a zakres uprawnień może obejmować m.in. wystawianie i przeglądanie faktur, zarządzanie uprawnieniami oraz nadawanie ich kolejnym osobom. Biuro rachunkowe, aby móc pobierać lub wystawiać faktury w imieniu klienta, musi być autoryzowane w odniesieniu do NIP danego klienta.

Klient nie musi nadawać uprawnień każdemu pracownikowi biura z osobna. Uprawnienie takie może być przydzielone całemu podmiotowi. Jeżeli jednak klient nadał uprawnienie bezpośrednio konkretnej osobie fizycznej, to pozostaje ona uprawniona aż do momentu, gdy dostęp odbierze jej podmiot zarządzający uprawnieniami. Zgodnie z wyjaśnieniami resortu finansów, zrobić to może wyłącznie osoba posiadająca uprawnienia do zarządzania uprawnieniami. Jeśli więc to klient sam nadał dostęp i zachował nad nim kontrolę, powinien niezwłocznie go cofnąć, gdy tylko dowie się, że dana osoba nie współpracuje już z biurem.

Przeczytaj również: Modyfikacja umów biura rachunkowego z klientami w związku z KSEF – przykłady klauzul »

Odpowiedzialność biura rachunkowego i jego pracownika

W określonych sytuacjach odpowiedzialność może obciążać także samo biuro rachunkowe. Jeśli to na nim spoczywał obowiązek informowania klienta o zmianach personalnych, prowadzenia listy osób uprawnionych, zgłaszania konieczności odebrania dostępów albo zarządzania uprawnieniami w jego imieniu – bezczynność w tym zakresie może zostać uznana za nienależyte wykonanie umowy.

O odpowiedzialności biura decydują wtedy zasady ogólne: treść umowy, zakres powierzonych obowiązków oraz to, czy dochowano należytej staranności. Dlatego dla biura kluczowe jest, czy umowa lub aneks dotyczące KSeF przewidują procedurę nadawania i odbierania uprawnień. Brak takich zapisów otwiera pole do sporu. Trudno wtedy jednoznacznie ustalić, czy za odebranie dostępu odpowiadał klient jako podatnik i właściciel uprawnień, czy biuro jako podmiot organizujący pracę swoich pracowników.

Osobną kwestią pozostaje odpowiedzialność samego byłego pracownika. Jeśli po zakończeniu współpracy bez podstawy korzysta on z dostępu do KSeF klienta (pobiera faktury, ujawnia dane lub wystawia dokumenty), odpowiada za to on sam. W zależności od charakteru naruszenia będzie to odpowiedzialność cywilna, pracownicza, karna lub administracyjna. Działa bowiem już poza poleceniem biura, wykorzystując dostęp, który powinien zostać mu odebrany.

Ryzyka związane z ochroną danych i nieuprawnionym wystawieniem faktury

Szczególnie istotny jest aspekt ochrony danych. Faktury w KSeF mogą zawierać dane kontrahentów, dane osobowe, informacje handlowe oraz dane objęte tajemnicą przedsiębiorstwa. Pozostawienie dostępu osobie, która nie powinna już obsługiwać klienta, może rodzić ryzyko nie tylko podatkowe, ale również związane z RODO, poufnością i bezpieczeństwem informacji. W takim przypadku należy ustalić, czy doszło do naruszenia ochrony danych osobowych, kto był administratorem danych, kto podmiotem przetwarzającym, oraz czy naruszenie wymaga udokumentowania, zgłoszenia do Prezesa UODO lub poinformowania osób, których dane dotyczą.

Jeżeli faktura została wystawiona bez podstawy, klient powinien niezwłocznie przeanalizować sposób usunięcia skutków takiego działania, w szczególności ewentualną konieczność wystawienia korekty albo podjęcia innych działań wyjaśniających.

Jakie zapisy umieścić w aneksie dotyczącym KSeF

W praktyce najbezpieczniejszym rozwiązaniem dla biura rachunkowego jest inny model uprawnień. Klient powinien nadawać dostęp całemu biuru jako podmiotowi, a nie poszczególnym pracownikom (jeśli taki model wystarcza do obsługi). MF potwierdza, że jest to możliwe. Takie rozwiązanie ogranicza ryzyko pozostawienia indywidualnych dostępów osobom, które odeszły z biura.

Aneks dotyczący KSeF powinien iść o krok dalej. Warto zapisać w nim, że biuro informuje klienta o zakończeniu współpracy z osobą mającą dostęp do jego KSeF. Klient z kolei zobowiązuje się niezwłocznie odebrać tej osobie uprawnienia, jeśli sam nimi zarządza. Jeśli natomiast to biuro zarządza dostępami, aneks powinien wskazywać konkretny termin na cofnięcie dostępu (na przykład nie później niż w dniu zakończenia zatrudnienia lub współpracy).

Autor: Rafał Styczyński