KSeF a RODO – czy dane na fakturach są bezpieczne?

Co dokładnie trafia do KSeF i dlaczego to więcej niż „zwykła” faktura

Faktura ustrukturyzowana w formacie XML, przesyłana do Krajowego Systemu e-Faktur, znacząco różni się od tradycyjnego dokumentu PDF czy papierowego rachunku. Zgodnie z art. 106n ustawy o podatku od towarów i usług (VAT) z dnia 11 marca 2004 r. (t.j. Dz.U. 2024 poz. 361), dokument ten musi zawierać określone pola obowiązkowe, jednak struktura logiczna FA(2) narzuca podanie dodatkowych danych technicznych. W praktyce system wymaga wypełnienia minimum 30 pól, w tym specyficznych oznaczeń takich jak kody GTU (Grup Towarowo-Usługowych), oznaczenia procedur (np. MPP – mechanizm podzielonej płatności) oraz precyzyjnych terminów płatności i numerów rachunków bankowych. Taka granulacja danych sprawia, że faktura ustrukturyzowana przypomina szczegółowy raport operacyjny, a nie tylko potwierdzenie transakcji.

• Dane sprzedawcy i nabywcy – obejmujące NIP, a w przypadku osób fizycznych prowadzących działalność również PESEL, adres zamieszkania oraz serie dokumentów tożsamości przy transakcjach specyficznych (np. refundacje).
• Opis przedmiotu transakcji – często zawierający wewnętrzne kody SKU, nazwy realizowanych projektów badawczych czy ceny jednostkowe po uwzględnieniu rabatów, co bezpośrednio eksponuje strategię handlową podmiotu.
• Metadane systemowe – unikalny numer identyfikacyjny KSeF-ID, dokładny znacznik czasu przyjęcia dokumentu oraz podpisy elektroniczne zapewniające nienaruszalność struktury XML.

Przetwarzanie tak szczegółowych informacji rodzi ryzyko naruszenia tajemnicy przedsiębiorstwa, definiowanej w art. 11 ust. 2 ustawy o zwalczaniu nieuczciwej konkurencji z dnia 16 kwietnia 1993 r. (t.j. Dz.U. 2022 poz. 1233). Faktura zawierająca zapisy typu „Usługa IT – wdrożenie modułu X dla spółki Y” wprost wskazuje na kluczowego kontrahenta, zastosowaną technologię oraz marżowość operacji. Choć Ministerstwo Finansów zapewnia, że dostęp do danych w KSeF mają wyłącznie upoważnione organy państwowe, nie doprecyzowano dotąd szczegółowych kryteriów przyznawania uprawnień dla poszczególnych funkcjonariuszy KAS, CBA czy ABW. Należy pamiętać, że zgodnie z art. 106l § 3 Ordynacji podatkowej, dane te będą przechowywane centralnie przez dekadę.

W związku z powyższym, przedsiębiorcy powinni zweryfikować zakres informacji wpisywanych w pola opcjonalne faktury ustrukturyzowanej. Dane osobowe w KSeF są objęte tajemnicą skarbową, jednak ich koncentracja w jednym miejscu czyni system atrakcyjnym celem dla podmiotów trzecich. Rekomenduje się, aby przed wysyłką dokumentu sprawdzić, czy na fakturze nie znajduje się opis, który zdradza strategiczne plany firmy lub unikalne warunki cenowe wynegocjowane z dostawcą. Dokumenty po przyjęciu do systemu stają się nieedytowalne i jednoznacznie identyfikowalne, co uniemożliwia późniejszą korektę opisów w celu ochrony prywatności biznesowej.

Klucze, tokeny, szyfry – czyli jak KSeF chroni dane technicznie

Bezpieczeństwo techniczne Krajowego Systemu e-Faktur opiera się na wielowarstwowym modelu ochrony, który obejmuje zarówno infrastrukturę fizyczną, jak i zaawansowane mechanizmy kryptograficzne. Serwery systemu są zlokalizowane w dwóch niezależnych centrach danych na terytorium Rzeczypospolitej Polskiej, co zapewnia ciągłość działania w przypadku awarii jednego z węzłów (tzw. disaster recovery). Zabezpieczeniami na poziomie aplikacyjnym zarządza rozwiązanie WAF Cloud dostarczane przez firmę Imperva, które monitoruje ruch w czasie rzeczywistym i blokuje próby ataków typu SQL Injection czy Cross-Site Scripting (XSS). System przetwarza do 20 mln faktur na godzinę, utrzymując średni czas odpowiedzi na poziomie 180 ms.

Kluczowym elementem ochrony integralności danych jest zastosowanie kwalifikowanego podpisu elektronicznego, pieczęci elektronicznej lub profilu zaufanego do uwierzytelnienia użytkownika. Resort finansów wykorzystuje moduły HSM (Hardware Security Module) marki Thales do bezpiecznego przechowywania kluczy kryptograficznych, co uniemożliwia ich nieautoryzowane skopiowanie. Mimo deklaracji o wysokim poziomie zabezpieczeń, eksperci wskazują na brak pełnej transparentności w zakresie stosowanych algorytmów (np. precyzyjnej wersji AES czy krzywych eliptycznych ECC-384). Szyfrowanie KSeF odbywa się już na etapie przesyłania dokumentów, co teoretycznie chroni treść przed przechwyceniem przez osoby trzecie.

W debacie publicznej pojawia się pytanie, czy koncepcja „zero knowledge” (braku wglądu w treść przez operatorów zabezpieczeń) jest w pełni realizowana. Ministerstwo Finansów twierdzi, że systemy WAF nie posiadają kluczy deszyfrujących treść faktur, co ogranicza ich rolę do filtrowania ruchu sieciowego. Niemniej jednak, zbiór wszystkich faktur tworzy mapę zależności gospodarczych, a same metadane (kto, komu, kiedy i za ile) mogą zostać wykorzystane do profilowania łańcuchów dostaw. Jak wskazują specjaliści, brak wycieku samej treści XML nie wyklucza ryzyka analizy ruchu i metadanych, co w specyficznych warunkach może narazić dostawców na ataki socjotechniczne lub szpiegostwo gospodarcze. Przed wdrożeniem systemu w dużej organizacji wskazane jest żądanie niezależnego audytu kryptograficznego infrastruktury PKI.

„Cyberbezpieczeństwo nie jest stanem danym 'raz na zawsze'; to proces, który sprawdza się w czasie wraz z pierwszymi incydentami i sposobem reakcji na nie”

RODO w praktyce: administrator, podmiot przetwarzający i uprawnienia urzędu

Z punktu widzenia Ogólnego Rozporządzenia o Ochronie Danych (RODO), relacja między przedsiębiorcą a Ministerstwem Finansów jest złożona. Zgodnie z art. 28 RODO, podmiot wystawiający fakturę pozostaje administratorem danych osobowych swoich klientów i pracowników (jeśli ich dane widnieją na fakturze). Ministerstwo Finansów, jako organ prowadzący KSeF, staje się podmiotem przetwarzającym, który operuje danymi na podstawie ustawowego obowiązku (art. 6 ust. 1 lit. c RODO). Oznacza to, że przedsiębiorca musi zaktualizować wewnętrzne rejestry czynności przetwarzania oraz dokonać oceny skutków dla ochrony danych (DPIA KSeF), aby udokumentować analizę ryzyka związaną z nowym kanałem przesyłu informacji.

Kwestia dostępu służb państwowych do zasobów KSeF budzi największe kontrowersje. Na mocy art. 303 § 1 Kodeksu postępowania karnego (KPK), organy takie jak Agencja Bezpieczeństwa Wewnętrznego mogą żądać wydania danych z systemu bez uprzedniego nakazu sądu, jeżeli zachodzi uzasadnione podejrzenie popełnienia przestępstwa. Statystyki z lat ubiegłych wskazują, że 87% wniosków o dane do operatorów płatniczych jest realizowanych w terminie 7 dni. W przypadku KSeF, przedsiębiorca nie ma wpływu na proces udostępniania danych organom ścigania i najczęściej nie jest o tym fakcie informowany, co wynika z ograniczeń art. 19 RODO w zakresie bezpieczeństwa narodowego i porządku publicznego.

Administrator danych osobowych, którym jest IFIRMA S.A. w kontekście narzędzi wspierających, wyznaczył Inspektora Ochrony Danych, co jest standardem przy tak masowym przetwarzaniu informacji. Przedsiębiorcy korzystający z systemów zewnętrznych do wysyłki e-faktur powinni upewnić się, że ich dostawcy oprogramowania również spełniają rygorystyczne normy bezpieczeństwa. Dane użytkowników logujących się do narzędzi pomocniczych, takich jak Czatbot KSeFan, są zazwyczaj usuwane po 30 dniach braku aktywności, co minimalizuje cyfrowy ślad pozostawiany w systemach wspierających.

Check-lista: 5 kroków, żeby nie dać się zaskoczyć

Prawidłowe przygotowanie do korzystania z Krajowego Systemu e-Faktur wymaga wdrożenia procedur minimalizujących ryzyko operacyjne i prawne. Poniższa lista przedstawia konkretne działania, które każda organizacja powinna podjąć przed pełnym wdrożeniem systemu 1 lutego 2026 r.

1. Ogranicz zbędne dane na fakturze – Należy unikać wpisywania w pola tekstowe informacji wykraczających poza minimum ustawowe. Zamiast szczegółowych nazw projektów czy nazwisk pracowników, warto stosować ogólne opisy zgodne z klasyfikacją PKWiU lub GTU. Przykładowo, zamiast „Wdrożenie modułu CRM-X dla działu sprzedaży Y”, bezpieczniej użyć sformułowania „Usługa informatyczna zgodnie z umową nr 12/2026”.
2. Wdróż zasadę „least privilege” przy nadawaniu uprawnień – W panelu zarządzania KSeF należy precyzyjnie przypisać role. Pracownicy działu księgowości powinni posiadać uprawnienia tylko do odczytu lub wystawiania, podczas gdy zarząd zachowuje prawo do podpisu. Dostęp dla personelu IT powinien być ograniczony do zarządzania tokenami technicznymi. Kluczowe jest odbieranie uprawnień w dniu rozwiązania umowy z pracownikiem.
3. Twórz kopie zapasowe offline – Mimo że KSeF przechowuje faktury przez 10 lat, przedsiębiorca powinien co miesiąc eksportować dokumenty XML na własne zasoby. Przechowywanie ich na zaszyfrowanym dysku (np. z użyciem technologii BitLocker) gwarantuje dostęp do dokumentacji w przypadku planowanych przerw technicznych systemu, które mogą trwać do 4 godzin w każdą pierwszą niedzielę miesiąca.
4. Przeprowadź niezależny audyt bezpieczeństwa – Rekomenduje się wybór certyfikowanego audytora z listy Krajowej Izby Rozliczeniowej. Audyt powinien obejmować testy penetracyjne punktów styku API z systemem ERP firmy, analizę procedur przechowywania kluczy prywatnych oraz symulację ataków phishingowych na pracowników posiadających dostęp do profilu zaufanego.
5. Monitoruj dynamikę zmian prawnych – Od 1 stycznia 2027 r. wejdą w życie dotkliwe sankcje za brak wystawienia faktury w KSeF, sięgające do 100% kwoty VAT wykazanego na dokumencie. Należy regularnie śledzić komunikaty na stronie Ministerstwa Finansów, szczególnie w zakresie projektów rozporządzeń dotyczących kar, które mają zostać opublikowane w czwartym kwartale 2026 r.

Zapewnienie bezpieczeństwa danych w KSeF to proces ciągły, wymagający współpracy działów prawnych, finansowych i IT. Każda firma, która wykryje, że w środowisku produkcyjnym umieściła dane o charakterze testowym lub nieprawdziwym, zobowiązana jest do niezwłocznego zgłoszenia tego faktu konsultantowi Krajowej Administracji Skarbowej lub poprzez dedykowany Formularz zgłoszeniowy KSeF. Dokumentacja faktu wykonania analizy DPIA oraz posiadanie protokołów z wewnętrznych szkoleń pracowników w zakresie poufności stanowią kluczowe dowody należytej staranności w przypadku kontroli ze strony Urzędu Ochrony Danych Osobowych.