Czego dotyczy RODO?

RODO chroni dane osób fizycznych. Administrator danych musi je zabezpieczyć adekwatnie do ryzyka i wykazać, że tego dokonał. Może powierzyć przetwarzanie innej firmie, ale tylko na podstawie umowy. Przekazanie danych firmie spoza UE wymaga osobnej podstawy prawnej.

REKLAMA

Jakie dane osobowe są w KSeF?

Firmy jednoosobowe (JDG), wspólnicy spółek cywilnych i rolnicy to osoby fizyczne. Ich imię i nazwisko, NIP, adres i kwoty z faktur to dane osobowe. Do KSeF mogą też trafiać faktury dla konsumentów. Administratorem danych w KSeF jest Szef KAS (art. 106nd ustawy o VAT).

Gdzie RODO może być łamane?

  • Transfer do USA: bramkę obsługuje amerykańska Imperva, która ma dostęp do odszyfrowanego ruchu, potrzebna jest podstawa prawna takiego transferu. MF nie ujawnia, czy ją ma.
  • Zabezpieczenia (art. 32): Imperva odszyfrowuje ruch, a metadane i pojedyncze faktury w drodze powrotnej nie są dodatkowo szyfrowane, więc są dla niej czytelne.
  • Dokumenty (art. 28, 35): obowiązkowe są umowa powierzenia i ocena skutków dla ochrony danych. MF milczy, czy je ma.
  • CLOUD Act a art. 48 RODO: nakaz sądu USA nie jest w UE podstawą wydania danych. Jeśli Imperva go wykona, naruszy RODO, a umowa tego konfliktu nie usuwa.
  • Dostęp anonimowy: każdy, kto zna 5 danych z faktury, pobiera bez logowania pełną fakturę JDG razem z danymi osobowymi. Tego dostępu nie da się odwołać. Zakres tych danych ustalono rozporządzeniem, a art. 51 ust. 5 Konstytucji wymaga ustawy.

Naruszenia nie są dowiedzione. Rozstrzygnąć to może Prezes UODO, który ma prawo zażądać dokumentów ukrywanych przez MF. Skargę może złożyć każda JDG, której faktury są w KSeF.