Uprawnienia w KSeF - jak można było tak s... się pomylić?

[alapierre]

KSeF pozwala upoważnić Podatnikowi inną osobę fizyczną lub podmiot do wykonywania operacji w KSeF. Podmiotowi można nadać uprawnienie do wystawiania faktur i dostępu do faktur (wszystkich, wystawionych i zakupowych). Osobie fizycznej można nadać więcej uprawnień, w tym do ich nadawania. Ma to sens? Jak na razie tak.

Weźmy przedsiębiorcę i jego biuro rachunkowe - bo ten przypadek jest zdaniem MF właśnie dla sytuacji w której podatnik upoważnia biuro, a nie wskazaną osobę:

Dalsze delegowanie uprawnień następuje automatycznie na osoby fizyczne uprawnione do wystawiania lub odbierania faktur w imieniu wskazanego podmiotu. Uprawnienie pozwala na pośrednie automatyczne przechodzenie uprawnień do wystawiania lub odbierania faktur, ale tylko o jeden szczebel niżej. Pozwala to na wyeliminowanie konieczności każdorazowej aktualizacji osób fizycznych uprawnionych do fakturowania, jeśli podatnik korzysta z usług np. biura rachunkowego wystawiającego faktury w jego imieniu. Wystarczy wówczas aktualizacja przez samo biuro, a nie wszystkie firmy które wskazały to biuro jako uprawnione do wystawiania faktur w swoim imieniu. Korzystanie z tego rozwiązania jest dobrowolne.

Zatem, Przedsiębiorca deleguje uprawnienie do wystawiania i przeglądania faktur, bo nie chce za każdym razem nadawać upewnień konkretnemu księgowemu z biura. Biuro nadaje upewnienia swoim pracownikom, ale zaraz... do czego? Do wystawiania i odbierania faktur w imieniu bura. Co z tego, zapytacie? Otóż to, że taki pracownik biura będzie mógł zalogować się w kontekście każdego klienta biura, który upoważniał biuro (co jest z gruntu złe), ale także w kontekście samego biura. Czyli księgowy zyska informacje o tym na ile jego pracodawca kasuje klientów, co kupuje i za ile, oraz ile płaci innym księgowym (umowy B2B biuro - księgowy).

Wiem, że wiele biur rachunkowych wychodzi z założenia, że każdy księgowy ma dostęp do danych każdego klienta. To bardzo wygodne. Tylko czy to jest zgodne choćby z opisaną w RODO zasadą minimalizacji danych, czy ogólną dobrą praktyką nawadnia dostępu do tego co niezbędne?

Ilu przedsiębiorców po przeczytaniu opisu uprawnień przygotowanego przez MF stwierdzi, że nadanie uprawnień dla numeru NIP biura to dobry pomysł i świetnie sprawdzi się w ich przypadku? Ile biur, po lekturze tego samego tekstu, nie zastanowi się zbyt długo i nada swoim pracownikom uprawnienie do przeglądania faktur?

Powiecie pewnie - nadając uprawnienia trzeba uważać. Czy jednak systemy informatyczne, tym bardziej takiego kalibru jak KSeF, nie powinny chronić przed stworzeniem sytuacji sprzecznych z prawem? Nawet jeśli "Korzystanie z tego rozwiązania jest dobrowolne."

Dlaczego, jeśli buro chce upoważnić pracownika do danych swojego klienta, nie może wskazać numeru dodatowo NIP tego klienta? Najwyraźniej myślenie boli.