Czy dane na fakturze to dane osobowe?

Jak rozumieć pojęcie ochrona danych osobowych na fakturze?

Podczas setek spotkań, szkoleń i warsztatów, które odbyliśmy temat ten bardzo często zostawał poruszany a rekomendacje, które udzielaliśmy zaskakiwały osoby, które były przekonane, że dane zawarte na fakturze nie są danymi osobowymi. Obalamy najpopularniejsze mity, równocześnie wyjaśniając, dlaczego dane na fakturze to dane osobowe w świetle RODO.

Krótkie przypomnienie – czym są dane osobowe?

Aby trafnie ocenić, czy dane informacje są danymi osobowymi należy dokładnie zbadać zaistniałą sytuację. Czasami wystarczy jedna informacja, aby określić tożsamość osoby, w innym przypadku niezbędne będą dodatkowe dane. 

RODO, wskazuje, że dane osobowe to informacje o osobie fizycznej, na podstawie których jest ona możliwa do zweryfikowania. Takimi danymi mogą być np. numer pesel, numer identyfikacji podatkowej, dane o lokalizacji, numer IP. Ale na tym sprawa się nie zamyka. Daną osobową mogą stanowić również jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Dane, które pozwalają na identyfikację naszej tożsamości podlegająszczególnej ochronie prawnej. Warto zauważyć, że katalog definicji danych osobowych nie jest katalogiem zamkniętym, dlatego należy każdorazowo sprawdzić czy dane informacje są danymi osobowymi czy też nie.  

Informacje zawarte na fakturze

Zakres danych, które powinny się znaleźć na każdej fakturze to*:

- imię i nazwisko przedsiębiorcy,

- adres przedsiębiorcy,

- dane kontaktowe przedsiębiorcy.

*wymagany przez Rozporządzenie Ministra Finansów z dnia 3 grudnia 2013 r. w sprawie wystawiania faktur.

Warto uszczegółowić kim jest przedsiębiorca: według art. 4 pkt. 18 RODO przedsiębiorca to osoba fizyczna lub prawna prowadząca działalność gospodarczą, niezależnie od formy prawnej, w tym spółki osobowe lub zrzeszenia prowadzące regularną działalność gospodarczą.

RODO a jednoosobowa działalność gospodarcza

Wiemy również, że ochronie danych osobowych na kanwie RODO podlegają takie dane osobowe, które są danymi osób fizycznych, a więc ochrona ta nie dotyczy danych osobowych osób prawnych, w tym danych o firmie, formie osoby prawnej i jej danych kontaktowych. 

Dane przedsiębiorców zawarte w KRS nie podlegają zasadom przetwarzania danych osobowych wynikających z RODO. Wyjątkiem są jednak dane przedsiębiorców będących jednoosobowymi działalnościami gospodarczymi (ich dane znajdują się w CEIDG), dla których danych wymagania RODO znajdują zastosowanie.

Spełnienie obowiązku informacyjnego w momencie wystawienia faktury

W przypadku chęci wystawienia faktury dla jednoosobowej działalności gospodarczej konieczne jest pozyskanie danych wymaganych do faktury. Dochodzi zatem do gromadzenia danych, dlatego na podstawie art. 13 RODO powinniśmy spełnić obowiązek informacyjny. 

Obowiązek informacyjny powinien zawierać następujące informacje:

• tożsamość i dane kontaktowe Administratora oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela,
• gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych,
• cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania,
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją,
• gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony itd.

Poza tymi informacjami, podczas pozyskiwania danych osobowych Administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:

• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu,
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,
• informacje o prawie wniesienia skargi do organu nadzorczego,
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych,
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Faktura dla osoby fizycznej

Wymagania RODO nie precyzują, w jakiej formie Administrator danych powinien przekazywać osobie, której dane dotyczą, informacje dotyczące przetwarzania jej danych osobowych. Wiemy jednak, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.

Obowiązek informacyjny w tym przypadku możemy spełnić m.in. poprzez:

·      informację dołączoną do stopki faktury elektronicznej lub papierowej, 

·      dodatkowy druk dopinany do faktury papierowej, 

·      dodatkowy dokument przesyłany elektronicznie w formie pliku pdf, 

·      umieszczenie obowiązku informacyjnego w miejscu, gdzie faktury są odbierane przez osobę fizyczną.

Musimy jednak pamiętać o zasadzie rozliczalności - Administrator powinien być w stanie wykazać, że dopełnił ciążącego na nim obowiązku informacyjnego. Przekazanie wymaganych przez art. 13 i 14 informacji może zatem nastąpić w formie pisemnej, w tym elektronicznej, ustnej (jeśli zażyczyła sobie tego osoba, której dane dotyczą) lub w inny sposób, jeśli administrator danych potrafi wykazać, że spełnił ciążący na nim obowiązek informacyjny.

 Z jakich programów i narzędzi do wystawiania faktur mogą korzystać osoby fizyczne prowadzące działalność gospodarczą?

Jak ustaliliśmy, dane znajdujące się na fakturze są danymi osobowymi, jeżeli przedsiębiorcą jest osoba prowadząca jednoosobową działalność gospodarczą. Skoro na fakturze znajdują się dane osobowe osób fizycznych, musimy zagwarantować, że narzędzia, z których korzystamy do ich wystawienia są odpowiednio zabezpieczone i spełniają wymagania stawiane przez przepisy o ochronie danych osobowych. Kluczowym jest odpowiednie zabezpieczenie narzędzia do wystawiania faktur przed nieuprawnionym dostępem, utratą integralności, poufności oraz odpowiednią rozliczalnością.