Faktura w KSeF zawiera dane osobowe: NIP, nazwę firmy, adres, a przy JDG często imię i nazwisko właściciela. Administratorem tych danych pozostajesz Ty jako wystawca, ale Ministerstwo Finansów jest współadministratorem. Sprawdź jakie klauzule informacyjne RODO musisz stosować, jak wygląda retencja 10 lat i kto za co odpowiada.
Jakie dane osobowe trafiają do KSeF
Faktura w schemacie FA(3) zawiera szereg danych, które w przypadku osób fizycznych prowadzących działalność gospodarczą (JDG) są danymi osobowymi w rozumieniu RODO:
- Imię i nazwisko właściciela JDG — gdy nazwa firmy zawiera imię i nazwisko (np. „Jan Kowalski Usługi Budowlane”),
- NIP — sam w sobie nie jest danymi osobowymi dla spółek, ale dla JDG jest powiązany z osobą fizyczną,
- Adres firmy — gdy siedzibą JDG jest adres zamieszkania właściciela,
- Rachunek bankowy — jeśli podany na fakturze w polu NrRachunkuBankowego,
- Dane kontaktowe (e-mail, telefon) — jeśli podane w polu opcjonalnym.
Dane spółek (sp. z o.o., SA, spółki osobowe) co do zasady nie są danymi osobowymi — są danymi podmiotów prawnych. Jednak dane osób fizycznych, które figurują na fakturach jako wystawca lub nabywca (JDG), podlegają pełnej ochronie RODO.
Kto jest administratorem danych w KSeF
W systemie KSeF mamy do czynienia z wielostronnym stosunkiem administratora i współadministratora danych:
- Wystawca faktury (sprzedawca) — jest administratorem danych osobowych nabywcy, które umieścił na fakturze. Sprzedawca decyduje o treści faktury i jest odpowiedzialny za prawidłowość danych.
- Ministerstwo Finansów (KSeF) — jest administratorem lub współadministratorem danych przetwarzanych w systemie KSeF, ponieważ przetwarza faktury przez 10 lat na mocy obowiązku ustawowego. MF opublikowało klauzulę informacyjną RODO dostępną na ksef.podatki.gov.pl.
- Nabywca faktury — otrzymuje dane sprzedawcy i przetwarza je we własnych celach (księgowość, archiwizacja). Jest odrębnym administratorem w zakresie danych sprzedawcy.
- Biuro rachunkowe — jeśli przetwarza faktury klientów w ramach umowy, jest podmiotem przetwarzającym (procesorem) w rozumieniu art. 28 RODO — musi mieć zawartą umowę powierzenia przetwarzania danych z każdym klientem.
Obowiązki informacyjne RODO — co musisz powiedzieć kontrahentowi
Zgodnie z art. 13 RODO, gdy zbierasz dane osobowe (NIP, dane kontaktowe, adres JDG) w celu wystawienia faktury, masz obowiązek poinformowania osoby fizycznej o przetwarzaniu jej danych. W kontekście B2B dotyczy to przede wszystkim JDG jako nabywców.
Klauzula informacyjna dla kontrahentów-osób fizycznych powinna zawierać:
- tożsamość administratora danych (Twoje dane firmy),
- cel przetwarzania: realizacja obowiązku prawnego (wystawienie faktury VAT, przesłanie do KSeF), cel podatkowy,
- podstawę prawną: art. 6 ust. 1 lit. c RODO (obowiązek prawny) — ustawa o VAT i przepisy o KSeF,
- odbiorców danych: Ministerstwo Finansów (KSeF), biuro rachunkowe (jeśli jest podmiotem przetwarzającym),
- okres przechowywania: 10 lat od końca roku wystawienia faktury (zgodnie z przepisami podatkowymi i retencją KSeF),
- prawa osoby fizycznej: dostęp do danych, sprostowanie, ograniczenie przetwarzania, skarga do UODO.
Klauzulę informacyjną możesz zamieścić na swojej stronie internetowej, w regulaminie lub przesłać ją kontrahentowi przy pierwszej transakcji. Nie musisz jej wklejać na każdą fakturę.
Retencja danych — 10 lat w KSeF i Twoje własne archiwum
Dane osobowe zawarte w fakturach przechowywane są w KSeF przez 10 lat od końca roku, w którym faktura została wystawiona. To wynikający z przepisów podatkowych okres przechowywania dokumentacji VAT — nie jest to decyzja biznesowa, lecz obowiązek prawny.
Z perspektywy RODO, przetwarzanie danych przez tak długi czas musi być uzasadnione — i jest, bo podstawą jest obowiązek prawny (art. 6 ust. 1 lit. c RODO). Osoba fizyczna nie może żądać usunięcia swoich danych z faktury (prawo do bycia zapomnianym nie dotyczy danych przetwarzanych na podstawie obowiązku prawnego). Podobnie, nie możesz „skrócić” okresu retencji z własnej inicjatywy.
Twoje własne archiwum faktur (kopie XML, UPO) przechowujesz przez co najmniej 5 lat od zobowiązania podatkowego — choć praktycznie sensowne jest trzymanie ich przez 10 lat równolegle z KSeF. Więcej o technicznej stronie archiwizacji przeczytasz w artykule o archiwizacji faktur KSeF.
Umowa powierzenia przetwarzania danych — biuro rachunkowe
Jeśli korzystasz z biura rachunkowego, które wystawia faktury w Twoim imieniu lub przetwarza Twoje faktury kosztowe, musisz mieć z tym biurem zawartą umowę powierzenia przetwarzania danych osobowych (art. 28 RODO). Biuro jako procesor:
- przetwarza dane wyłącznie w celach zleconych przez Ciebie,
- stosuje odpowiednie środki bezpieczeństwa (szyfrowanie, kontrola dostępu, backup),
- nie powierza dalej danych bez Twojej zgody (lub biuro samo odpowiada za podprocesory),
- po zakończeniu umowy usuwa lub zwraca Ci dane (choć faktury muszą być przechowywane przez wymagany okres).
W praktyce wiele biur rachunkowych ma standardowe umowy powierzenia — poproś o jej zawarcie jeśli jej nie masz. Szczegółowe informacje o obsłudze wielu klientów przez biuro opisuje artykuł o KSeF dla biura rachunkowego.
Bezpieczeństwo danych w KSeF — środki techniczne MF
Ministerstwo Finansów jako administrator systemu KSeF stosuje szereg środków bezpieczeństwa zgodnych z wymogami RODO i krajowymi regulacjami cyberbezpieczeństwa:
- szyfrowanie komunikacji SSL/TLS między programem podatnika a serwerami KSeF,
- uwierzytelnianie wielopoziomowe (profil zaufany, podpis kwalifikowany, token),
- logi dostępu do faktur — każde pobranie faktury przez uprawniony podmiot jest rejestrowane,
- redundantna infrastruktura z kopią zapasową — dane nie są przechowywane w jednym fizycznym centrum danych.
Jako podatnik odpowiadasz za bezpieczeństwo dostępu do KSeF po swojej stronie: ochronę tokenów, certyfikatów i haseł. Utrata tokena lub certyfikatu może prowadzić do nieuprawnionego wystawiania faktur w Twoim imieniu — odwołaj takie dane uwierzytelniające natychmiast.
FAQ — najczęstsze pytania o KSeF i RODO
Czy muszę informować kontrahentów o przesyłaniu ich danych do KSeF?
Tak — w klauzuli informacyjnej RODO powinien znaleźć się zapis, że Ministerstwo Finansów (jako odbiorca lub współadministrator) otrzymuje dane zawarte w fakturze. Klauzulę przekazujesz przy nawiązaniu współpracy, nie na każdej fakturze.
Czy JDG jako nabywca może żądać usunięcia swoich danych z wystawionych faktur?
Nie — wystawiona faktura jest dokumentem podatkowym przetwarzanym na podstawie obowiązku prawnego (art. 6 ust. 1 lit. c RODO). Prawo do usunięcia danych (art. 17 RODO) nie przysługuje w odniesieniu do danych przetwarzanych na tej podstawie. Faktura z danymi nabywcy musi być przechowywana przez przepisowy okres.
Co jeśli na fakturze jest błędny NIP i dane innej osoby?
Błędny NIP na fakturze to zarówno problem podatkowy (faktura z błędnym NIP nie uprawnia nabywcy do odliczenia VAT), jak i potencjalnie problem RODO (dane nieistniejącej firmy lub innego podatnika). Należy niezwłocznie wystawić korektę zerową i nową fakturę z prawidłowym NIP. O procedurze korekty przeczytasz w artykule o fakturze korygującej w KSeF.
Co dalej
Jeśli szukasz programu, który stosuje bezpieczne przesyłanie danych do KSeF z szyfrowaniem end-to-end i daje Ci pełną kontrolę nad dostępem do faktur — sprawdź cennik KSeFakt albo listę funkcji. Dołącz do listy oczekujących i wystawiaj faktury zgodnie z RODO bez dodatkowych procedur.