Szukam prawników, którzy pomogą mi pozwać państwo! Proszę o pomoc w jak najszerszym rozpropagowaniu tego mojego apelu! Czas powiedzieć temu państwu z tektury: sprawdzam!
Państwo zmusza mnie do przekazywania faktur do KSeF. Na tych fakturach są moje dane osobowe, dane moich kontrahentów, ceny, warunki transakcji i informacje o mojej działalności gospodarczej. Państwo zapewnia, że to wszystko jest bezpieczne i objęte tajemnicą skarbową. A ja mam dowody techniczne, że zagraniczna firma ma dostęp do jawnej treści faktur pobieranych z tego systemu.
Nie piszę o domysłach dotyczących przechwytywania szyfrowanej transmisji. Produkcyjne API KSeF jest obsługiwane przez bramkę WAF firmy Imperva, należącej do francuskiej grupy Thales, z zapleczem analitycznym również w Izraelu. Na bramce następuje terminacja TLS. Tymczasem udokumentowany przez samo Ministerstwo Finansów interfejs 'GET /invoices/ksef/{ksefNumber}' zwraca pełną fakturę w postaci XML. Odpowiedź nie jest dodatkowo szyfrowana na poziomie aplikacji. To znaczy, że operator bramki ma techniczną możliwość odczytania pełnej treści pobieranej faktury. I tego dotyczą moje pomiary oraz analiza architektury, opublikowane we wpisie: „Bezpieczeństwo KSeF — kto może czytać faktury polskich firm?”.
To nie dowodzi, że ktoś te faktury kradnie albo przekazuje obcemu wywiadowi. Dowodzi czegoś wystarczająco poważnego, by uruchomić kontrolę prawną: polskie państwo zorganizowało przetwarzanie objętych tajemnicą danych w sposób, który daje zagranicznemu operatorowi dostęp techniczny do ich jawnej treści. Legalność, zakres i zabezpieczenia tego dostępu należy teraz sprawdzić w postępowaniach, w których urzędnicy muszą odpowiadać na podstawie prawa.
Jestem informatykiem, ale także przedsiębiorcą prowadzącym jednoosobową działalność gospodarczą. Moje dane osobowe rzeczywiście trafiają do KSeF. Nie zamierzam więc występować wyłącznie jako bloger krytykujący system. Zamierzam wystąpić we własnym imieniu, jako obywatel i podatnik, którego dane są przetwarzane. Poniżej przedstawiam możliwe drogi prawne. Zapraszam kancelarie, organizacje przedsiębiorców, stowarzyszenia i partie polityczne do pomocy w ich wykorzystaniu.
Żądanie na podstawie RODO: ujawnijcie odbiorców moich danych
Pierwszym krokiem powinno być wystąpienie do Szefa Krajowej Administracji Skarbowej, jako administratora danych, na podstawie art. 15 RODO. Nie zamierzam pytać urzędników, czy według nich system jest bezpieczny. Przedstawię dowody dotyczące działania bramki Impervy i zażądam wykonania przysługującego mi prawa dostępu do informacji o przetwarzaniu moich danych.
W takim piśmie chcę zażądać wskazania z nazwy wszystkich podmiotów, którym ujawnia się moje dane osobowe z KSeF, w tym dostawców infrastruktury i ich podwykonawców, określenia zakresu udostępnianych im danych, ujawnienia odbiorców spoza Europejskiego Obszaru Gospodarczego, jeśli tacy występują, oraz informacji o podstawach i zabezpieczeniach takich transferów. Zażądam również informacji o datach i celach operacji odczytu dotyczących moich danych, w zakresie przewidzianym prawem.
Mam ku temu silną podstawę w orzecznictwie TSUE. W wyroku C-154/21 Trybunał wskazał, że osoba, której dane dotyczą, ma co do zasady prawo poznać konkretnych odbiorców, nie tylko ich ogólne kategorie. W wyroku C-579/21 uznał, że prawo dostępu obejmuje również informacje o datach i celach operacji przeglądania danych. Uprawnienia te nie są bezwzględne — przepisy dopuszczają określone ograniczenia — ale ograniczenie też musi mieć podstawę prawną.
Wniosek o informację publiczną: pokażcie dokumenty
Równocześnie wystąpię do Ministerstwa Finansów na podstawie ustawy o dostępie do informacji publicznej. Tym razem nie o komentarze prasowe, lecz o istniejące dokumenty: umowy regulujące obsługę bramki WAF, zakres uprawnień dostawców i podwykonawców, istniejące analizy ryzyka, ustalenia dotyczące terminacji TLS oraz wyniki audytów bezpieczeństwa — w zakresie, w jakim mogą podlegać udostępnieniu.
Jeżeli infrastruktura jest obsługiwana przez pośredników, żądanie powinno obejmować także dokumenty dotyczące łańcucha podwykonawców. Nie zakładam, że MF ma umowę podpisaną bezpośrednio z Impervą. Chcę ustalić, kto, komu i na jakiej podstawie przyznał możliwość przetwarzania jawnych danych z KSeF.
Ustawa przewiduje zasadniczo 14 dni na odpowiedź, możliwość prawidłowo uzasadnionego przedłużenia terminu, a w razie odmowy — decyzję administracyjną. Bezczynność lub odmowę można poddać kontroli sądu administracyjnego. To ważne: zamiast kolejnego komunikatu rzecznika prasowego otrzymujemy procedurę, w której można doprowadzić do rozstrzygnięcia prawnego.
Skarga do Prezesa UODO: niech zbada to organ kontrolny
Jeśli Szef KAS odmówi dostępu do należnych mi informacji, udzieli odpowiedzi niepełnej albo z materiałów wyniknie podejrzenie naruszenia RODO, złożę skargę do Prezesa Urzędu Ochrony Danych Osobowych. Wskażę zwłaszcza art. 5, 28 i 32 RODO oraz — jeżeli znajdą zastosowanie — przepisy o przekazywaniu danych poza EOG.
Chodzi o ustalenie, czy podmiot mający dostęp techniczny do moich danych działa w prawidłowym reżimie prawnym, pod rzeczywistą kontrolą administratora i z odpowiednimi zabezpieczeniami. UODO może badać dokumentację i praktyki, do których ja jako prywatny przedsiębiorca nie mam dostępu. Jego rozstrzygnięcia mogą być następnie kontrolowane przez sąd administracyjny.
Wniosek do NIK: kto dopuścił do takiej architektury?
Najwyższą Izbę Kontroli można zawiadomić o ryzyku dotyczącym całego systemu. Wniosek o kontrolę powinien objąć gospodarność i legalność wyboru dostawców, ochronę tajemnicy skarbowej, nadzór nad podwykonawcami, ryzyka zależności od zagranicznej infrastruktury oraz rzetelność rejestrowania dostępu do faktur. NIK nie ma obowiązku wszcząć kontroli na moje żądanie, ale taki wniosek może stać się podstawą działań kontrolnych.
Rzecznik MŚP i Rzecznik Praw Obywatelskich
Jako przedsiębiorca mogę zwrócić się do Rzecznika Małych i Średnich Przedsiębiorców o interwencję w sprawie systemowego zagrożenia tajemnic handlowych. Do Rzecznika Praw Obywatelskich skierowałbym wystąpienie dotyczące ochrony prywatności i informacji o osobach fizycznych na podstawie art. 47 i 51 Konstytucji.
To nie są organy, którym mogę rozkazać wszcząć sprawę. Mogę jednak przedstawić im udokumentowane naruszenie zaufania obywatela do państwa i wystąpić o użycie ich ustawowych kompetencji.
Prokuratura: jeżeli z dokumentów wyniknie podejrzenie przestępstwa
W grę może wejść zawiadomienie dotyczące naruszenia tajemnicy skarbowej, ujawnienia informacji chronionych albo niedopełnienia obowiązków przez funkcjonariuszy publicznych. Należałoby rozważyć m. in. art. 306 Ordynacji podatkowej i art. 231 lub 266 Kodeksu karnego. Nie będę jednak zastępował dowodów karnych retoryką. Sam techniczny dostęp nie przesądza o popełnieniu konkretnego przestępstwa. Po to chcę uzyskać dokumenty i ustalenia organów kontrolnych, aby sprawdzić, czy zachodzą podstawy do zawiadomienia prokuratury.
Pozew cywilny i sądy administracyjne
Jeżeli zostanie wykazane bezprawne przetwarzanie moich danych lub naruszenie moich praw, możliwa jest też droga przed sądem powszechnym, w tym dochodzenie ochrony na podstawie RODO, a w razie powstania i wykazania szkody — odpowiednich roszczeń odszkodowawczych. Samo naruszenie RODO nie daje automatycznie pieniędzy. Osobną, praktyczniejszą na początek drogą jest zaskarżanie odmów i bezczynności organów oraz decyzji UODO do sądów administracyjnych.
Komisja Europejska, a w dalszej perspektywie — odpowiedzialność konstytucyjna
Jeżeli krajowe postępowania ujawnią problem systemowy z przestrzeganiem RODO, można skierować skargę do Komisji Europejskiej na praktykę państwa członkowskiego. Można również zainteresować sprawą posłów i Prezydenta RP pod kątem odpowiedzialności konstytucyjnej ministrów przed Trybunałem Stanu. Tego ostatniego postępowania nie może jednak samodzielnie wszcząć zwykły obywatel. Potrzebna jest inicjatywa uprawnionych podmiotów i odpowiednia większość parlamentarna.
Od czego chcę zacząć?
Proponuję rozpocząć od dwóch równoległych pism. Pierwsze będzie realizacją mojego prawa z art. 15 RODO. Drugie — wnioskiem o udostępnienie dokumentów na podstawie ustawy o dostępie do informacji publicznej. W obu przedstawię swoje ustalenia jako materiał dowodowy. To nie mają być listy z grzecznymi pytaniami, czy wszystko jest w porządku. Mają to być formalne żądania wykonania obowiązków wynikających z prawa.
Rdzeń pierwszego pisma proponuję sformułować tak:
Jako osoba fizyczna prowadząca jednoosobową działalność gospodarczą, której dane osobowe znajdują się w fakturach przetwarzanych przez KSeF, oświadczam, że dysponuję dokumentacją techniczną wskazującą, iż produkcyjne API KSeF korzysta z bramki WAF firmy Imperva, na której następuje terminacja TLS, a pełne treści pojedynczych faktur są przesyłane w odpowiedziach API w postaci XML nieobjętej dodatkowym szyfrowaniem aplikacyjnym. Oznacza to techniczną możliwość zapoznawania się przez operatora tej bramki również z moimi danymi osobowymi.
Na podstawie art. 15 RODO żądam wykonania prawa dostępu do moich danych i udzielenia przewidzianych tym przepisem informacji, w szczególności wskazania konkretnych odbiorców moich danych, zakresu ich ujawniania, informacji o ewentualnych transferach poza EOG oraz danych o datach i celach operacji dostępu. Powołuję się również na wykładnię art. 15 RODO dokonaną przez TSUE w sprawach C-154/21 i C-579/21. Wnoszę o rozpatrzenie żądania w ustawowym terminie oraz o wskazanie szczegółowej podstawy prawnej każdego zastosowanego ograniczenia prawa dostępu.
Nie zamierzam wykazywać, że Imperva na pewno ukradła moje faktury. Nie mam takich dowodów i tego nie twierdzę. Mam dowody, że państwo zorganizowało system w sposób dający zagranicznemu operatorowi bramki możliwość czytania ich jawnej treści. Teraz chcę sprawdzić, kto udzielił tego dostępu, jakie gwarancje rzeczywiście obowiązują i czy są one zgodne z prawem.
Szukam prawników do współpracy!
Nie jestem prawnikiem. Jestem informatykiem i przedsiębiorcą. Potrafię analizować protokoły, architekturę i dokumentację API. Potrafię też przedstawić powtarzalne pomiary. Potrzebuję ludzi, którzy podobnie sprawnie poruszają się w RODO, prawie podatkowym, administracyjnym, konstytucyjnym i karnym.
Zapraszam do współpracy kancelarie prawne, stowarzyszenia, organizacje przedsiębiorców, fundacje zajmujące się wolnościami obywatelskimi oraz partie polityczne, które dysponują prawnikami gotowymi zmierzyć się z tą sprawą. Nie szukam deklaracji poparcia. Szukam profesjonalistów gotowych doprowadzić do konkretnych postępowań i rozstrzygnięć.
Rząd może ignorować blogera. Może zbywać dziennikarzy. Znacznie trudniej będzie mu zbyć przedsiębiorcę, który korzysta z przysługujących mu praw, oraz prawników, którzy potrafią tego dopilnować.
Czas powiedzieć państwu: sprawdzam‼️
Grzegorz GPS Świderski
Twitter.com/gps65
t.me/KanalBlogeraGPS