Jak sprawdzić, kto ma dostęp do moich faktur w KSeF? - praktyczny przewodnik po uprawnieniach

Kto technicznie może przeglądać Twoje faktury w KSeF?

AITekst opracowany z wykorzystaniem sztucznej inteligencji. Zasady i ograniczenia

Uprawnienia do przeglądania faktur ustrukturyzowanych są ściśle powiązane z kontekstem logowania, który definiuje zakres widoczności danych w systemie. Zgodnie z architekturą KSeF 2.0, system rozróżnia uprawnienie "Dostęp do faktur", umożliwiające wgląd w treść merytoryczną dokumentów w formacie xml, od uprawnienia "Przeglądanie uprawnień", które służy wyłącznie do audytu listy osób posiadających dostęp do konta podatnika. Uwierzytelnienie użytkownika jest wymagane bez względu na to, czy wykorzystuje on narzędzia komercyjne, czy bezpłatną Aplikację Podatnika udostępnioną przez Ministerstwo Finansów.

Wykaz kontekstów logowania obejmuje cztery główne kategorie identyfikacyjne. NIP główny służy do pełnego zarządzania kontem podmiotu gospodarczego przez właściciela lub organ zarządzający. Identyfikator wewnętrzny (IDWew) jest wykorzystywany do nadawania uprawnień konkretnym jednostkom organizacyjnym lub pracownikom wewnątrz struktury firmy. NIP-VAT UE stosuje się w transakcjach wewnątrzwspólnotowych do identyfikacji podatnika w relacjach transgranicznych. Broker Peppol stanowi natomiast kontekst techniczny używany przy przesyłaniu faktur poprzez ogólnoeuropejską sieć wymiany dokumentów elektronicznych.

Rola certyfikatu i tokenu w procesie autoryzacji jest kluczowa dla bezpieczeństwa danych finansowych. Token autoryzacyjny, będący ciągiem znaków alfanumerycznych, pełni rolę "pełnomocnictwa na zawsze", dopóki nie zostanie ręcznie unieważniony przez podatnika. Rozwiązanie to nie posiada mechanizmu 2FA (uwierzytelniania dwuskładnikowego), co zwiększa ryzyko przy nieuprawnionym przejęciu ciągu znaków. Certyfikat KSeF natomiast działa jako "pełnomocnictwo z datą ważności", posiada 2-letni okres obowiązywania i wymaga zabezpieczenia kodem PIN, co podnosi standard ochrony informacji. Certyfikat może być wydany osobie fizycznej identyfikowanej po NIP lub PESEL, a w przypadku spółek - po uwierzytelnieniu pieczęcią kwalifikowaną.

Warto zaznaczyć, że tokeny autoryzacyjne będą funkcjonować wyłącznie do 31 grudnia 2026 r. Docelowo, od 1 stycznia 2027 r., jedyną formą autoryzacji w trybach szczególnych będą certyfikaty KSeF. Certyfikat typu 1 jest przeznaczony wyłącznie do logowania i przeglądania zasobów, podczas gdy certyfikat typu 2 umożliwia dodatkowo wystawianie faktur w trybach offline, offline24 oraz w sytuacjach awaryjnych. Podatnicy powinni zweryfikować, komu przekazali token, gdyż jego cofnięcie wymaga podjęcia aktywnych działań w systemie, podczas gdy certyfikat można unieważnić w Module Certyfikatów w czasie krótszym niż 15 minut.

Jak w 30 sekund zweryfikować listę osób z dostępem?

Procedura weryfikacji uprawnień w Aplikacji Podatnika jest zoptymalizowana pod kątem szybkości działania i przejrzystości audytowej. Właściciel podmiotu lub osoba posiadająca uprawnienia administratora musi przejść do sekcji "Zarządzaj uprawnieniami", a następnie wybrać funkcję "Pobierz raport CSV". System generuje zestawienie automatycznie, uwzględniając wszystkie aktywne i historyczne powiązania autoryzacyjne przypisane do danego numeru NIP.

Interpretacja pobranego raportu wymaga analizy kluczowych parametrów technicznych zawartych w strukturze pliku. Raport obejmuje pełne logi z ostatnich 90 dni, co pozwala na precyzyjne ustalenie, kto i kiedy logował się do zasobów KSeF. Wygenerowany plik CSV jest opatrzony kwalifikowanym podpisem elektronicznym Ministerstwa Finansów, co nadaje mu rangę dowodu w postępowaniach spornych lub podczas kontroli skarbowej. Poniższa tabela przedstawia strukturę danych zawartych w raporcie uprawnień.

Brak daty wygaśnięcia w kolumnie typu dostępu jednoznacznie wskazuje na wykorzystanie tokenu autoryzacyjnego, co powinno skłonić podatnika do szczególnej uwagi. Zaleca się cykliczne pobieranie raportu (minimum raz w miesiącu), co ułatwia rozliczenie ewentualnych szkód wynikających z nieautoryzowanego wystawienia dokumentu. W przypadku wykrycia na liście nieznanego identyfikatora lub osoby, z którą zakończono współpracę, należy natychmiast unieważnić certyfikat lub zmienić token w ustawieniach systemu.

Scenariusze: kiedy księgowy, ZUS, US czy wspólnik zobaczą faktury?

Dostęp organów państwowych oraz partnerów biznesowych do faktur ustrukturyzowanych jest uregulowany przez przepisy rangi ustawowej. Zgodnie z art. 287 § 1 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa, organy Krajowej Administracji Skarbowej mają prawo wglądu w dokumentację finansową podatnika w ramach toczącej się kontroli celno-skarbowej lub czynności sprawdzających. W takim przypadku urząd uzyskuje dostęp do danych w KSeF bezpośrednio przez Centralne Repozytorium Faktur, a podatnik nie otrzymuje automatycznego powiadomienia o fakcie przeglądania dokumentów w aplikacji.

W przypadku spółek cywilnych, status prawny wspólnika determinuje jego uprawnienia techniczne w systemie. Każdy wspólnik może uzyskać osobny certyfikat typu 1 po uprzednim złożeniu formularza ZAW-FA w Starostwie Powiatowym lub właściwym Urzędzie Skarbowym. Proces procesowania wniosku i nadania uprawnień trwa zazwyczaj do 5 dni roboczych. Przyznanie indywidualnych certyfikatów wspólnikom jest rozwiązaniem bezpieczniejszym niż współdzielenie jednego tokenu, ponieważ umożliwia precyzyjne logowanie działań każdego użytkownika i łatwiejsze cofnięcie uprawnień w razie wystąpienia konfliktu.

Zakres dostępu innych instytucji, takich jak Zakład Ubezpieczeń Społecznych (ZUS) czy Inspekcja Handlowa, jest ograniczony brakiem bezpośredniej integracji z systemem KSeF. ZUS podczas kontroli płatnika składek nadal żąda przedłożenia wydruków faktur lub udostępnienia plików w formacie pdf/xml. Z kolei Inspekcja Handlowa może żądać dostępu do dokumentacji na podstawie przepisów ustawy o swobodzie działalności gospodarczej, jednak odbywa się to zazwyczaj poprzez wezwanie przedsiębiorcy do okazania konkretnych rekordów. Przygotowanie aktualnej listy uprawnień przed planowaną kontrolą pozwala uniknąć sankcji za zwłokę w udostępnieniu informacji.