Nije tajna da su brojni poduzetnici i knjigovođe nezadovoljni sadašnjim stanjem implementacije Fiskalizacije 2.0 – Udruga Glas poduzetnika nedavno je Vladi predala više od 9.400 potpisa poduzetnika i građana u kojima poziva na sedam ključnih zahtjeva, među kojima je i formalna odgoda kažnjavanja u prijelaznoj fazi, kao i zahtjev za standardizacijom tehničkih rješenja.
Upravo se na sigurnosne i podatkovne propuste u tehničkim rješenjima najčešće žale i poduzetnici i knjigovođe, a na jedan potencijalno ozbiljan problem ukazala nam je Andreja Šturlan, stručnjakinja za poslovne procese iz tvrtke Servisi Ram.
Razotkrivanje osobnih podataka
E-račun, ono što je na papiru zamišljeno kao alat za suzbijanje sive ekonomije i modernizaciju države, u praksi se pretvorilo u sustav koji bez jasne kontrole razotkriva osobne podatke zaposlenika, od imena i prezimena do OIB-a i privatnih brojeva telefona. Problem je toliko dubok da zahvaća samu arhitekturu digitalnog dokumenta koji cirkulira kroz ruke brojnih posrednika.
Osnovni problem, kako ističe Šturlan, leži u činjenici da se podaci o operateru koji izdaje račun ne tretiraju kao interna informacija rezervirana isključivo za Poreznu upravu, već su postali sastavni dio XML strukture e-Računa. To znači da svaki put kada zaposlenik neke tvrtke pošalje digitalni račun, njegovi se osobni podaci pakiraju u dokument koji kreće na putovanje internetom.
Pročitajte više: UGP predao sedam ključnih zahtjeva Vladi: Peticiju zbog Fiskalizacije 2.0 potpisalo preko 9.400 poduzetnika
Mali poduzetnici u problemu
Šturlan pojašnjava kako u XML-u postoji polje pod nazivom šifra operatera koje bi teoretski trebalo biti anonimizirano, ali u praksi to kod većine malih poduzetnika nije slučaj. Veliki sustavi mogu si priuštiti kompleksne interne šifre, no mali poduzetnici, koji čine ogromnu većinu hrvatskog gospodarstva, u taj sustav unose stvarne podatke kako bi ispoštovali zakonsku obvezu identifikacije operatera u internim aktima.
U konkretnom primjeru koji je Šturlan podijelila s redakcijom Women in Adria, XML dokument sadrži jasno navedeno ime i prezime direktora kao operatera unutar polja za kontakt prodavatelja. Taj podatak se izravno preslikava u FiskAplikaciju kao OIB operatera. Dakle, OIB više nije podatak koji se šalje na zaštićenom kanalu prema državi, nego je on sastavni dio službenog dokumenta koji Peppol mrežom putuje do kupca.
Uloga informacijskih posrednika
Šturlan napominje kako se u XML-u nerijetko nalaze ime i prezime, broj telefona operatera, pa čak i privatne e-mail adrese kod onih poduzetnika koji nemaju korporativne domene. To je posebno izraženo kod mikro-poduzetnika koji su, kako kaže, ošamućeni brzinom kojom ih država digitalizira.
Situacija postaje još kompliciranija kada se pogleda uloga informacijskih posrednika. Prema Zakonu o elektroničkom izdavanju računa, posrednik je obvezan proslijediti račun u izvornom obliku. On ne smije ništa mijenjati, maskirati ili uklanjati podatke jer bi time narušio integritet e-Računa. Time se stvara paradoksalna situacija u kojoj posrednik, iako je obvezan štititi privatnost po GDPR-u, zakonski mora proslijediti dokument u kojem vidi tuđi OIB i, primjerice, privatni mobitel. Ti podaci postaju vidljivi cijelom lancu subjekata. Vidi ih Porezna uprava, ali ih vidi i prodavateljev posrednik, kupčev posrednik, sam kupac kao primatelj, njegovo knjigovodstvo, digitalna arhiva u kojoj se račun čuva te ERP sustavi trećih strana.
“Znači, u ovom slučaju, mi te podatke o mom djelatniku šaljemo mom posredniku, moj posrednik to šalje posredniku kupca, posrednik kupca to zaprima u svoj portal. Na portalu se to vidi, to bi se reklo u polju plain texta, da ja to vidim pročitati, da ne moram po XML-u”, objašnjava Štrulan. “Ali što je najbitnije, mi čuvamo taj XML, čuvamo ga kao evidenciju, jer nam je to dokument za knjiženje. Taj dokument se mora naći kod mene i kod knjigovođe. U tom dokumentu, samo da netko napravi pretragu na ‘operator’ – svi podaci su jedan iza drugoga.”
Šturlan je na ovaj problem upozorila i Poreznu upravu, no kaže kako nije dobila dodatno pojašnjenje niti uputu kako postupati.
Bez ograničenja vidljivosti
Ono što zabrinjava je činjenica da poslodavci i pružatelji ERP sustava nemaju tehnički način da ograniče kome je taj OIB vidljiv. Budući da je on ugrađen u obvezni XML dokument, svatko tko ima pristup sustavu za zaprimanje računa kod kupca može vidjeti tko je točno u prodavateljevoj tvrtki izdao račun. Time se obrada osobnih podataka proteže daleko izvan okvira poreznog nadzora i ulazi u sferu komercijalne razmjene gdje tim podacima više nema traga ni kontrole. Šturlan ističe kako su pravnici u velikim tvrtkama čak savjetovali da se svi računi izdaju na ime direktora jer su njegovi podaci ionako javno dostupni u sudskom registru, kako bi se barem donekle zaštitili obični zaposlenici.
“Znači, ovdje imamo dva zakona”, kazala je Šturlan. Ja ovdje moram štititi podatke svojih zaposlenih, a puštam ih van. Moji dečki koji su na kasi nisu baš nešto zabrinuti oko GDPR-a – kao, sve se može danas saznati – ali kad sam im rekla, kad će fakturirati, gdje će njihovo ime sve ići, da ja ne mogu ništa napraviti oko toga, malo su im se face promijenile.”
“S druge strane ja sam rekla ‘ok, ako ne želite, fakturirajte na moje ime – ja sam tu i ako ne želite fakturirati ja ću fakturirati’. Ali ne možemo tako vječno”, naglasila je Šturlan.
“Ovo je sustavni problem države gdje svi vide sve račune”, istaknula je. ”Znači ja bih trebala u ugovore s djelatnicima ugraditi da svi klijenti s kojima radimo znaju kako se oni zovu, koji je njihov OIB, da i njihovi zaposlenici imaju uvid u njihove privatne podatke, i njihovo knjigovodstvo… Mislim, kako to ugraditi? A zakon jasno kaže da ne smijemo davati višak podataka koji nije nužan.”
Foto: Privatni arhiv, Nano Banana Pro (Ilustracija)
