А чи законно використовувати програмні РРО? Приховані ризики, законодавчі колізії та юридична відповідальність бізнесу. Частина 2.

     Чому питання захисту інформації в ПРРО є настільки критичним і чому звичайна програма не виконує ці вимоги «за замовчуванням»?

     Статус фіскальних даних

     З моменту натискання касиром кнопки «Сформувати чек» у програмі виникає ланцюжок даних:

1. Перелік товарів, ціни, знижки, форма оплати;
2. Дані платіжної картки (у разі еквайрингу);
3. Кваліфікований електронний підпис касира (КЕП);
4. Фіскальний номер чека;
5. Фіскальний номер ПРРО.

     Усі ці дані відносяться до податкової інформації, захист якої гарантується державою (ст. 17 Податкового кодексу України, Закон України № 265/95-ВР «Про застосування реєстраторів розрахункових операцій у сфері торгівлі, громадського харчування та послуг»).

   Згідно із Законом України «Про захист інформації в інформаційно-комунікаційних системах»:

• Обробка інформації, яка є власністю держави, або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, повинна здійснюватися із застосуванням Комплексної системи захисту інформації (КСЗІ).
• Підтвердження відповідності КСЗІ здійснюється за результатами державної експертизи, яка проводиться Державною службою спеціального зв'язку та захисту інформації України (ДССЗЗІ).   

      У чому небезпека відсутності КСЗІ або Експертного висновку ДССЗЗІ?

      Якщо ПРРО функціонує на базі хмарного сервера розробника або на смартфонах касирів без КСЗІ з відповідним Експертним висновком ДССЗЗІ:

• Ризик підробки чеків. Сторонній софт потенційно дозволяє змінювати локальну базу даних до моменту відправки на сервер ДПС (особливо в офлайн-режимі).
• Компрометація КЕП. Якщо ПРРО зберігає КЕП підприємця чи касира у незахищеному вигляді на хмарному сервері розробника або у звичайній файловій системі смартфона (а на практиці зазвичай так і є), виникає загроза викрадення ключа електронного підпису.
• Витік персональних даних. Передача даних покупців (телефон, email для електронних чеків) через незахищені канали порушує Закон України «Про захист персональних даних».

     З юридичної точки зору, якщо ПРРО обробляє інформацію без підтвердженого захисту (КСЗІ/Експертного висновку ДССЗЗІ), така інформація вважається такою, що втратила юридичну вірогідність (недопустимий доказ).

     Це дає податковим органам підстави стверджувати: чеки, сформовані в такій системі, не мають юридичної сили, оскільки не гарантовано цілісність та незмінність даних на шляху від ПРРО до фіскального сервера.

      6. Декларація проти реальності: Як самостійно перевірити законність вашого ПРРО

     Щоб не стати жертвою юридичної колізії, кожен підприємець або керівник компанії повинен провести терміновий «аудит юридичної чистоти» використовуваного ПРРО.

     Чек-лист перевірки провайдера (розробника) ПРРО

     Перед встановленням або продовжуючи використання ПРРО, вимагайте від розробника/провайдера надати наступний комплект документів:

     7. Практична інструкція для підприємця: Як захистити свій бізнес уже сьогодні

     Якщо ви усвідомили, що використовуєте ПРРО «невідомого юридичного походження» без жодного офіційного документа про відповідність законам, необхідно вжити термінових заходів для мінімізації ризиків.

     Крок 1. Надішліть офіційний письмовий запит розробнику ПРРО

     Не пишіть у чат підтримки Telegram чи Viber. Складіть офіційний лист-запит на юридичну адресу розробника (або надішліть підписаний КЕП лист на його офіційний email).

     Текст запиту (орієнтовна структура):

«Просимо надати документальне підтвердження того, що Програмний РРО [Назва програми], ліцензіаром якого ви є, відповідає вимогам Закону України № 265/95-ВР, Постанови КМУ № 199 від 18.02.2002 р., а також вимогам Закону України № 80/95-ВР та Закону України № 581-IV щодо захисту інформації та електронного документообігу.

Просимо надати завірені копії:

• Експертного висновку ДССЗЗІ на КСЗІ/програмне забезпечення.
• Сертифікатів відповідності чи документів про оцінку відповідності фіскальних функцій.

Попереджаємо, що у разі ненадання вказаних документів або відсутності підтвердження відповідності, ми будемо змушені розірвати Ліцензійну угоду та вимагати повернення сплачених коштів у зв'язку з наданням послуг неналежної якості, що створюють загрозу накладення податкових санкцій».

     Крок 2. Проаналізуйте отриману відповідь

•      Варіант А: Розробник надав повний комплект нормативних документів (Експертний висновок ДССЗЗІ, сертифікати відповідності).
       Дія: Збережіть копії цих документів у папку первинної документації компанії. У разі перевірки ДПС ви одразу додаєте їх до матеріалів перевірки. Ваш бізнес у безпеці.
•      Варіант Б: Розробник відмовив, прислав відписку або дав посилання на 1-ПРРО.
       Дія: Ви перебуваєте в зоні критичного ризику. Переходьте до Кроку 3.

     Крок 3. Прийміть рішення про зміну програмного забезпечення або перехід на класичний РРО

     Якщо провайдер не має документів і відмовляється брати на себе юридичну відповідальність:

• Розгляньте можливість переходу на класичний апаратний РРО.
  Незважаючи на вищу первинну вартість, класичний РРО надає 100% юридичний захист від претензій щодо «незаконності самого пристрою», оскільки він внесений до Державного реєстру РРО та має паспорт і сертифікат.
• Шукайте сертифіковані ПРРО з наданим комплектом документів.
  На ринку є відповідальні розробники (зокрема деякі державні або великі корпоративні рішення), які пройшли експертизу ДССЗЗІ та мають офіційні атестати відповідності КСЗІ. Обирайте виключно такі рішення.
• Укладайте індивідуальний договір.
  Якщо ви є середнім або великим бізнесом, ніколи не працюйте за публічною офертою. Укладайте двосторонній договір, у якому наполягайте на вилученні пункту "AS IS" та внесенні пункту про повну регресну відповідальність розробника за штрафи ДПС, спричинені системними помилками або невідповідністю ПЗ законодавству.

     8. Систематизована нормативно-правова база

     Для зручності під час ведення юридичного діалогу з розробниками ПРРО або податковими інспекторами, нижче наведено систематизовану таблицю законодавчих актів, якими регулюється дана сфера.

     Підсумковий аналіз: Чи законно використовувати ПРРО в Україні?

     Відповідь на це питання є двоякою і залежить виключно від підходу конкретного підприємця до вибору програмного забезпечення.

• Використовувати ПРРО взагалі — ЗАКОННО. Держава дійсно створила правову основу для функціонування програмних касових апаратів (Закон № 128-IX, Закон № 129-IX).
• Використовувати ПРРО БЕЗ документального підтвердження його відповідності законам — НЕБЕЗПЕЧНО ТА МІСТИТЬ ОЗНАКИ ПРОТИПРАВНОСТІ.

     Коли ви встановлюєте «програму невідомого походження», випущену приватними програмістами без сертифікатів ДССЗЗІ, без атестатів КСЗІ, без підтвердження відповідності Постанові КМУ № 199 і підписану публічною офертою "AS IS" — ви берете на себе міну уповільненої дії.

     У будь-який момент контролюючі органи (ДПС, БЕБ) під час перевірки мають повне право затребувати документи, що підтверджують законність та технічну відповідність цієї програми. І коли з'ясується, що таких документів немає, відповідати буде не провайдер ПРРО, який щомісяця збирав з вас гроші, а ви особисто — своїм майном, рахунками та репутацією бізнесу.

     Не чекайте приходу податкової перевірки. Вимагайте документи від розробників уже сьогодні, а за їх відсутності — переходьте на перевірені, документально підтверджені та юридично захищені рішення!