А чи законно використовувати програмні РРО? Приховані ризики, законодавчі колізії та юридична відповідальність бізнесу
Масова фіскалізація в Україні створила колосальний попит на прості, дешеві та мобільні рішення для реєстрації розрахункових операцій. Революційна альтернатива класичним апаратним касовим апаратам — програмні реєстратори розрахункових операцій (ПРРО) — позиціонувалася як передовий крок до цифровізації бізнесу. Рекламні лозунги розробників обіцяють встановлення «каси в смартфоні» за 5 хвилин, відсутність витрат на обслуговування в ЦСО (центрах сервісного обслуговування) та повну відповідність вимогам податкового законодавства.
Однак за цією зручною фасадною картинкою ховається критична законодавча колізія, яка здатна підставити під нищівні фінансові санкції сотні тисяч українських підприємців.
Переважна більшість користувачів ПРРО переконані: якщо програма завантажена з офіційного сайту, додатка в App Store/Google Play або зареєстрована в електронному кабінеті ДПС за формою 1-ПРРО, то вона є повністю законною. Це небезпечна ілюзія.
Ключова проблема полягає в тому, що чинне законодавство України висуває жорсткі вимоги до функціонування та захисту даних у ПРРО. Але на практиці майже жоден приватний розробник ПРРО не надає покупцеві офіційного документального підтвердження (сертифікатів, експертних висновків державних органів), що його програмне забезпечення дійсно відповідає цим вимогам і має право виконувати функції фіскального реєстратора.
У цій статті детально розібрано, чому використання необґрунтованих документально програмних РРО перетворює бізнес на «заручника» контролюючих органів, які нормативні акти порушують провайдери ПРРО та як захистити свій бізнес від катастрофічних штрафів.
1. Законодавчий фундамент: Дві гілки обов’язкових вимог до ПРРО
Щоб зрозуміти, чому звичайна програма на смартфоні чи комп’ютері не може автоматично вважатися фіскальним інструментом, необхідно звернутися до правової природи ПРРО. Програмний РРО — це не просто застосунок для друку чеків. Це спеціалізований програмний комплекс, який працює у сфері державного фінансового контролю та обробляє інформацію з обмеженим доступом.
Згідно з чинним законодавством України, будь-який ПРРО зобов’язаний одночасно відповідати двом незалежним гілкам законодавчих вимог.
|
Гілка 1. Фіскальне законодавство
|
Гілка 2. Захист інформації та КЕП
|
Гілка 1. Фіскальне законодавство (Закон про РРО та Постанови КМУ)
Основоположним актом, що регулює розрахунки у сфері торгівлі, громадського харчування та послуг, є Закон України № 265/95-ВР від 06.07.1995 р. (зі змінами та доповненнями).
Закон № 265/95-ВР дає чітке визначення:
Програмний реєстратор розрахункових операцій (ПРРО) — це програмний, програмно-апаратний або програмно-технічний комплекс, проведений у вигляді локального рішення або хмарного рішення, в якому реалізовані фіскальні функції, і який призначений для реєстрації розрахункових операцій при продажу товарів (наданні послуг), операцій з торгівлі валютними цінностями в готівковій формі та/або реєстрації кількості проданих товарів (наданих послуг), операцій з приймання готівки для подальшого переказу.
Ключове словосполучення тут — «в якому реалізовані фіскальні функції».
Деталізація того, що саме являють собою фіскальні функції та як вони повинні працювати, міститься в підзаконних актах, зокрема у Постанові Кабінету Міністрів України № 199 від 18.02.2002 р. «Про затвердження Вимог щодо розробки, виробництва та експлуатації реєстраторів розрахункових операцій для цивільних потреб» (зі змінами, внесеними для адаптації під ПРРО).
Згідно з цією нормативною базою, ПРРО повинен гарантувати:
- Одноразове занесення, довготермінове зберігання та багаторазове використання фіскальної інформації про проведені розрахункові операції.
- Незмінність (неможливість коригування чи викривлення) під час генерації, збереження та передачі підсумкових даних про розрахунки до фіскального сервера ДПС.
- Суворий контроль та нумерацію чеків, включаючи роботу в режимі офлайн (з використанням спеціального діапазону фіскальних номерів, отриманих від ДПС).
- Блокування роботи у разі спроби проведення операцій з порушенням встановлених алгоритмів або невиконання вимог щодо передачі даних.
Якщо програма просто малює на екрані зображення, схоже на чек, і відправляє якісь JSON-пакети на сервер ДПС без дотримання внутрішніх алгоритмів незмінності даних — вона не реалізує фіскальні функції у розумінні Постанови КМУ № 199.
Гілка 2. Законодавство про захист інформації та електронний документообіг
Це найбільш ігнорована розробниками ПРРО, але юридично найкритичніша частина законодавства. ПРРО за своєю суттю є елементом системи обробки податкової інформації.
Податкова інформація про обсяги виручки, номенклатуру товарів, персональні дані покупців та реквізити платіжних карток є інформацією з обмеженим доступом (або конфіденційною інформацією, що захищається державою).
Закони України № 80/95-ВР «Про інформацію» та «Про захист інформації в інформаційно-комунікаційних системах»
Законодавство України (зокрема Закон № 80/95-ВР та Закон «Про захист інформації в інформаційно-комунікаційних системах») встановлює суворе і обов'язкове правило:
Будь-яке програмне забезпечення, що здійснює обробку, збереження чи передачу інформації з обмеженим доступом або державних інформаційних ресурсів (до яких належать дані фіскалізації), ПОВИННЕ мати комплексну систему захисту інформації (КСЗІ) з підтвердженою відповідністю або експертним висновком у сфері криптографічного та технічного захисту інформації.
Закон України «Про електронні документи та електронний документообіг» (Закон № 581-IV) та Постанова КМУ № 199 (пункт 15)
Закон України № 581-IV «Про електронні документи та електронний документообіг» регулює правовий статус електронного чека як юридично значущого документа. Пункт 15 Постанови КМУ № 199 прямо посилається на норми електронного документообігу та законодавства про електронні довірчі послуги (Закон України № 2155-VIII).
Відповідно до цих норм:
- Кожна операція в ПРРО повинна підписуватися кваліфікованим електронним підписом (КЕП) або електронною печаткою суб'єкта господарювання/касира.
- Програмне середовище, в якому використовується КЕП, має гарантувати захист приватного ключа від модифікації, компрометації чи перехоплення стороннім кодом.
- Передача електронного документа (чека) повинна відповідати стандартам захищеного електронного документообігу, що унеможливлює підробку чека на етапі від каси до сервера ДПС або до смартфона покупця.
Висновок із двох гілок: Для того щоб програма мала право називатися «Програмним РРО», вона повинна відповідати як фіскально-технічним вимогам (Закон № 265, Постанова КМУ № 199), так і вимогам щодо безпеки інформації та електронного документообігу (Закон № 80/95-ВР, Закон № 581-IV, Закон № 2155-VIII).
2. Велика ілюзія: Чому запис у реєстрі ДПС не є підтвердженням законності програми
Більшість підприємців на аргумент про відсутність документів відповідають: «Але ж мій ПРРО є у списку ДПС! Я зареєстрував його через кабінет платника податків за формою 1-ПРРО, отримав локальний та фіскальний номер. Отже, держава дозволила!»
Це найнебезпечніша помилка, на якій вибудовується весь маркетинг приватних провайдерів ПРРО.
Як влаштований процес реєстрації ПРРО за формою 1-ПРРО?
Коли підприємець подає Заяву про реєстрацію ПРРО (форма № 1-ПРРО), він вказує в ній:
- Ідентифікатор об'єкта оподаткування.
- Назву ПРРО.
- Локальний номер ПРРО.
- Тип ПРРО (стаціонарний, пересувний, каса самообслуговування тощо).
Що робить Сервер ДПС у відповідь?
Фіскальний сервер ДПС НЕ ПЕРЕВІРЯЄ вихідний код вашої програми. ДПС не проводить технічний аудит ПЗ, не аналізує його на наявність вразливостей, закладок або спроможності дотримуватись процедур офлайн-режиму.
ДПС лише присвоює фіскальний номер запису у своїй базі даних та відкриває API-шлюз для прийому пакетів даних, підписаних вашим КЕП.
| ІЛЮЗІЯ ТА РЕАЛЬНІСТЬ РЕЄСТРАЦІЇ ПРРО | |
|---|---|
|
УЯВЛЕННЯ ПІДПРИЄМЦЯ:
Подача Заяви 1-ПРРО ↓ ДПС тестує код програми ↓ ДПС видає Сертифікат якості |
ЖОРСТОКА РЕАЛЬНІСТЬ:
Подача Заяви 1-ПРРО ↓ ДПС просто створює ID у базі ↓ Всю відповідальність покладено на суб'єкта |
Податкова служба діє за замовчуванням: «Ви задекларували, що використовуєте ПРРО — ми внесли це в базу. А чи відповідає ваша програма закону — це ваша особиста відповідальність як платника податків».
2. Порівняння: Класичний РРО vs Програмний РРО