Масштабна правова та технічна пастка ПРРО: чому сліпа довіра провайдерам веде бізнес до катастрофічних штрафів ДПС

     Останніми роками ринок розрахункових операцій в Україні зазнав кардинальних змін. Масова цифровізація, просунута як елемент спрощення ведення бізнесу, принесла із собою інструмент, який миттєво завоював популярність серед суб’єктів господарювання — програмні реєстратори розрахункових операцій (ПРРО). Можливість перетворити будь-який смартфон, планшет або ноутбук на повноцінний касовий апарат підкуповує своєю доступністю, швидкістю впровадження та відсутністю потреби витрачатися на купування, обслуговування й опломбування класичних апаратних РРО.

     Однак за цією привабливою фасадною вивіскою ховається глибока та небезпечна правова прірва. Переважна більшість підприємців — від дрібних ФОПів до великих ритейлерів — перед встановленням ПРРО не вивчає фундаментальну нормативно-правову базу. Вони керуються лише тими можливостями, які їм піднесли як «зручний сервіс». Наївна переконаність бізнесу полягає в тому, що якщо чек згенеровано в додатку, відправлено покупцю і він відобразився на фіскальному сервері Державної податкової служби (ДПС), то юридичну місію повністю виконано, а підприємство перебуває в повній безпеці.

     Це абсолютна, фундаментальна та надзвичайно небезпечна ілюзія.

     У цій статті-роз’ясненні ми докладно розберемо, чому використання більшості комерційних ПРРО у тому вигляді, у якому їх пропонують ринку розробники, фактично є незаконним, створює колосальні наслідки для платників податків та гарантовано призведе до виплати нищівних штрафних санкцій під час майбутніх перевірок.

     1. Анатомія ринку ПРРО: безвідповідальність провайдерів проти «сліпоти» бізнесу

     Щоб зрозуміти масштаби проблеми, необхідно проаналізувати саму модель взаємовідносин між розробником (провайдером) ПРРО та суб’єктом господарювання (користувачем).

     Маркетинговий обман та безконтрольність розробників

     Сьогодні ринок ПРРО насичений пропозиціями від десятків компаній. Змагаючись за клієнта, розробники застосовують агресивний маркетинг: «Каса в кишені за 100 гривень на місяць», «Інтеграція за 5 хвилин», «Забудьте про податкову — ми робимо все автоматично».

     Провайдери ПРРО користуються трьома ключовими факторами:

• Правовою та технічною безграмотністю користувачів: Малий і середній бізнес не заглиблюється в деталі Закону України № 265/95-ВР «Про застосування реєстраторів розрахункових операцій у сфері торгівлі, громадського харчування та послуг», Закону України «Про електронні документи та електронний документообіг», Закону України «Про електронну ідентифікацію та електронні довірчі послуги» та численних наказів Міністерства фінансів.
• Тимчасовою відсутністю жорсткого суцільного контролю з боку ДПС: На етапі впровадження систем податкові органи часто закривають очі на технічні й правові огріхи, оскільки їхнім головним завданням є сам факт фіксації розрахункових операцій та поповнення бюджету.
• Можливістю заробляти чималу передплату: Провайдери регулярно беруть з користувачів абонентську плату або плату за кожну транзакцію, продаючи, по суті, лише красиву «оболонку» (інтерфейс), яка взагалі не гарантує юридичної чистоти.

     Ліцензійна пастка: «Ми ні за що не відповідаємо»

     Якщо ви відкриєте публічну оферту або ліцензійний договір будь-якого популярного провайдера ПРРО, ви виявите стандартні застереження, які повністю знімають відповідальність із розробника:

• Принцип «Як є» (As Is): Програмне забезпечення надається без жодних гарантій відповідності специфічним вимогам законодавства або безперебійності роботи.
• Відмова від компенсації збитків: Провайдер прямо зазначає, що не відповідає за будь-які штрафи, накладені контролюючими органами на користувача через програмні збої, викривлення даних, некоректне накладення підпису чи втрату чеків.
• Відповідальність користувача: Усі ризики щодо формування, передачі, перевірки та зберігання розрахункових документів покладаються виключно на суб’єкта господарювання.

     Виходить парадоксальна ситуація: розробник отримує стабільний грошовий потік, нав’язуючи свої непродумані та сирі рішення, а підприємець за власні гроші купує собі загрозу нарахування мільйонних штрафів.

     2. Ілюзія тимчасової «благодаті» ДПС: чому перевірки неминучі

     Сьогодні багатьом підприємцям здається, що якщо їхній ПРРО працює, чеки відправляються, а податкова не приходить із перевірками вже завтра, то система виправдала себе. Це небезпечне затишшя перед бурею.

     Чому податкова закриває очі сьогодні?

1. Період накопичення даних: Податкові органи збирають масиви інформації на своїх фіскальних серверах. Сучасні аналітичні системи ДПС налаштовані на автоматичне виявлення аномалій та системних помилок у чеках.
2. Мораторії та обмеження перевірок: У періоди пом'якшення контролю або дії спеціальних правових режимів податкові органи зосереджуються лише на найзапекліших порушниках (наприклад, реалізація підакцизних товарів без фіскалізації).

     Що відбудеться, коли мораторії повністю відійдуть у минуле?

     Термін, коли податкова закриває очі на порушення в роботі ПРРО, рано чи пізно закінчиться. Контролюючі органи розпочнуть масові перевірки та автоматизований аудит збережених на серверах документів.

     Під приціл потрапить легальність та техніко-юридична відповідність ПРРО:

• Якщо ПРРО формує чеки з порушенням вимог Положення про форму та зміст розрахункових документів (Наказ Мінфіну № 13),
• Якщо розрахунковий документ підписано з порушенням Закону про електронні довірчі послуги,
• Якщо у суб'єкта господарювання відсутні збережені оригінали електронних документів,

     ...то податкові інспектори застосують фінансові санкції. Для ДПС такий розрахунковий документ є недійсним, а операція вважається такою, що проведена без видачі розрахункового документа встановленої форми.

     Наслідки: Штраф у розмірі 100% від вартості проданих товарів/послуг за перше порушення та 150% за кожне наступне (або згідно із діючими нормативами ст. 17 Закону про РРО). Якщо підприємець видавав некоректні чеки протягом року, сума штрафів може сягати сотень тисяч або мільйонів гривень, що гарантовано призведе до банкрутства.

     3. Фундаментальні правові порушення при використанні ПРРО

     Використання переважної більшості ПРРО на ринку містить у собі цілу низку системних правових порушень, кожне з яких загрожує бізнесу юридичною катастрофою.

     А. Що є ОРИГІНАЛОМ електронного чека? Порушення Закону про електронні документи

Величезне число користувачів переконане, що якщо вони надрукували чек з ПРРО на звичайному термопринтері або відправили покупцю картинку/PDF-файл, то це і є розрахунковий документ.

З точки зору Закону України «Про електронні документи та електронний документообіг» та нормативної бази щодо РРО/ПРРО:

1. Форма документа: Розрахунковий документ, створений ПРРО, від самого початку є електронним документом.
2. Що є оригіналом? Оригіналом електронного документа є його електронний примірник із накладеним кваліфікованим електронним підписом (КЕП) або електронною печаткою, створений у формі, яка дає змогу перевірити його цілісність та автентичність.
3. Паперовий чек із ПРРО — це лише КОПІЯ. Будь-який роздрукований на чековому принтері чек, сформований ПРРО, є лише паперовою візуальною копією електронного документа.

     У чому полягає критична проблема користувача?

     У користувача комерційного хмарного ПРРО не залишається оригінальних копій розрахункових документів!

     Коли ви здійснюєте розрахункову операцію, ПРРО генерує електронний файл (зазвичай у форматі XML або JSON), підписує його електронним ключем та відправляє на фіскальний сервер ДПС. Більшість хмарних провайдерів не залишають у локальній базі користувача оригінальний підписаний електронний файл, а лише відображають текстову форму або посилання на сервер ДПС.

     Якщо у підприємця виникне потреба надати первинні документи під час податкової перевірки чи судового спору, або якщо провайдер припинить роботу, згорить його сервер чи вимкнеться доступ через незапланований збій, підприємець не зможе надати оригіналів своїх розрахункових документів. Згідно зі ст. 44 Податкового кодексу України, відсутність первинних документів тягне за собою штрафи та скасування податкового кредиту чи витрат.

     Б. Обов’язок зберігання електронних документів

     Відповідно до законодавства, електронні розрахункові документи повинні зберігатися у формі, що дає змогу перевірити їхню цілісність на електронних носіях інформації протягом строку, встановленого законодавством для зберігання первинних документів (не менше 1095 днів / 3 років).

     Більшість користувачів навіть не замислюються: де фізично зберігаються їхні чеки?

• Вони зберігаються на серверах приватного провайдера ПРРО.
• Підприємець не має локального резервного архіву оригінальних електронних файлів з підписами.
• У разі хакерського злому провайдера, ліквідації компанії-розробника або конфлікту щодо передплати підприємець миттєво втрачає весь свій фінансово-розрахунковий архів за роки діяльності.

     Перед контролюючими органами відповідальність за відсутність архіву документів несе виключно суб’єкт господарювання. Аргумент «провайдер втратив мої чеки» податкова служба до уваги не бере.

     В. Незаконність автоматичного підпису (автопідпису) та компрометація КЕП

     Для забезпечення зручності («фіскалізація в один клік без введення пароля») провайдери ПРРО масово пропонують користувачам технологію автоматичного підпису чеків.

     Для цього КЕП (або електронна печатка) підприємця завантажується:

• Або безпосередньо на хмарний сервер розробника ПРРО,
• Або зберігається в незашифрованому вигляді в пам'яті пристрою чи скрипті додатку.

     Чому це прямо суперечить закону?

     Згідно із Законом України «Про електронну ідентифікацію та електронні довірчі послуги»:

1. Виключний контроль: Кваліфікований електронний підпис призначений для використання виключно його підписувачем. Підписувач зобов’язаний забезпечувати конфіденційність та неможливість доступу інших осіб до особистого ключа.
2. Передача ключа: Передача особистого ключа КЕП третім особам (зокрема розміщення його на серверах провайдера ПРРО) є грубим порушенням правил використання довірчих послуг. У разі виявлення такого факту кваліфікований сертифікат ключа підлягає скасуванню.
3. Автоматичне накладення підпису: Накладення КЕП програмним алгоритмом без прямого волевиявлення та підтвердження підписувачем під час кожної окремої операції позбавляє такий підпис юридичної сили.

     Якщо під час перевірки буде доведено, що підпис на чеках накладався автоматичним скриптом у хмарі розробника, усі такі чеки визнаються непідписаними, а отже — недійсними! Це прямо веде до накладення штрафів за реалізацію товару без видачі фіскального чека.

     Г. Ризики викрадення електронної печатки та хакерського злому провайдера

     Коли підприємець віддає свій КЕП чи електронну печатку «на зберігання» провайдеру ПРРО, він свідомо віддає ключі від власного бізнесу стороннім особам.

     Потенційні сценарії катастрофи:

1. Хакерський злом сервера провайдера: Зловмисники, отримавши доступ до бази даних провайдера ПРРО, здобувають доступ до сотень електронних печаток і КЕП підприємців.
2. Незаконне використання ключа від вашого імені: З використанням викраденого КЕП зловмисники можуть згенерувати фіктивні чеки на мільйони гривень, провести маніпуляції зі скасування касових чеків (відбудеться приховування виторгу), або підписати будь-які фіктивні документи від вашого імені.
3. Хто відповість? З точки зору чинного законодавства, все, що підписано вашим КЕП чи печаткою, вважається підписаним особисто вами. Підприємцю доведеться роками в судах і під час досудового розслідування доводити, що фіктивні чеки формували хакери через «корявий» софт провайдера.

     Д. «Корявість» програмного забезпечення та відсутність обов’язкових реквізитів

     Провайдери ПРРО постійно випускають оновлення своїх додатків. Проте через відсутність належного тестування та технічного контролю після чергового апдейту в програмах часто виникають критичні збої:

• Зникає цифрове значення штрихкоду марки акцизного податку при продажу алкоголю.
• Некоректно формується або зникає позначення форми оплати (наприклад, замість «безготівкова» пишеться некоректний системний код).
• Неправильно розраховується ставка ПДВ або акцизного податку.
• Зникає назва суб’єкта господарювання або адреса торгової точки.

     Юридичний вирок:

     Згідно з п. 2 Розділу І Положення про форму та зміст розрахункових документів (Наказ Мінфіну № 13), у разі відсутності хоча б одного з обов'язкових реквізитів у чеку, такий документ не визнається розрахунковим.

     Результат: Податкова вважає, що ви взагалі не видали чек. Помилка розробника в коді програми перетворюється на 100–150% штрафу від суми чека для підприємця.

     На відміну від ПРРО, у класичному РРО програмне забезпечення проходить перевірку, та версія ПЗ занесена до Державного реєстру РРО. Якщо касовий апарат, наприклад, зробив помилку, то за це несе відповідальність розробник РРО, а не користувач.