Zagraniczna bramka Impervy widzi wszystkie faktury KSeF

  Amerykańska firma Imperva, należąca do francuskiego koncernu Thales i posiadająca zaplecze badawcze w Izraelu, obsługuje bramkę WAF Krajowego Systemu e-Faktur.

  Na bramce następuje zakończenie szyfrowanego połączenia od podatnika do Ministerstwa Finansów. Operator ma techniczną możliwość odczytu jawnej warstwy HTTP, w tym metadanych i odpowiedzi API. To pozwala mu odczytać i pobrać pełną treść każdej faktury.

  W ten sposób wywiady USA, Francji i Izraela mają bardzo łatwą techniczną możliwość widzenia szczegółowo pełnego obiegu handlowego Polski. To nie są spekulacje, to jest pewne i możliwe do łatwego udowodnienia w sądzie.

  Kto i na jakiej podstawie zdecydował o udostępnieniu zagranicznemu operatorowi tak strategicznego punktu dostępu do informacji o polskiej gospodarce?

  Czy naruszono prawo?

  Sprawdźmy, jakie przepisy mogą mieć zastosowanie, by móc oskarżyć twórców tego szpiegowskiego systemu (a zatem ekipę Morawieckiego i Tuska) o zbrodnię stanu.

KONSTYTUCJA RP

• Art. 51 ust. 2: państwo nie może pozyskiwać, gromadzić ani udostępniać informacji o obywatelach ponad to, co niezbędne w demokratycznym państwie prawnym. Udział zagranicznej bramki w przetwarzaniu danych polskich podatników nie jest niezbędny. Świadczy o tym choćby to, że przytłaczająca większość państw na świecie nie oddała bramki bezpieczeństwa zagranicznemu podmiotowi w chmurze.
• Art. 51 ust. 5: zasady gromadzenia i udostępniania informacji określa ustawa. Gdzie określono granice dostępu zewnętrznego operatora do informacji przetwarzanych przez KSeF? Ministerstwo Finansów trzyma to w tajemnicy. Nie tylko umowa z Impervą jest tajna, ale MF w ogóle nie przyznaje się do tego, że oddało bramkę bezpieczeństwa tej firmie.
• Art. 51 ust. 4: obywatel może żądać sprostowania lub usunięcia informacji nieprawdziwych. Tymczasem KSeF nie pozwala usunąć nawet faktury wystawionej na cudzy NIP w wyniku nadużycia. Czy przewidziane procedury wystarczają do realizacji tego prawa? Nie ma takich.
• Art. 49: państwo ma obowiązek chronić tajemnicę komunikowania się. Terminacja TLS przez zagraniczny podmiot nie jest zgodna z zasadami ograniczania tej tajemnicy.
• Art. 22 i 31 ust. 3: ograniczenia wolności gospodarczej muszą mieć podstawę ustawową i spełniać wymagania proporcjonalności. Sam obowiązek korzystania z KSeF wynika z ustawy. Jednak architektura pozwalająca zewnętrznemu operatorowi analizować ruch całej gospodarki nie jest w żadnej ustawie zapisana.
• Art. 47: chroni prywatność, także przedsiębiorców prowadzących JDG. Faktury mogą ujawniać szczegóły życia prywatnego, majątku, leczenia czy świadczonych usług.
• Art. 7: organy państwa muszą działać na podstawie i w granicach prawa. MF powinno wykazać podstawę, zakres i warunki powierzenia obsługi tej części infrastruktury zagranicznej firmie Imperva. Trzymają to w tajemnicy. Wprost w odpowiedziach na interwencje i interpelacje poselskie piszą, że tego nie ujawnią.
• Art. 61: obywatele mają prawo do informacji o działalności władz publicznych. Tymczasem nie można poznać nawet niezastrzeżonych warunków korzystania z usług Impervy.
• Art. 198: członkowie Rady Ministrów mogą odpowiadać przed Trybunałem Stanu za naruszenie Konstytucji lub ustawy w związku z zajmowanym stanowiskiem. Doszło do bezprawnego udostępnienia danych, więc odpowiedzialność sięga najwyższych szczebli władzy.

PRAWO UNII EUROPEJSKIEJ

• Karta Praw Podstawowych, art. 7 i 8: prawo do prywatności i ochrony danych osobowych. Nie wolno traktować informacji o życiu gospodarczym osób fizycznych jak danych pozbawionych ochrony.
• Karta Praw Podstawowych, art. 16: wolność prowadzenia działalności gospodarczej. Przedsiębiorca powinien mieć zapewnioną ochronę poufnych informacji dotyczących jego działalności.
• RODO, art. 5 ust. 1 lit. c i f: minimalizacja danych oraz ich poufność. Zewnętrzny operator powinien przetwarzać wyłącznie dane niezbędne do realizacji konkretnej usługi.
• RODO, art. 25: ochrona danych w fazie projektowania. Nie zastosowano architektury ograniczającej dostęp operatora WAF do treści informacji gospodarczych.
• RODO, art. 28: powierzenie przetwarzania danych. Imperva przetwarza dane osobowe, musi więc istnieć odpowiednia podstawa powierzenia, określony zakres czynności i gwarancje bezpieczeństwa. Rząd to ukrywa.
• RODO, art. 32: bezpieczeństwo przetwarzania. Administrator musi zapewnić poziom ochrony odpowiedni do ryzyka. A tutaj chodzi o system obejmujący ogromną część gospodarki całego państwa!
• RODO, art. 35: ocena skutków dla ochrony danych. Przy przetwarzaniu powodującym wysokie ryzyko konieczna jest DPIA. Nie ma żadnych publicznych dokumentów oceniających konsekwencje dostępu zewnętrznego operatora do ruchu KSeF.
• RODO, art. 44–46: przekazywanie danych poza EOG wymaga odpowiedniej podstawy i zabezpieczeń. Nie sprawdzono, gdzie trafiają dane, logi, kopie diagnostyczne i informacje dostępne personelowi.
• RODO, art. 48: samo żądanie organu państwa trzeciego nie daje automatycznego prawa do przekazania danych osobowych. Nie przeanalizowano ryzyka żądań kierowanych do dostawcy na podstawie obcego prawa. Nie ma takich analiz.
• NIS2, art. 21, oraz polska ustawa o krajowym systemie cyberbezpieczeństwa, art. 8: obowiązki zarządzania ryzykiem obejmują bezpieczeństwo łańcucha dostaw. Gdzie jest ocena ryzyka zależności centralnego systemu fiskalnego od zagranicznego usługodawcy? Nie ma.

ORDYNACJA PODATKOWA

• Art. 293: indywidualne informacje podatników są objęte tajemnicą skarbową. Ministerstwo Finansów samo potwierdza, że dane KSeF stanowią taką tajemnicę — odpowiedź na interpelację nr 15132!
• Art. 294 § 4: tajemnica skarbowa obowiązuje również inne osoby, którym udostępniono chronione informacje. Czy dotyczy to personelu zagranicznego operatora i jak egzekwuje się ten obowiązek?
• Art. 297h: specjalny przepis ogranicza udostępnianie faktur i danych KSeF do wskazanych organów. Operator WAF nie jest takim organem. Czy jego techniczny dostęp mieści się wyłącznie w legalnym przetwarzaniu powierzonym, czy wykracza poza ten zakres?
• Art. 306: za bezprawne ujawnienie tajemnicy skarbowej przez osobę zobowiązaną do jej zachowania grozi nawet 5 lat więzienia.
• Kontrola dostępu: MF zapewnia, że każdy wgląd pracownika KAS w fakturę jest monitorowany i audytowany. A tymczasem nie jest rejestrowany dostęp do chronionych danych na zagranicznej bramce! MF nie potrafi go odtworzyć i skontrolować, bo to działa na obcej infrastrukturze!

INNE USTAWY I ROZPORZĄDZENIA

• Ustawa o VAT, art. 106nd ust. 1: Szef KAS prowadzi KSeF i jest administratorem zawartych w nim danych. Korzystanie z podwykonawcy nie zwalnia go z odpowiedzialności za ich ochronę.
• Ustawa o zwalczaniu nieuczciwej konkurencji, art. 11: poufne ceny, rabaty, dostawcy i warunki umów mogą stanowić tajemnicę przedsiębiorstwa. Bezprawne pozyskiwanie takich informacji podlega zakazowi.
• Ta sama ustawa, art. 23: bezprawne ujawnienie lub wykorzystanie tajemnicy przedsiębiorstwa w przypadkach określonych ustawą może stanowić przestępstwo.
• Ustawa o ochronie danych osobowych, art. 107: przetwarzanie danych osobowych bez uprawnienia może być przestępstwem. Uprawnienie musi obejmować rzeczywisty zakres wykonywanych operacji.
• Ustawa o ochronie informacji niejawnych, art. 5: dane związane z obronnością mogą wymagać ochrony właściwej dla informacji niejawnych. Czy zbadano możliwość występowania takich danych w fakturach dotyczących strategicznych zamówień?
• Krajowe Ramy Interoperacyjności, § 19: wymagają ochrony przed nieuprawnionym dostępem oraz odpowiednich gwarancji bezpieczeństwa w umowach serwisowych ze stronami trzecimi. Czy takie gwarancje istnieją i są egzekwowane? To też jest tajemnica.
• Krajowe Ramy Interoperacyjności, § 20: nakazują wiarygodne dokumentowanie określonych dostępów do prawnie chronionych danych. Czy logowane są operacje na bramce WAF i kto ma kontrolę nad tymi logami? Nad tym kontrolę ma tylko Imperva.
• Ustawa o dostępie do informacji publicznej, art. 16: odmowa udostępnienia informacji publicznej przez organ władzy co do zasady wymaga decyzji. Czy MF prawidłowo rozpatruje wnioski o informacje dotyczące architektury, umów i zabezpieczeń KSeF? Póki co nie, bo na wszystkie wnioski odpowiada, że to tajemnica.

KODEKS KARNY

• Art. 231: funkcjonariusz publiczny odpowiada za przekroczenie uprawnień lub niedopełnienie obowiązków ze szkodą dla interesu publicznego albo prywatnego. Świadome zignorowanie obowiązków ochrony danych może rodzić taką odpowiedzialność.
• Art. 265: ujawnienie informacji niejawnych. Wśród przetwarzanych informacji występują dokumenty posiadające odpowiednie klauzule, więc ich bezprawne ujawnienie podlega szczególnej odpowiedzialności.
• Art. 266: bezprawne ujawnienie informacji poznanych w związku z pracą lub funkcją, gdy istnieje obowiązek zachowania tajemnicy.
• Art. 267: bezprawne uzyskanie dostępu do informacji lub systemu informatycznego. Sam legalny dostęp techniczny nie wystarcza do popełnienia przestępstwa, lecz przekroczenie jego granic może wymagać zbadania. A tego nie wiadomo, bo to się dzieje na obcej infrastrukturze.
• Art. 130: szpiegostwo. Gdyby wykazano świadomą współpracę z obcym wywiadem i przekazywanie mu informacji mogących zaszkodzić Polsce, zastosowanie mogłyby znaleźć przepisy o szpiegostwie. Więc jedyne tłumaczenie, jake pozostaje rządzącym to własna głupota.

I TERAZ NAJWAŻNIEJSZE!

  Ministerstwo Finansów samo przyznaje, że dane KSeF stanowią tajemnicę skarbową. Jednocześnie architektura komunikacyjna uzależnia funkcjonowanie tego systemu od zagranicznego operatora bramki bezpieczeństwa.

  Każdy z wymienionych przepisów został złamany. Istnieją konkretne podstawy prawne do zbadania tego przez UODO, NIK, ABW, prokuraturę i właściwe organy kontroli.

  Niech Ministerstwo Finansów odpowie na pięć prostych pytań:

1. Jakie dokładnie informacje technicznie może odczytać Imperva?
2. Jakie dane może rejestrować i przechowywać?
3. Kto, w jakich krajach i na jakiej podstawie prawnej może mieć do nich dostęp?
4. Jak MF audytuje operacje wykonywane na bramce?
5. Jakie analizy prawne i bezpieczeństwa uzasadniają wybór takiej architektury?

  Rząd na te pytania nie odpowiada, co znaczy, że zdają sobie sprawę z tego, że popełnia zbrodnię stanu.

  Tusk wprost powiedział o zbrodni stanu w przypadku samego ryzyka dostępu obcego państwa do danych z Pegasusa, więc ewidentnie analogiczne standardy oceny należy zastosować wobec KSeF!

  Tajemnica skarbowa nie przestaje być tajemnicą, tylko dlatego, że przebiega przez zagraniczną bramkę WAF!

__________________

Centralizacja to największe zło tego świata <- poprzednia notka

na­stęp­na not­ka ->

__________________

Tagi: GPS65