Od kwietnia 2010 możliwe jest, jak wiadomo, roczne rozliczenie PIT przez internet bez użycia kwalifikowanego podpisu elektronicznego. Sprawdziłem – to naprawdę działa – szybko i wygodnie, bez wychodzenia z domu. Osobom, które już poprzednio miały „wklepane” dane do jakiegoś „programu do PIT-ów” sporządzenie i wysyłka formularza powinna zająć nie więcej niż 10minut.
W tej beczce miodu znalazłem jednak łyżkę dziegciu – konkretnie małą łyżeczkę z wygrawerowanym na spodzie napisem „bezpieczeństwo”. System autoryzacji umożliwia osobie postronnej złożenie PIT-u (lub jego korekty) „w zastępstwie” zainteresowanego. Np. złożenie 30 kwietnia korekty kompletnie zmieniającej zeznanie. Podatnik dowie się zaś o niej dopiero przy wezwaniu ze strony Urzędu Skarbowego.
Tu poczynię ważne zastrzeżenie: nie mam wielkiej wiedzy (dużo większej niż przeciętny użytkownik) o zabezpieczeniach systemów informatycznych. Przyjąć nawet mogę (czy w to wierzę to inna sprawa), że system e-Deklaracje, jak i baza danych PIT-ów, są doskonale zabezpieczone przed atakami z zewnątrz. Problem mam z tym, co można przeczytać na stronie
www.e-deklaracje.gov.pl: „
W celu zapewnienia bezpieczeństwa świadczonej usługi Ministerstwo Finansów udostępniło podpis elektroniczny oparty na unikatowych cechach podatnika, takich jak : nazwisko, imię, data urodzenia, numer NIP i PESEL oraz kwota przychodu wskazana w zeznaniu lub rocznym obliczeniu podatku za rok podatkowy o dwa lata wcześniejszy niż rok, w którym jest składany dokument elektroniczny. Cechy te, weryfikowane w systemie centralnym, posłużą jednocześnie do ustalenia tożsamości podatnika korzystającego z usługi.” Innymi słowy każdy, kto ma lub miał dostęp do poprzedniego zeznania podatkowego (lub części danych z niego) może podszywając się pod podatnika wysłać PIT. Może to zrobić na przykład były partner, urzędnik z Urzędu Skarbowego, ale także (o ile podatnik pracował na jednym etacie) ówczesny pracodawca (ew. pracownik działu kadr lub działu socjalnego) i wreszcie ktoś (haker), kto wszedł w posiadanie tych danych nielegalnie od wymienionych wcześniej. Podatnik wcale nie musi składać swojego PIT-u przez internet – przez sieć może przejść wyłącznie „korekta” zeznania.
Zastanawiam nad jednym – po co w formularzu NIP-3 umieszczone są pola do danych kontaktowych - oprócz adresu do korespondencji jest także telefon i e-mail? Nie można by ich wykorzystać do autoryzacji (nawet bardzo prostej) składanego zeznania – jakiś kod, lub link do kliknięcia? W ostateczności wystarczyłaby nawet informacja na e-mail o złożeniu zeznania, aby podatnik zawczasu (a nie np. po roku) dowiedział się o tym fakcie i zareagował.
Jakoś nie wyobrażam sobie, żeby na przykład bank jako zabezpieczenia transakcji wymagał jedynie numeru rachunku, PESEL i kwoty poprzedniej transakcji. Może dlatego, że bankowi zależy na opinii klientów, bo przecież nie z powodu wagi sprawy – odpowiedzialność karna i skarbowa mogą być równie nieprzyjemne jak utrata pieniędzy.
