Przy okazji zaostrzenia mechanizmów uwierzytelnienia i uproszczenia mechanizmu autoryzacji w ZUS w środowiskach IT przetoczyła się mała debata na temat potencjalnych zagrożeń związanych z oszustwami przy okazji składania różnego deklaracji podatkowych.

W przypadku deklaracji o podatku emerytalnym składanych do ZUS chodziło o to, że co prawda używamy certyfikatu kwalifikowanego ale bez pełnomocnictwa, takiego jak ZAW-E1 w e-Deklaracjach. Szczerze mówiąc, nie udało się wtedy nikomu podać prawdopodobnego scenariusza jak miałoby wyglądać ewentualne nadużycie tej “luki”. Zamiast tego Ministerstwo Finansów chce znacznie uprościć uwierzytelnienie deklaracji podatkowych.

To co w polskiej administracji publicznej jest sensacją na miarę drugiej dekady XXI wieku od dawna funkcjonuje w brytyjskim i amerykańskim systemie podatkowym. Warto zatem przyjrzeć się doświadczeniom amerykańskiego IRS (Internal Revenue Service) z elektronicznymi deklaracjami.

W wydanym w ubiegłym roku poradniku instytucja ta ostrzega przed klasycznym phishingiem, rozsyłanym w postaci listów udających korespondencję z IRS.

W najbardziej wyrafinowanej wersji maile zachęcają do podawania danych osobowych w najróżniejszych formularzach webowych, udających nieistniejące formularze podatkowe. W najprymitywniejszej - do kliknięcia na link, który próbuje uruchomić konia trojańskiego.

Jak widać nie ma to nic wspólnego ze scenariuszami w rodzaju “przestępca wyśle za mnie fałszywy formularz podatkowy i będę musiał w kopalni do końca życia odrabiać miliardowy podatek!”, którymi straszono podczas dyskusji o rezygnacji z podpisu kwalifikowanego.

Zamiast tego Ministerstwo Finansów powinno z wyprzedzeniem, za pomocą mediów oraz stron z formularzami podatkowymi, edukować użytkowników zanim podobne akcje pojawią się w Polsce, zapewne w okolicach przyszłego roku lub dwóch.

Ministerstwo Finansów chce do 1 marca zdążyć z udostępnieniem łatwego w użyciu PIT-37. Łatwość ma polegać na zniesieniu dwóch podstawowych ograniczeń w jego stosowaniu - po pierwsze .indywidualnej zgody na taką formę rozliczenia (ZAW/ZAS), po drugie podpisu kwalifikowanego. Gazeta Prawna ujawnia szczegóły nowych propozycji.

Według GP autentyczność formularza będzie “prawdopodobnie weryfikowana za pomocą sześciu cech osobowych”. Jest to technika zdalnej weryfikacji tożsamości użytkownika powszechnie wykorzystywana na przykład przez banki przy rozmowach telefonicznych.

Z punktu widzenia dostępności i łatwości użytkowania byłaby to rewolucja. W 2008 roku drogą elektroniczną z podpisem kwalifikowanym złożono 76 (siedemdziesiąt sześć) formularzy PIT-37, co było kompromitacją dla “prywatnej” części projektu e-Deklaracje, którą udostępniono w marcu ubiegłego roku. Ogółem z podatku dochodowego rozliczyło się bowiem ponad 24 miliony osób fizycznych.

Bezpieczeństwo

Podstawowym argumentem zwolenników “silnego uwierzytelnienia” certyfikatem kwalifikowanym było bezpieczeństwo i straszenie masowymi fałszerstwami w razie porzucenia tej metody. Przede wszystkim należałoby zadać sobie pytanie o motywację potencjalnego fałszerza, inną niż chęć spłatania komuś psikusa lub drobnej złośliwości. Następnie należałoby spytać o wielkość ewentualnej szkody, mierzonej jako niemożliwe do skorygowania straty osoby, która padnie ofiarą takiego ataku.

Jeśli ktoś uważa, że sfałszowanie PIT przez sąsiada czy kolegę z pracy jest bez podpisu kwalifikowanego trywialne to polecam eksperyment. Proszę ze strony Ministerstwa pobrać sobie dowolny formularz informacyjny (np. NIP-1) i ze stoperem w ręku spróbować wypełnić go dla dowolnie wybranej osoby publicznej, dysponując wszystkimi typowymi źródłami informacji takimi jak publiczne rejestry czy wyszukiwarki.

Jeśli to się powiedzie to proszę dołożyć do tego sześć typowych “tajnych informacji prywatnych” z rodzaju tych wykorzystywanych przez banki - nazwisko panieńskie matki i żony, imiona rodziców, podstawowe dane osobowe (data urodzenia, adres zamieszkania), imiona dzieci.

Twierdzenie, że taka działalność mogłaby być masowa lub chociażby prawdopodobna można włożyć między bajki. A wszystko to bez podpisu kwalifikowanego.

Komentarz

Determinacja Ministerstwa Finansów w stworzeniu realnie działającego systemu e-Deklaracje w ciągu ostatniego roku skłania do wnisoku, że przynajmniej w zakresie tego projektu istnieje silna presja na osiągnięcie realnych wyników, mierzalnych co najmniej w tysiącach deklaracji rocznych. Na tle prowadzonych w ostatniej dekadzie projektów informatyzacyjnych szczebla globalnego jest to ewenement (jak najbardziej pozytywny).

Dotychczasowa praktyka była raczej taka, by wydawać pieniądze na projekty bez żadnej refleksji na temat ich używalności, zaś wszelkie uwagi na temat zerowego wykorzystania kolejnych skrzynek podawczych kwitować wzruszeniem ramion, “harmonizacją z przepisami unijnymi” lub tępotą obywateli, którzy do tak nowoczesnych rozwiązań nie dojrzeli.

Podsumowując, fajnie że administracja publiczna powoli dojrzewa do ostrożnego, ale jednak, stosowania pojęcia ROI (”zwrot z inwestycji”).

W kolejnej odsłonie sondowania opinii publicznej Ministerstwo Finansów zaproponowało, by zamiast rezygnować całkowicie z podpisu kwalifikowanego w deklaracjach podatkowych zrobić to tylko dla deklaracji PIT-37, składanych corocznie przez większość Polaków.

W mojej ocenie propozycja ta jest dość dziwna. Z jednej strony - jeśli wewnątrz MinFin istnieje silne lobby przeciwne zniesieniu uciążliwego podpisu to oczywiście lepiej tylko PIT-37 niz nic. Z drugiej strony zdrowy rozsądek wskazuje, że skoro można zwolnić z elektronicznego podpisu PIT-37 to dlaczego nie można pozostałych?

Argument - zapewne podsunięty dziennikarzowi Gazety Prawnej - że “dla firm składających informacje do ZUS nie ma jednak ekonomicznego znaczenia” bo i tak e-podpis muszą mieć do kontaktów z ZUS, jest fałszywy.

O ile pamiętam około 40% płatników ZUS stanowią podmioty zatrudniające poniżej pięciu osób, które na mocy obowiązującego prawa nie muszą składać do ZUS deklaracji w formie elektronicznej z bezpiecznym podpisem. Będąc w tej liczbie (jednoosobowa działalność gospodarcza) zdecydowanie nie rozumiem, dlaczego kolega na umowie o pracę będzie mógł złożyć deklarację roczną bez podpisu - a ja będę musiał go zastosować zarówno do odpowiedniej dla mnie deklaracji rocznej (PIT-36), jak i wszystkich pozostałych (PIT-4, VAT-7).

Gazeta Prawna: Tylko PIT-37 wyślemy bez e-podpisu

Ministerstwo Finansów opublikowało projekt nowelizacji ordynacji podatkowej wprowadzający znaczne ułatwienia w składaniu deklaracji podatkowych w formie elektronicznej. Zniesiony zostanie m.in. obowiązek uzyskiwania zgody naczelnika urzędu skarbowego (formularze ZAW).

Zamiast tego podatnik ma jedynie zawiadomić urząd skarbowy o chęci składania e-Deklaracji przez złożenie odpowiedniego pełnomocnictwa. W każdej chwili będzie można go odwołać za pomocą kolejnego zawiadomienia składanego w urzędzie skarbowym. Oba wnioski mają być zwolnione z opłaty skarbowej.

Podatnicy, którzy już złożyli formularze ZAW nie będą musieli składać zadnych dodatkowych dokumentów.

Projekty są opublikowane na BIP MF w dziale projekty aktów prawnych Podatki (ogólne).

• Projekt - ustawa z dnia … 2009 r. o zmianie ustawy – Ordynacja podatkowa oraz ustawy o opłacie skarbowej
• Uzasadnienie

Proponowana zmiana stanowi niewątpliwie spore uproszczenie dla posiadaczy certyfikatów kwalifikowanych. Dla osób, które nie mogą korzystać z e-Deklaracji ze względu na wysoki koszt certyfikatu proponowana nowelizacja nic nie zmienia. Miejmy nadzieję, że Ministerstwo Finansów wróci do tematu po wejściu w życie nowej ustawy o podpisach elektronicznych.

Ministerstwo Finansów opublikowało elektroniczne formularze dla rozliczania podatku dochodowego od osób fizycznych, czyli to co dla większości zwykłych śmiertelników oznacza coroczne rozliczenie podatku do końca kwietnia.

czytaj dalej

Ministerstwo Finans??w opublikowa??o elektroniczne formularze dla rozliczania podatku dochodowego od os??b fizycznych, czyli to co dla wi??kszo??ci zwyk??ych ??miertelnik??w oznacza coroczne rozliczenie podatku do ko??ca kwietnia.

czytaj dalej

Ministerstwo Finansów udostępniło specyfikację wejścia-wyjścia dla systemu e-Deklaracje uruchomionego na początku stycznia. Specyfikacja pozwala na implementowanie własnych aplikacji wysyłających deklaracje podatkowe do systemu e-Deklaracje przez podmioty, które zgłosiły taką chęć swojemu urzędowi skarbowemu.

czytaj dalej