Udruga “A” obratila nam se u interesu članova – leasing društava sa zamolbom za tumačenje odredbi Zakona o fiskalizaciji, vezano uz obveznost i opseg navođenja OIB-a operatera u eRačunima. Dvojba se odnosi na pitanje mora li OIB fizičke osobe – operatera (zaposlenika obveznika fiskalizacije) biti uključen u izvorni XML eRačuna i time razmijenjen s primateljem eRačuna ili je svrha zakonske obveze iscrpljena dostavom tog podatka Poreznoj upravi radi poreznog nazdora. Zakon o fiskalizaciji zahtijeva iskazivanje oznake operatera na računu te povezivanje te oznake s OIB-om u internom aktu obveznika radi poreznog nadzora, Pravilnik o fiskalizaciji računa u krajnjoj potrošnji propisuje OIB operatera kao obvezan podatak u podatkovnom skupu koji se dostavlja Poreznoj upravi, međutim, niti Zakon niti Pravilnik ne propisuju izričitu obvezu razmjene tog osobnog podatka s primateljem eRačuna.
Zbog tehničke arhitekture eRačuna i primjene EU norme EN 16931, dolazi do situacije u kojoj se OIB zaposlenika može učiniti vidljivim trećim osobama, iako za takvu razmjenu ne postoji jasna zakonska osnova, što otvara pitanje razmjernosti obrade osobnih podataka u smislu GDPR-a.
Posebno ističu važnost tumačenja članka 8. stavka 4. Zakona o fiskalizaciji, koji predviđa mogućnost dostave OIB-a obveznika fiskalizacije u slučajevima u kojima nije moguće dostaviti OIB operatera, uključujući automatizirane i tehničke procese izdavanja računa. Smatraju da upravo u kontekstu automatizirane razmjene eRačuna postoji potreba za jasnim očitovanjem može li se navedena odredba primijeniti kako bi se izbjegla nepotrebna i potencijalno prekomjerna obrada osobnih podataka zaposlenika.
U nastavku dajemo odgovor.
Člankom 36. Zakona o fiskalizaciji („Narodne novine“ br. 89/25, dalje u tekstu „ZOF“) propisano je da svaki eRačun mora biti u skladu s EU normom.
Sukladno članku 2. stavku 1. točki 9. ZOF-a, EU norma u smislu ZOF-a je EU norma 16931-1:2017, kao i Tehnička specifikacija osnovne uporabe eRačuna s proširenjima koju izdaje Porezna uprava, a koja opisuje način primjene i proširenja EU norme 16931-1:2017 i njezinih ispravaka, izmjena i dopuna.
Porezna uprava je na svojoj Internet stranici objavila Specifikaciju osnovne uporabe eRačuna s proširenjima. Specifikacijom osnovne uporabe eRačuna s proširenjima definirano je da eRačun kao obvezne elemente mora sadržavati (kardinalnost 1.1) oznaku operatera i OIB operatera sukladno ZOF.
Time je utvrđena pravna osnova razmjene podatka o OIB-u operatera prilikom razmjene eRačuna.
Prema EU normi, vizualni prikaz mora odražavati podatke iz XML‑a; stoga, kad je OIB operatera u XML‑u, bit će vidljiv i u prezentaciji eRačuna koju vidi primatelj.
Što se tiče vizualizacije XML sheme eRačuna, EU norma 16931-1:2017 navodi da prezentacija računa mora prikazivati sve podatke iz XML-a. Pod pojmom prezentacija, misli se na vizualni prikaz podataka. Dakle, vizualizacija XML-a eRačuna mora prikazivati sve podatke koji se nalaze u XML-u, sukladno EU normi.
Vjerodostojnom ispravom u smislu članka 34. stavka 1. i članka 36. ZOF smatra se samo eRačun izdan u strukturiranom elektroničkom obliku u XML formatu izdan sukladno ZOF i sukladno EU normi 16931-1:2017 s hrvatskim proširenjem. XML format eRačuna koji je propisan za eRačun je nepromjenjiv, sastavljen u skladu sa EU normom 16931-1:2017 s hrvatskim proširenjem iste i kao takav ne smije se mijenjati od strane informacijskog posrednika. To je ujedno i zahtjev po PDV Direktivi Vijeća 2006/112/EZ od 28. studenoga 2006. o zajedničkom sustavu poreza na dodanu vrijednost (SL L 347, 11. 12. 2006.)
Prema tome, obveza naznačavanja OIB-a operatera proizlazi iz ZOF, odnosno EU norme.
U slučaju kada se izdaje eRačun, ne može se primijeniti članak 8. stavak 4. ZOF jer se isti odnosi na račune u krajnjoj potrošnji o kojima je propisano Poglavljem II. ZOF.
ZOF je propisao najstrožu kaznu za programsko rješenje koje bi izdvajalo podatke iz XML-a i na taj način ih zloupotrebljavalo – propisane su prekršajne novčane kazne za programska rješenja informacijskih posrednika koja bi izdvajala podatak o OIB-u operatera.
Informacijski posrednici su prema članku 65. stavku 3. ZOF pod direktnim nadzorom Zakona o kibernetičkoj sigurnosti („Narodne novine“ br. 14/24) prema kojem Zakonu su dužni prijavljivati incidente i redovito se podvrgavati revizorskim i drugim propisanim testiranjima sukladnosti, te podliježu i njihovom sankcioniranju.
Programsko rješenje za eRačun nema alternativu, naime model Fiskalizacije 2.0 temelji se na unakrsnoj provjeri koju vrši Porezna uprava iz dostavljenih fiskaliziranih podataka izdavatelja i primatelja eRačuna.
Model Fiskalizacije 2.0 predviđa da izdavatelj i primatelj eRačuna međusobno razmjenjuju eRačun putem svojih pristupnih točaka. Pristupne točke obveznika Fiskalizacije 2.0 iz točno određenih polja (izdanog odnosno zaprimljenog) XML formata eRačuna, a bez čitanja njegova sadržaja, izdvajaju propisani set fiskalizacijskih podataka i dostavljaju ih u Poreznu upravu, a koja ih dalje koristi za propisane nadležnosti.
Iz svega navedenog proizlazi da je OIB operatera kao nužni element eRačuna propisan EU normom, da nema drugog načina osim opisanog radi unakrsne provjere podataka obveznika fiskalizacije te da se podaci iz XML eRačuna ne smiju izdvajati za potrebe fiskalizacije uslijed čega je korištenje OIB-a operatera razmjerno u smislu Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka).
