Захист комерційної, банківської та персональної інформації
Захист комерційної, банківської та персональної інформації — це принцип концепту «Податки на долонях», за яким цифровізація податкового адміністрування не повинна перетворюватися на необмежений доступ держави, банків, посадових осіб або інших учасників системи до всієї інформації про господарську діяльність платника податків.
У межах концепту автоматична фіксація операцій, цифровий облік товарів, банківські платежі, електронні рахунки, накладні, договори, виробничі декларації, акцизні звіти, зарплатні відомості та інші елементи створюють великий масив чутливих даних. До таких даних можуть належати контрагенти, ціни, обсяги постачання, залишки товарів, умови договорів, структура виробництва, заробітна плата, банківські рахунки, платіжні операції, персональні дані фізичних осіб та інша інформація, яка має комерційну, банківську або персональну цінність. У розділі 3 дисертації цей принцип прямо визначено як тринадцятий принцип податкової конституції концепту.
Головна ідея цього принципу полягає в тому, що цифрова податкова система має обробляти дані для виконання конкретної функції, але не повинна автоматично відкривати всі дані всім учасникам. Тобто система може технічно бачити зв’язок між договором, рахунком, накладною, оплатою, товарним кодом і податковим зобов’язанням, але конкретна особа або орган повинні отримувати лише той обсяг інформації, який необхідний для виконання їхньої правової або функціональної ролі.
У концепті застосовується принцип функціональної необхідності доступу. Це означає, що кожен учасник системи має бачити не всю інформацію про платника, а тільки ту її частину, яка потрібна для конкретної дії:
| Учасник системи | Обсяг допустимого доступу |
| Контрагент | Документи та дані, що стосуються спільної господарської операції: договір, рахунок, накладна, оплата, товарна позиція, податковий стан саме цієї операції. |
| Банк | Інформація, необхідна для виконання платіжної операції та автоматичного розподілу податкової складової, але не весь зміст комерційної діяльності підприємства. |
| Підприємство | Власні документи, рахунки, операції, товарні залишки, податковий стан, борг, платежі, звіти та історія власної діяльності. |
| Фізична особа | Дані про власні доходи, сплачені податки, соціальні складові, автоматичну декларацію та персональний податковий профіль. |
| Державний орган | Лише той обсяг даних, який потрібен для виконання визначеної законом функції або наданий за належною правовою підставою. |
| Суд / уповноважений орган за рішенням суду | Обмежений доступ до конкретних даних у межах конкретної справи, строку, мети та правової підстави. |
Цей принцип особливо важливий тому, що концепт передбачає високий рівень цифровізації податково-господарських процесів. Чим більше операцій автоматично фіксується системою, тим важливішим стає питання: хто саме має право бачити ці дані, у якому обсязі, на якій підставі і з якою метою.
Автоматизація не повинна означати тотальну прозорість бізнесу для держави або інших учасників. У концепті прозорою має бути податкова логіка операції: коли виникла база, який податок нараховано, чи сплачено зобов’язання, чи є борг. Але це не означає, що будь-яка посадова особа повинна бачити всю комерційну історію підприємства, всі договори, всі ціни, всіх постачальників, усі рахунки та всі банківські операції без правової підстави.
Окреме значення має доступ державних органів до закритої інформації. У концепті такий доступ має бути правово обмеженим. Якщо йдеться про конфіденційні комерційні, банківські або персональні дані, доступ до них повинен надаватися лише у визначеному законом порядку, а в найбільш чутливих випадках — на підставі судового рішення. Такий доступ має бути обмежений за суб’єктом, обсягом, строком, метою і конкретною справою, у межах якої він надається.
Кожний факт доступу до закритої інформації має фіксуватися системою. Це означає, що система повинна зберігати інформацію про те:
- хто отримав доступ;
- до яких саме даних;
- на якій правовій підставі;
- у межах якої справи або процедури;
- у який час;
- на який строк;
- з якою метою.
Таким чином, цифрова система має контролювати не лише платника, а й саму державу, банки, посадових осіб та інших учасників інфраструктури. Це принципово важливо: якщо система створює сильний інструмент податкового обліку, вона одночасно повинна створювати сильний механізм захисту від зловживання доступом до інформації.
Захист комерційної інформації потрібен для того, щоб конкуренти, посадові особи або сторонні учасники не могли отримувати дані про ціни, постачальників, покупців, виробничі обсяги, залишки, маржинальність або договірні умови підприємства без належної підстави. Для бізнесу такі дані можуть мати стратегічну цінність, а їх неконтрольоване розкриття може завдати економічної шкоди.
Захист банківської інформації потрібен для того, щоб платіжні операції, рахунки, залишки коштів і фінансові взаємозв’язки не ставали відкритими для необмеженого кола осіб. Банк може виконувати технічну функцію платежу й автоматичного податкового розподілу, але це не означає, що він або інші учасники повинні бачити ширший зміст комерційної діяльності платника.
Захист персональної інформації потрібен для того, щоб дані фізичних осіб — заробітна плата, інші доходи, соціальні внески, податковий профіль, автоматична декларація, персональні ідентифікаційні дані — не використовувалися поза межами правової та функціональної необхідності.
Для концепту «Податки на долонях» цей принцип має системне значення. Без захисту інформації автоматичне податкове адміністрування може сприйматися бізнесом не як сервісна інфраструктура, а як механізм тотального контролю. Це знижуватиме довіру, посилюватиме опір системі та суперечитиме самій ідеї переходу від карально-перевірочної моделі до прозорої, зручної й правово визначеної цифрової податкової інфраструктури.
Водночас захист інформації не означає приховування податкових порушень. Якщо є обґрунтовані ознаки фіктивної операції, незаконного товарного руху, підміни кодів, ухилення, контрафакту або іншого порушення, держава повинна мати можливість отримати необхідні дані. Але таке отримання має відбуватися не довільно, а за процедурою: із визначеною підставою, межами доступу, фіксацією факту доступу і можливістю подальшого контролю за правомірністю дій посадових осіб.