Emiterea facturilor face parte din activitatea zilnică a oricărei firme sau PFA. Totuși, fiecare factură conține date cu caracter personal, iar acest lucru atrage obligații clare atât din perspectiva Regulamentului (UE) 2016/679 (GDPR), cât și a legislației fiscale din România.
Mulți antreprenori se întreabă ce informații au voie să includă pe factură, cât timp le păstrează, cum răspund la o cerere de ștergere sau ce măsuri de securitate trebuie să aplice.
Înțelegeți de ce facturarea intră sub incidența GDPR
Ori de câte ori emiteți o factură către o persoană fizică, prelucrați date personale: nume, prenume, adresă, uneori CNP sau serie CI. Chiar și în relația cu un PFA sau cu un reprezentant al unei firme, datele pot identifica direct o persoană fizică.
GDPR definește prelucrarea ca orice operațiune asupra datelor: colectare, stocare, transmitere, arhivare. Emiterea și păstrarea facturilor acoperă toate aceste operațiuni. Ca operator de date, aveți obligația să respectați principiile de bază:
- legalitate și transparență;
- minimizarea datelor;
- exactitate;
- limitarea perioadei de stocare;
- securitate adecvată.
Dacă utilizați un soft de facturare, furnizorul acționează ca persoană împuternicită și prelucrează datele în numele dumneavoastră. De aceea, relația contractuală trebuie să includă clauze clare privind protecția datelor.
Stabiliți corect ce date aveți voie să includeți pe factură
Codul Fiscal din România prevede elementele obligatorii ale unei facturi: număr și dată, datele furnizorului, datele clientului, descrierea produselor sau serviciilor, valoarea, TVA-ul și alte mențiuni specifice (acolo unde este cazul).
Pentru persoane fizice, nu trebuie să solicitați CNP sau serie CI decât dacă o dispoziție legală impune acest lucru. În majoritatea situațiilor uzuale, numele și adresa sunt suficiente pentru identificare fiscală.
Aplicați principiul minimizării datelor. Dacă, de exemplu, vindeți un serviciu online și livrarea se face electronic, nu este justificat să solicitați adresa completă de domiciliu, dacă legea nu o cere.
Evitați să colectați date precum număr de telefon sau email în scopuri de marketing fără un temei separat. Pentru facturare, temeiul legal îl reprezintă executarea contractului și obligația legală fiscală, nu consimțământul.
Clarificați temeiul legal pentru prelucrare
Pentru emiterea facturii nu aveți nevoie de acordul explicit al clientului. Prelucrarea se bazează pe:
- executarea contractului încheiat cu clientul;
- îndeplinirea unei obligații legale prevăzute de Codul Fiscal.
Consimțământul devine relevant doar dacă doriți să folosiți datele pentru alte scopuri, cum ar fi trimiterea de newslettere sau oferte comerciale. Nu condiționați emiterea facturii de acceptarea comunicărilor de marketing.
Dacă folosiți un program de facturare online pentru IMM-uri, verificați în documentația oficială a furnizorului cum sunt definite rolurile și responsabilitățile privind protecția datelor. Asigurați-vă că datele sunt prelucrate exclusiv conform instrucțiunilor dumneavoastră și că există un acord de prelucrare a datelor (DPA).
Respectați termenul legal de arhivare
Legislația fiscală română impune păstrarea facturilor timp de 10 ani de la închiderea exercițiului financiar la care se referă. Acest termen justifică stocarea datelor personale incluse în facturi, chiar dacă persoana vizată solicită ștergerea lor.
Dreptul la ștergere nu se aplică în măsura în care datele trebuie păstrate pentru respectarea unei obligații legale. Totuși, dacă ați colectat informații suplimentare (de exemplu, pentru marketing), acestea trebuie șterse la retragerea consimțământului.
Pentru rezultate stabile, definiți intern o politică de retenție a datelor care să includă:
- tipurile de documente;
- termenul legal aplicabil fiecăruia;
- modul de arhivare (electronic sau fizic);
- procedura de ștergere sau anonimizare după expirarea termenului.
Răspundeți corect solicitărilor persoanelor vizate
Clienții au drepturi clare în temeiul GDPR. În procesul de facturare, cele mai frecvente sunt:
- dreptul de acces – pot solicita o copie a datelor sau a facturilor;
- dreptul la rectificare – pot cere corectarea datelor eronate;
- dreptul la restricționare – în anumite situații limitate.
Dacă un client observă o greșeală pe factură, nu modificați documentul inițial. Procedați la stornare și reemitere, conform regulilor fiscale. Astfel păstrați trasabilitatea și respectați cerințele contabile.
Răspundeți solicitărilor în termen de cel mult o lună și documentați intern modul în care ați gestionat cererea. Această evidență vă ajută în cazul unui control din partea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
Implementați măsuri tehnice și organizatorice adecvate
Protecția datelor nu se rezumă la documente și politici interne. Aveți nevoie de măsuri concrete de securitate, mai ales dacă utilizați facturarea electronică sau sistemul național RO e-Factura.
Aplicați cel puțin următoarele măsuri:
- Folosiți parole complexe și activați autentificarea cu doi factori acolo unde este disponibilă.
- Limitați accesul la aplicația de facturare doar la angajații care au atribuții în acest sens.
- Efectuați backup-uri regulate și păstrați copiile în medii securizate.
- Actualizați constant sistemele informatice și soluțiile antivirus.
- Verificați atent adresa destinatarului înainte de a trimite factura prin email.
O simplă trimitere a facturii către un destinatar greșit poate constitui o breșă de securitate. Dacă incidentul generează un risc pentru persoanele vizate, trebuie să notificați ANSPDCP în termen de 72 de ore de la constatare și, dacă este cazul, persoanele afectate.
Gestionați corect relația cu furnizorul de soft
Dacă externalizați facturarea către un furnizor de soluții software, rămâneți responsabil pentru modul în care sunt protejate datele. De aceea:
- încheiați un acord de prelucrare a datelor;
- verificați măsurile tehnice declarate (criptare, politici de acces, backup);
- analizați dacă datele sunt stocate în UE sau în afara UE și în ce condiții.
Consultați informațiile publicate pe site-ul oficial al furnizorului pentru a înțelege standardele aplicate și actualizați periodic analiza de conformitate. Dacă încetați colaborarea, solicitați returnarea sau ștergerea datelor, conform contractului.
Checklist rapid pentru verificarea conformității
Pentru o autoevaluare eficientă, parcurgeți următoarele întrebări:
- Colectați doar datele impuse de Codul Fiscal pentru tipul de client vizat?
- Ați informat clienții, printr-o notă GDPR, despre scopul și durata prelucrării?
- Aveți definit un termen de arhivare de 10 ani pentru facturi și îl aplicați consecvent?
- Există un acord de prelucrare a datelor cu furnizorul software?
- Puteți demonstra măsurile tehnice de securitate implementate?
- Aveți o procedură scrisă pentru gestionarea solicitărilor și a breșelor de securitate?
Dacă răspundeți afirmativ la aceste întrebări, procesul dumneavoastră de facturare se aliniază, în linii generale, cerințelor GDPR și legislației române. Pentru situații complexe sau modificări legislative, consultați un specialist în protecția datelor sau un consultant fiscal. Articolul are scop informativ și nu înlocuiește analiza juridică adaptată fiecărui caz concret.