Przechowywanie dokumentacji spółki w chmurze – aspekty prawne

Jedna nieprawidłowo zabezpieczona baza dokumentów potrafi narazić spółkę nie tylko na utratę poufnych informacji, ale również na odpowiedzialność wynikającą z przepisów prawa. Coraz więcej przedsiębiorców przenosi firmową dokumentację do chmury, jednak niewielu zdaje sobie sprawę, że o zgodności z przepisami nie decyduje sam wybór nowoczesnej technologii, lecz sposób jej wdrożenia i zabezpieczenia. Przechowywanie dokumentacji spółki w chmurze wiąże się z konkretnymi obowiązkami wynikającymi z ustawy o rachunkowości, RODO oraz przepisów podatkowych. Poznaj najważniejsze aspekty prawne, które warto zweryfikować, zanim powierzysz firmowe dokumenty zewnętrznemu dostawcy usług chmurowych.

Czy przechowywanie dokumentacji spółki w chmurze jest zgodne z obowiązującymi przepisami prawa?

Jeżeli planujesz przechowywanie dokumentacji spółki w chmurze, warto wiedzieć, że polskie przepisy dopuszczają takie rozwiązanie, jednak uzależniają jego legalność od spełnienia konkretnych wymagań organizacyjnych i technicznych. Podstawowe znaczenie mają przepisy ustawy o rachunkowości, Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), Ordynacji podatkowej oraz regulacje dotyczące prowadzenia dokumentacji elektronicznej. Sam wybór usługi chmurowej nie wystarcza do spełnienia obowiązków ustawowych. Musisz zadbać o to, aby dokumenty zachowały autentyczność pochodzenia, integralność treści, czytelność oraz dostępność przez cały wymagany okres archiwizacji. Dokumentacja powinna być zabezpieczona przed przypadkowym usunięciem, nieuprawnioną zmianą, zniszczeniem oraz utratą wskutek awarii systemów informatycznych.

Jakie obowiązki nakłada ustawa o rachunkowości na przedsiębiorców korzystających z chmury?

Jeżeli zamierzasz prowadzić dokumentację w postaci elektronicznej, powinieneś zwrócić szczególną uwagę na przepisy ustawy o rachunkowości. Regulacje te dopuszczają elektroniczne prowadzenie ksiąg rachunkowych oraz archiwizację dokumentów przy wykorzystaniu systemów informatycznych, jednak wymagają zachowania określonych standardów bezpieczeństwa. Przechowywanie dokumentacji spółki w chmurze powinno zapewniać trwałość zapisów, możliwość identyfikacji dokumentów, ochronę przed nieuprawnioną ingerencją oraz możliwość ich odczytu przez cały okres archiwizacji.

Księgi rachunkowe, dowody księgowe, sprawozdania finansowe czy dokumentacja inwentaryzacyjna muszą pozostawać kompletne i możliwe do przedstawienia organom kontrolnym bez względu na upływ czasu. Ustawa dopuszcza także przechowywanie dokumentacji poza siedzibą spółki, również na serwerach profesjonalnego dostawcy usług chmurowych. Nie zwalnia Cię to jednak z odpowiedzialności za prawidłową organizację procesu archiwizacji. Odpowiedzialność za zgodność dokumentacji z przepisami nadal ponosi kierownik jednostki lub zarząd spółki, nawet jeżeli infrastruktura IT została powierzona wyspecjalizowanemu operatorowi.

Jakie wymagania powinien spełniać system wykorzystywany do przechowywania dokumentacji spółki w chmurze?

Wybór platformy chmurowej nie powinien opierać się wyłącznie na cenie abonamentu czy wielkości dostępnej przestrzeni dyskowej. Znacznie ważniejsze pozostaje sprawdzenie, czy dostawca spełnia wymagania wynikające z przepisów prawa oraz standardów bezpieczeństwa informacji. Decydując się na przechowywanie dokumentacji spółki w chmurze, zwróć uwagę przede wszystkim na następujące elementy:

• szyfrowanie danych podczas przesyłania oraz przechowywania na serwerach,
• uwierzytelnianie wieloskładnikowe (MFA) zabezpieczające dostęp użytkowników,
• automatyczne wykonywanie kopii zapasowych oraz możliwość szybkiego odtworzenia danych,
• wersjonowanie dokumentów, umożliwiające przywrócenie wcześniejszych wersji plików,
• rejestrowanie operacji wykonywanych na dokumentacji, dzięki czemu można ustalić historię zmian,
• zarządzanie uprawnieniami użytkowników, ograniczające dostęp wyłącznie do osób upoważnionych,
• lokalizację centrów danych, szczególnie wtedy, gdy informacje mają być przechowywane poza Europejskim Obszarem Gospodarczym,
• procedury eksportu danych, umożliwiające przeniesienie dokumentacji do innego systemu po zakończeniu współpracy z operatorem.

Każdy z tych elementów wpływa na zgodność całego procesu z obowiązującymi przepisami oraz ogranicza ryzyko utraty dokumentów lub naruszenia poufności informacji.

Dlaczego RODO ma kluczowe znaczenie podczas przechowywania dokumentacji spółki w chmurze?

Znaczna część dokumentacji przedsiębiorstwa zawiera dane osobowe pracowników, kandydatów do pracy, kontrahentów, klientów, członków zarządu czy wspólników. Z tego względu przechowywanie dokumentacji spółki w chmurze podlega wymaganiom określonym przez RODO. Korzystanie z infrastruktury zewnętrznego operatora nie powoduje przeniesienia odpowiedzialności za zgodność przetwarzania danych. Nadal odpowiadasz za wybór dostawcy gwarantującego odpowiedni poziom ochrony informacji oraz za wdrożenie środków technicznych i organizacyjnych odpowiadających poziomowi ryzyka.

Niezbędne pozostaje zawarcie umowy powierzenia przetwarzania danych osobowych, określającej zakres obowiązków operatora chmurowego oraz zasady zabezpieczenia powierzonych informacji. Warto również sprawdzić, gdzie znajdują się centra danych dostawcy. Jeżeli dane są przekazywane poza Europejski Obszar Gospodarczy, transfer musi odbywać się zgodnie z mechanizmami przewidzianymi przez RODO, między innymi przy wykorzystaniu standardowych klauzul umownych lub decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony.

Jak długo należy przechowywać dokumentację spółki i kto odpowiada za jej prawidłową archiwizację?

Przeniesienie dokumentacji do środowiska chmurowego nie zmienia terminów archiwizacji wynikających z obowiązujących przepisów. Jeżeli korzystasz z elektronicznego archiwum, nadal musisz przestrzegać okresów przechowywania określonych przez ustawę o rachunkowości, przepisy podatkowe oraz regulacje prawa pracy. Księgi rachunkowe, dowody księgowe oraz większość dokumentów finansowych przechowuje się przez co najmniej pięć lat, licząc od początku roku następującego po roku obrotowym, którego dotyczą. Dokumentacja pracownicza podlega odrębnym zasadom i – zależnie od daty nawiązania stosunku pracy oraz spełnienia ustawowych warunków – powinna być przechowywana przez 10 albo 50 lat. Obowiązki archiwizacyjne obejmują również dokumentację korporacyjną, podatkową oraz dokumenty wymagane podczas ewentualnych postępowań sądowych. Za prawidłowe przechowywanie dokumentacji spółki w chmurze odpowiada zarząd lub kierownik jednostki, nawet jeżeli cała infrastruktura znajduje się pod opieką zewnętrznego operatora.