Ostatnio w ramach naszej praktyki spotkaliśmy się z pytaniem klienta, jak nadać dostęp do KSeF osobie fizycznej z zagranicy, która nie posiada polskiego numeru PESEL ani NIP. To częsta sytuacja w międzynarodowych grupach kapitałowych, które chcą upoważnić zagranicznego pracownika lub współpracownika do wystawiania lub odbierania faktur w ramach Krajowego Systemu e-Faktur. Sprawa okazała się bardziej złożona, niż mogłoby się wydawać – dlatego przygotowaliśmy kompleksowy przewodnik.
Jak działa proces nadawania uprawnień?
Uprawnienia do korzystania z KSeF – ich nadanie, zmiana lub odebranie – realizuje się za pośrednictwem oprogramowania interfejsowego (API) lub Aplikacji Podatnika KSeF udostępnionej przez Ministerstwo Finansów.
W procesie identyfikacji uczestniczą dwa podmioty:
- Podatnik nadający uprawnienia – identyfikowany zawsze za pomocą numeru NIP,
- Osoba otrzymująca uprawnienia – identyfikowana za pomocą jednego z trzech elementów:
- numeru PESEL,
- numeru NIP,
- lub odcisku kwalifikowanego podpisu elektronicznego (SHA‑256).
Kiedy wymagany jest podpis kwalifikowany?
Jeżeli osoba fizyczna nie posiada NIP ani PESEL, wówczas jedyną dostępną metodą uwierzytelnienia w KSeF jest kwalifikowany podpis elektroniczny.
Podpis taki musi być wydany przez certyfikowanego dostawcę usług zaufania, np.:
- Certum (Asseco),
- EuroCert,
- Sigillum (PWPW).
Czym jest odcisk SHA‑256?
Aby KSeF mógł rozpoznać kwalifikowany podpis danej osoby, konieczne jest przekazanie tzw. „odcisku palca” podpisu, czyli kryptograficznego skrótu SHA‑256 (ang. thumbprint). Ten 64-znakowy ciąg jednoznacznie identyfikuje dany certyfikat i osobę go posiadającą.
Jak uzyskać SHA‑256 podpisu kwalifikowanego?
Metoda 1 – przez system Windows:
- Otwórz plik certyfikatu (z rozszerzeniem .cer lub .crt).
- Przejdź do zakładki „Szczegóły”.
- Odszukaj pole „Odcisk (SHA‑256)” lub „Thumbprint (SHA‑256)”.
- Skopiuj wartość, usuwając wszystkie spacje i znaki specjalne – pozostaw czysty 64-znakowy ciąg.
Metoda 2 – za pomocą OpenSSL (dla użytkowników technicznych):
Użyj polecenia:
openssl x509 -in moj_cert.cer -noout -fingerprint -sha256
Podobnie jak wyżej należy usunąć znaki specjalne, aby otrzymać samą wartość SHA‑256.
Jak nadać uprawnienia w KSeF?
Opcja 1 – Formularz ZAW‑FA
Jeśli podatnik nie korzysta jeszcze z Aplikacji Podatnika KSeF, należy:
- Wypełnić formularz ZAW‑FA i złożyć go do właściwego urzędu skarbowego.
- W części D formularza wpisać:
- datę urodzenia osoby fizycznej,
- numer i serię dokumentu tożsamości + kraj wydania,
- odcisk SHA‑256 podpisu w polu D.1.1.1.
Po przetworzeniu zgłoszenia osoba fizyczna uzyska możliwość korzystania z KSeF.
Opcja 2 – Aplikacja Podatnika KSeF (online)
Jeśli podatnik ma już dostęp do systemu KSeF, możliwe jest nadanie uprawnień bez składania formularza:
- Zaloguj się do Aplikacji Podatnika.
- Wybierz: „Nadaj uprawnienie” → „Osoba posługująca się podpisem kwalifikowanym”.
- Ustaw identyfikator na „Brak”.
- Wprowadź dane:
- imię i nazwisko,
- data urodzenia,
- dokument tożsamości + kraj wydania,
- odcisk SHA‑256.
- Wybierz odpowiedni typ uprawnienia (np. do wystawiania i odbierania faktur) i zatwierdź.
Podsumowanie
W przypadku nadawania uprawnień do KSeF osobie fizycznej z zagranicy, która nie posiada numeru PESEL ani NIP, niezbędne jest wykorzystanie kwalifikowanego podpisu elektronicznego. Kluczowym elementem identyfikacji takiej osoby w systemie jest odcisk SHA‑256 certyfikatu kwalifikowanego (tzw. thumbprint).
Uprawnienia można nadać na dwa sposoby:
- Za pomocą formularza ZAW‑FA – poprzez jego złożenie do urzędu skarbowego.
- Online – przez Aplikację Podatnika KSeF – szybciej i bez potrzeby składania dokumentów papierowych.
W obu przypadkach konieczne jest poprawne przygotowanie danych identyfikacyjnych, w tym uzyskanie i przekazanie odcisku SHA‑256 certyfikatu.
