ANAF vrea să impună audit IT anual firmelor private care cer date fiscale despre clienți

Agenția Națională de Administrare Fiscală vrea să înlocuiască regulile din 2022 privind schimbul de informații fiscale cu firme private. Proiectul de ordin, publicat în transparență decizională la 11 septembrie, prevede condiții mai stricte pentru companiile care solicită frecvent date despre clienți sau parteneri, acestea vor trebui să justifice accesul prin activitatea lor și să treacă prin audituri IT periodice.

Sistemul nu ar permite firmelor să consulte liber date fiscale. Transmiterea informațiilor ar urma să aibă loc pe baza consimțământului expres al persoanei vizate. Proiectul stabilește mai clar ce tipuri de informații pot fi transmise și ce condiții trebuie să îndeplinească firmele pentru a încheia un protocol cu ANAF. 

Ce informații ar putea cere firmele

Proiectul prevede că persoanele juridice de drept privat care solicită frecvent informații acoperite de secretul fiscal ar putea încheia protocoale de colaborare cu ANAF. Activitatea firmei și codul CAEN principal ar trebui să justifice necesitatea informațiilor, iar acestea ar trebui cerute pentru soluționarea unor solicitări venite de la clienți sau parteneri.

Pentru persoanele fizice, ANAF ar putea transmite informații despre natura, sursa și cuantumul veniturilor din ultimii trei ani fiscali. Lista include venituri din salarii, pensii, cedarea folosinței bunurilor, investiții și alte venituri declarate. Pentru persoanele juridice, proiectul permite transmiterea datelor din situațiile financiare pentru ultimii trei ani și a certificatului de atestare fiscală.

Separat, pentru instituțiile de credit, proiectul prevede accesul la informații din declarațiile fiscale D100, D101 și D300 depuse de o firmă în ultimele 12 luni. Aceste date ar putea fi solicitate exclusiv pentru persoane juridice și numai pe baza acordului reprezentantului legal al companiei. Pentru anumite firme care oferă servicii privind conturile de plăți, proiectul include și informații despre existența unui cont curent declarat la o altă bancă din România.

Acordul ar trebui să fie valabil cinci zile lucrătoare

Pentru persoanele fizice și juridice care au cont SPV, consimțământul ar urma să fie transmis în format electronic prin Spațiul Privat Virtual. Proiectul stabilește o valabilitate de cinci zile lucrătoare pentru acordul unei persoane fizice, respectiv pentru cel dat de reprezentantul legal al unei companii. Pentru persoanele fizice fără cont SPV activ, acordul ar putea fi semnat olograf sau electronic.

Platforma ANAF ar verifica automat dacă acordul este încă valabil, dacă datele de identificare corespund solicitării și dacă au fost completate câmpurile obligatorii. Firma care primește informațiile ar rămâne responsabilă pentru modul în care le folosește. Proiectul cere, de asemenea, ca persoana vizată să știe ce date sunt consultate și în ce scop.

Audit extern și suspendarea accesului

Una dintre cele mai importante condiții propuse vizează securitatea sistemelor informatice. Firmele care cer acces ar trebui să demonstreze că au proceduri pentru păstrarea în siguranță a datelor și să prezinte un audit IT realizat de un auditor extern independent, ales din lista gestionată de Autoritatea pentru Digitalizarea României. Proiectul prevede un audit înainte de încheierea protocolului și verificări ulterioare anuale. Dovada implementării standardului ISO/IEC 27001:2023 ar putea ține locul auditului inițial.

Dacă firma nu depune raportul anual de audit până la termenul prevăzut, accesul la platformă ar urma să fie suspendat. Dacă nu se conformează nici după notificarea ANAF, protocolul ar putea fi reziliat.

Schimbarea propusă nu creează de la zero posibilitatea schimbului de date între ANAF și firme private. Un astfel de mecanism este reglementat din 2022 prin Ordinul ANAF nr. 146/2022, care urmează să fie abrogat dacă noul ordin va intra în vigoare. Proiectul aflat în transparență ar urma să înlocuiască acel cadru și să detalieze condițiile de acces, consimțământ și securitate.