GDPR за счетоводни кантори засяга почти всяка ежедневна задача: получаване на трудови договори, изготвяне на ведомости, обработване на болнични листове и изпращане на справки до клиенти. Ако си самостоятелен счетоводител или управляваш счетоводна къща, работиш с информация за хора, дори когато всичките ти клиенти са фирми.

За да уредиш защитата на личните данни и отношенията с клиентите, трябва да свържеш три неща: GDPR документите за дейността, политиките на сайта и договора за счетоводно обслужване. Тук ще намериш какво покрива всяко от тях и как да го приложиш на практика.

Какво ще намериш в статията

Прилага ли се GDPR за счетоводители и малки счетоводни кантори?

Да. Малкият екип, работата от дома и липсата на собствен сайт не освобождават счетоводителя от правилата за защита на личните данни. Основната уредба е в Регламент (ЕС) 2016/679 — GDPR, допълнен в България от Закона за защита на личните данни.

При счетоводното обслужване лични данни могат да бъдат:

Болничните листове и решенията на ТЕЛК могат да съдържат здравни данни, за които се прилагат допълнителните условия на чл. 9 GDPR. ЕГН и размерът на заплатата сами по себе си не са специални категории данни по този член, но също изискват защита според риска.

Счетоводната кантора администратор ли е, или обработващ лични данни?

Една кантора може да има различна роля за различните дейности. Определящо е кой решава защо и по какъв съществен начин се обработват данните.

Това разграничение е илюстрирано с примери за ТРЗ и одиторски услуги в Насоки 07/2020 на Европейския комитет по защита на данните. Ролята се определя според реалната дейност; самото наименование в договора не е достатъчно.

Практическа стъпка: опиши отделно ТРЗ, текущото счетоводство, собственото фактуриране и запитванията през сайта. За всяка дейност установи ролята, основанието и отговорностите.

Какви GDPR документи са необходими на счетоводна кантора?

Пакетът трябва да отразява действителната ти работа: услугите, хората с достъп до данните, софтуера, външните доставчици и архивите. Обикновено подготовката включва:

Не е нужно всяко правило да бъде в отделен файл. Важното е изискванията да са покрити, отговорностите да са ясни и екипът да прилага описаното.

Ако ти е необходим пакет, съобразен с процесите в кантората, разгледай услугата ни за изготвяне на GDPR документи и защита на личните данни.

Какво трябва да съдържа договорът по чл. 28 GDPR?

Когато обработваш лични данни от името на клиент, отношенията трябва да са уредени с обвързващ писмен договор, включително в електронна форма. Това може да е приложение към договора за счетоводно обслужване.

Съгласно чл. 28 от GDPR трябва да бъдат уредени:

Опиши конкретно използвания облачен софтуер, каналите за обмен и реакцията при инцидент. Едно изречение „страните спазват GDPR“ или обща декларация за конфиденциалност не уреждат всички тези въпроси.

Как да защитиш данните в ежедневната счетоводна работа?

Започни от местата, през които действително преминават документите: служебна поща, счетоводен софтуер, споделени папки, лаптопи и хартиен архив.

Това са практически мерки, които се избират според риска. Подобен подход е описан в ръководството на ЕКЗД за сигурност на личните данни.

При облачен счетоводен софтуер провери още кой обработва данните, какви договорни гаранции предоставя и дали има предаване извън Европейското икономическо пространство. Ако използваш AI инструмент за разчитане на фактури, включи и него в проверката, преди да качваш клиентски документи.

Колко време се съхраняват счетоводните документи?

Няма един срок за всички документи. Например чл. 12 от Закона за счетоводството предвижда 50 години за ведомостите за заплати и 10 години за счетоводните регистри и финансовите отчети, включително посочените в закона документи за контрол и одит. Сроковете започват от 1 януари на отчетния период, следващ периода, за който се отнасят документите.

За останалите категории се проверяват съответните счетоводни, данъчни и други приложими правила. В договора уточни кой пази оригиналите и как се предават при смяна на счетоводителя. Задължението на клиента да съхранява документ не означава автоматично, че кантората трябва да пази всички негови копия за същия срок.

Какво правиш, ако изпратиш ведомост на грешен получател?

Ограничи достъпа, потърси съдействие за изтриване и документирай случая. Ако си обработващ, уведоми клиента администратор без ненужно забавяне. Администраторът уведомява компетентния надзорен орган (в България — КЗЛД) без ненужно забавяне и, когато е осъществимо, до 72 часа от узнаването, освен ако е малко вероятно нарушението да породи риск за правата и свободите на хората.

При вероятен висок риск по правило се информират и засегнатите лица. Нарушението и оценката се документират и когато уведомяване на органа не е необходимо. Разграничението е обяснено в насоките на ЕКЗД за нарушения на сигурността.

Общи условия и политики за сайта на счетоводна кантора

Документите за сайта зависят от функциите му. Представителна страница с форма за контакт, платена онлайн консултация и клиентски портал за качване на документи създават различни отношения.

Политика за поверителност и форма за контакт

Информацията трябва да обяснява кой обработва данните, за какви цели и на какви основания, получателите, сроковете или критериите за съхранение, приложимите права и подаването на жалба. Описват се и предаванията извън ЕИП и автоматизираните решения, когато са приложими. При самата форма постави достъпен линк към политиката.

Тези изисквания за прозрачност са разгледани в ръководството на ЕКЗД за правата на физическите лица.

Не е необходимо всяко запитване да се основава на съгласие. В зависимост от случая основанието може да е предприемане на стъпки преди договор с физическото лице или легитимен интерес при комуникация с представител на фирма. Приемането на общи условия, информирането за личните данни и съгласието за маркетинг имат различни функции. Съгласието за маркетинг трябва да е отделно и доброволно, когато се използва това основание. Виж обясненията на ЕКЗД за правните основания.

Политика за бисквитки и реален избор

Провери какво действително зарежда сайтът: аналитични инструменти, рекламни пиксели, чат или вградено съдържание. За бисквитките, които изискват съгласие, то трябва да бъде получено преди използването им. Осигури ясен начин за отказ и последващо оттегляне. Само банер „Използваме бисквитки“ не изпълнява тази задача.

За строго необходимите бисквитки има изключение от изискването за съгласие, описано в официалното европейско ръководство за бисквитките. Правилата обхващат и сходни технологии за достъп до информация в устройството.

Кога са нужни общи условия?

При онлайн поръчки, платени консултации, абонаменти или клиентски профили общите условия могат да уредят заявяването, сключването на договора, плащането и използването на услугата. Приложимите изисквания включват информация за доставчика и възможност договорното съдържание да бъде съхранено и възпроизведено — виж Закона за електронната търговия.

Ако сайтът само представя кантората и приема запитвания, прецени документите според този модел. Наличието на сайт само по себе си не означава, че трябва да копираш общи условия на онлайн магазин.

За текстове, съобразени с функциите на твоя сайт, виж услугата ни за общи условия и политики за сайт.

Какво да уредят общите условия за счетоводни услуги?

Добрият договор за счетоводно обслужване дава конкретни отговори още преди първата пропусната фактура или забавено плащане. Общите условия могат да съдържат правилата, които прилагаш към множество клиенти, а индивидуалният договор — конкретния обхват и цена.

  1. Включени услуги. Разграничи текущо счетоводство, ТРЗ, годишно приключване, консултации и съдействие при проверки.
  2. Срокове за документи. Уточни до кога и по какъв канал клиентът предоставя информация, как се установяват липси и как се процедира при закъснение.
  3. Цена и допълнителна работа. Посочи как се отразяват повече документи, нови служители, корекции за минали периоди и извънредни задачи.
  4. Одобрения и представителство. Определи кой възлага и потвърждава действия, както и необходимите пълномощни и достъпи.
  5. Плащане и отговорност. Уреди падежите и последиците при неизпълнение в допустимите от закона граници.
  6. Прекратяване и предаване. Опиши предизвестието, текущите задачи, връщането на архиви, файловите формати и закриването на достъпи.

Пример: ако пакетът включва ТРЗ за петима служители, посочи как се променя цената при назначаване на шести. Ако документите се предоставят със закъснение, уреди уведомяването и допълнителната работа. Договорният срок за клиента не променя законовия срок за подаване на декларации.

Уреди предоставянето и приемането на приложимата версия на общите условия. При електронно възлагане съхранявай доказателства за това. Само публикуването на текст във футъра не решава всички въпроси по обвързването на клиента.

Ако вече използваш договор, можеш да заявиш преглед на договор от адвокат, включително на клаузите за обхват, отговорност, прекратяване и лични данни.

Има ли разлика между фирмени клиенти и потребители?

Да. Физическо лице, което възлага услуга извън своята търговска или професионална дейност, може да има качеството потребител. Пример е съдействие за лична данъчна декларация за доходи от наем извън професионална дейност.

При договор от разстояние за услуга по правило има 14-дневен срок за отказ от сключването. Започването на работа преди изтичането му и загубата на правото след пълно изпълнение изискват спазване на конкретните условия на Закона за защита на потребителите. Обща клауза „платени суми не се връщат“ не отменя законовите права.

Практически списък за проверка на счетоводна кантора

Използвай следните въпроси, за да откриеш какво остава за уреждане:

Често задавани въпроси за GDPR и счетоводните кантори

Достатъчна ли е декларация за съгласие от клиента?

Не. Тя не заменя определянето на правилното основание, мерките за сигурност или договора по чл. 28, когато е необходим. Клиентската фирма не може с обща декларация да даде съгласие вместо всички свои служители за всяко обработване.

Трябва ли малка счетоводна кантора да води регистри по GDPR?

Малкият брой служители не е достатъчно основание за освобождаване. Изключението по чл. 30, пар. 5 има допълнителни условия, включително относно редовността, риска и категориите данни. Ежемесечната обработка на заплати е пример за редовна дейност. Виж позицията относно изключенията от водене на регистри, публикувана от КЗЛД.

Задължително ли е длъжностно лице по защита на данните?

Не за всяка кантора. Задължението зависи от критериите на чл. 37 GDPR, включително дали основните дейности представляват мащабно обработване на специални категории данни или мащабно редовно и систематично наблюдение. Самото наличие на ЕГН или отделни болнични листове не решава въпроса. Провери критериите за определяне на длъжностно лице спрямо конкретната дейност.

Мога ли да използвам готов образец на GDPR документи?

Образецът може да е отправна точка. Той обаче трябва да се адаптира към услугите, софтуера, доставчиците, архивите и действителните мерки за сигурност. Ако документът обещава нещо, което кантората не прави, самото му подписване не създава съответствие.

Нужна ли е политика за поверителност, ако сайтът няма онлайн плащане?

Липсата на плащане не премахва задълженията за информиране при обработване на лични данни. Форма за запитване, записване за консултация или бюлетин също може да събира такива данни.

Подготви документите според работата на твоята кантора

Преди да заявиш изготвяне или преглед на документите, подготви списък на услугите, използвания софтуер, външните доставчици и начините за обмен на файлове. Добави договора с клиентите и адреса на сайта. Така могат да се установят конкретните пропуски и необходимите промени.

В Advokatami.bg можеш да направиш запитване за GDPR документи за счетоводна кантора и за общи условия и политики за счетоводен сайт. Опиши дали работиш самостоятелно или с екип, извършваш ли ТРЗ и как приемаш нови клиенти, за да се уточни подходящият обхват на услугата.