Marek Maik

🚨 KSeF: mam dowody, że zagraniczna firma może czytać moje faktury. Szukam prawników, którzy pomogą mi pozwać państwo‼️ Proszę o pomoc w jak najszerszym rozpropagowaniu tego mojego apelu‼️ Czas powiedzieć temu państwu z tektury: sprawdzam‼️ Państwo zmusza mnie do przekazywania faktur do KSeF. Na tych fakturach są moje dane osobowe, dane moich kontrahentów, ceny, warunki transakcji i informacje o mojej działalności gospodarczej. Państwo zapewnia, że to wszystko jest bezpieczne i objęte tajemnicą skarbową. A ja mam dowody techniczne, że zagraniczna firma ma dostęp do jawnej treści faktur pobieranych z tego systemu. Nie piszę o domysłach dotyczących przechwytywania szyfrowanej transmisji. Produkcyjne API KSeF jest obsługiwane przez bramkę WAF firmy Imperva, należącej do francuskiej grupy Thales, z zapleczem analitycznym również w Izraelu. Na bramce następuje terminacja TLS. Tymczasem udokumentowany przez samo Ministerstwo Finansów interfejs 'GET /invoices/ksef/{ksefNumber}' zwraca pełną fakturę w postaci XML. Odpowiedź nie jest dodatkowo szyfrowana na poziomie aplikacji. To znaczy, że operator bramki ma techniczną możliwość odczytania pełnej treści pobieranej faktury. I tego dotyczą moje pomiary oraz analiza architektury, opublikowane we wpisie: „Bezpieczeństwo KSeF — kto może czytać faktury polskich firm?”. To nie dowodzi, że ktoś te faktury kradnie albo przekazuje obcemu wywiadowi. Dowodzi czegoś wystarczająco poważnego, by uruchomić kontrolę prawną: polskie państwo zorganizowało przetwarzanie objętych tajemnicą danych w sposób, który daje zagranicznemu operatorowi dostęp techniczny do ich jawnej treści. Legalność, zakres i zabezpieczenia tego dostępu należy teraz sprawdzić w postępowaniach, w których urzędnicy muszą odpowiadać na podstawie prawa. Jestem informatykiem, ale także przedsiębiorcą prowadzącym jednoosobową działalność gospodarczą. Moje dane osobowe rzeczywiście trafiają do KSeF. Nie zamierzam więc występować wyłącznie jako bloger krytykujący system. Zamierzam wystąpić we własnym imieniu, jako obywatel i podatnik, którego dane są przetwarzane. Poniżej przedstawiam możliwe drogi prawne. Zapraszam kancelarie, organizacje przedsiębiorców, stowarzyszenia i partie polityczne do pomocy w ich wykorzystaniu. 1⃣. Żądanie na podstawie RODO: ujawnijcie odbiorców moich danych Pierwszym krokiem powinno być wystąpienie do Szefa Krajowej Administracji Skarbowej, jako administratora danych, na podstawie art. 15 RODO. Nie zamierzam pytać urzędników, czy według nich system jest bezpieczny. Przedstawię dowody dotyczące działania bramki Impervy i zażądam wykonania przysługującego mi prawa dostępu do informacji o przetwarzaniu moich danych. W takim piśmie chcę zażądać wskazania z nazwy wszystkich podmiotów, którym ujawnia się moje dane osobowe z KSeF, w tym dostawców infrastruktury i ich podwykonawców, określenia zakresu udostępnianych im danych, ujawnienia odbiorców spoza Europejskiego Obszaru Gospodarczego, jeśli tacy występują, oraz informacji o podstawach i zabezpieczeniach takich transferów. Zażądam również informacji o datach i celach operacji odczytu dotyczących moich danych, w zakresie przewidzianym prawem. Mam ku temu silną podstawę w orzecznictwie TSUE. W wyroku C-154/21 Trybunał wskazał, że osoba, której dane dotyczą, ma co do zasady prawo poznać konkretnych odbiorców, nie tylko ich ogólne kategorie. W wyroku C-579/21 uznał, że prawo dostępu obejmuje również informacje o datach i celach operacji przeglądania danych. Uprawnienia te nie są bezwzględne — przepisy dopuszczają określone ograniczenia — ale ograniczenie też musi mieć podstawę prawną. 2⃣. Wniosek o informację publiczną: pokażcie dokumenty Równocześnie wystąpię do Ministerstwa Finansów na podstawie ustawy o dostępie do informacji publicznej. Tym razem nie o komentarze prasowe, lecz o istniejące dokumenty: umowy regulujące obsługę bramki WAF, zakres uprawnień dostawców i podwykonawców, istniejące analizy ryzyka, ustalenia dotyczące terminacji TLS oraz wyniki audytów bezpieczeństwa — w zakresie, w jakim mogą podlegać udostępnieniu. Jeżeli infrastruktura jest obsługiwana przez pośredników, żądanie powinno obejmować także dokumenty dotyczące łańcucha podwykonawców. Nie zakładam, że MF ma umowę podpisaną bezpośrednio z Impervą. Chcę ustalić, kto, komu i na jakiej podstawie przyznał możliwość przetwarzania jawnych danych z KSeF. Ustawa przewiduje zasadniczo 14 dni na odpowiedź, możliwość prawidłowo uzasadnionego przedłużenia terminu, a w razie odmowy — decyzję administracyjną. Bezczynność lub odmowę można poddać kontroli sądu administracyjnego. To ważne: zamiast kolejnego komunikatu rzecznika prasowego otrzymujemy procedurę, w której można doprowadzić do rozstrzygnięcia prawnego. 3⃣. Skarga do Prezesa UODO: niech zbada to organ kontrolny Jeśli Szef KAS odmówi dostępu do należnych mi informacji, udzieli odpowiedzi niepełnej albo z materiałów wyniknie podejrzenie naruszenia RODO, złożę skargę do Prezesa Urzędu Ochrony Danych Osobowych. Wskażę zwłaszcza art. 5, 28 i 32 RODO oraz — jeżeli znajdą zastosowanie — przepisy o przekazywaniu danych poza EOG. Chodzi o ustalenie, czy podmiot mający dostęp techniczny do moich danych działa w prawidłowym reżimie prawnym, pod rzeczywistą kontrolą administratora i z odpowiednimi zabezpieczeniami. UODO może badać dokumentację i praktyki, do których ja jako prywatny przedsiębiorca nie mam dostępu. Jego rozstrzygnięcia mogą być następnie kontrolowane przez sąd administracyjny. 4⃣. Wniosek do NIK: kto dopuścił do takiej architektury? Najwyższą Izbę Kontroli można zawiadomić o ryzyku dotyczącym całego systemu. Wniosek o kontrolę powinien objąć gospodarność i legalność wyboru dostawców, ochronę tajemnicy skarbowej, nadzór nad podwykonawcami, ryzyka zależności od zagranicznej infrastruktury oraz rzetelność rejestrowania dostępu do faktur. NIK nie ma obowiązku wszcząć kontroli na moje żądanie, ale taki wniosek może stać się podstawą działań kontrolnych. 5⃣. Rzecznik MŚP i Rzecznik Praw Obywatelskich Jako przedsiębiorca mogę zwrócić się do Rzecznika Małych i Średnich Przedsiębiorców o interwencję w sprawie systemowego zagrożenia tajemnic handlowych. Do Rzecznika Praw Obywatelskich skierowałbym wystąpienie dotyczące ochrony prywatności i informacji o osobach fizycznych na podstawie art. 47 i 51 Konstytucji. To nie są organy, którym mogę rozkazać wszcząć sprawę. Mogę jednak przedstawić im udokumentowane naruszenie zaufania obywatela do państwa i wystąpić o użycie ich ustawowych kompetencji. 6⃣. Prokuratura: jeżeli z dokumentów wyniknie podejrzenie przestępstwa W grę może wejść zawiadomienie dotyczące naruszenia tajemnicy skarbowej, ujawnienia informacji chronionych albo niedopełnienia obowiązków przez funkcjonariuszy publicznych. Należałoby rozważyć m. in. art. 306 Ordynacji podatkowej i art. 231 lub 266 Kodeksu karnego. Nie będę jednak zastępował dowodów karnych retoryką. Sam techniczny dostęp nie przesądza o popełnieniu konkretnego przestępstwa. Po to chcę uzyskać dokumenty i ustalenia organów kontrolnych, aby sprawdzić, czy zachodzą podstawy do zawiadomienia prokuratury. 7⃣. Pozew cywilny i sądy administracyjne Jeżeli zostanie wykazane bezprawne przetwarzanie moich danych lub naruszenie moich praw, możliwa jest też droga przed sądem powszechnym, w tym dochodzenie ochrony na podstawie RODO, a w razie powstania i wykazania szkody — odpowiednich roszczeń odszkodowawczych. Samo naruszenie RODO nie daje automatycznie pieniędzy. Osobną, praktyczniejszą na początek drogą jest zaskarżanie odmów i bezczynności organów oraz decyzji UODO do sądów administracyjnych. 8⃣. Komisja Europejska, a w dalszej perspektywie — odpowiedzialność konstytucyjna Jeżeli krajowe postępowania ujawnią problem systemowy z przestrzeganiem RODO, można skierować skargę do Komisji Europejskiej na praktykę państwa członkowskiego. Można również zainteresować sprawą posłów i Prezydenta RP pod kątem odpowiedzialności konstytucyjnej ministrów przed Trybunałem Stanu. Tego ostatniego postępowania nie może jednak samodzielnie wszcząć zwykły obywatel. Potrzebna jest inicjatywa uprawnionych podmiotów i odpowiednia większość parlamentarna. 🔘 Od czego chcę zacząć? Proponuję rozpocząć od dwóch równoległych pism. Pierwsze będzie realizacją mojego prawa z art. 15 RODO. Drugie — wnioskiem o udostępnienie dokumentów na podstawie ustawy o dostępie do informacji publicznej. W obu przedstawię swoje ustalenia jako materiał dowodowy. To nie mają być listy z grzecznymi pytaniami, czy wszystko jest w porządku. Mają to być formalne żądania wykonania obowiązków wynikających z prawa. 🔘 Rdzeń pierwszego pisma proponuję sformułować tak: Jako osoba fizyczna prowadząca jednoosobową działalność gospodarczą, której dane osobowe znajdują się w fakturach przetwarzanych przez KSeF, oświadczam, że dysponuję dokumentacją techniczną wskazującą, iż produkcyjne API KSeF korzysta z bramki WAF firmy Imperva, na której następuje terminacja TLS, a pełne treści pojedynczych faktur są przesyłane w odpowiedziach API w postaci XML nieobjętej dodatkowym szyfrowaniem aplikacyjnym. Oznacza to techniczną możliwość zapoznawania się przez operatora tej bramki również z moimi danymi osobowymi. Na podstawie art. 15 RODO żądam wykonania prawa dostępu do moich danych i udzielenia przewidzianych tym przepisem informacji, w szczególności wskazania konkretnych odbiorców moich danych, zakresu ich ujawniania, informacji o ewentualnych transferach poza EOG oraz danych o datach i celach operacji dostępu. Powołuję się również na wykładnię art. 15 RODO dokonaną przez TSUE w sprawach C-154/21 i C-579/21. Wnoszę o rozpatrzenie żądania w ustawowym terminie oraz o wskazanie szczegółowej podstawy prawnej każdego zastosowanego ograniczenia prawa dostępu. Nie zamierzam wykazywać, że Imperva na pewno ukradła moje faktury. Nie mam takich dowodów i tego nie twierdzę. Mam dowody, że państwo zorganizowało system w sposób dający zagranicznemu operatorowi bramki możliwość czytania ich jawnej treści. Teraz chcę sprawdzić, kto udzielił tego dostępu, jakie gwarancje rzeczywiście obowiązują i czy są one zgodne z prawem. 🔘 Szukam prawników do współpracy! Nie jestem prawnikiem. Jestem informatykiem i przedsiębiorcą. Potrafię analizować protokoły, architekturę i dokumentację API. Potrafię też przedstawić powtarzalne pomiary. Potrzebuję ludzi, którzy podobnie sprawnie poruszają się w RODO, prawie podatkowym, administracyjnym, konstytucyjnym i karnym. Zapraszam do współpracy kancelarie prawne, stowarzyszenia, organizacje przedsiębiorców, fundacje zajmujące się wolnościami obywatelskimi oraz partie polityczne, które dysponują prawnikami gotowymi zmierzyć się z tą sprawą. Nie szukam deklaracji poparcia. Szukam profesjonalistów gotowych doprowadzić do konkretnych postępowań i rozstrzygnięć. Rząd może ignorować blogera. Może zbywać dziennikarzy. Znacznie trudniej będzie mu zbyć przedsiębiorcę, który korzysta z przysługujących mu praw, oraz prawników, którzy potrafią tego dopilnować. Czas powiedzieć państwu: sprawdzam‼️ Grzegorz GPS Świderski

🚨 Zagraniczna bramka Impervy widzi wszystkie faktury KSeF‼️ 💥 To jest pewne, niepodważalne, na 100% udowodnione‼️ Czy w ten sposób jest łamane jakieś prawo⁉️ W tym wpisie przeanalizuję aspekty prawne pozwalające postawić twórców KSeF przed Trybunałem Stanu. Amerykańska firma Imperva, należąca do francuskiego koncernu Thales i posiadająca zaplecze badawcze w Izraelu, obsługuje bramkę WAF Krajowego Systemu e-Faktur. Na bramce następuje zakończenie szyfrowanego połączenia od podatnika do Ministerstwa Finansów. Operator ma techniczną możliwość odczytu jawnej warstwy HTTP, w tym metadanych i odpowiedzi API. To pozwala mu odczytać i pobrać pełną treść każdej faktury. W ten sposób wywiady USA, Francji i Izraela mają bardzo łatwą techniczną możliwość widzenia szczegółowo pełnego obiegu handlowego Polski. To nie są spekulacje, to jest pewne i możliwe do łatwego udowodnienia w sądzie. Kto i na jakiej podstawie zdecydował o udostępnieniu zagranicznemu operatorowi tak strategicznego punktu dostępu do informacji o polskiej gospodarce⁉️ Czy naruszono prawo⁉️ Sprawdźmy, jakie przepisy mogą mieć zastosowanie, by móc oskarżyć twórców tego szpiegowskiego systemu (a zatem ekipę Morawieckiego i Tuska) o zbrodnię stanu. ⚖️ KONSTYTUCJA RP 🔹 Art. 51 ust. 2: państwo nie może pozyskiwać, gromadzić ani udostępniać informacji o obywatelach ponad to, co niezbędne w demokratycznym państwie prawnym. Udział zagranicznej bramki w przetwarzaniu danych polskich podatników nie jest niezbędny. Świadczy o tym choćby to, że przytłaczająca większość państw na świecie nie oddała bramki bezpieczeństwa zagranicznemu podmiotowi w chmurze. 🔹 Art. 51 ust. 5: zasady gromadzenia i udostępniania informacji określa ustawa. Gdzie określono granice dostępu zewnętrznego operatora do informacji przetwarzanych przez KSeF? Ministerstwo Finansów trzyma to w tajemnicy. Nie tylko umowa z Impervą jest tajna, ale MF w ogóle nie przyznaje się do tego, że oddało bramkę bezpieczeństwa tej firmie. 🔹 Art. 51 ust. 4: obywatel może żądać sprostowania lub usunięcia informacji nieprawdziwych. Tymczasem KSeF nie pozwala usunąć nawet faktury wystawionej na cudzy NIP w wyniku nadużycia. Czy przewidziane procedury wystarczają do realizacji tego prawa? Nie ma takich. 🔹 Art. 49: państwo ma obowiązek chronić tajemnicę komunikowania się. Terminacja TLS przez zagraniczny podmiot nie jest zgodna z zasadami ograniczania tej tajemnicy. 🔹 Art. 22 i 31 ust. 3: ograniczenia wolności gospodarczej muszą mieć podstawę ustawową i spełniać wymagania proporcjonalności. Sam obowiązek korzystania z KSeF wynika z ustawy. Jednak architektura pozwalająca zewnętrznemu operatorowi analizować ruch całej gospodarki nie jest w żadnej ustawie zapisana. 🔹 Art. 47: chroni prywatność, także przedsiębiorców prowadzących JDG. Faktury mogą ujawniać szczegóły życia prywatnego, majątku, leczenia czy świadczonych usług. 🔹 Art. 7: organy państwa muszą działać na podstawie i w granicach prawa. MF powinno wykazać podstawę, zakres i warunki powierzenia obsługi tej części infrastruktury zagranicznej firmie Imperva. Trzymają to w tajemnicy. Wprost w odpowiedziach na interwencje i interpelacje poselskie piszą, że tego nie ujawnią. 🔹 Art. 61: obywatele mają prawo do informacji o działalności władz publicznych. Tymczasem nie można poznać nawet niezastrzeżonych warunków korzystania z usług Impervy. 🔹 Art. 198: członkowie Rady Ministrów mogą odpowiadać przed Trybunałem Stanu za naruszenie Konstytucji lub ustawy w związku z zajmowanym stanowiskiem. Doszło do bezprawnego udostępnienia danych, więc odpowiedzialność sięga najwyższych szczebli władzy. 🇪🇺 PRAWO UNII EUROPEJSKIEJ 🔹 Karta Praw Podstawowych, art. 7 i 8: prawo do prywatności i ochrony danych osobowych. Nie wolno traktować informacji o życiu gospodarczym osób fizycznych jak danych pozbawionych ochrony. 🔹 Karta Praw Podstawowych, art. 16: wolność prowadzenia działalności gospodarczej. Przedsiębiorca powinien mieć zapewnioną ochronę poufnych informacji dotyczących jego działalności. 🔹 RODO, art. 5 ust. 1 lit. c i f: minimalizacja danych oraz ich poufność. Zewnętrzny operator powinien przetwarzać wyłącznie dane niezbędne do realizacji konkretnej usługi. 🔹 RODO, art. 25: ochrona danych w fazie projektowania. Nie zastosowano architektury ograniczającej dostęp operatora WAF do treści informacji gospodarczych. 🔹 RODO, art. 28: powierzenie przetwarzania danych. Imperva przetwarza dane osobowe, musi więc istnieć odpowiednia podstawa powierzenia, określony zakres czynności i gwarancje bezpieczeństwa. Rząd to ukrywa. 🔹 RODO, art. 32: bezpieczeństwo przetwarzania. Administrator musi zapewnić poziom ochrony odpowiedni do ryzyka. A tutaj chodzi o system obejmujący ogromną część gospodarki całego państwa! 🔹 RODO, art. 35: ocena skutków dla ochrony danych. Przy przetwarzaniu powodującym wysokie ryzyko konieczna jest DPIA. Nie ma żadnych publicznych dokumentów oceniających konsekwencje dostępu zewnętrznego operatora do ruchu KSeF. 🔹 RODO, art. 44–46: przekazywanie danych poza EOG wymaga odpowiedniej podstawy i zabezpieczeń. Nie sprawdzono, gdzie trafiają dane, logi, kopie diagnostyczne i informacje dostępne personelowi. 🔹 RODO, art. 48: samo żądanie organu państwa trzeciego nie daje automatycznego prawa do przekazania danych osobowych. Nie przeanalizowano ryzyka żądań kierowanych do dostawcy na podstawie obcego prawa. Nie ma takich analiz. 🔹 NIS2, art. 21, oraz polska ustawa o krajowym systemie cyberbezpieczeństwa, art. 8: obowiązki zarządzania ryzykiem obejmują bezpieczeństwo łańcucha dostaw. Gdzie jest ocena ryzyka zależności centralnego systemu fiskalnego od zagranicznego usługodawcy? Nie ma. 📜 ORDYNACJA PODATKOWA 🔹 Art. 293: indywidualne informacje podatników są objęte tajemnicą skarbową. Ministerstwo Finansów samo potwierdza, że dane KSeF stanowią taką tajemnicę — odpowiedź na interpelację nr 15132! 🔹 Art. 294 § 4: tajemnica skarbowa obowiązuje również inne osoby, którym udostępniono chronione informacje. Czy dotyczy to personelu zagranicznego operatora i jak egzekwuje się ten obowiązek? 🔹 Art. 297h: specjalny przepis ogranicza udostępnianie faktur i danych KSeF do wskazanych organów. Operator WAF nie jest takim organem. Czy jego techniczny dostęp mieści się wyłącznie w legalnym przetwarzaniu powierzonym, czy wykracza poza ten zakres? 🔹 Art. 306: za bezprawne ujawnienie tajemnicy skarbowej przez osobę zobowiązaną do jej zachowania grozi nawet 5 lat więzienia. 🔹 Kontrola dostępu: MF zapewnia, że każdy wgląd pracownika KAS w fakturę jest monitorowany i audytowany. A tymczasem nie jest rejestrowany dostęp do chronionych danych na zagranicznej bramce! MF nie potrafi go odtworzyć i skontrolować, bo to działa na obcej infrastrukturze! 📕 INNE USTAWY I ROZPORZĄDZENIA 🔹 Ustawa o VAT, art. 106nd ust. 1: Szef KAS prowadzi KSeF i jest administratorem zawartych w nim danych. Korzystanie z podwykonawcy nie zwalnia go z odpowiedzialności za ich ochronę. 🔹 Ustawa o zwalczaniu nieuczciwej konkurencji, art. 11: poufne ceny, rabaty, dostawcy i warunki umów mogą stanowić tajemnicę przedsiębiorstwa. Bezprawne pozyskiwanie takich informacji podlega zakazowi. 🔹 Ta sama ustawa, art. 23: bezprawne ujawnienie lub wykorzystanie tajemnicy przedsiębiorstwa w przypadkach określonych ustawą może stanowić przestępstwo. 🔹 Ustawa o ochronie danych osobowych, art. 107: przetwarzanie danych osobowych bez uprawnienia może być przestępstwem. Uprawnienie musi obejmować rzeczywisty zakres wykonywanych operacji. 🔹 Ustawa o ochronie informacji niejawnych, art. 5: dane związane z obronnością mogą wymagać ochrony właściwej dla informacji niejawnych. Czy zbadano możliwość występowania takich danych w fakturach dotyczących strategicznych zamówień? 🔹 Krajowe Ramy Interoperacyjności, § 19: wymagają ochrony przed nieuprawnionym dostępem oraz odpowiednich gwarancji bezpieczeństwa w umowach serwisowych ze stronami trzecimi. Czy takie gwarancje istnieją i są egzekwowane? To też jest tajemnica. 🔹 Krajowe Ramy Interoperacyjności, § 20: nakazują wiarygodne dokumentowanie określonych dostępów do prawnie chronionych danych. Czy logowane są operacje na bramce WAF i kto ma kontrolę nad tymi logami? Nad tym kontrolę ma tylko Imperva. 🔹 Ustawa o dostępie do informacji publicznej, art. 16: odmowa udostępnienia informacji publicznej przez organ władzy co do zasady wymaga decyzji. Czy MF prawidłowo rozpatruje wnioski o informacje dotyczące architektury, umów i zabezpieczeń KSeF? Póki co nie, bo na wszystkie wnioski odpowiada, że to tajemnica. 🚨 KODEKS KARNY 🔹 Art. 231: funkcjonariusz publiczny odpowiada za przekroczenie uprawnień lub niedopełnienie obowiązków ze szkodą dla interesu publicznego albo prywatnego. Świadome zignorowanie obowiązków ochrony danych może rodzić taką odpowiedzialność. 🔹 Art. 265: ujawnienie informacji niejawnych. Wśród przetwarzanych informacji występują dokumenty posiadające odpowiednie klauzule, więc ich bezprawne ujawnienie podlega szczególnej odpowiedzialności. 🔹 Art. 266: bezprawne ujawnienie informacji poznanych w związku z pracą lub funkcją, gdy istnieje obowiązek zachowania tajemnicy. 🔹 Art. 267: bezprawne uzyskanie dostępu do informacji lub systemu informatycznego. Sam legalny dostęp techniczny nie wystarcza do popełnienia przestępstwa, lecz przekroczenie jego granic może wymagać zbadania. A tego nie wiadomo, bo to się dzieje na obcej infrastrukturze. 🔹 Art. 130: szpiegostwo. Gdyby wykazano świadomą współpracę z obcym wywiadem i przekazywanie mu informacji mogących zaszkodzić Polsce, zastosowanie mogłyby znaleźć przepisy o szpiegostwie. Więc jedyne tłumaczenie, jake pozostaje rządzącym to własna głupota. ‼️ I TERAZ NAJWAŻNIEJSZE‼️ Ministerstwo Finansów samo przyznaje, że dane KSeF stanowią tajemnicę skarbową. Jednocześnie architektura komunikacyjna uzależnia funkcjonowanie tego systemu od zagranicznego operatora bramki bezpieczeństwa. Każdy z wymienionych przepisów został złamany. Istnieją konkretne podstawy prawne do zbadania tego przez UODO, NIK, ABW, prokuraturę i właściwe organy kontroli. Niech Ministerstwo Finansów odpowie na pięć prostych pytań: 1️⃣ Jakie dokładnie informacje technicznie może odczytać Imperva? 2️⃣ Jakie dane może rejestrować i przechowywać? 3️⃣ Kto, w jakich krajach i na jakiej podstawie prawnej może mieć do nich dostęp? 4️⃣ Jak MF audytuje operacje wykonywane na bramce? 5️⃣ Jakie analizy prawne i bezpieczeństwa uzasadniają wybór takiej architektury? Rząd na te pytania nie odpowiada, co znaczy, że zdają sobie sprawę z tego, że popełnia zbrodnię stanu. Tusk wprost powiedział o zbrodni stanu w przypadku samego ryzyka dostępu obcego państwa do danych z Pegasusa, więc ewidentnie analogiczne standardy oceny należy zastosować wobec KSeF! Tajemnica skarbowa nie przestaje być tajemnicą, tylko dlatego, że przebiega przez zagraniczną bramkę WAF‼️