Czy trzeba przekazać kancelarii hasła i dostępy do systemów?

Najkrócej: co do zasady nie powinno się przekazywać kancelarii cudzych loginów, haseł, kodów jednorazowych, tokenów ani danych do bankowości internetowej. kancelaria restrukturyzacyjna zwykle potrzebuje dokumentów, eksportów danych, potwierdzonych sald i formalnie nadanych uprawnień, a nie hasła do konta właściciela, księgowej albo administratora systemu.

Dostęp do systemu może mieć sens, ale dopiero po ustaleniu celu, zakresu, osoby korzystającej z dostępu, czasu trwania, poziomu uprawnień i sposobu odebrania dostępu. Jeżeli kancelaria potrzebuje wyciągu bankowego, salda z systemu księgowego, pisma z KRZ, raportu zobowiązań albo dokumentu z ZUS, pierwsze pytanie powinno brzmieć: czy wystarczy eksport konkretnego dokumentu? Dopiero gdy eksporty są niewystarczające, opóźniają pracę albo powodują błędy, warto rozważyć dostęp imienny, ograniczony i odwoływalny.

Największe ryzyko powstaje wtedy, gdy firma próbuje przyspieszyć sprawę przez wysłanie hasła mailem, SMS-em albo komunikatorem. Hasło daje dostęp do systemu, a nie tylko do jednego dokumentu. Może pozwalać na pobranie nadmiarowych danych, zmianę ustawień, wysłanie pisma, zaakceptowanie dyspozycji albo wykonanie czynności, której zarząd nie zatwierdził. W sprawie restrukturyzacyjnej taki skrót potrafi zwiększyć chaos szybciej niż brak jednego pliku.

Stan prawny i organizacyjny przyjęty w artykule uwzględnia praktykę elektronicznego obiegu dokumentów w sprawach restrukturyzacyjnych, rolę KRZ oraz ogólne zasady RODO, zwłaszcza minimalizację danych z art. 5 i dobór środków bezpieczeństwa do ryzyka z art. 32. Tekst nie jest audytem IT ani instrukcją obsługi konkretnego systemu. Ma pomóc podjąć decyzję, jak bezpiecznie przekazać dane kancelarii i jak nie oddać kontroli nad dostępami.

Krótka odpowiedź: hasła nie są standardem współpracy

Jeżeli firma pyta, czy musi podać kancelarii hasło do systemu księgowego, banku, poczty, chmury, PUE, e-Urzędu Skarbowego albo KSeF, odpowiedź brzmi: nie jako domyślny sposób pracy. Najpierw trzeba ustalić, jaki dokument jest potrzebny, do jakiej decyzji i czy można go bezpiecznie wyeksportować.

W restrukturyzacji kancelaria potrzebuje przede wszystkim materiału decyzyjnego: listy wierzycieli, aktualnych sald, informacji o egzekucjach, dokumentów z terminami, umów krytycznych, danych o płynności, zabezpieczeń, pism z banku, ZUS, urzędu skarbowego, sądu, komornika albo KRZ. To nie oznacza automatycznie potrzeby wejścia na konto klienta. Często wystarczy PDF, CSV, XLS, XML, skan, potwierdzenie przelewu, wyciąg albo raport z systemu.

Hasło jest czymś innym niż dokument. Dokument pokazuje określoną informację. Hasło otwiera środowisko, w którym mogą znajdować się także dane pracowników, kontrahentów, prywatna korespondencja, historia płatności, dane bankowe, ustawienia konta i czynności wymagające decyzji zarządu. Dlatego przekazanie hasła powinno być traktowane jako czerwona flaga, a nie jako techniczna formalność.

Praktyczny wniosek: jeżeli potrzeba dotyczy dokumentu, zacznij od dokumentu. Dostęp do systemu rozważ dopiero wtedy, gdy dokumenty eksportowane punktowo nie pozwalają bezpiecznie i sprawnie prowadzić sprawy.

Kiedy wystarczą eksporty dokumentów

Eksport wystarcza wtedy, gdy kancelaria ma ocenić określony stan na konkretny dzień: saldo wierzyciela, wiekowanie zobowiązań, zajęcie rachunku, doręczenie pisma, wypowiedzenie umowy, listę faktur, zaległości publicznoprawne albo przepływy pieniężne. W takiej sytuacji pełny dostęp do systemu często nie daje większej wartości, a zwiększa zakres danych, które opuszczają kontrolowany obieg.

W praktyce eksporty są właściwe szczególnie na początku współpracy. Pierwsza analiza nie wymaga zwykle, żeby kancelaria widziała całe archiwum firmy. Wymaga, żeby mogła odpowiedzieć na pytania: kto jest wierzycielem, jaka jest kwota, czy jest termin, czy trwa egzekucja, czy istnieje zabezpieczenie, co jest sporne i czy firma ma środki na działanie w kolejnych tygodniach.

Eksport powinien mieć czytelny zakres. Jeżeli kancelaria prosi o wyciągi bankowe, nie oznacza to automatycznie potrzeby przekazania dostępu do bankowości internetowej. Jeżeli potrzebna jest lista faktur, nie oznacza to automatycznie przekazania pełnego konta księgowej. Jeżeli potrzebne jest pismo z KRZ, nie oznacza to, że każda osoba w kancelarii powinna korzystać z konta właściciela.

Dobry eksport powinien zawierać datę, źródło, zakres okresu, oznaczenie podmiotu, format pozwalający na analizę i informację, czy dane są potwierdzone, robocze czy niepełne. Jeżeli system pozwala wygenerować PDF i arkusz, warto ustalić, który format jest potrzebny: PDF lepiej zachowuje dokument źródłowy, a arkusz może ułatwiać analizę sald i wierzycieli.

Praktyczny wniosek: eksport jest najlepszym pierwszym wyborem, gdy kancelaria ma przeanalizować konkretną informację. Dostęp do całego systemu nie powinien zastępować uporządkowanej paczki dokumentów.

Kiedy dostęp do systemu może mieć sens

Dostęp do systemu może być uzasadniony, jeżeli sprawa wymaga regularnej aktualizacji danych, dokumentów jest bardzo dużo albo ręczne eksporty powodują opóźnienia i rozbieżności. Dotyczy to zwłaszcza systemu księgowego, firmowego obiegu dokumentów, KSeF, monitorowania korespondencji w określonym środowisku albo pracy na dużej liczbie faktur, potwierdzeń i raportów.

Nadal nie oznacza to przekazania hasła. Właściwy model to dostęp imienny, nadany konkretnej osobie, w określonym systemie i na określony czas. Najczęściej bezpieczniejszy będzie dostęp tylko do odczytu albo dostęp do wybranego folderu, rejestru, modułu lub kategorii dokumentów. Jeżeli kancelaria ma jedynie pobierać faktury i raporty, nie powinna otrzymywać uprawnień do zmiany danych, kasowania dokumentów, zatwierdzania płatności albo nadawania kolejnych dostępów.

Trzeba też oddzielić dostęp techniczny od prawa działania w imieniu firmy. Możliwość pobrania dokumentu z systemu nie oznacza prawa do wysłania pisma do sądu, odpowiedzi wierzycielowi, złożenia deklaracji, zatwierdzenia faktury albo wydania dyspozycji bankowej. Takie czynności wymagają osobnej podstawy: decyzji zarządu, pełnomocnictwa, upoważnienia, roli w systemie albo innego formalnego umocowania.

Jeżeli system nie pozwala nadać osobnego konta lub ograniczyć zakresu, warto wrócić do eksportów. Brak wygodnej funkcji technicznej nie uzasadnia automatycznie przekazania hasła do konta właściciela, księgowej albo administratora.

Praktyczny wniosek: dostęp może pomóc przy powtarzalnej pracy na danych, ale tylko wtedy, gdy jest węższy niż problem, który ma rozwiązać. Szeroki dostęp administratora do całego systemu rzadko jest właściwą odpowiedzią na potrzebę pobrania dokumentów.

Systemy, przy których hasła są szczególnie ryzykowne

Najostrzej trzeba traktować systemy, które pozwalają nie tylko oglądać dane, ale również wykonywać czynności finansowe, procesowe albo organizacyjne. Bankowość internetowa jest tu najprostszym przykładem. Login, hasło, aplikacja mobilna, kod SMS, BLIK, token albo drugi składnik uwierzytelnienia nie są dokumentem dla kancelarii. Są środkiem kontroli nad rachunkiem i autoryzacją działań.

Podobnie ryzykowne są prywatna poczta właściciela, konto księgowej, firmowa chmura z pełnym dyskiem, konto administratora w systemie księgowym, token API, pulpit zdalny i narzędzia pozwalające przejmować sesję użytkownika. Nawet jeśli intencja jest praktyczna, skutek może być zbyt szeroki: dostęp do danych osób trzecich, dokumentów prywatnych, starych wersji plików, korespondencji niezwiązanej ze sprawą albo funkcji technicznych, których kancelaria nie potrzebuje.

Bezpieczniejsza alternatywa zależy od systemu:

• przy bankowości: wyciąg, potwierdzenie przelewu, historia operacji za ustalony okres, informacja o zajęciu rachunku, bez przekazywania danych do logowania,
• przy systemie księgowym: eksport sald, raportów, faktur i listy wierzycieli albo imienny dostęp tylko do odczytu,
• przy poczcie: przekazanie wybranych wiadomości i załączników, nie pełnej skrzynki,
• przy chmurze: folder z ograniczonym dostępem, bez publicznego linku i bez pełnego dysku,
• przy systemach urzędowych: formalna rola, pełnomocnictwo lub upoważnienie, nie cudzy login,
• przy narzędziach technicznych: brak zdalnego pulpitu, jeżeli wystarczy eksport albo współdzielony folder z uprawnieniami.

Problemem jest też odpowiedzialność za czynności wykonane na koncie. Jeżeli ktoś działa na loginie właściciela albo księgowej, później trudno odróżnić, kto faktycznie pobrał dokument, zmienił ustawienie, wysłał pismo albo zaakceptował operację. W sprawie restrukturyzacyjnej, gdzie liczą się terminy, treść dokumentów i spójność decyzji, taki brak rozdzielenia ról jest realnym ryzykiem.

Praktyczny wniosek: im więcej system pozwala zrobić, tym mniej nadaje się do udostępniania przez hasło. Przy systemach finansowych i urzędowych hasło powinno zostać po stronie właściciela konta.

Zasady bezpieczeństwa przed nadaniem dostępu

Przed nadaniem dostępu warto przejść krótką checklistę. Nie chodzi o rozbudowany regulamin IT, ale o minimalne warunki, które pozwalają kontrolować dane. Jeżeli tych warunków nie da się ustalić, lepiej zostać przy eksportach albo przekazać węższy pakiet dokumentów.

Pierwszy element to cel. Dostęp nie powinien być nadawany "na wszelki wypadek". Trzeba wiedzieć, czy chodzi o pobieranie faktur, weryfikację sald, monitorowanie pism, przygotowanie spisu dokumentów, sprawdzenie doręczeń czy cykliczną aktualizację danych. Od celu zależy zakres.

Drugi element to osoba. Konto powinno być imienne, przypisane do konkretnej osoby lub formalnej roli, a nie współdzielone. Jeżeli z dostępu korzystają dwie osoby, powinny mieć oddzielne ścieżki dostępu albo przynajmniej jasną ewidencję, kto wykonuje daną czynność. Wspólne konto utrudnia kontrolę i rozmywa odpowiedzialność.

Trzeci element to poziom uprawnień. W wielu przypadkach wystarczy odczyt. Jeżeli potrzebna jest możliwość pobierania dokumentów, nie trzeba automatycznie dawać prawa do edycji, usuwania, wysyłki, podpisu, akceptacji płatności, zmiany ustawień albo nadawania dostępu innym osobom.

RODO nie wymaga jednego technicznego rozwiązania dla każdej sytuacji. Wymaga natomiast myślenia o minimalizacji danych i środkach bezpieczeństwa dobranych do ryzyka. W praktyce oznacza to, że nie należy udostępniać pełnego systemu, jeżeli do decyzji potrzebna jest lista wierzycieli, saldo z określonego dnia albo kilka pism z terminami.

Praktyczny wniosek: dostęp jest bezpieczniejszy dopiero wtedy, gdy da się odpowiedzieć na pytania: kto, do czego, po co, na jak długo, z jakimi ograniczeniami i jak cofamy uprawnienie po zakończeniu etapu.

Dostęp formalny zamiast hasła: KRZ, KSeF, e-US i PUE

Część systemów publicznych i podatkowych ma własne modele ról, pełnomocnictw, upoważnień albo kont organizacji. To ważne, bo pokazuje różnicę między dostępem do danych a działaniem w imieniu firmy. Hasło klienta nie powinno być skrótem do czynności, które system przewiduje przez formalne uprawnienie.

Przy obsłudze sprawy w KRZ liczy się nie tylko techniczne wejście do systemu, ale także rola osoby działającej, treść pisma, podpis, załączniki, doręczenie i skutki procesowe. Jeżeli ktoś ma złożyć dokument albo odebrać korespondencję, trzeba ustalić podstawę działania i obieg akceptacji. Sam dostęp do konta nie rozstrzyga, czy czynność jest właściwa.

W KSeF, e-Urzędzie Skarbowym i PUE/eZUS również trzeba patrzeć na uprawnienia, użytkownika i zakres czynności. Jeżeli potrzebna jest faktura, raport albo pismo, często można pobrać i przekazać konkretny dokument. Jeżeli potrzebna jest regularna praca w systemie, trzeba ustalić formalny dostęp, a nie przekazywać cudze hasło.

Formalny dostęp nie zwalnia firmy z kontroli. Trzeba nadal wiedzieć, jakie czynności mogą zostać wykonane samodzielnie, które wymagają akceptacji zarządu, kto monitoruje terminy i kto informuje kancelarię o nowych dokumentach. Dostęp techniczny jest tylko narzędziem. Nie zastępuje decyzji przedsiębiorcy.

Praktyczny wniosek: jeżeli system ma własne role i uprawnienia, należy z nich korzystać. Hasło do konta klienta nie powinno zastępować pełnomocnictwa, upoważnienia ani imiennego dostępu.

Rola księgowej i zarządu przy dostępach

Dostępy nie powinny powstawać poza decyzją zarządu. Księgowość może przygotować raport, wskazać moduł systemu, wygenerować eksport albo technicznie pomóc w nadaniu uprawnienia, ale zakres dostępu powinien wynikać z decyzji osoby odpowiedzialnej po stronie firmy. Inaczej kancelaria może dostać za dużo danych, za szerokie uprawnienia albo dostęp do konta, którego nikt później nie kontroluje.

To szczególnie ważne tam, gdzie dane księgowe są podstawą decyzji restrukturyzacyjnej. współpraca kancelarii z księgową firmy powinna opierać się na jednej wersji sald, jednej liście wierzycieli, jasnym statusie dokumentów i kontrolowanym obiegu informacji. Jeżeli księgowa wysyła własne eksporty, zarząd podaje inne kwoty, a kancelaria ma dodatkowo dostęp do systemu bez rejestru, problemem staje się nie tylko bezpieczeństwo, ale też wiarygodność danych.

Dobrym rozwiązaniem jest prosta lista dostępów. Nie musi być rozbudowana. Powinna jednak pokazywać, kto ma dostęp, do jakiego systemu, jaki ma zakres, od kiedy, do kiedy, w jakim celu i kto zatwierdził nadanie. Taka lista pomaga też zamknąć etap współpracy: odebrać uprawnienia, wylogować sesje, zmienić hasła tam, gdzie były użyte, i zachować ślad decyzji.

Warto też ustalić, kto może odpowiadać na pytania wierzycieli po tym, jak kancelaria uzyska dokumenty albo dostęp. Księgowa nie powinna samodzielnie obiecywać rat, terminów, umorzeń ani skutków restrukturyzacji tylko dlatego, że zna salda. Zarząd podejmuje decyzje, księgowość potwierdza dane, a kancelaria ocenia skutki prawne i procesowe.

Praktyczny wniosek: dostęp do danych jest częścią obiegu decyzyjnego. Powinien przechodzić przez zarząd, księgowość i kancelarię w jasnych rolach, a nie przez przekazywanie jednego hasła kilku osobom.

Co zrobić, jeśli hasło już zostało przekazane

Jeżeli hasło zostało już wysłane, nie warto ukrywać błędu ani dosyłać kolejnych danych w pośpiechu. Najpierw trzeba ograniczyć ryzyko. Inaczej firma może pogłębić problem: przekazać następne hasło, pomieszać kanały albo stracić możliwość ustalenia, kto miał dostęp do systemu i kiedy.

Pierwszy krok to zmiana hasła, jeżeli system na to pozwala. Jeżeli dostęp był aktywny, trzeba sprawdzić, czy można wylogować wszystkie sesje, cofnąć uprawnienia, usunąć publiczny link, wyłączyć token albo odłączyć urządzenie. Przy systemach z logami warto sprawdzić, czy widać pobrania, edycje, wysyłki, zmiany ustawień albo próby logowania.

Drugi krok to spisanie faktów. Trzeba zanotować, komu przekazano hasło, kiedy, jakim kanałem, do jakiego systemu, jaki był zakres konta, czy działało MFA, czy hasło było użyte i czy wykonano jakiekolwiek czynności. Nie chodzi o szukanie winnego, tylko o ustalenie ryzyka i dalszej procedury.

Trzeci krok to ustawienie nowego kanału pracy. Jeżeli kancelaria potrzebowała dokumentów, należy przygotować eksporty. Jeżeli potrzebny był stały dostęp, trzeba nadać konto imienne, ograniczone i odwoływalne. Jeżeli potrzebne było działanie w systemie publicznym, trzeba ustalić pełnomocnictwo, upoważnienie albo właściwą rolę.

1. Zatrzymaj dalsze przekazywanie haseł.
   Nie wysyłaj kolejnych loginów, kodów ani tokenów, dopóki nie wiadomo, jaki zakres jest naprawdę potrzebny.

2. Zmień hasło i odbierz dostęp.
   Wyloguj aktywne sesje, cofnij uprawnienia, usuń link albo dezaktywuj token, jeżeli system na to pozwala.

3. Sprawdź logi i wykonane czynności.
   Ustal, czy ktoś pobrał dokumenty, zmienił dane, wysłał pismo, zmienił ustawienia albo nadał dalsze uprawnienia.

4. Spisz fakty.
   Zanotuj osobę, kanał, godzinę, system, zakres konta, sposób zabezpieczenia i powód przekazania hasła.

5. Ustal bezpieczniejszy model.
   Zastąp hasło eksportem, kontem imiennym, pełnomocnictwem, upoważnieniem albo folderem z ograniczonym dostępem.

6. Zamknij etap.
   Po zakończeniu pracy sprawdź, czy dostęp został odebrany, a lista dostępów jest aktualna.

Praktyczny wniosek: przekazanie hasła nie musi oznaczać katastrofy, ale wymaga szybkiego zamknięcia dostępu i uporządkowania dalszej współpracy. Najgorszym rozwiązaniem jest udawanie, że nic się nie stało.

Decyzja krok po kroku: jak wybrać bezpieczny wariant

Przed przekazaniem danych można przejść prostą ścieżkę decyzyjną. Pomaga ona uniknąć dwóch skrajności: blokowania kancelarii bez potrzebnych dokumentów oraz przekazywania pełnego dostępu do systemów tylko dlatego, że sprawa jest pilna.

1. Nazwij decyzję, którą kancelaria ma pomóc podjąć.
   Czy chodzi o pilność egzekucji, listę wierzycieli, cash-flow, termin z pisma, dokumenty do KRZ, zobowiązania publicznoprawne, bank, leasing czy wybór trybu restrukturyzacji?

2. Wskaż konkretny dokument lub raport.
   Zamiast pytania "czy dać dostęp do systemu", zapytaj: jaki plik, zakres dat, saldo, pismo, potwierdzenie albo zestawienie jest potrzebne?

3. Sprawdź, czy wystarczy eksport.
   Jeżeli PDF, CSV, XLS, XML, wyciąg, skan albo raport odpowiada na pytanie, nie ma potrzeby otwierania całego systemu.

4. Jeżeli eksport nie wystarcza, określ minimalny dostęp.
   Ustal system, osobę, rolę, moduł, okres, zakres danych, czynności zakazane i datę cofnięcia uprawnienia.

5. Oddziel dostęp od reprezentacji.
   Jeżeli ktoś ma wysyłać pisma, odbierać doręczenia, działać wobec urzędu albo wierzyciela, potrzebna jest osobna podstawa, a nie samo konto.

6. Zapisz dostęp w rejestrze.
   Wpisz, kto ma dostęp, do czego, po co, od kiedy, do kiedy, z jakimi uprawnieniami i kto zatwierdził decyzję.

7. Po etapie odbierz dostęp.
   Nie zostawiaj kont roboczych "na później". Dostęp, który nie jest już potrzebny, powinien zostać zamknięty.

Końcowy wniosek jest prosty: w sprawie restrukturyzacyjnej szybka współpraca nie wymaga oddawania haseł. Wymaga nazwania decyzji, przygotowania właściwych eksportów, nadawania tylko takich dostępów, które są potrzebne, i zamykania ich po zakończeniu etapu. Dzięki temu kancelaria dostaje materiał do pracy, a firma nie traci kontroli nad systemami, danymi i odpowiedzialnością za czynności wykonane na jej kontach.