Масштабна правова та технічна пастка ПРРО: чому сліпа довіра провайдерам веде бізнес до катастрофічних штрафів ДПС

Останніми роками ринок розрахункових операцій в Україні зазнав кардинальних змін. Масова цифровізація, просувана як елемент спрощення ведення бізнесу, принесла із собою інструмент, який миттєво завоював популярність серед суб’єктів господарювання — програмні реєстратори розрахункових операцій (ПРРО). Можливість перетворити будь-який смартфон, планшет або ноутбук на повноцінний касовий апарат підкуповує своєю доступністю, швидкістю впровадження та відсутністю потреби витрачатися на купування, обслуговування й опломбування класичних апаратних РРО.

Однак за цією привабливою фасадною вивіскою ховається глибока та небезпечна правова прірва. Переважна більшість підприємців — від дрібних ФОПів до великих ритейлерів — перед встановленням ПРРО не вивчає фундаментальну нормативно-правову базу. Вони керуються лише тими можливостями, які їм піднесли як «зручний сервіс». Наївна переконаність бізнесу полягає в тому, що якщо чек згенеровано в додатку, відправлено покупцю і він відобразився на фіскальному сервері Державної податкової служби (ДПС), то юридичну місію повністю виконано, а підприємство перебуває в повній безпеці.

Це абсолютна, фундаментальна та надзвичайно небезпечна ілюзія.

У цій статті-роз’ясненні ми докладно розберемо, чому використання більшості комерційних ПРРО у тому вигляді, у якому їх пропонують ринку розробники, фактично є незаконним, створює колосальні наслідки для платників податків та гарантовано призведе до виплати нищівних штрафних санкцій під час майбутніх перевірок.

1. Анатомія ринку ПРРО: безвідповідальність провайдерів проти «сліпоти» бізнесу

Щоб зрозуміти масштаби проблеми, необхідно проаналізувати саму модель взаємовідносин між розробником (провайдером) ПРРО та суб’єктом господарювання (користувачем).

Маркетинговий обман та безконтрольність розробників

Сьогодні ринок ПРРО насичений пропозиціями від десятків компаній. Змагаючись за клієнта, розробники застосовують агресивний маркетинг: «Каса в кишені за 100 гривень на місяць», «Інтеграція за 5 хвилин», «Забудьте про податкову — ми робимо все автоматично».

Провайдери ПРРО користуються трьома ключовими факторами:

1. Правовою та технічною безграмотністю користувачів: Малий і середній бізнес не заглиблюється в деталі Закону України № 265/95-ВР «Про застосування реєстраторів розрахункових операцій у сфері торгівлі, громадського харчування та послуг», Закону України «Про електронні документи та електронний документообіг», Закону України «Про електронну ідентифікацію та електронні довірчі послуги» та численних наказів Міністерства фінансів.

2. Тимчасовою відсутністю жорсткого суцільного контролю з боку ДПС: На етапі впровадження систем податкові органи часто закривають очі на технічні й правові огріхи, оскільки їхнім головним завданням є сам факт фіксації розрахункових операцій та поповнення бюджету.

3. Можливістю заробляти чималу передплату: Провайдери регулярно беруть з користувачів абонентську плату або плату за кожну транзакцію, продаючи, суті, лише красиву «оболонку» (інтерфейс), яка взагалі не гарантує юридичної чистоти.

Ліцензійна пастка: «Ми ні за що не відповідаємо»

Якщо ви відкриєте публічну оферту або ліцензійний договір будь-якого популярного провайдера ПРРО, ви виявите стандартні застереження, які повністю знімають відповідальність із розробника:

• Принцип «Як є» (As Is): Програмне забезпечення надається без жодних гарантій відповідності специфічним вимогам законодавства або безперебійності роботи.

• Відмова від компенсації збитків: Провайдер прямо зазначає, що не відповідає за будь-які штрафи, накладені контролюючими органами на користувача через програмні збої, викривлення даних, некоректне накладення підпису чи втрату чеків.

• Відповідальність користувача: Усі ризики щодо формування, передачі, перевірки та зберігання розрахункових документів покладаються виключно на суб’єкта господарювання.

Виходить парадоксальна ситуація: розробник отримує стабільний грошовий потік, нав’язуючи свої непродумані та сирі рішення, а підприємець за власні гроші купує собі загрозу нарахування мільйонних штрафів.

2. Ілюзія тимчасової «благодаті» ДПС: чому перевірки неминучі

Сьогодні багатьом підприємцям здається, що якщо їхній ПРРО працює, чеки відправляються, а податкова не приходить із перевірками вже завтра, то система виправдала себе. Це небезпечне затишшя перед бурею.

Чому податкова закриває очі сьогодні?

1. Період накопичення даних: Податкові органи збирають масиви інформації на своїх фіскальних серверах. Сучасні аналітичні системи ДПС налаштовані на автоматичне виявлення аномалій та системних помилок у чеках.

2. Мораторії та обмеження перевірок: У періоди пом’якшення контролю або дії спеціальних правових режимів податкові органи зосереджуються лише на найзапекліших порушниках (наприклад, реалізація підакцизних товарів без фіскалізації).

Що відбудеться, коли мораторії повністю відійдуть у минуле?

Термін, коли податкова закриває очі на порушення в роботі ПРРО, рано чи пізно закінчиться. Контролюючі органи розпочнуть масові перевірки та автоматизований аудит збережених на серверах документів.

Під приціл потрапить легальність та техніко-юридична відповідність ПРРО:

• Якщо ПРРО формує чеки з порушенням вимог Положення про форму та зміст розрахункових документів (Наказ Мінфіну № 13),

• Якщо розрахунковий документ підписано з порушенням Закону про електронні довірчі послуги,

• Якщо у суб’єкта господарювання відсутні збережені оригінали електронних документів,

…то податкові інспектори застосують фінансові санкції. Для ДПС такий розрахунковий документ є недійсним, а операція вважається такою, що проведена без видачі розрахункового документа встановленої форми.

Наслідки: Штраф у розмірі 100% від вартості проданих товарів/послуг за перше порушення та 150% за кожне наступне (або згідно із діючими нормативами ст. 17 Закону про РРО). Якщо підприємець видавав некоректні чеки протягом року, сума штрафів може сягати сотень тисяч або мільйонів гривень, що гарантовано призведе до банкрутства.

3. Фундаментальні правові порушення при використанні ПРРО

Використання переважної більшості ПРРО на ринку містить у собі цілу низку системних правових порушень, кожне з яких загрожує бізнесу юридичною катастрофою.

А. Що є ОРИГІНАЛОМ електронного чека? Порушення Закону про електронні документи

Величезне число користувачів переконане, що якщо вони надрукували чек з ПРРО на звичайному термопринтері або відправили покупцю картинку/PDF-файл, то це і є розрахунковий документ.

З точки зору Закону України «Про електронні документи та електронний документообіг» та нормативної бази щодо РРО/ПРРО:

1. Форма документа: Розрахунковий документ, створений ПРРО, від самого початку є електронним документом.

2. Що є оригіналом? Оригіналом електронного документа є його електронний примірник із накладеним кваліфікованим електронним підписом (КЕП) або електронною печаткою, створений у формі, яка дає змогу перевірити його цілісність та автентичність.

3. Паперовий чек із ПРРО — це лише КОПІЯ. Будь-який роздрукований на чековому принтері чек, сформований ПРРО, є лише паперовою візуальною копією електронного документа.

У чому полягає критична проблема користувача?

У користувача комерційного хмарного ПРРО не залишається оригінальних копій розрахункових документів!

Коли ви здійснюєте розрахункову операцію, ПРРО генерує електронний файл (зазвичай у форматі XML або JSON), підписує його електронним ключем та відправляє на фіскальний сервер ДПС. Більшість хмарних провайдерів не залишають у локальній базі користувача оригінальний підписаний електронний файл, а лише відображають текстову форму або посилання на сервер ДПС.

Якщо у підприємця виникне потреба надати первинні документи під час податкової перевірки чи судового спору, або якщо провайдер припинить роботу, згорить його сервер чи вимкнеться доступ через незапланований збій, підприємець не зможе надати оригіналів своїх розрахункових документів. Згідно зі ст. 44 Податкового кодексу України, відсутність первинних документів тягне за собою штрафи та скасування податкового кредиту чи витрат.

Б. Обов’язок зберігання електронних документів

Відповідно до законодавства, електронні розрахункові документи повинні зберігатися у формі, що дає змогу перевірити їхню цілісність на електронних носіях інформації протягом строку, встановленого законодавством для зберігання первинних документів (не менше 1095 днів / 3 років).

Більшість користувачів навіть не замислюються: де фізично зберігаються їхні чеки?

• Вони зберігаються на серверах приватного провайдера ПРРО.

• Підприємець не має локального резервного архіву оригінальних електронних файлів з підписами.

• У разі хакерського злому провайдера, ліквідації компанії-розробника або конфлікту щодо передплати підприємець миттєво втрачає весь свій фінансово-розрахунковий архів за роки діяльності.

Перед контролюючими органами відповідальність за відсутність архіву документів несе виключно суб’єкт господарювання. Аргумент «провайдер втратив мої чеки» податкова служба до уваги не бере.

В. Незаконність автоматичного підпису (автопідпису) та компрометація КЕП

Для забезпечення зручності («фіскалізація в один клік без введення пароля») провайдери ПРРО масово пропонують користувачам технологію автоматичного підпису чеків.

Для цього КЕП (або електронна печатка) підприємця завантажується:

• Або безпосередньо на хмарний сервер розробника ПРРО,

• Або зберігається в незашифрованому вигляді в пам’яті пристрою чи скрипті додатку.

Чому це прямо суперечить закону?

Згідно із Законом України «Про електронну ідентифікацію та електронні довірчі послуги»:

1. Виключний контроль: Кваліфікований електронний підпис призначений для використання виключно його підписувачем. Підписувач зобов’язаний забезпечувати конфіденційність та неможливість доступу інших осіб до особистого ключа.

2. Передача ключа: Передача особистого ключа КЕП третім особам (зокрема розміщення його на серверах провайдера ПРРО) є грубим порушенням правил використання довірчих послуг. У разі виявлення такого факту кваліфікований сертифікат ключа підлягає скасуванню.

3. Автоматичне накладення підпису: Накладення КЕП програмним алгоритмом без прямого волевиявлення та підтвердження підписувачем під час кожної окремої операції позбавляє такий підпис юридичної сили.

Якщо під час перевірки буде доведено, що підпис на чеках накладався автоматичним скриптом у хмарі розробника, усі такі чеки визнаються непідписаними, а отже — недійсними! Це прямо веде до накладення штрафів за реалізацію товару без видачі фіскального чека.

Г. Ризики викрадення електронної печатки та хакерського злому провайдера

Коли підприємець віддає свій КЕП чи електронну печатку «на зберігання» провайдеру ПРРО, він свідомо віддає ключі від власного бізнесу стороннім особам.

Потенційні сценарії катастрофи:

1. Хакерський злом сервера провайдера: Зловмисники, отримавши доступ до бази даних провайдера ПРРО, здобувають доступ до сотень електронних печаток і КЕП підприємців.

2. Незаконне використання ключа від вашого імені: З використанням викраденого КЕП зловмисники можуть згенерувати фіктивні чеки на мільйони гривень, провести маніпуляції зі скасування касових чеків (відбудеться приховування виторгу), або підписати любі фіктивні документи від вашого імені.

3. Хто відповість? З точки зору чинного законодавства, все, що підписано вашим КЕП чи печаткою, вважається підписаним особисто вами. Підприємцю доведеться роками в судах і під час досудового розслідування доводити, що фіктивні чеки формували хакери через «корявий» софт провайдера.

Д. «Корявість» програмного забезпечення та відсутність обов’язкових реквізитів

Провайдери ПРРО постійно випускають оновлення своїх додатків. Проте через відсутність належного тестування та технічного контролю після чергового апдейту в програмах часто виникають критичні збої:

• Зникає цифрове значення штрихкоду марки акцизного податку при продажу алкоголю.

• Некоректно формується або зникає позначення форми оплати (наприклад, замість «безготівкова» пишеться некоректний системний код).

• Неправильно розраховується ставка ПДВ або акцизного податку.

• Зникає назва суб’єкта господарювання або адреса торгової точки.

Юридичний вирок:

Згідно з п. 2 Розділу І Положення про форму та зміст розрахункових документів (Наказ Мінфіну № 13), у разі відсутності хоча б одного з обов’язкових реквізитів у чеку, такий документ не визнається розрахунковим.

Результат: Податкова вважає, що ви взагалі не видали чек. Помилка розробника в коді програми перетворюється на 100–150% штрафу від суми чека для підприємця.

На відміну у класичному РРО, програмне забезпечення проходить перевірку, та версія ПЗ занесена до Державного реєстру РРО. Як що касовий апарат наприклад зробив помилку, то за ПЗ несе відповідальність розробник РРО а не користувач.

4. Передача чека покупцеві та захист персональних даних

Ще одна фундаментальна сліпа пляма, яку ігнорують користувачі ПРРО — це порядок передачі електронного чека покупцю та пов’язана з цим обробка персональних даних.

Провайдери ПРРО гордо рекламують можливість відправки чека через SMS, Viber, Telegram або на Email. Наївний підприємець радіє зручності, не підозрюючи, що при цьому він порушує одразу кілька законів.

1. Закон України «Про захист персональних даних»

Номер телефону або електронна адреса покупця є його персональними даними.

• Для того щоб ввівши номер телефону покупця в ПРРО, відправити йому чек, підприємець зобов’язаний отримати письмову або явну чекбокс-згоду на обробку його персональних даних.

• Передача номера телефону чи Email стороннім сервісам розсилок (якими користується провайдер ПРРО) без згоди покупця є незаконною передачею персональних даних третім особам.

Якщо покупець подасть скаргу до Уповноваженого Верховної Ради з прав людини чи до суду, підприємець отримає додаткові штрафи за порушення законодавства про захист персональних даних.

2. Юридична чинність переданого чека

Щоб електронний чек вважався наданим покупцю в законний спосіб, він повинен:

• Надаватися у формі електронного документа з можливістю перевірки накладеного КЕП/печатки продавця.

Більшість же систем надсилають звичайне текстове повідомлення з посиланням на приватний сайт розробника, що не відповідає вимогам нормативних актів про порядок надання розрахункових документів.

5. Порівняльний аналіз: ПРРО проти класичного РРО та апаратних рішень

Для того щоб чітко уявити різницю між юридично захищеним підходом та небезпечною «хмарною ілюзією», розглянемо порівняльну таблицю.

Критерій оцінки	Стандартний хмарний ПРРО	Апаратний РРО
Зберігання КЕП / Печатки	❌ Передається в хмару розробника або зберігається у відкритому скрипті (незаконно).	КЕП не потрібен
Оригінали чеків	❌ Відсутні у користувача (є тільки в хмарі провайдера або на сервері ДПС).	Вбудований Фіскальний блок пам’яті зберігає всі оригінальні підписані розрахункові документи.
Ризик хакерського злому	🔴 Високий. Злом провайдера відкриває доступ до печаток усіх його клієнтів.	Відсутній
Відповідальність за помилки у коді	🔴 100% покладається на підприємця. Розробник зняв відповідальність офертою.	Апаратні РРО проходять державну атестацію та внесені до Реєстру РРО.
Відповідність Наказу Мінфіну № 13	⚠️ Непостійна. Оновлення софту часто ламають реквізити чека.	Зафіксована у прошивці, що пройшла випробування в уповноважених лабораторіях.

6. Чек-лист: Аудит безпеки та легальності вашого ПРРО

Якщо ви вже використовуєте ПРРО у своїй діяльності, негайно проведіть перевірку за цими 6 критичними пунктами. Якщо хоча б на один пункт відповідь «НІ» або «НЕ ЗНАЮ» — ваш бізнес під загрозою!

[ ] 1. Чи зберігаються КЕП та електронна печатка виключно під вашим контролем (на локальному захищеному носії), а не на серверах розробника ПРРО?

[ ] 2. Чи є у вас локальний архів усіх оригінальних електронних файлів чеків (JSON/XML) із збереженими на них електронними підписами за останні 3 роки?

[ ] 3. Чи перевіряєте ви регулярний склад реквізитів у чеках після кожного оновлення програми ПРРО на відповідність Наказу Мінфіну № 13?

[ ] 4. Чи відключено у вашому ПРРО автоматичний підпис чеків сторонніми скриптами без участі касира?

[ ] 5. Чи берете ви згоду у покупців на обробку їхніх персональних даних перед відправкою чека на E-mail чи по телефону?

[ ] 6. Чи містить ваш договір з розробником ПРРО пункти про його фінансову відповідальність у разі накладення штрафів ДПС через програмні помилки софту?

Підсумок

Програмні РРО, безумовно, є прогресивним кроком у розвитку цифрової економіки. Однак та легковажність, з якою український бізнес поставився до їх впровадження, створює колосальну міну уповільненої дії.

Головні висновки, які повинен зробити кожен підприємець:

1. Ніхто, крім вас, не відповість перед ДПС. Розробники ПРРО забирають ваші кошти у вигляді передплати, але повністю знімають із себе юридичну відповідальність через оферту.

2. Паперовий чек ПРРО — це лише копія. Оригінал — це підписаний КЕП електронний файл. Якщо у вас немає локального архіву оригіналів, у вас немає первинних документів.

3. Автопідпис та хмарне зберігання КЕП — прямий шлях до скасування чеків та викрадення печатки. Передача ключа третім особам позбавляє документ юридичної сили.

4. Тимчасове затишшя податківців закінчиться. Будь-яка перевірка виявить некоректні реквізити чека чи відсутність підпису, що призведе до нарахування штрафів у розмірі 100–150% від всього вашого виторгу.

Настав час відмовитися від наївного дитячого оптимізму, припинити сліпо вірити агресивній рекламі провайдерів ПРРО та негайно привести свою касову дисципліну та електронний документообіг у сувору відповідність до вимог Законів України.

P.S.

Аналіз практичної та юридичної площини використання програмних реєстраторів розрахункових операцій підтверджує: ПРРО у його нинішній масовій реалізації — це передусім масштабний комерційний проєкт, просунутий Данилом Гетманцевим та його командою під соусом «цифровізації та підтримки бізнесу». Проте цей проект має небагато спільного з неухильним дотриманням фундаментальних Законів України про електронний документообіг, довірчі послуги та захист інформації.

Виконавча влада та політики рано чи пізно зміняться, а за всі виявлені порушення касової дисципліни, некоректні реквізити, відсутність оригіналів електронних документів чи компрометацію ключових підписів відповідати доведеться кожному підприємцю особисто. Ні Данило Гетманцев, ні провайдери програмного забезпечення за ваші штрафи відповідати не будуть, і ваші збитки ніхто Вам не відшкодуе.

На противагу сумнівній хмарній «ілюзії», класичні апаратні РРО залишаються перевіреним часом, повністю легальним та технічно захищеним інструментом. Сучасні касові апарати та фіскальні реєстратори:

• Використовуються протягом багатьох років і постійно модернізуються відповідно до вимог часу.

• Внесені до Державного реєстру РРО України та мають офіційні сертифікати відповідності.

• Володіють апаратно захищеною структурою (блоком фіскальної пам’яті), яка гарантує цілісність даних та унеможливлює зовнішнє втручання.

Використання класичного, сертифікованого РРО — це єдина надійна гарантія, юридичний щит та повний захист вашого бізнесу від будь-яких претензій, нападків та штрафів з боку контролюючих органів.

Вивчайте Закони.

Не читайте – а вивчайте.

Це ваша гарантія безпеки!