Taki wniosek płynie z wyroku WSA w Łodzi z 14 grudnia 2017 r. (I SA/Łd 840/17). To pierwsze z kilku równie kontrowersyjnych rozstrzygnięć w istotnych dla przedsiębiorców sprawach, które wybrali i skomentują w krótkim cyklu eksperci ALTO.
Cyberprzestępczość to realne zagrożenie praktycznie dla przedsiębiorcy, który komunikuje się ze swoimi kontrahentami elektronicznie bądź dokonuje przelewów w elektronicznych systemach bankowych. Zatem w praktyce grupa przedsiębiorców całkowicie bezpiecznych będzie nieliczna. Nie ma wątpliwości, że wymaganą od przedsiębiorcy aktywnością jest podejmowanie konkretnych działań, które mają na celu uniemożliwienie przeprowadzenia skutecznego ataku przez hakerów. Nikt jednak nie wie, jakie konkretne działania przedsiębiorca powinien podjąć, aby nie spotkał się z zarzutem, że jednak nie dochował należytej staranności. Problemu nie rozwiąże wyrok łódzkiego sądu.
Złodzieje zmienili numer konta
W sprawie rozpatrywanej przez WSA w Łodzi, hakerom udało się włamać na konto bankowe i zmienić numer rachunku bankowego jednego z kontrahentów spółki. W ten sposób, zlecony przelew trafił na konto złodziei. Spółka, dokonując przelewu, korzystała z danych zdefiniowanych w systemie bankowym, nie weryfikowała każdorazowo numeru rachunku bankowego. Jednocześnie jednak pracownicy stosowali wiele systemów zabezpieczających przed atakiem – programy antywirusowe, wewnętrzne procedury zabezpieczające, hasła.
Sprawdzanie za każdym razem
Sąd uznał, że gdy spółka reguluje płatność przelewem bankowym, upoważniony pracownik spółki powinien ustalić, czy zawarte w przelewie dane odpowiadają aktualnym danym odbiorcy wynikającym z faktury lub innego dokumentu. Jednokrotne zdefiniowanie szablonu przelewu i jego powielanie przy realizacji kolejnych płatności nie pozwala na uznanie, że przedsiębiorca dochował należytej staranności. Gdyby bowiem szablon przelewu każdorazowo podlegał sprawdzeniu pod względem zawartych w nim danych, prawdopodobieństwo wystąpienia takiej sytuacji byłoby zmniejszone. W ocenie sądu, od profesjonalisty, jakim niewątpliwie jest podmiot prowadzący działalność gospodarczą, wymaga się dochowania należytej staranności na każdym etapie jej prowadzenia.
Skoro zatem przedsiębiorca nie dochował należytej staranności przy zleceniu przelewów w systemie bankowym, to skradzione mu środki nie mogą być zaliczone do kosztów uzyskania przychodów.
