Як перевірити електронну довідку про податкове резидентство та електронний підпис

Електронна довідка про податкове резидентство може бути повноцінною підставою для застосування міжнародного договору про уникнення подвійного оподаткування. Але платнику податків недостатньо просто отримати PDF-файл від нерезидента.

Важливо переконатися, що документ дійсно виданий компетентним органом іноземної держави, електронний підпис або електронна печатка є валідними, а сам документ не змінювався після підписання.

Особливої актуальності це питання набуло після позиції Верховного Суду у справі №160/5435/25, у якій суд визнав, що відсутність паперового оригіналу сама по собі не перешкоджає застосуванню міжнародного договору.

Перше правило: потрібен саме оригінальний електронний файл

Для належної перевірки бажано отримувати від нерезидента саме той електронний файл, який був сформований компетентним податковим органом.

Не слід ототожнювати:

• оригінальний електронний документ;
• скан паперової довідки;
• скріншот документа;
• PDF, повторно сформований або збережений отримувачем;
• фотографію паперового документа.

Якщо електронний файл був змінений після накладення підпису, криптографічна перевірка може показати, що його цілісність порушена.

Що саме треба перевірити

Надійна перевірка електронної довідки має охоплювати щонайменше три складові:

• походження документа – чи виданий він компетентним органом;
• електронний підпис або печатку – чи є вони чинними та довіреними;
• цілісність документа – чи не змінювався файл після підписання.

Як перевірити електронний підпис документа з ЄС

Для електронних документів, виданих у державах Європейського Союзу, можна використовувати інструменти перевірки електронних підписів, що працюють із європейською системою довірчих списків eIDAS.

Європейська комісія підтримує систему EU Trusted Lists, яка містить інформацію про кваліфікованих постачальників електронних довірчих послуг у державах ЄС. Саме ці списки використовуються для визначення довіреного статусу відповідних сертифікатів та послуг.

Для технічної перевірки можна використати Digital Signature Services (DSS) Європейської комісії. DSS підтримує перевірку електронних підписів і електронних печаток, зокрема у форматах PAdES, XAdES, CAdES та ASiC.

DSS Demonstration WebApp Європейської комісії

Що показує перевірка електронного підпису

Повноцінна перевірка електронного підпису дозволяє встановити:

• чи не змінювалися підписані дані після накладення підпису;
• чи був сертифікат підписувача чинним;
• чи не був сертифікат відкликаний;
• чи простежується ланцюжок сертифікації до довіреного центру;
• чи має сертифікат відповідний кваліфікований статус;
• хто є власником сертифіката;
• яким постачальником довірчих послуг видано сертифікат;
• яким був статус сертифіката на момент підписання.

Європейська комісія пояснює, що при валідації кваліфікованого електронного підпису перевіряється, зокрема, цілісність даних, чинність сертифіката, кваліфікований статус сертифіката та інші параметри, необхідні для підтвердження автентичності підпису.

Чому недостатньо просто відкрити PDF в Adobe Acrobat

Adobe Acrobat Reader також може перевіряти електронні підписи у PDF-файлах, і Європейська комісія прямо згадує його як один із можливих засобів перевірки PDF-документів.

Однак для податкових цілей доцільно не обмежуватися лише повідомленням програми на кшталт «Signature valid».

Практично краще отримати окремий звіт перевірки, який містить інформацію про сертифікат, його статус, довірчий ланцюжок та результат перевірки цілісності документа.

Важливий нюанс щодо DSS Європейської комісії

DSS є офіційно підтримуваним Європейською комісією програмним рішенням для створення та перевірки електронних підписів відповідно до стандартів eIDAS.

Водночас публічна DSS Demonstration WebApp має демонстраційний характер. Європейська комісія прямо зазначає, що цей вебінструмент призначений насамперед для тестування функцій DSS і не позиціонується як юридично гарантований сервіс валідації.

Тому для внутрішньої податкової процедури підприємства доцільно використовувати або професійний валідатор, який працює з eIDAS Trusted Lists, або зберігати максимально повний технічний звіт перевірки DSS.

Що означає «документ не змінювався після підписання»

Одне з ключових завдань електронного підпису – гарантувати цілісність документа.

Якщо після накладення електронного підпису хтось змінить текст документа, суму, дату, реквізити або інші підписані дані, це має бути виявлено під час криптографічної перевірки.

Саме тому електронний підпис дає значно більше інформації про автентичність документа, ніж звичайний скан паперової довідки.

Європейська система eSignature базується, зокрема, на перевірці цілісності підписаних даних та автентичності підпису.

Що зберігати українському платнику податків

Для захисту позиції підприємства під час майбутньої податкової перевірки бажано не обмежуватися лише самим сертифікатом резидентства.

До внутрішнього податкового файлу щодо нерезидента варто включити:

• оригінальний електронний файл сертифіката резидентства;
• звіт про перевірку електронного підпису або електронної печатки;
• інформацію про сертифікат підписувача;
• дату проведення перевірки;
• інформацію про постачальника довірчих послуг;
• за можливості – підтвердження його статусу у відповідному Trusted List;
• переклад документа українською мовою;
• документи щодо апостиля або легалізації, якщо вони необхідні;
• інші документи, які підтверджують право на застосування конкретного міжнародного договору.

Чому звіт перевірки краще зберігати одразу

Податкова перевірка може відбутися через декілька років після здійснення виплати нерезиденту.

На цей момент строк дії сертифіката електронного підпису вже може завершитися, сам сертифікат може бути відкликаний, а інформація у довірчих списках – змінитися.

Сучасні системи валідації враховують не лише поточний статус сертифіката, а й його статус на момент підписання. DSS, зокрема, будує сертифікаційний шлях до довіреного джерела та аналізує статус сертифіката у відповідні моменти часу.

Тому зберігання результату перевірки одночасно з отриманням довідки суттєво спрощує майбутнє підтвердження правомірності застосування міжнародного договору.

Практичний алгоритм для бухгалтера або юриста

1. Отримати від нерезидента оригінальний електронний файл.
2. Перевірити, який орган видав сертифікат резидентства.
3. Перевірити, чи є цей орган компетентним органом відповідної держави.
4. Перевірити електронний підпис або електронну печатку.
5. Переконатися, що документ не змінювався після підписання.
6. Перевірити сертифікат підписувача та довірчий ланцюжок.
7. Зберегти звіт перевірки.
8. Перевірити вимоги щодо перекладу, апостиля або легалізації.
9. Окремо перевірити всі інші умови застосування міжнародного договору.

Головний висновок

Електронний сертифікат податкового резидентства не варто оцінювати лише за тим, як він виглядає на екрані.

Його перевага саме в тому, що походження документа, цілісність та підпис можуть бути перевірені технічними засобами.

Для українського платника податків оптимальний підхід виглядає так:

оригінальний електронний сертифікат → перевірка підпису → перевірка Trusted List → звіт валідації → переклад та інші необхідні документи → застосування міжнародного договору.

Допомога «Компанії Вікторія»

Фахівці «Компанії Вікторія» можуть перевірити документи нерезидента до здійснення виплати та визначити, чи достатньо їх для застосування міжнародного договору.

Ми допомагаємо:

• перевірити сертифікат податкового резидентства;
• перевірити електронний формат документа;
• оцінити результат перевірки електронного підпису;
• визначити вимоги щодо перекладу та легалізації;
• проаналізувати міжнародний договір;
• перевірити ставку податку на доходи нерезидента;
• оцінити інші умови застосування податкової пільги.

Перевірити електронний документ до виплати нерезиденту завжди простіше, ніж доводити його належність через декілька років під час податкової перевірки.