Нужно ли удерживать НДФЛ при выплате компенсации за утечку персональных данных?

Документ – письмо ФНС России от 26 апреля 2024 г. № БС-4-11/5038@.

Любая организация, выплачивающая доход физическому лицу, признается налоговым агентом. Это значит, что она должна исчислить, удержать и перечислить НДФЛ с дохода физлица.

Статья 210 Налогового кодекса обязывает включать в налоговую базу по НДФЛ все доходы налогоплательщика, полученные им как в денежной, так и в натуральной форме, или право на распоряжение которыми у него возникло. К такому доходу относится и компенсация за утечку персональных данных.

НДФЛ с компенсации за утечку персональных данных

Оснований для освобождения от НДФЛ компенсации за утечку персональных данных нет.

Во-первых, статья 41 Налогового кодекса определяет доход как экономическую выгоду в денежной или натуральной форме, учитываемую в случае возможности ее оценки и в той мере, в которой такую выгоду можно оценить.

Во-вторых, данной компенсации нет в перечне доходов, не подлежащих обложению НДФЛ, содержится в статье 217 НК РФ.

Таким образом, денежная компенсация, которую выплачивают в связи с допущенной оператором утечкой персональных данных в качестве условия для снижения размера административного штрафа за соответствующее правонарушение, облагается НДФЛ в общем порядке.

На основании ст. 226 НК РФ организация, как налоговый агент, должна исчислить, удержать и уплатить сумму НДФЛ в бюджет.

Ставка налога общая – 13% (если доход превышает 5 млн. – ставка составляет 15%).

Например, компенсация за утечку персональных данных выплачена в размере 50 000 руб. НДФЛ нужно удержать и перечислить в размере 6500 руб. Физлицо «на руки» получает 43 500 руб.

НДФЛ нужно перечислить в следующие сроки:

• до 5 числа текущего месяца – с доходов, выплаченных с 23  по 31 (31) число предыдущего месяца;

• до 28 числа текущего месяца – с доходов, выплаченных с 1 по 22 число текущего месяца.

• в декабре особый период: НДФЛ, удержанный с 23  по 31 декабря нужно уплатить до 31 декабря.