Z przestępcami nie powinno się wchodzić w alianse. Nie można z nimi zawrzeć prawnie skutecznej umowy o okup i zaliczyć go do kosztów uzyskania przychodów. Takie są wnioski z odpowiedzi Ministerstwa Finansów na pytanie „Rzeczpospolitej”.
O podatkowych aspektach rozliczeń z cyberprzestępcami pisaliśmy 5 grudnia. Powoływaliśmy się na dane firmy Veeam, z których wynika, że aż osiem na dziesięć zaatakowanych przez hakerów podmiotów płaci im okup. Czy można go zaliczyć do kosztów uzyskania przychodów? Wypowiadający się w tekście eksperci twierdzili, że jest spełniony podstawowy warunek z art. 15 ust. 1 ustawy o CIT (art. 22 ust. 1 ustawy o PIT) – wydatek ma związek z biznesem. Przedsiębiorca po to przecież płaci hakerom, aby cofnąć skutki ich ataku, np. odzyskać skradzione dane i zapobiec ich upublicznianiu, odblokować systemy czy wręcz móc wznowić działalność.
Czytaj więcej
Fiskus zgadza się na ujęcie w kosztach środków skradzionych w wyniku ataku hakerskiego. Zdarzenie powinno być jednak wyjątkowe, niemożliwe do uniknięcia i każdorazowo ocenione m.in. w aspekcie podjętych działań zabezpieczających.
Wydatek da się też udokumentować. Wprawdzie przedsiębiorca raczej nie dostanie faktury, ale w orzecznictwie oraz interpretacjach wielokrotnie wskazywano, że koszt może być udokumentowany innymi dowodami. Mogą to być wewnętrzne protokoły opisujące szczegóły ataku, korespondencja z hakerami, zgłoszenie przestępstwa na policję i do GIODO, przelewy.
Eksperci podkreślali też, że największą przeszkodą w rozliczaniu okupu jest art. 16 ust. 1 pkt 66 ustawy o CIT (oraz art. 23 ust. 1 pkt 61 ustawy o PIT). Przepis ten stanowi, że nie są kosztem wydatki (oraz przekazane rzeczy, prawa bądź wykonane usługi) wynikające z czynności, które nie mogą być przedmiotem prawnie skutecznej umowy. I właśnie na tę regulację powołało się Ministerstwo Finansów. „Wydatki poniesione przez przedsiębiorcę na okup zapłacony hakerom, dzięki czemu skutki ich ataku zostaną cofnięte, nie mogą zostać uznane za koszt uzyskania przychodu. Tego rodzaju czynności nie mogą bowiem stanowić przedmiotu prawnie skutecznej umowy” – napisało w odpowiedzi na pytanie „Rzeczpospolitej”.
