0112-KDSL1-2.4011.508.2026.3.BR

Interpretacja indywidualna – stanowisko w części prawidłowe i w części nieprawidłowe

Szanowny Panie,

stwierdzam, że Pana stanowisko w sprawie oceny skutków podatkowych opisanych stanów faktycznych w zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne jest :

-     prawidłowe – w zakresie stawki ryczałtu w wyskości 8,5% dla: Usług Inspektora Ochrony Danych (IOD); Usług obsługi punktu przyjmowania zgłoszeń od sygnalistów; Usług w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji oraz w zakresie stawki ryczałtu w wyskości 12% dla Usług audytu bezpieczeństwa informacji (dla audytów IT) oraz

-     nieprawidłowe – w zakresie opodatkowana stawką 8,5%, w myśl art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne świadczonych Usług szkoleniowych z ochrony danych i bezpieczeństwa informacji oraz w zakresie stawki ryczałtu w wyskości 12% dla Usług audytu bezpieczeństwa informacji (dla audytów Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych).

Zakres wniosku o wydanie interpretacji indywidualnej

19 czerwca 2026 r. wpłynął Pana wniosek z 19 czerwca 2026 r. o wydanie interpretacji indywidualnej. Uzupełnił go Pan pismami z 24 lipca 2026 r. (wpływ 24 lipca 2026 r.), z 17 sierpnia 2026 r. (wpływ 17 sierpnia 2026 r.) oraz z 24 sierpnia 2026 r. (wpływ 24 sierpnia 2026 r.) – w odpowiedzi na wezwania. Treść wniosku jest następująca:

Opis stanów faktycznych

Wnioskodawca jest osobą fizyczną prowadzącą jednoosobową działalność gospodarczą.

Wnioskodawca posiada nieograniczony obowiązek podatkowy na terytorium Rzeczypospolitej Polskiej i jako formę opodatkowania prowadzonej działalności wybrał ryczałt od przychodów ewidencjonowanych.

W ramach prowadzonej działalności Wnioskodawca świadczy usługi doradcze, audytowe i szkoleniowe, w szczególności z zakresu ochrony danych osobowych oraz bezpieczeństwa informacji.

Wykaz świadczonych przez Wnioskodawcę usług obejmuje:

1.  Usługi Inspektora Ochrony Danych (IOD) – klasyfikowane w PKD pod kodem 74.99 (według PKWiU z 2015 r.: 74.90.20.0). Zakres czynności zgodnie z treścią zawartych umów obejmuje w szczególności monitorowanie przestrzegania przepisów o ochronie danych osobowych w Spółce, podejmowanie działań zwiększających świadomość personelu Spółki w obszarze ochrony danych osobowych, w tym prowadzenie szkoleń i audytów, udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania, współpraca z Urzędem Ochrony Danych Osobowych i pełnienie funkcji punktu kontaktowego dla tego Urzędu, wsparcie Spółki w pozyskiwaniu wymaganych certyfikatów, research prawny. Zgodnie z zawartymi umowami o współpracy usługi te nie stanowią doradztwa a świadczenie usług Inspektora Ochrony Danych. Wnioskodawca nie posiada uprawnień do wykonywania zawodu adwokata, ani radcy prawnego i żadna z umów, których jest stroną nie przewiduje, aby miał świadczyć usługi przeznaczone dla adwokatów lub radców prawnych.

2.  Usługi obsługi punktu przyjmowania zgłoszeń od sygnalistów – klasyfikowane w PKD pod kodem 74.99 (według PKWiU z 2015 r.: 74.90.20.0). Obejmują one niezależne przyjmowanie zgłoszeń o naruszeniach prawa, prowadzenie rejestrów oraz wstępną weryfikację zgłoszeń zgodnie z dyrektywą o sygnalistach i prawem krajowym.

3.  Usługi w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji – klasyfikowane w PKD pod kodem 74.99 (według PKWiU z 2015 r.: 74.90.20.0). Usługi te polegają na tworzeniu polityk bezpieczeństwa, regulaminów, instrukcji, planów ciągłości działania oraz procedur reagowania na incydenty.

4.  Usługi audytu bezpieczeństwa informacji – klasyfikowane w PKD pod kodem 62.20A (według PKWiU z 2015 r.: 62.02.20.0 dla audytów IT oraz 74.90.20.0 dla audytów Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych). Obejmują badanie systemów informatycznych i procesów przetwarzania danych pod kątem podatności na zagrożenia oraz zgodności z normami bezpieczeństwa (np. ISO 27001) i przepisami prawa.

5.  Usługi szkoleniowe z ochrony danych i bezpieczeństwa informacji – klasyfikowane w PKD pod kodem 85.59.D (według PKWiU z 2015 r.: 85.59.19.0).

Wnioskodawca zaznacza, że jego działalność nie obejmuje świadczenia usług związanych z wydawaniem pakietów oprogramowania systemowego, oprogramowania użytkowego czy oprogramowania komputerowego pobieranego z Internetu (PKWiU ex 58.29). Wnioskodawca nie świadczy również usług w zakresie projektowania i rozwoju technologii informatycznych, pisania kodu czy tworzenia oprogramowania.

W piśmie z 24 lipca 2026 r. stanowiącym uzupełnienie wniosku, udzielił Pan następujących odpowiedzi na zawarte w wezwaniu pytania:

1.  Czy prowadzona przez Pana działalność gospodarcza była/jest działalnością usługową w myśl art. 4 ust. 1 pkt 1 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (t. j. Dz. U. z 2025 r. poz. 843 ze zm.)?

Odp. Tak, prowadzona przez Wnioskodawcę działalność gospodarcza jest działalnością usługową w myśl art. 4 ust. 1 pkt 1 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (t. j. Dz. U. z 2025 r. poz. 843 ze zm.). Wykonywane przez Wnioskodawcę czynności mają charakter pozarolniczej działalności gospodarczej, której przedmiotem są czynności zaliczone do usług zgodnie z Polską Klasyfikacją Wyrobów i Usług.

2.  W związku z tym, że w opisie stanu faktycznego używając wyrażenia „Zakres czynności zgodnie z treścią zawartych umów obejmuje w szczególności” wskazuje Pan tylko na niektóre z czynności, które wykonywał/wykonuje Pan w ramach świadczonych Usług Inspektora Ochrony Danych (IOD) klasyfikowanych do PKWiU 74.90.20.0:

proszę wyjaśnić, czy ww. przez Pana czynności stanowią katalog zamknięty czynności, które wykonywał/wykonuje Pan w ramach świadczonych Usług Inspektora Ochrony Danych (IOD)?

Jeśli odpowiedź na powyższe pytanie jest twierdząca, proszę opisać na czym dokładnie polegały/polegają czynności wykonywane przez Pana w ramach świadczonych Usług Inspektora Ochrony Danych (IOD), tj. w zakresie:

a)  monitorowania przestrzegania przepisów o ochronie danych osobowych w Spółce,

b)  podejmowania działań zwiększających świadomość personelu spółki w obszarze ochrony danych osobowych, w tym prowadzenie szkoleń i audytów,

c)  udzielania na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania,

d)  współpracy z Urzędem Ochrony Danych Osobowych i pełnienie funkcji punktu kontaktowego dla tego Urzędu,

e)  wsparcia spółki w pozyskiwaniu wymaganych certyfikatów,

f)   research’u prawnego.

Proszę o ich wyczerpujące scharakteryzowanie, tj. opisanie:

a)  na czym konkretnie polegały/polegają te czynności i jakie dokładnie zadania/działania realizował/będzie Pan realizował w ramach tych czynności?

b)  czego dotyczyły/dotyczą?

c)  jaki był/jest ich zakres?

d)  jaki konkretny cel realizowały/realizują?

e)  co było/jest ich efektem?

f)   w jaki sposób efekty te wykorzystywał/wykorzystuje Zleceniodawca?

Proszę o oddzielną charakterystykę w odniesieniu do każdej z sześciu wykonywanych przez Pana czynności wyżej wymienionych w lit. a-f.

Odp. Wskazane we wniosku i zacytowane w wezwaniu czynności stanowić będą katalog zamknięty czynności, które Wnioskodawca wykonuje w ramach świadczonych Usług Inspektora Ochrony Danych (IOD) klasyfikowanych do PKWiU 74.90.20.0. Wnioskodawca poniżej przedstawia ich wyczerpującą charakterystykę:

1)  monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków

a)  na czym polega: działanie to polega na systematycznym, metodycznym weryfikowaniu zgodności procesów przetwarzania danych osobowych funkcjonujących u Zleceniodawcy z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz jego wewnętrznymi politykami (wymóg z art. 39 ust. 1 lit. b RODO);

b)  czego dotyczy: wszelkich zachodzących w Spółce procesów biznesowych (np. HR, księgowość, marketing, IT), w ramach których dochodzi do operacji na danych osobowych;

c)  zakres: obejmuje planowanie i przeprowadzanie audytów okresowych, przeglądy systemów teleinformatycznych pod kątem uprawnień, weryfikację Rejestru Czynności Przetwarzania (RCP) oraz nadzorowanie powierzeń danych (art. 28 RODO);

d)  cel: wczesna identyfikacja naruszeń lub obszarów ryzyka (luki w zgodności), zapewnienie bezpieczeństwa danych oraz uniknięcie nakładania na Zleceniodawcę administracyjnych kar pieniężnych przez organ nadzorczy;

e)  efekt: pisemne raporty compliance, protokoły z przeprowadzonych weryfikacji oraz formalne rekomendacje pokontrolne wskazujące konieczne działania korygujące;

f)   wykorzystanie: Zleceniodawca (Kierownictwo Spółki) wykorzystuje raporty do podejmowania wiążących decyzji zarządczych w celu uszczelnienia środowiska przetwarzania oraz wykazania zasady rozliczalności prawnej.

2)  podejmowanie działań zwiększających świadomość personelu, w tym prowadzenie szkoleń i audytów

a)  na czym polega: na projektowaniu akcji edukacyjnych, budowaniu programu podnoszenia świadomości (security awareness) oraz prowadzeniu merytorycznych zajęć szkoleniowych;

b)  czego dotyczy: pracowników, kadry zarządzającej oraz współpracowników B2B posiadających dostęp do danych osobowych przetwarzanych przez Spółkę;

c)  zakres: opracowywanie agend szkoleniowych, dostarczanie materiałów edukacyjnych (wytycznych, procedur typu „clean desk policy”), edukacja w obszarze ataków socjotechnicznych (np. phishing) oraz rygorów nakładanych przez RODO z 2016 r.;

d)  cel: minimalizacja ryzyka naruszeń wynikających z błędu ludzkiego (czynnik human factor), poprzez zapewnienie, by każdy pracownik znał zasady bezpiecznego posługiwania się powierzonymi danymi;

e)  efekt: przeszkolony personel dysponujący merytoryczną wiedzą oraz udokumentowane materiały szkoleniowe, listy obecności, ewentualnie certyfikaty dla pracowników;

f)   wykorzystanie: Zleceniodawca wykorzystuje te efekty, by spełnić wymóg nałożony w art. 39 ust. 1 lit. b RODO wobec personelu i obniżyć ogólne ryzyko incydentów bezpieczeństwa z winy pracownika.

3)  udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych (DPIA) oraz monitorowanie wykonania

a)  na czym polega: na doradztwie metodycznym i merytorycznym wsparciu podczas prowadzonych przez administratora szacowań ryzyka dla nowych procesów wysokiego ryzyka (np. wdrażanie nowych systemów IT);

b)  czego dotyczy: nowo planowanych technologii, systemów, procesów profilowania lub przetwarzania danych wrażliwych;

c)  zakres: weryfikacja formularzy DPIA, badanie adekwatności proponowanych zabezpieczeń i procedur minimalizacji ryzyka oraz nadzór nad wdrożeniem zaleceń (zgodnie z art. 35 RODO);

d)  cel: realizacja zasady privacy by design i privacy by default oraz zapewnienie, że wdrożenie nowego narzędzia nie zagraża prawom i wolnościom osób fizycznych;

e)  efekt: pisemne opinie, zrewidowane i uzupełnione szacowania ryzyka (DPIA) oraz rekomendacje odnośnie konieczności konsultacji z Urzędem Ochrony Danych Osobowych;

f)   wykorzystanie: Zleceniodawca posiłkuje się opinią IOD w procesie decyzyjnym, decydując o zakupie, wdrożeniu bądź wstrzymaniu danego projektu technologicznego/biznesowego.

4)  współpraca z Urzędem Ochrony Danych Osobowych (UODO) i pełnienie funkcji punktu kontaktowego

a)  na czym polega: na oficjalnym, sformalizowanym reprezentowaniu Zleceniodawcy w kontaktach z krajowym organem nadzorczym we wszelkich kwestiach dotyczących naruszeń i prowadzonych procedur kontrolnych;

b)  czego dotyczy: wystąpień UODO, oficjalnych zawiadomień o naruszeniach (art. 33 RODO z 2016 r.) oraz skarg wnoszonych przez obywateli do Urzędu;

c)  zakres: udzielanie pisemnych wyjaśnień, prowadzenie korespondencji urzędowej, nadzór nad terminowym odpowiadaniem na pisma regulatora;

d)  cel: sprawna, merytoryczna i terminowa współpraca z regulatorem, chroniąca Zleceniodawcę przed zarzutem braku współdziałania (co stanowi oddzielną podstawę nałożenia kary administracyjnej);

e)  efekt: gotowe odpowiedzi pism urzędowych, poprawnie przygotowane i wysłane formularze zgłoszeń naruszeń;

f)   wykorzystanie: Zleceniodawca wykorzystuje tę usługę, zdejmując z własnych organów zarządczych ciężar bezpośredniego, wysoce specyficznego technicznie i prawnie dyskursu z urzędem państwowym.

5)  wsparcie Spółki w pozyskiwaniu wymaganych certyfikatów

a)  na czym polega: na przedaudytowym przeglądzie istniejącej u Zleceniodawcy dokumentacji z zakresu zabezpieczeń fizycznych i technicznych;

b)  czego dotyczy: weryfikacji norm standaryzacyjnych (np. z rodziny ISO/IEC 27000);

c)  zakres: analiza luk (gap analysis) pomiędzy stanem faktycznym a wymogami konkretnej normy, przegląd gotowości organizacyjnej;

d)  cel: upewnienie się, że organizacja jest w gotowości poddać się formalnej certyfikacji zewnętrznej;

e)  efekt: zestawienie niezgodności (non-conformities) oraz propozycje ich mitygacji;

f)   wykorzystanie: Zleceniodawca koryguje niedoskonałości przed wezwaniem zewnętrznej instytucji certyfikującej, oszczędzając tym samym koszty nietrafionych audytów rynkowych.

6)  research prawny

a)  na czym polega: na stałym monitorowaniu zmieniających się interpretacji norm prawnych, wytycznych organów doradczych i orzecznictwa w zakresie ochrony danych osobowych;

b)  czego dotyczy: Ochrony Danych Osobowych, wykładni przepisów RODO z 2016 r., wytycznych Europejskiej Rady Ochrony Danych (EROD), decyzji administracyjnych Prezesa UODO oraz orzecznictwa NSA i TSUE;

c)  zakres: analiza tekstu aktów prawnych, synteza wniosków z orzecznictwa i stanowisk doktryny prawnej pod kątem działalności Spółki;

d)  cel: dostarczenie Zleceniodawcy poprawnej wiedzy interpretacyjnej, aby stosowane mechanizmy ochrony nadążały za najbardziej aktualnym stanem prawnym (tzw. regulatory compliance);

e)  efekt: zwięzłe notatki eksperckie, biuletyny informacyjne lub wskazówki implementacyjne dla wybranych procesów;

f)   wykorzystanie: Zleceniodawca wykorzystuje dostarczony research, opierając swoje decyzje w zakresie zmian polityk wewnętrznych na rzetelnych podstawach prawnych, unikając w ten sposób „martwych” procedur, które nie odpowiadają wymogom nadzoru.

3.  Proszę opisać na czym dokładnie polegały/polegają czynności wykonywane przez Pana w ramach świadczonych Usług obsługi punktu przyjmowania zgłoszeń od sygnalistów klasyfikowanych do PKWiU 74.90.20.0, tj. w zakresie:

a)  niezależnego przyjmowania zgłoszeń o naruszeniach prawa,

b)  prowadzenia rejestrów,

c)  wstępnej weryfikacji zgłoszeń zgodnie z dyrektywą o sygnalistach i prawem krajowym.

Proszę o ich wyczerpujące scharakteryzowanie, tj. opisanie:

a)  na czym konkretnie polegały/polegają te czynności i jakie dokładnie zadania/działania realizował/realizuje Pan w ramach tych czynności?

b)  czego dotyczyły/dotyczą?

c)  jaki był/jest ich zakres?

d)  jaki konkretny cel realizowały/realizują?

e)  co było/jest ich efektem?

f)   w jaki sposób efekty te wykorzystywał/wykorzystuje Zleceniodawca?

Proszę o oddzielną charakterystykę w odniesieniu do każdej z trzech wykonywanych przez Pana czynności wyżej wymienionych w lit. a-c.

Odp. Obsługa punktu przyjmowania zgłoszeń od sygnalistów (PKWiU 74.90.20.0)

1)  niezależne przyjmowanie zgłoszeń o naruszeniach prawa:

a)  na czym polega: stanowi fizyczną i proceduralną obsługę dedykowanych, poufnych kanałów raportowania (np. specjalne skrzynki mailowe);

b)  czego dotyczy: sygnałów zgłaszanych przez tzw. sygnalistów na temat ewentualnych nadużyć, naruszeń przepisów krajowych lub unijnych u Zleceniodawcy;

c)  zakres: odbieranie zgłoszeń z zapewnieniem ścisłej poufności nadawcy;

d)  cel: zapewnienie funkcjonowania transparentnego, wymaganego ustawą kanału powiadamiania o nieprawidłowościach (whistleblowing);

e)  efekt: bezpiecznie przyjęte zgłoszenie z zachowaną integralnością danych sygnalisty;

f)   wykorzystanie: Zleceniodawca spełnia obowiązek ustawowy dotyczący stworzenia bezpiecznego środowiska zgłaszania nadużyć, bez narażania sygnalisty na działania odwetowe.

2)  prowadzenie rejestrów:

a)  na czym polega: na ewidencjonowaniu każdego wpływającego zgłoszenia oraz aktualizowaniu jego statusu procesowego w ramach tzw. rejestru zgłoszeń wewnętrznych;

b)  czego dotyczy: metadanych o przyjętych zgłoszeniach (daty, kategorie nadużyć, podjęte środki następcze);

c)  zakres: rzetelne prowadzenie ewidencji zgodnie z wymogami polskiej ustawy o ochronie sygnalistów i Dyrektywy (UE) 2019/1937;

d)  cel: zapewnienie pełnej rozliczalności procesu i chronologii prowadzonych działań zaradczych;

e)  efekt: uzupełniony rejestr spraw pozwalający na audyt przebiegu obsługi każdego zgłoszenia;

f)   wykorzystanie: Zleceniodawca w razie ewentualnej kontroli Państwowej Inspekcji Pracy lub innego organu jest w stanie błyskawicznie wykazać historię operacji na danym zgłoszeniu.

3)  wstępna weryfikacja zgłoszeń:

a)  na czym polega: na rzetelnej ocenie formalnej napływającego materiału – m.in. sprawdzeniu, czy doniesienie mieści się w zamkniętym katalogu naruszeń prawa objętym wymogami ustawy o sygnalistach;

b)  czego dotyczy: wyłącznie warstwy formalnej i podstaw merytorycznych samego zgłoszenia (np. z pominięciem prywatnych sporów pracowniczych);

c)  zakres: klasyfikacja merytoryczna zgłoszenia, korespondencja zwrotna do sygnalisty celem uzupełnienia braków formalnych, decyzja o przekazaniu sprawy do wewnętrznej komisji wyjaśniającej;

d)  cel: odsianie zgłoszeń fałszywych, błędnych lub niemieszczących się w reżimie prawnym o sygnalistach (tzw. triage zgłoszeniowy);

e)  efekt: notatka z klasyfikacji, paczka zweryfikowanych dowodów przygotowana do dalszego postępowania;

f)   wykorzystanie: Zleceniodawca nie marnuje zasobów wewnętrznych i czasu komisji na zajmowanie się sprawami, które nie kwalifikują się jako naruszenia objęte ustawą o sygnalistach.

4.  Proszę opisać na czym dokładnie polegały/polegają czynności wykonywane przez Pana w ramach świadczonych Usług w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji klasyfikowanych do PKWiU 74.90.20.0, tj. w zakresie:

a)  tworzenia polityki bezpieczeństwa,

b)  tworzenia regulaminów,

c)  tworzenia instrukcji,

d)  tworzenia planów ciągłości działania;

e)  tworzenia procedur reagowania na incydenty.

Proszę o ich wyczerpujące scharakteryzowanie, tj. opisanie:

a)  na czym konkretnie polegały/polegają te czynności i jakie dokładnie zadania/działania realizował/realizuje Pan w ramach tych czynności?

b)  czego dotyczyły/dotyczą?

c)  jaki był/jest ich zakres?

d)  jaki konkretny cel realizowały/realizują?

e)  co było/jest ich efektem?

f)   w jaki sposób efekty te wykorzystywał/wykorzystuje Zleceniodawca?

Proszę o oddzielną charakterystykę w odniesieniu do każdej z pięciu wykonywanych przez Pana czynności wyżej wymienionych w lit. a-e.

Odp. Opracowywanie i wdrażanie dokumentacji bezpieczeństwa informacji (PKWiU 74.90.20.0) We wszystkich niżej opisanych literach (a-e), czynności polegają na precyzyjnym formułowaniu organizacyjnych dokumentów wyznaczających i określających reguły zarządzania. Nie dotyczy to w żadnym zakresie pisania oprogramowania, czy ingerencji w kod źródłowy u Zleceniodawcy.

1)  tworzenie polityki bezpieczeństwa:

a)  na czym polega: redagowaniu strategicznego dokumentu normującego architekturę bezpieczeństwa i główne założenia ochrony informacji w podmiocie;

b)  czego dotyczy: całej struktury organizacyjnej Zleceniodawcy;

c)  zakres: mapowanie procesów, definiowanie ról w organizacji, przypisywanie odpowiedzialności;

d)  cel: utworzenie głównego aktu prawnego wewnątrz organizacji (konstytucji bezpieczeństwa);

e)  efekt: sformalizowany, edytowalny dokument Polityki Bezpieczeństwa Informacji;

f)   wykorzystanie: Zleceniodawca zatwierdza go uchwałą/zarządzeniem jako fundament Systemu Zarządzania Bezpieczeństwem Informacji (SZBI).

2)  tworzenie regulaminów:

a)  na czym polega: projektowaniu szczegółowych reguł porządkowych (np. Regulamin pracy zdalnej, Regulamin korzystania z powierzonego sprzętu);

b)  czego dotyczy: zasad postępowania w określonych środowiskach lub przy wykorzystaniu konkretnych narzędzi;

c)  zakres: określenie praw i zakazów dla personelu;

d)  cel: ustandaryzowanie rutynowych zachowań pracowników tak, by eliminować incydenty;

e)  efekt: gotowe regulaminy do dystrybucji wśród pracowników;

f)   wykorzystanie: Zleceniodawca załącza je pracownikom do obowiązkowego zapoznania się pod podpisem.

3)  tworzenie instrukcji:

a)  na czym polega: spisywaniu procedur operacyjnych krok-po-kroku (np. Instrukcja nadawania uprawnień, Instrukcja kryptograficzna, Instrukcja niszczenia nośników);

b)  czego dotyczy: konkretnych operacji powtarzalnych wykonywanych przez np. dział IT lub archiwum;

c)  zakres: precyzyjne zdefiniowanie metodyki technicznej wykonywania działań chroniących informacje;

d)  cel: eliminacja improwizacji operacyjnej przy czynnościach krytycznych dla ochrony danych;

e)  efekt: sformalizowana instrukcja techniczno-organizacyjna;

f)   wykorzystanie: Zleceniodawca przekazuje ją bezpośrednim wykonawcom procedury (np. Administratorom Systemów Informatycznych – ASI).

4)  tworzenie planów ciągłości działania (BCP):

a)  na czym polega: analizie potencjalnych katastrof (BIA – Business Impact Analysis) i zaprojektowaniu mechanizmów przywracania działalności biznesowej;

b)  czego dotyczy: procesów krytycznych podmiotu, w tym systemów teleinformatycznych i zaplecza budynkowego;

c)  zakres: scenariusze awaryjne (np. ransomware, pożar, powódź), ścieżki powiadamiania (call trees), szacowanie czasów odzyskania sprawności (RTO/RPO);

d)  cel: zagwarantowanie przetrwania organizacji w warunkach sytuacji kryzysowej;

e)  efekt: Dokument Planu Ciągłości Działania (BCP – Business Continuity Plan);

f)   wykorzystanie: Zleceniodawca w przypadku awarii krok po kroku wdraża procedurę z BCP, aby odtworzyć procesy i nie stracić płynności finansowej.

5)  tworzenie procedur reagowania na incydenty (IRP):

a)  na czym polega: opracowaniu ram postępowania w przypadku zidentyfikowania skutecznego ataku lub wycieku danych;

b)  czego dotyczy: wystąpienia naruszenia fizycznego lub incydentu teleinformatycznego u Zleceniodawcy;

c)  zakres: powoływanie zespołu reagowania, ścieżki eskalacji, zatrzymanie ataku (containment), eradykacja, odtworzenie i komunikacja poufna na zewnątrz;

d)  cel: uporządkowanie działań powłamaniowych zapobiegające chaosowi decyzyjnemu oraz potęgowaniu strat operacyjnych;

e)  efekt: dokument określający taktykę zarządzania incydentem (Incident Response Plan);

f)   wykorzystanie: w przypadku incydentu zarząd Zleceniodawcy postępuje natychmiastowo zgodnie z ustalonym uprzednio schematem w dokumencie.

5.  Jakie dokładnie czynności wykonywał/wykonuje Pan w ramach świadczonych Usług audytów bezpieczeństwa informacji klasyfikowanych do PKWiU 62.02.20.0 (dla audytów IT)?

Proszę o ich wyczerpujące scharakteryzowanie, tj. opisanie:

a)  na czym konkretnie polegały/polegają te czynności i jakie dokładnie zadania/działania realizował/realizuje Pan w ramach tych czynności?

b)  czego dotyczyły/dotyczą?

c)  jaki był/jest ich zakres?

d)  jaki konkretny cel realizowały/realizują?

e)  co było/jest ich efektem?

f)   w jaki sposób efekty te wykorzystywał/wykorzystuje Zleceniodawca?

Odp. Usługi audytów bezpieczeństwa informacji sklasyfikowane do PKWiU 62.02.20.0 (Audyty IT):

a)  na czym polegają: na niezależnej, technicznej ocenie środowiska systemowego poprzez aktywne, zautomatyzowane lub manualne metody weryfikacji sprzętu i oprogramowania (np. skanowanie podatności przy wykorzystaniu specjalistycznych skanerów sieciowych, weryfikacja logów). Wnioskodawca podkreśla, że usługi te objęte są symbolem dotyczącym sprzętu/oprogramowania (PKWiU 62.02.20.0), jednakże polegają one tylko na audytowaniu (badaniu parametrów technicznych i raportowaniu luk z punktu widzenia standardów w IT), a nie na wytwarzaniu nowej architektury czy pisaniu kodu;

b)  czego dotyczą: zastanej infrastruktury teleinformatycznej Zleceniodawcy – serwerów, oprogramowania serwerowego, sieci LAN/WAN i systemów bazodanowych;

c)  zakres: badanie wektorów ataku, identyfikacja niespatchowanego oprogramowania (braki aktualizacji), audyt siły polityk hasłowych wymuszanych w domenie (np. w systemach Active Directory);

d)  cel: wskazanie dziur i podatności infrastruktury, zanim wykorzystają je cyberprzestępcy (hakerzy);

e)  efekt: szczegółowy raport z audytu IT z wylistowaniem zidentyfikowanych w systemach podatności technicznych oraz poziomem ich krytyczności (np. CVSS);

f)   wykorzystanie: Zleceniodawca przekazuje raport własnym zespołom IT, jako obiektywną podstawę do pilnego wdrożenia tzw. łat bezpieczeństwa (patch management).

6.  Jakie dokładnie czynności wykonywał/wykonuje Pan w ramach świadczonych Usług audytów bezpieczeństwa informacji klasyfikowanych do PKWiU 74.90.20.0 (dla audytów Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych)?

Proszę o ich wyczerpujące scharakteryzowanie, tj. opisanie:

a)  na czym konkretnie polegały/polegają te czynności i jakie dokładnie zadania/działania realizował/realizuje Pan w ramach tych czynności?

b)  czego dotyczyły/dotyczą?

c)  jaki był/jest ich zakres?

d)  jaki konkretny cel realizowały/realizują?

e)  co było/jest ich efektem?

f)   w jaki sposób efekty te wykorzystywał/wykorzystuje Zleceniodawca?

Odp. Usługi audytów bezpieczeństwa informacji sklasyfikowane do PKWiU 74.90.20.0 (Audyty KRI, normy ISO):

a)  na czym polegają: na obiektywnym badaniu dokumentacji zarządczej oraz ocenie warstwy formalno-prawnej i organizacyjnej podmiotu;

b)  czego dotyczą: dokumentów, wywiadów z personelem z polityk postępowania, weryfikacji świadomości procedur;

c)  zakres: wykonywanie testów typu „walk-through” (przejście przez procedurę wspólnie z pracownikiem np. przy niszczeniu dokumentów papierowych), przegląd rejestrów i zatwierdzonych polityk na zgodność z wymogami Rozporządzenia o Krajowych Ramach Interoperacyjności (KRI) lub normami rodziny ISO 27001;

d)  cel: poświadczenie dla podmiotu publicznego lub prywatnego, że jego zasady organizacji odpowiadają formalnym wymogom ustawowym (ustawa o informatyzacji, RODO z 2016 r.);

e)  efekt: raport ze stanu zgodności prawno-organizacyjnej, nie naruszający wprost technicznych aspektów infrastruktury;

f)   wykorzystanie: Zleceniodawca wykorzystuje raport, by poprawić procesy i wypełnić wynikający np. z KRI obowiązek przeprowadzania okresowego audytu organizacyjnego bezpieczeństwa.

7.  Czy świadczone przez Pana Usługi audytów bezpieczeństwa informacji klasyfikowane do PKWiU 62.02.20.0 dla audytów IT oraz 74.90.20.0 dla audytów Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych:

-     są wykonywane na rzecz jednego Zleceniodawcy?

-     są odrębnymi usługami, za które Zleceniodawca płaci Panu osobne wynagrodzenie za każdą z tych odrębnych usług, czy

-     są elementami jednego całościowego świadczenia, za które Zleceniodawca płaci Panu jedno wynagrodzenie?

Odp. Świadczone usługi audytów (PKWiU 62.02.20.0 oraz 74.90.20.0): mogą być świadczone na rzecz wielu odrębnych podmiotów rynkowych, z którymi Wnioskodawca zawiera oddzielne umowy, obie usługi natomiast mogą być wykonane na rzecz jednego Zleceniodawcy. W przypadku realizacji obu tych audytów u jednego Zleceniodawcy, są one odrębnymi usługami, mają odrębne cele, posługują się odrębnymi metodykami i w efekcie za każdą z nich Zleceniodawca płaci Wnioskodawcy wyodrębnione, poszczególne (osobne) wynagrodzenie.

8.  Czy Usługi audytów bezpieczeństwa informacji były/są świadczone na podstawie jednej umowy? Jeżeli tak, to jak było/jest określone w tej umowie wynagrodzenie?

Odp. Wynagrodzenie i umowy: wskazane Usługi audytów bezpieczeństwa informacji mogą być zlecane na podstawie jednego, ramowego kontraktu (umowy), bądź kilku umów rozłącznych. Jednakże – niezależnie od faktu czy jest to jedna kompleksowa umowa, czy nie – w treści umowy (lub specyfikacji) wynagrodzenie za poszczególne części składowe/usługi audytowe (np. audyt Bezpieczeństwa Informacji a techniczny audyt Bezpieczeństwa Teleinformatycznego) jest oddzielnie skalkulowane, odrębnie określone i wymiernie wycenione dla każdego z charakterów audytu z osobna.

9.     Czy na fakturach wystawionych na rzecz Pana Zleceniodawcy wyodrębniał/wyodrębnia Pan wynagrodzenie za każdą poszczególną Usługę audytów bezpieczeństwa informacji?

Odp. Wyodrębnienie na fakturach: Tak, na fakturach wystawionych na rzecz Zleceniodawcy Wnioskodawcy każdorazowo Wnioskodawca wyodrębniał i wyodrębnia wynagrodzenie za każdą poszczególną Usługę audytu bezpieczeństwa informacji odrębną pozycją. Osobna pozycja pojawia się na audyt IT (62.02.20.0) i osobna na audyt zgodności/organizacyjny (74.90.20.0).

10.  Proszę opisać na czym dokładnie polegały/polegają czynności wykonywane przez Pana w ramach świadczonych Usług szkoleniowych z ochrony danych i bezpieczeństwa informacji klasyfikowanych do PKWiU 85.59.19.0.

Proszę o ich wyczerpujące scharakteryzowanie, tj. opisanie:

a)  na czym konkretnie polegały/polegają te czynności i jakie dokładnie zadania/działania realizował/realizuje Pan w ramach tych czynności?

b)  czego dotyczyły/dotyczą?

c)  jaki był/jest ich zakres?

d)  jaki konkretny cel realizowały/realizują?

e)  co było/jest ich efektem?

f)   w jaki sposób efekty te wykorzystywał/wykorzystuje Zleceniodawca?

Odp. Usługi szkoleniowe z ochrony danych i bezpieczeństwa informacji (PKWiU 85.59.19.0):

a)  na czym polegają: na projektowaniu przekazu dydaktycznego oraz aktywnym przekazywaniu wiedzy teoretycznej i warsztatowej grupom odbiorców w formie fizycznej (na salach wykładowych) lub zdalnej (online);

b)  czego dotyczą: wiedzy o zagrożeniach w cyberprzestrzeni, regulacji z 2016 r. zawartych w przepisach RODO oraz zasadach z ustawy o ochronie sygnalistów, procedur wewnętrznych ochrony zasobów i bezpieczeństwa informacji;

c)  zakres: prowadzenie prelekcji, moderowanie symulacji (np. case studies), przeprowadzanie testów wiedzy kończących dane spotkanie szkoleniowe;

d)  cel: edukacja pozaszkolna zmierzająca do nabycia, aktualizacji lub podniesienia wiedzy oraz podniesienia unikalnych kwalifikacji u poszczególnych słuchaczy. Celem szkolenia jest nabycie nowej lub poszerzenie posiadanej wiedzy niezbędnej każdemu pracownikowi;

e)  efekt: zrealizowany panel edukacyjny potwierdzony podpisami uczestników szkolenia oraz wydanymi im zaświadczeniami/dyplomami potwierdzającymi pomyślne ukończenie kursu/szkolenia;

f)   wykorzystanie: Zleceniodawca zapewnia, że kadra pracownicza dysponuje niezbędną wiedzą dla poprawnego realizowania codziennych obowiązków pracowniczych bez łamania przepisów prawa, spełniając narzucone prawem obowiązki nałożone na organizację.

11.  Czy świadczone przez Pana usługi sklasyfikowane pod symbolem PKWiU 62.02.20.0, polegały/polegają na udzielaniu porad, opinii i wyjaśnień charakterystycznych dla usług doradztwa? Proszę o szczegółowe wyjaśnienie.

Odp. Charakter usług sklasyfikowanych do PKWiU 62.02.20.0.

Nie, usługi objęte grupowaniem PKWiU 62.02.20.0 (Audyty IT), które Wnioskodawca realizuje, nie polegają na udzielaniu porad, opinii i wyjaśnień w sposób charakterystyczny dla usług typowego doradztwa w sensie stricte, ani tym bardziej dla ogólnego doradztwa w zarządzaniu.

Szczegółowe wyjaśnienie: Zgodnie z ugruntowanym stanowiskiem organów skarbowych pojęcie „doradztwa” (np. objętego stawką 15%) implikuje zarządzanie przedsiębiorstwem, nadawanie celów firmie i wskazywanie Zleceniodawcy kierunków rynkowych. Wykonywane przez Wnioskodawcę działania z zakresu 62.02.20.0 mają charakter niezależnej, obiektywnej ewaluacji badawczej i technicznej. Celem audytu IT jest wykrycie błędów technicznych, wadliwych zabezpieczeń czy niezałatanych podatności („luk”) w oprogramowaniu serwerowym, a nie kształtowanie celów biznesowych przedsiębiorstwa, czy udzielanie szeroko pojętych porad ekonomiczno-biznesowych. Wynik pracy Wnioskodawcy to po prostu odczyt faktycznego stanu technologii, wykaz odstępstw od normy (ISO/NIST) w infrastrukturze IT. Mimo, że jest to audyt techniczny parametrów sprzętu i sieci, to z racji budowy klasyfikacji PKWiU jest on zakorzeniony w sekcji dotyczącej „usług związanych z doradztwem w zakresie sprzętu”, na co z zachowaniem ostrożności podatkowej Wnioskodawca wskazuje we wniosku jako podlegające wprost stawce 12% (zgodnie z art. 12 ust. 1 pkt 2b lit. b u.z.p.d.). Podsumowując: Wnioskodawca bada stan systemów informatycznych – nie doradza strategicznie w prowadzeniu firmy, stąd niemożliwe jest rozszerzanie pojęcia „doradztwo biznesowe” na tego typu czynności inżynieryjno-analityczne.

12.  Czy prowadził/prowadzi Pan ewidencję w sposób umożliwiający określenie przychodów z każdego rodzaju prowadzonej przez Pana działalności odrębnie?

Odp. Tak, Wnioskodawca prowadzi i będzie prowadził ewidencję przychodów w sposób rzetelny, precyzyjny i umożliwiający bezsporne i jednoznaczne określenie oraz zidentyfikowanie przychodów generowanych z każdego rodzaju (PKWiU) prowadzonej przez Wnioskodawcę działalności odrębnie.

W piśmie z 17 sierpnia 2026 r., stanowiącym uzupełnienie wniosku udzielił Pan następujących odpowiedzi na zawarte w wezwaniu pytania:

1.  W odniesieniu do usługi Inspektora Ochrony danych (IOD), należy wyjaśnić:

a)  co dokładnie zawierają (jakie dane i informacje) „formularze DPIA”?

b)  na czym polega zasada „privacy by default”?

c)  na czym polega zasada „privacy by design”?

d)  co dokładnie zawierają (jakie dane i informacje) „pisemne opinie”?

Odp.

a)  formularze DPIA stanowią ustrukturyzowane szablony dokumentów służące do przeprowadzenia formalnej oceny wpływu planowanych operacji przetwarzania danych na ich ochronę, zgodnie z wymogami art. 35 RODO. Formularze te zawierają w szczególności: szczegółowy opis planowanych operacji przetwarzania, ich celów i uzasadnienia niezbędności (np. specyfikację wdrażanego u Zleceniodawcy nowego systemu IT, zakres zbieranych danych pracowników lub klientów); merytoryczną ocenę, czy przetwarzanie jest proporcjonalne; wyczerpującą analizę ryzyka dla praw lub wolności osób fizycznych (identyfikację zagrożeń, prawdopodobieństwa ich wystąpienia i wpływu, takich jak ryzyko kradzieży tożsamości, czy wycieku danych); a także wykaz planowanych środków bezpieczeństwa i mechanizmów minimalizujących ryzyka (np. szyfrowanie, pseudonimizacja, procedury retencji, ograniczenia dostępu). Formularze te mają charakter dokumentacji analityczno-zarządczej i nie zawierają kodu źródłowego ani danych technicznych oprogramowania;

b)  zasada „privacy by default” (domyślna ochrona danych) polega na tym, że administrator danych (Zleceniodawca) wdraża odpowiednie środki techniczne i organizacyjne, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Zasada ta dotyczy ilości zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności. W praktyce oznacza to, że usługi, systemy i aplikacje u Zleceniodawcy są konfigurowane w taki sposób, aby chronić prywatność użytkownika w maksymalnym stopniu bez potrzeby podejmowania przez niego jakichkolwiek działań (np. domyślne niezaznaczanie opcjonalnych zgód marketingowych, domyślne wyłączenie śledzenia lokalizacji);

c)  zasada „privacy by design” (ochrona danych w fazie projektowania) polega na tym, że administrator danych już na etapie określania sposobów przetwarzania (projektowania nowego procesu biznesowego, usługi, wdrażania nowego narzędzia lub systemu) oraz w czasie samego przetwarzania wdraża odpowiednie środki techniczne i organizacyjne zaprojektowane w celu skutecznej realizacji zasad ochrony danych oraz w celu zintegrowania z procesem przetwarzania niezbędnych zabezpieczeń, tak by spełnić wymogi RODO i chronić prawa osób, których dane dotyczą. W praktyce wymaga to uwzględnienia ochrony danych od samego początku planowania danej inicjatywy, a nie jako elementu dodawanego na samym końcu operacji;

d)  pisemne opinie wydawane przez Wnioskodawcę jako IOD, to sformalizowane dokumenty merytoryczne zawierające: określenie podmiotu zlecającego oraz przedmiotu analizy (np. ocena zgodności nowej procedury rekrutacyjnej lub umowy powierzenia danych z przepisami); szczegółową analizę prawną i organizacyjną opartą na przepisach RODO, ustawy o ochronie danych osobowych oraz wytycznych Europejskiej Rady Ochrony Danych (EROD) i Prezesa Urzędu Ochrony Danych Osobowych; końcowe, jednoznaczne wnioski merytoryczne odnośnie zgodności badanego procesu z prawem; oraz konkretne rekomendacje i wskazówki dla Zleceniodawcy określające, jakie działania organizacyjne lub prawne należy podjąć w celu zapewnienia zgodności i mitygacji ryzyka. Opinie te stanowią doradztwo o profilu organizacyjno-prawnym (compliance) i nie zawierają kodu programistycznego.

2.  W odniesieniu do usługi obsługi punktu przyjmowania zgłoszeń od sygnalistów, należy wyjaśnić:

a)  czego dotyczą zgłaszane ewentualne nadużycia?

b)  kto obsługuje dedykowane poufne kanały raportowania, Pan czy Zleceniodawca?

c)   co Pan rozumie przez „pełną rozliczalność procesu”?

Odp.

a)  zgłaszane nadużycia dotyczą naruszeń prawa określonych w ustawie z dnia 14 czerwca 2024 r. o ochronie sygnalistów oraz Dyrektywie Parlamentu Europejskiego i Rady (UE) 2019/1937. Zakres ten obejmuje m.in. naruszenia z zakresu: zamówień publicznych, usług, produktów i rynków finansowych, zapobiegania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa produktów i ich zgodności z wymogami, ochrony środowiska, ochrony konsumentów, ochrony prywatności i danych osobowych, bezpieczeństwa sieci i systemów informacyjnych, a także kradzieży mienia pracodawcy, korupcji, nadużyć finansowych oraz łamania wewnętrznych procedur i regulacji obowiązujących u Zleceniodawcy;

b)  dedykowane kanały obsługuje bezpośrednio i osobiście Wnioskodawca jako zewnętrzny, niezależny podmiot upoważniony na podstawie umowy B2B. Do zadań Wnioskodawcy należy fizyczny i proceduralny odbiór zgłoszeń (z zachowaniem bezwzględnej poufności danych sygnalisty), nawiązanie i utrzymywanie kontaktu zwrotnego z sygnalistą, wnioskowanie o uzupełnienie dowodów oraz prowadzenie rejestru zgłoszeń. Zleceniodawca (jego zarząd lub powołana komisja) nie ma bezpośredniego dostępu do kanałów wpływu zgłoszeń, otrzymując od Wnioskodawcy jedynie odpowiednio przygotowane i zanonimizowane notatki celem przeprowadzenia wewnętrznego postępowania wyjaśniającego;

c)  przez „pełną rozliczalność procesu” Wnioskodawca rozumie precyzyjne, sformalizowane i niezaprzeczalne dokumentowanie chronologii oraz merytorycznego przebiegu obsługi każdego zgłoszenia. Obejmuje to rejestrowanie dokładnych dat wpływu, terminów wysłania potwierdzenia odbioru sygnaliście (maksymalnie 7 dni), przebiegu weryfikacji formalnej (triage), terminów przekazania sprawy do wyjaśnienia oraz ostatecznego poinformowania sygnalisty o działaniach następczych (maksymalnie 3 miesiące). Taka rozliczalność pozwala Zleceniodawcy w każdej chwili wykazać (np. przed organami Państwowej Inspekcji Pracy) pełną zgodność procesu z wymogami ustawowymi, bez ujawniania tożsamości zgłaszającego.

3.  W odniesieniu do usługi opracowywania i wdrażania dokumentacji bezpieczeństwa informacji, należy wyjaśnić:

a)  co Pan rozumie przez sformułowanie „organizacyjne dokumenty” i czego one dotyczą?

b)  co Pan rozumie przez sformułowanie „metodyka techniczna” i na czym ona polega?

Odp.

a)  przez „organizacyjne dokumenty” Wnioskodawca rozumie akty prawa wewnętrznego (polityki, regulaminy, zarządzenia, schematy postępowania), które wyznaczają ramy prawne i organizacyjne ochrony informacji w danej jednostce. Dotyczą one m.in. struktury ról i odpowiedzialności personelu (kto odpowiada za dany zasób), zasad dostępu (np. zasada czystego biurka i czystego ekranu), procedur zgłaszania naruszeń, czy regulaminów korzystania ze służbowej poczty i powierzonego sprzętu komputerowego. Dokumenty te normują zachowania ludzi w organizacji i nie stanowią konfiguracji technicznej, ani kodu oprogramowania;

b)  sformułowanie „metodyka techniczna” użyte w kontekście instrukcji (np. instrukcji nadawania uprawnień, instrukcji niszczenia nośników, procedur tworzenia kopii zapasowych) oznacza ustrukturyzowany, opisany krok po kroku algorytm postępowania pracownika podczas wykonywania danej czynności operacyjnej związanej z bezpieczeństwem danych. Metodyka ta polega na przełożeniu ogólnych założeń bezpieczeństwa na konkretne i powtarzalne czynności (np. opis fizycznego niszczenia dokumentów w niszczarkach klasy (…), zasady wprowadzania wniosków o nadanie uprawnień w systemie, czy procedury zabezpieczania i opisywania kopii zapasowych). Czynności te mają charakter procedur eksploatacyjnych dla personelu i nie obejmują pisania oprogramowania, ani programowania systemów.

4.  W odniesieniu do usługi audytów bezpieczeństwa informacji (audyty IT), należy wyjaśnić:

a)   jakiego oprogramowania serwerowego dotyczą?

b)  jakich systemów bazodanowych dotyczą?

c)  czy „oprogramowanie serwerowe” i „systemy bazodanowe” stanowią oprogramowanie czy oprogramowanie komputerowe? Proszę jednoznacznie wskazać.

Odp.

a)  audyty te dotyczą standardowego i powszechnie stosowanego oprogramowania systemów operacyjnych zainstalowanych na maszynach serwerowych Zleceniodawców, w szczególności: (…);

b)  audyty te dotyczą powszechnie używanych relacyjnych i nierelacyjnych systemów zarządzania bazami danych (…), w których Zleceniodawcy przetwarzają informacje i dane osobowe, w szczególności: (…);

c)  Wnioskodawca wskazuje, że zarówno oprogramowanie serwerowe, jak i systemy bazodanowe stanowią oprogramowanie komputerowe. Jednocześnie Wnioskodawca kategorycznie podkreśla, że jego usługa w ramach audytu IT polega wyłącznie na obiektywnej, niezależnej ewaluacji, testowaniu i raportowaniu stanu bezpieczeństwa (podatności na zagrożenia, konfiguracji polityk hasłowych, logów zdarzeń) gotowego i zastanego oprogramowania komputerowego u Zleceniodawcy. Wnioskodawca w żadnym stopniu nie tworzy, nie modyfikuje, nie rozwija, nie instaluje ani nie wdraża oprogramowania komputerowego u Zleceniodawcy (nie świadczy usług programistycznych, pisania kodu czy projektowania technologii IT). Badanie dotyczy zgodności zastanej konfiguracji ze standardami bezpieczeństwa, co kwalifikuje usługę do grupowania PKWiU 62.02.20.0 jako usługi związane z doradztwem w zakresie oprogramowania komputerowego (art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym).

5.  W odniesieniu do usługi audytów bezpieczeństwa informacji (audyty KRI, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych), należy wyjaśnić:

a)  na czym polegają testy typu „walk-through”?

b)  czy audyty (KRI, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych) mają związek z oprogramowaniem? Proszę szczegółowo wyjaśnić.

c)  czy audyty (KRI, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych) mają związek z doradztwem w zakresie oprogramowania? Proszę o szczegółowe wyjaśnienie.

Odp.

a)  testy te polegają na przejściu wspólnie z wybranym pracownikiem Zleceniodawcy przez dany proces operacyjny krok po kroku (np. proces niszczenia dokumentacji papierowej, proces nadawania uprawnień nowemu pracownikowi w kadrach, czy procedura obsługi zgłoszenia incydentu) w celu naocznego zweryfikowania, czy faktycznie wykonywane przez personel czynności są w pełni zgodne z zapisami w oficjalnych politykach, regulaminach i procedurach wewnętrznych. Jest to standardowa metoda audytowa oparta na obserwacji, wywiadzie i badaniu chronologii dokumentów, służąca ocenie zgodności organizacyjnej;

b)  audyty te sklasyfikowane w PKWiU 74.90.20.0 nie mają merytorycznego, ani bezpośredniego związku z oprogramowaniem. Są to audyty o charakterze formalno-prawnym oraz organizacyjno-zarządczym. Ich celem jest zbadanie dokumentacji, procedur wewnętrznych, struktury ról, fizycznych zabezpieczeń (np. kontroli dostępu do pomieszczeń, szaf z dokumentami) oraz świadomości pracowników w zakresie ochrony informacji. Ewentualne badanie systemów IT w tym audycie ogranicza się wyłącznie do weryfikacji istnienia spisanych i wdrożonych procedur (np. weryfikacja, czy u Zleceniodawcy obowiązuje sformalizowana polityka tworzenia haseł, a nie badanie techniczne czy programistyczne kodu oprogramowania);

c)  audyty te nie mają żadnego związku z doradztwem w zakresie oprogramowania. Wnioskodawca w ramach tych usług nie świadczy doradztwa dotyczącego wyboru, zakupu, projektowania, instalowania, modyfikowania, optymalizacji, czy konfiguracji oprogramowania komputerowego ani infrastruktury teleinformatycznej. Przedmiotem usługi jest wyłącznie ocena zgodności procesów organizacyjnych z przepisami prawa (np. z Rozporządzeniem o Krajowych Ramach Interoperacyjności) oraz normami ISO/IEC 27001, a wynikiem jest formalny raport compliance, niezawierający jakichkolwiek wytycznych technicznych dotyczących oprogramowania komputerowego.

6.  Wyjaśnił Pan na jakiej podstawie (w oparciu o jakie przesłanki) opisane we wniosku usługi polegające na obsłudze punktu przyjmowania zgłoszeń od sygnalistów klasyfikuje (przyporządkowuje) Pan do usług objętych pozycją PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”

lub

wskazał Pan inny symbol PKWiU niż podany pierwotnie we wniosku – odpowiedni dla świadczonych usług – po weryfikacji klasyfikacji świadczonych usług na potrzeby prowadzonej przez Pana działalności.

Odp. Wnioskodawca podtrzymuje klasyfikację usług obsługi punktu przyjmowania zgłoszeń od sygnalistów do grupowania PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”. Usługi te mają wysoce specjalistyczny charakter i wymagają zaawansowanej wiedzy z zakresu prawa ochrony sygnalistów, procedur wyjaśniających oraz ochrony danych osobowych (RODO). Polegają one na eksperckiej weryfikacji zgłoszeń (triage), prowadzeniu chronologicznych rejestrów oraz niezależnej ocenie zgodności, co stanowi usługę profesjonalną mieszczącą się w Sekcji M PKWiU 2015.

Wnioskodawca wskazuje, dlaczego sugerowane przez organ alternatywne grupowania z Sekcji N (usługi administrowania i usługi wspierające) są nieadekwatne do charakteru świadczonych usług:

·      PKWiU 82.11.10.0 („Usługi związane z administracyjną obsługą biura”) – grupowanie to obejmuje routine, codzienne, kompleksowe usługi administrowania biurem (np. usługi recepcji, planowania finansowego, rachunkowości, księgowości, doręczania poczty). Obsługa zgłoszeń sygnalistów nie jest codziennym administrowaniem biurem klienta, ani prostą pracą biurową – jest to wyodrębniona, niezależna i specjalistyczna funkcja compliance mająca na celu zarządzanie ryzykiem prawnym naruszeń w organizacji;

·      PKWiU 82.19.13.0 („Usługi przygotowania dokumentów i pozostałe specjalistyczne usługi wspomagające prowadzenie biura”) – grupowanie to obejmuje edycję, korektę dokumentów, przepisywanie pism, komputerowe redagowanie tekstu, usługi sekretarskie czy wynajem skrzynek pocztowych. Praca Wnioskodawcy nie ogranicza się do technicznego przygotowywania dokumentów lub prac sekretarskich, lecz opiera się na samodzielnej analizie merytorycznej doniesień pod kątem przepisów prawa krajowego i unijnego;

·      PKWiU 82.99.19.0 („Pozostałe różne usługi wspomagające działalność komercyjną, gdzie indziej niesklasyfikowane”) – grupowanie to ma charakter pomocniczy, techniczny i administracyjny, obejmując np. wdrukowywanie kodów kreskowych, odzyskiwanie własności, zbieranie monet z parkomatów, czy odczytywanie liczników. Zaliczenie do niego obsługi sygnalistów, wymagającej specjalistycznej wiedzy prawno-organizacyjnej, byłoby sprzeczne z zasadami metodycznymi PKWiU, które nakazują klasyfikowanie usług według ich zasadniczego, merytorycznego charakteru (Sekcja M PKWiU obejmuje usługi wymagające wiedzy specjalistycznej, podczas gdy Sekcja N obejmuje usługi wspomagające niewymagające wiedzy specjalistycznej). Ponadto, usługi z działu PKWiU 82.9 podlegają stawce 15% ryczałtu (zgodnie z art. 12 ust. 1 pkt 2 lit. v ustawy), co w przypadku usług o charakterze eksperckim stanowiłoby nieuzasadnione obciążenie.

Mając na uwadze, że usługa ta polega na eksperckim i niezależnym prowadzeniu i weryfikowaniu procedur zgłoszeń, jedyną właściwą i spójną klasyfikacją jest PKWiU 74.90.20.0 (podlegająca stawce 8,5% ryczałtu).

7.  Wyjaśnił Pan na jakiej podstawie (w oparciu o jakie przesłanki) opisane we wniosku usługi w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji klasyfikuje (przyporządkowuje) Pan do usług objętych pozycją PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”

lub

wskazał Pan inny symbol PKWiU niż podany pierwotnie we wniosku – odpowiedni dla świadczonych usług – po weryfikacji klasyfikacji świadczonych usług na potrzeby prowadzonej przez Pana działalności.

Odp. Wnioskodawca podtrzymuje klasyfikację tych usług do grupowania PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”. Usługi te polegają na kompleksowym projektowaniu ram organizacyjnych i procedur bezpieczeństwa informacji u Zleceniodawców, co obejmuje tworzenie autorskich polityk, regulaminów, instrukcji operacyjnych oraz planów ciągłości działania (BCP/DRP).

Wskazane przez organ alternatywne grupowanie PKWiU 74.90.15.0 „Usługi doradztwa w zakresie bezpieczeństwa” obejmuje usługi polegające na ustalaniu potrzeb klienta oraz doradztwie dotyczącym najbardziej odpowiedniego dla klienta systemu bezpieczeństwa fizycznego lub technicznego (np. systemy alarmowe, ochrona mienia). Wnioskodawca nie świadczy usług doradztwa w zakresie systemów bezpieczeństwa fizycznego, a jego działania polegają na bezpośrednim tworzeniu („opracowywaniu”) i operacyjnym implementowaniu („wdrażaniu”) dokumentacji organizacyjno-zarządczej, co wykracza poza samo „doradztwo”.

Jednocześnie Wnioskodawca zaznacza, że zarówno grupowanie PKWiU 74.90.20.0, jak i PKWiU 74.90.15.0 znajdują się w klasie 74.90 (Dział 74, Sekcja M). Ponieważ w ustawie o zryczałtowanym podatku dochodowym (art. 12 ust. 1) usługi z Działu 74 nie zostały wymienione wprost jako objęte wyższymi stawkami ryczałtu (takimi jak 15%, czy 17%), to niezależnie od tego, czy organ uzna usługę za pozostałą usługę profesjonalną (74.90.20.0), czy za doradztwo w zakresie bezpieczeństwa (74.90.15.0), właściwą stawką ryczałtu dla obu tych grupowań pozostaje stawka 8,5%, na podstawie art. 12 ust. 1 pkt 5 lit. a ustawy o ryczałcie.

8.  Wyjaśnił Pan na jakiej podstawie (w oparciu o jakie przesłanki) opisane we wniosku usługi dotyczące audytu bezpieczeństwa informacji – dla audytów IT klasyfikuje (przyporządkowuje) Pan do usług objętych pozycją PKWiU 62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego”

lub

wskazał Pan inny symbol PKWiU niż podany pierwotnie we wniosku – odpowiedni dla świadczonych usług – po weryfikacji klasyfikacji świadczonych usług na potrzeby prowadzonej przez Pana działalności.

Odp. Wnioskodawca klasyfikuje te usługi do grupowania PKWiU 62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego”. Wyjaśnienia GUS wskazują, że grupowanie to obejmuje usługi związane z opiniowaniem przez ekspertów spraw w zakresie systemów informatycznych i oprogramowania, w tym w szczególności systemy zabezpieczające. Usługa audytu IT polega na eksperckim badaniu systemów operacyjnych i baz danych pod kątem ich podatności na zagrożenia, konfiguracji zabezpieczeń i poprawności polityk dostępu. Ponieważ przedmiotem badania jest bezpośrednio oprogramowanie komputerowe u Zleceniodawcy, klasyfikacja ta jest całkowicie poprawna.

Wnioskodawca wyjaśnia, dlaczego inne grupowania są nieadekwatne:

·      PKWiU 62.02.30.0 („Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego”) – grupowanie to obejmuje pomoc techniczną mającą na celu rozwiązywanie problemów klienta (np. usuwanie usterek w oprogramowaniu, instalowanie nowszych wersji, naprawa sprzętu). Wnioskodawca nie świadczy żadnej pomocy technicznej, nie naprawia systemów, nie konfiguruje ich na bieżąco, ani nie pełni funkcji wsparcia technicznego – jego rola ogranicza się wyłącznie do niezależnego zbadania stanu systemów (audytu) i sporządzenia raportu końcowego;

·      PKWiU 74.90.15.0 („Usługi doradztwa w zakresie bezpieczeństwa”) – jak wskazano wcześniej, grupowanie to wprost wyłącza doradztwo w zakresie bezpieczeństwa komputerowego, odsyłając do klasy 62.02. Ponieważ badanie oprogramowania serwerowego i baz danych stanowi istotę bezpieczeństwa komputerowego (cybersecurity), zaliczenie go do Działu 74 byłoby błędem klasyfikacyjnym.

Mając to na uwadze, usługi audytu IT w zakresie oprogramowania komputerowego prawidłowo i ostrożnie przyporządkowano do PKWiU 62.02.20.0, co koreluje ze stawką ryczałtu 12% (zgodnie z art. 12 ust. 1 pkt 2b lit. b ustawy o ryczałcie).

9.  Wyjaśnił Pan na jakiej podstawie (w oparciu o jakie przesłanki) opisane we wniosku usługi dotyczące audytu bezpieczeństwa informacji – dla audytów Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych klasyfikuje (przyporządkowuje) Pan do usług objętych pozycją PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”

lub

wskazał Pan inny symbol PKWiU niż podany pierwotnie we wniosku – odpowiedni dla świadczonych usług – po weryfikacji klasyfikacji świadczonych usług na potrzeby prowadzonej przez Pana działalności.

Odp. Wnioskodawca klasyfikuje te usługi do grupowania PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”. Wynika to z faktu, że audyty te mają wymiar wyłącznie proceduralny, zarządczy i compliance (ocena zgodności procedur i dokumentów z regulacjami prawnymi takimi jak Rozporządzenie KRI, czy norma ISO/IEC 27001), nie naruszając bezpośrednio technicznej warstwy oprogramowania ani sprzętu.

Wnioskodawca wyjaśnia, dlaczego alternatywne grupowania są nieadekwatne:

·      PKWiU 62.02.30.0 („Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego”) – usługi te nie mają żadnego związku z oprogramowaniem komputerowym, ani techniczną pomocą IT – nie są to testy techniczne systemów, usuwanie awarii czy wsparcie użytkowników, stąd wykluczona jest klasyfikacja w Dziale 62;

·      PKWiU 74.90.15.0 („Usługi doradztwa w zakresie bezpieczeństwa”) – grupowanie to dotyczy doradztwa w zakresie doboru systemów zabezpieczeń (fizycznych/technicznych). Audyt KRI lub normy ISO nie jest usługą doradczą polegającą na projektowaniu systemów zabezpieczeń, lecz obiektywnym badaniem i poświadczeniem stanu zgodności istniejących struktur organizacyjnych z normami zarządczymi.

Wnioskodawca podtrzymuje klasyfikację do PKWiU 74.90.20.0 (stawka ryczałtu 8,5%), zaznaczając, że nawet przy hipotetycznym zakwalifikowaniu do PKWiU 74.90.15.0 właściwą stawką pozostałaby stawka 8,5%.

Pytania

1.  Czy prawidłowym jest zastosowanie stawki ryczałtu od przychodów ewidencjonowanych w wysokości 8,5% dla usług wymienionych w punktach 1, 2, 3 oraz 5 opisu stanu faktycznego (tj. usług IOD, obsługi sygnalistów, opracowywania dokumentacji bezpieczeństwa oraz szkoleń)?

2.  Czy prawidłowym jest zastosowanie stawki ryczałtu od przychodów ewidencjonowanych w wysokości 12% dla usługi wymienionej w punkcie 4 opisu stanu faktycznego (tj. audytów bezpieczeństwa informacji)?

Pana stanowisko w sprawie (ostatecznie przedstawione w uzupełnieniach z 17 sierpnia 2026 r. oraz z 24 sierpnia 2026 r.)

Wnioskodawca dokonał szczegółowej analizy opisu spraw przedstawionych w Części I wezwania i w pełni potwierdza, że jego własne stanowisko prawne w sprawie oceny skutków podatkowych przedstawionych stanów faktycznych jest całkowicie właściwe, spójne i koresponduje z udzielonymi odpowiedziami:

·      dla usług wymienionych w pkt 1, 2, 3 oraz 5 wniosku (usługi IOD, obsługi sygnalistów, opracowywania dokumentacji oraz szkoleń) sklasyfikowanych do PKWiU 74.90.20.0 oraz PKWiU 85.59.19.0 – przychody z ich świadczenia podlegają opodatkowaniu stawką ryczałtu 8,5%, na podstawie art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym. Usługi te nie stanowią doradztwa związanego z zarządzaniem (Dział 70), usług prawnych (Dział 69), ani nie mają merytorycznego związku z oprogramowaniem komputerowym czy technologiami IT. Stanowisko to jest w pełni tożsame z otrzymanymi przez innych podatników interpretacjami indywidualnymi przytoczonymi we wniosku, m.in. interpretacją Dyrektora KIS z 18 grudnia 2025 r. (sygn. 0115-KDST2-1.4011.533.2025.2.MR – dla usług sklasyfikowanych w PKWiU 74.90.20.0) oraz interpretacją z 17 lutego 2026 r. (sygn. 0115-KDST2-1.4011.675.2025.2.MR – dla usług sklasyfikowanych w PKWiU 74.90.19.0);

·      dla usługi wymienionej w pkt 4 wniosku (usługi audytów bezpieczeństwa IT) sklasyfikowanej do PKWiU 62.02.20.0 – przychody z jej świadczenia podlegają opodatkowaniu stawką ryczałtu 12%, na podstawie art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym. Jako, że badana w tym przypadku infrastruktura i oprogramowanie serwerowe/bazodanowe stanowią oprogramowanie komputerowe, usługi te wykazują bezpośredni związek z doradztwem w zakresie oprogramowania komputerowego, co uzasadnia zastosowanie wyższej 12% stawki podatku. Stanowisko to jest spójne z dotychczasową praktyką orzeczniczą organów podatkowych;

·      dla usługi wymienionej w pkt 4 wniosku (audytów KRI, normy ISO, Bezpieczeństwa Informacji i Ochrony Danych) sklasyfikowanej do PKWiU 74.90.20.0 – przychody z jej świadczenia podlegają opodatkowaniu stawką ryczałtu 12%, na podstawie art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym. Audyt KRI lub normy ISO nie jest usługą doradczą polegającą na projektowaniu systemów zabezpieczeń, lecz obiektywnym badaniem i poświadczeniem stanu zgodności istniejących struktur organizacyjnych z normami zarządczymi, usługi te mogą mieć związek z doradztwem w zakresie oprogramowania komputerowego, co uzasadnia zastosowanie wyższej 12% stawki podatku. Stanowisko to jest spójne z dotychczasową praktyką orzeczniczą organów podatkowych.

Ocena stanowiska

Stanowisko, które przedstawił Pan we wniosku jest w części prawidłowe i w części nieprawidłowe.

Uzasadnienie interpretacji indywidualnej

Stosownie do art. 1 pkt 1 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (t. j. Dz. U. z 2025 r. poz. 843 ze zm.):

Przy czym w myśl art. 4 ust. 1 pkt 12 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Według art. 5a pkt 6 ustawy z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (t. j. Dz. U. z 2026 r. poz. 592 ze zm.):

Z kolei, zgodnie z treścią art. 5b ust. 1 tej ustawy:

Stosownie do art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Na podstawie art. 6 ust. 1 ww. ustawy:

W myśl art. 6 ust. 4 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Możliwość opodatkowania w formie ryczałtu od przychodów ewidencjonowanych uzależniona jest między innymi od niespełnienia przesłanek negatywnych określonych w art. 8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Według ww. przepisu:

Kolejnym warunkiem skorzystania ze zryczałtowanej formy opodatkowania jest złożenie oświadczenia o wyborze opodatkowania w formie ryczałtu od przychodów ewidencjonowanych.

Na podstawie art. 9 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Zgodnie z art. 4 ust. 4 ww. ustawy:

Oznaczenie „ex” dotyczy zatem tylko określonej usługi z danego grupowania. Umieszczenie tego dopisku przy konkretnym symbolu statystycznym ma na celu zawężenie stosowania przepisu tylko do tej nazwy grupowania.

Stawki ryczałtu od przychodów ewidencjonowanych zostały określone w art. 12 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne i zależą od tego, z jakiego rodzaju działalności podatnik uzyskuje przychody. Dla rozróżnienia rodzajów tych działalności, ustawodawca posłużył się m.in. grupowaniami Polskiej Klasyfikacji Wyrobów i Usług (PKWiU), wprowadzonej rozporządzeniem Rady Ministrów z dnia 4 września 2015 r. w sprawie Polskiej Klasyfikacji Wyrobów i Usług (PKWiU) (t. j. Dz. U. z 2015 r. poz. 1676). Zatem istotne jest przypisanie rodzaju wykonywanych czynności do określonego grupowania PKWiU.

W myśl art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Stosownie do art. 12 ust. 1 pkt 5 lit. a ww. ustawy:

Natomiast z art. 12 ust. 1 pkt 5 lit. c powołanej ustawy wynika, że:

Co do zasady, przychody z działalności usługowej są objęte stawką ryczałtu w wysokości 8,5%, jeżeli brak jest możliwości przyporządkowania danego rodzaju usług do innych kategorii czynności precyzyjnie określonych w art. 12 ust. 1 pkt 1-4 oraz 6-8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, do których stosowane są odmienne stawki.

Jednocześnie, na podstawie art. 12 ust. 3 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Zatem, w sytuacji prowadzenia działalności gospodarczej opodatkowanej zryczałtowanym podatkiem dochodowym wg różnych stawek, ryczałt od przychodów ewidencjonowanych na podstawie prowadzonej ewidencji przychodów ustala się według stawki właściwej dla przychodów z każdego rodzaju działalności, pod warunkiem że ewidencja przychodów jest prowadzona w sposób umożliwiający określenie przychodów z każdego rodzaju działalności.

Z opisu sprawy wynika, że jest Pan osobą fizyczną prowadzącą jednoosobową działalność gospodarczą. Posiada Pan nieograniczony obowiązek podatkowy na terytorium Rzeczypospolitej Polskiej i jako formę opodatkowania prowadzonej działalności wybrał Pan ryczałt od przychodów ewidencjonowanych. Prowadzona przez Pana działalność gospodarcza jest działalnością usługową w myśl art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne. W ramach prowadzonej działalności świadczy Pan usługi doradcze, audytowe i szkoleniowe, w szczególności z zakresu ochrony danych osobowych oraz bezpieczeństwa informacji. Wykaz świadczonych przez Pana usług szczegółowo opisanych przez Pana w uzupełnieniu obejmuje:

1.  Usługi Inspektora Ochrony Danych (IOD) – klasyfikowane do PKWiU 74.90.20.0, których zakres czynności zgodnie z treścią zawartych umów obejmuje: monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków; podejmowanie działań zwiększających świadomość personelu, w tym prowadzenie szkoleń i audytów; udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych (DPIA) oraz monitorowanie wykonania; współpraca z Urzędem Ochrony Danych Osobowych (UODO) i pełnienie funkcji punktu kontaktowego; wsparcie spółki w pozyskiwaniu wymaganych certyfikatów; research prawny. Zgodnie z zawartymi umowami o współpracy usługi te nie stanowią doradztwa, a świadczenie usług Inspektora Ochrony Danych. Nie posiada Pan uprawnień do wykonywania zawodu adwokata ani radcy prawnego i żadna z umów, których jest stroną nie przewiduje, aby miał Pan świadczyć usługi przeznaczone dla adwokatów lub radców prawnych.

2.  Usługi obsługi punktu przyjmowania zgłoszeń od sygnalistów – klasyfikowane do PKWiU 74.90.20.0, których zakres czynności zgodnie z treścią zawartych umów obejmuje: niezależne przyjmowanie zgłoszeń o naruszeniach prawa; prowadzenie rejestrów oraz wstępną weryfikację zgłoszeń zgodnie z dyrektywą o sygnalistach i prawem krajowym.

3.  Usługi w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji – klasyfikowane do PKWiU 74.90.20.0, których zakres czynności zgodnie z treścią zawartych umów obejmuje: tworzeniu polityk bezpieczeństwa, tworzenie regulaminów, tworzenie instrukcji, tworzenie planów ciągłości działania oraz tworzenie procedur reagowania na incydenty.

4.  Usługi audytu bezpieczeństwa informacji – klasyfikowane do PKWiU 62.02.20.0 dla audytów IT oraz 74.90.20.0 dla audytów Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych. Obejmują badanie systemów informatycznych i procesów przetwarzania danych pod kątem podatności na zagrożenia oraz zgodności z normami bezpieczeństwa (np. ISO 27001) i przepisami prawa.

Usługi audytów bezpieczeństwa informacji – klasyfikowane do PKWiU 62.02.20.0 (Audyty IT) polegają na: na niezależnej, technicznej ocenie środowiska systemowego poprzez aktywne, zautomatyzowane lub manualne metody weryfikacji sprzętu i oprogramowania (np. skanowanie podatności przy wykorzystaniu specjalistycznych skanerów sieciowych, weryfikacja logów). Podkreśla Pan, że audyty te polegają tylko na audytowaniu (badaniu parametrów technicznych i raportowaniu luk z punktu widzenia standardów w IT), a nie na wytwarzaniu nowej architektury czy pisaniu kodu. Dotyczą: zastanej infrastruktury teleinformatycznej Zleceniodawcy – serwerów, oprogramowania serwerowego, sieci LAN/WAN i systemów bazodanowych. Ich zakres to: badanie wektorów ataku, identyfikacja niespatchowanego oprogramowania (braki aktualizacji), audyt siły polityk hasłowych wymuszanych w domenie (np. w systemach Active Directory). Celem jest: wskazanie dziur i podatności infrastruktury, zanim wykorzystają je cyberprzestępcy (hakerzy). Efekt to: szczegółowy raport z audytu IT z wylistowaniem zidentyfikowanych w systemach podatności technicznych oraz poziomem ich krytyczności (np. CVSS). Wykorzystanie: Zleceniodawca przekazuje raport własnym zespołom IT, jako obiektywną podstawę do pilnego wdrożenia tzw. łat bezpieczeństwa (patch management).

Usługi audytów bezpieczeństwa informacji sklasyfikowane do PKWiU 74.90.20.0 (Audyty KRI, normy ISO) polegają na: obiektywnym badaniu dokumentacji zarządczej oraz ocenie warstwy formalno-prawnej i organizacyjnej podmiotu. Dotyczą: dokumentów, wywiadów z personelem z polityk postępowania, weryfikacji świadomości procedur. Ich zakres to: wykonywanie testów typu „walk-through” (przejście przez procedurę wspólnie z pracownikiem np. przy niszczeniu dokumentów papierowych), przegląd rejestrów i zatwierdzonych polityk na zgodność z wymogami Rozporządzenia o Krajowych Ramach Interoperacyjności (KRI) lub normami rodziny ISO 27001. Celem jest: poświadczenie dla podmiotu publicznego lub prywatnego, że jego zasady organizacji odpowiadają formalnym wymogom ustawowym (ustawa o informatyzacji, RODO z 2016 r.). Efekt to: raport ze stanu zgodności prawno-organizacyjnej, nie naruszający wprost technicznych aspektów infrastruktury. Wykorzystanie: Zleceniodawca wykorzystuje raport, by poprawić procesy i wypełnić wynikający np. z KRI obowiązek przeprowadzania okresowego audytu organizacyjnego bezpieczeństwa.

5.  Usługi szkoleniowe z ochrony danych i bezpieczeństwa informacji – klasyfikowane do PKWiU 85.59.19.0, które polegają: na projektowaniu przekazu dydaktycznego oraz aktywnym przekazywaniu wiedzy teoretycznej i warsztatowej grupom odbiorców w formie fizycznej (na salach wykładowych) lub zdalnej (online). Dotyczą: wiedzy o zagrożeniach w cyberprzestrzeni, regulacji z 2016 r. zawartych w przepisach RODO oraz zasadach z ustawy o ochronie sygnalistów, procedur wewnętrznych ochrony zasobów i bezpieczeństwa informacji. Ich zakres to: prowadzenie prelekcji, moderowanie symulacji (np. case studies), przeprowadzanie testów wiedzy kończących dane spotkanie szkoleniowe. Celem jest: edukacja pozaszkolna zmierzająca do nabycia, aktualizacji lub podniesienia wiedzy oraz podniesienia unikalnych kwalifikacji u poszczególnych słuchaczy. Celem szkolenia jest nabycie nowej lub poszerzenie posiadanej wiedzy niezbędnej każdemu pracownikowi. Efekt to: zrealizowany panel edukacyjny potwierdzony podpisami uczestników szkolenia oraz wydanymi im zaświadczeniami/dyplomami potwierdzającymi pomyślne ukończenie kursu/szkolenia. Wykorzystanie: Zleceniodawca zapewnia, że kadra pracownicza dysponuje niezbędną wiedzą dla poprawnego realizowania codziennych obowiązków pracowniczych bez łamania przepisów prawa, spełniając narzucone prawem obowiązki nałożone na organizację.

Świadczone usługi audytów (PKWiU 62.02.20.0 oraz 74.90.20.0): mogą być świadczone na rzecz wielu odrębnych podmiotów rynkowych, z którymi zawiera Pan oddzielne umowy, obie usługi natomiast mogą być wykonane na rzecz jednego Zleceniodawcy. W przypadku realizacji obu tych audytów u jednego Zleceniodawcy, są one odrębnymi usługami, mają odrębne cele, posługują się odrębnymi metodykami i w efekcie za każdą z nich Zleceniodawca płaci Panu wyodrębnione, poszczególne (osobne) wynagrodzenie. Wskazane Usługi audytów bezpieczeństwa informacji mogą być zlecane na podstawie jednego, ramowego kontraktu (umowy), bądź kilku umów rozłącznych. Jednakże – niezależnie od faktu czy jest to jedna kompleksowa umowa, czy nie – w treści umowy (lub specyfikacji) wynagrodzenie za poszczególne części składowe/usługi audytowe (np. audyt Bezpieczeństwa Informacji a techniczny audyt Bezpieczeństwa Teleinformatycznego) jest oddzielnie skalkulowane, odrębnie określone i wymiernie wycenione dla każdego z charakterów audytu z osobna. Na fakturach wystawionych na rzecz Zleceniodawcy każdorazowo wyodrębniał i wyodrębnia Pan wynagrodzenie za każdą poszczególną Usługę audytu bezpieczeństwa informacji odrębną pozycją. Osobna pozycja pojawia się na audyt IT (62.02.20.0) i osobna na audyt zgodności/organizacyjny (74.90.20.0). Usługi objęte grupowaniem PKWiU 62.02.20.0 (Audyty IT), które Wnioskodawca realizuje, nie polegają na udzielaniu porad, opinii i wyjaśnień w sposób charakterystyczny dla usług typowego doradztwa w sensie stricte, ani tym bardziej dla ogólnego doradztwa w zarządzaniu. Wykonywane przez Pana działania z zakresu 62.02.20.0 mają charakter niezależnej, obiektywnej ewaluacji badawczej i technicznej. Celem audytu IT jest wykrycie błędów technicznych, wadliwych zabezpieczeń, czy niezałatanych podatności („luk”) w oprogramowaniu serwerowym, a nie kształtowanie celów biznesowych przedsiębiorstwa, czy udzielanie szeroko pojętych porad ekonomiczno-biznesowych. Wynik Pana pracy to po prostu odczyt faktycznego stanu technologii, wykaz odstępstw od normy (ISO/NIST) w infrastrukturze IT. Mimo, że jest to audyt techniczny parametrów sprzętu i sieci, to z racji budowy klasyfikacji PKWiU jest on zakorzeniony w sekcji dotyczącej „usług związanych z doradztwem w zakresie sprzętu”. Bada Pan stan systemów informatycznych – nie doradza strategicznie w prowadzeniu firmy, stąd niemożliwe jest rozszerzanie pojęcia „doradztwo biznesowe” na tego typu czynności inżynieryjno-analityczne. Zaznacza Pan, że Pana działalność nie obejmuje świadczenia usług związanych z wydawaniem pakietów oprogramowania systemowego, oprogramowania użytkowego czy oprogramowania komputerowego pobieranego z Internetu (PKWiU ex 58.29). Nie świadczy również usług w zakresie projektowania i rozwoju technologii informatycznych, pisania kodu czy tworzenia oprogramowania. Prowadzi i będzie prowadził Pan ewidencję przychodów w sposób rzetelny, precyzyjny i umożliwiający bezsporne i jednoznaczne określenie oraz zidentyfikowanie przychodów generowanych z każdego rodzaju (PKWiU) prowadzonej przez Wnioskodawcę działalności odrębnie.

Ponadto w uzupełnieniu wniosku w odniesieniu do podanej przez Pana w opisie sprawy klasyfikacji PKWiU dla:

-     usługi obsługi punktu przyjmowania zgłoszeń od sygnalistów podtrzymuje Pan klasyfikację usługi obsługi punktu przyjmowania zgłoszeń od sygnalistów do grupowania PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”. Wyjaśnił Pan, że usługi te mają wysoce specjalistyczny charakter i wymagają zaawansowanej wiedzy z zakresu prawa ochrony sygnalistów, procedur wyjaśniających oraz ochrony danych osobowych (RODO). Polegają one na eksperckiej weryfikacji zgłoszeń (triage), prowadzeniu chronologicznych rejestrów oraz niezależnej ocenie zgodności, co stanowi usługę profesjonalną mieszczącą się w Sekcji M PKWiU 2015;

-     usługi w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji podtrzymuje Pan klasyfikację tych usług do grupowania PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”. Wyjaśnił Pan, że usługi te polegają na kompleksowym projektowaniu ram organizacyjnych i procedur bezpieczeństwa informacji u Zleceniodawców, co obejmuje tworzenie autorskich polityk, regulaminów, instrukcji operacyjnych oraz planów ciągłości działania (BCP/DRP);

-     usługi audytu bezpieczeństwa informacji (audyty IT) podtrzymuje Pan klasyfikację tych usług do grupowania PKWiU 62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego”. Wyjaśnił Pan, że wyjaśnienia GUS wskazują, że grupowanie to obejmuje usługi związane z opiniowaniem przez ekspertów spraw w zakresie systemów informatycznych i oprogramowania, w tym w szczególności systemy zabezpieczające. Usługa audytu IT polega na eksperckim badaniu systemów operacyjnych i baz danych pod kątem ich podatności na zagrożenia, konfiguracji zabezpieczeń i poprawności polityk dostępu. Ponieważ przedmiotem badania jest bezpośrednio oprogramowanie komputerowe u Zleceniodawcy, klasyfikacja ta jest całkowicie poprawna.

-     usługi audytu bezpieczeństwa informacji (audyty Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony danych Osobowych) podtrzymuje Pan klasyfikację tych usług do grupowania PKWiU 74.90.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego”. Wyjaśnił Pan, że wynika to z faktu, że audyty te mają wymiar wyłącznie proceduralny, zarządczy i compliance (ocena zgodności procedur i dokumentów z regulacjami prawnymi takimi jak Rozporządzenie KRI czy norma ISO/IEC 27001), nie naruszając bezpośrednio technicznej warstwy oprogramowania ani sprzętu.

Pana wątpliwości dotyczą wysokości stawki, jaką powinien Pan zastosować do usług wymienionych w punktach 1, 2 oraz 3 opisu stanu faktycznego, tj. Usług Inspektora Ochrony Danych (IOD), Usług obsługi punktu przyjmowania zgłoszeń od sygnalistów oraz Usług w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji, sklasyfikowanych przez Pana pod symbolem PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”.

W odniesieniu do świadczonych przez Pana usług wymienionych w punktach 1, 2 oraz 3 opisu stanu faktycznego, tj. Usług Inspektora Ochrony Danych (IOD), Usług obsługi punktu przyjmowania zgłoszeń od sygnalistów oraz Usług w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji, sklasyfikowanych przez Pana pod symbolem PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”, wskazuję, że nie zostały one objęte dyspozycją art. 12 ust. 1 pkt 1-4 oraz 6-8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Podsumowując, na podstawie powołanych wyżej przepisów oraz opisu sprawy stwierdzam, że przychody uzyskiwane przez Pana ze świadczenia w ramach działalności gospodarczej usług wymienionych w punktach 1, 2 oraz 3 opisu stanu faktycznego, tj. Usług Inspektora Ochrony Danych (IOD), Usług obsługi punktu przyjmowania zgłoszeń od sygnalistów oraz Usług w zakresie opracowywania i wdrażania dokumentacji bezpieczeństwa informacji, sklasyfikowanych przez Pana pod symbolem PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”, podlegały/podlegają opodatkowaniu 8,5% stawką ryczałtu od przychodów ewidencjonowanych, określoną w art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

W tej części uznano Pana stanowisko za prawidłowe.

Pana wątpliwości dotyczą również wysokości stawki, jaką powinien Pan zastosować do usług wymienionych w punkcie 5 opisu stanu faktycznego, tj. Usług szkoleniowych z ochrony danych i bezpieczeństwa informacji, sklasyfikowanych przez Pana pod symbolem PKWiU 85.59.19.0 „Usługi w zakresie doskonalenia zawodowego, gdzie indziej niesklasyfikowane”.

W odniesieniu do świadczonych przez Pana usług wymienionych w punkcie 5 opisu stanu faktycznego, tj. Usług szkoleniowych z ochrony danych i bezpieczeństwa informacji, sklasyfikowanych przez Pana pod symbolem PKWiU 85.59.19.0 „Usługi w zakresie doskonalenia zawodowego, gdzie indziej niesklasyfikowane”, wskazuję, że ustawodawca wprost przewidział w art. 12 ust. 1 pkt 5 lit. c ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, że ryczałt od przychodów ewidencjonowanych wynosi 8,5% przychodów ze świadczenia usług w zakresie edukacji (PKWiU 85).

Podsumowując, na podstawie powołanych wyżej przepisów oraz opisu sprawy stwierdzam, że przychody uzyskiwane przez Pana ze świadczenia w ramach działalności gospodarczej usług wymienionych w punkcie 5 opisu stanu faktycznego, tj. Usług szkoleniowych z ochrony danych i bezpieczeństwa informacji, sklasyfikowanych przez Pana pod symbolem PKWiU 85.59.19.0 „Usługi w zakresie doskonalenia zawodowego, gdzie indziej niesklasyfikowane”, podlegały/podlegają opodatkowaniu 8,5% stawką ryczałtu od przychodów ewidencjonowanych, określoną w art. 12 ust. 1 pkt 5 lit. c ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

W tej części uznano Pana stanowisko za nieprawidłowe.

Jednocześnie zauważam, że w przedmiotowej sprawie powołał Pan błędną podstawę prawną stosowania stawki ryczałtu w wysokości 8,5% dla usług wymienionych w punkcie 5 opisu stanu faktycznego , tj. Usług szkoleniowych z ochrony danych i bezpieczeństwa informacji, tj. art. 12 ust. 1 pkt 1 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

W konsekwencji, pomimo że prawidłowo Pan uznaje, że uzyskiwane przychody ze świadczenia przez Pana Usług szkoleniowych z ochrony danych i bezpieczeństwa informacji, podlegają opodatkowaniu ryczałtem według stawki 8,5%, w myśl zasady, że wadliwa argumentacja prawna wnioskodawcy, przy prawidłowo wywiedzionym skutku prawnym, winna skutkować uznaniem stanowiska podatnika za nieprawidłowe, Pana stanowisko w zakresie możliwości opodatkowania uzyskiwanych przychodów z tytułu świadczonych Usług szkoleniowych z ochrony danych i bezpieczeństwa informacji w formie ryczałtu od przychodów ewidencjonowanych według stawki 8,5%, na podstawie art. 12 ust. 1 pkt 1 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne należało ocenić jako nieprawidłowe.

Pana wątpliwości dotyczą także wysokości stawki, jaką powinien Pan zastosować do usług wymienionych w punkcie 4 opisu stanu faktycznego, tj. Usług audytu bezpieczeństwa informacji, sklasyfikowanych przez Pana pod symbolem PKWiU 62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego” oraz pod symbolem PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”.

Dokonując analizy Usług audytu bezpieczeństwa informacji (dla audytów IT), sklasyfikowanych pod symbolem PKWiU 62.02.20.0 wskazuję, że zgodnie z wyjaśnieniami GUS w klasie PKWiU 62.02 mieszczą się USŁUGI ZWIĄZANE Z DORADZTWEM W ZAKRESIE INFORMATYKI. Klasa ta obejmuje grupowania:

-        62.02.10.0 – Usługi związane z doradztwem w zakresie sprzętu komputerowego;

-        62.02.20.0 – Usługi związane z doradztwem w zakresie oprogramowania komputerowego;

-        62.02.30.0 – Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego.

Należy zauważyć, że zgodnie z wyjaśnieniami GUS do PKWiU 2015:

Grupowanie PKWiU 62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego” obejmuje:

-     usługi związane z doradztwem lub opiniowaniem przez ekspertów spraw w zakresie systemów informatycznych i oprogramowania, takie jak:

-     doradztwo dotyczące oprogramowania w zakresie wymagań i zaopatrzenia,

-     systemy zabezpieczające.

Podkreślam, że przepis art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne przewiduje 12% stawkę m.in. dla usług związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02).

Jednak znajdujące się przy grupowaniu PKWiU 62.02 oznaczenie „ex” (PKWiU ex 62.02) oznacza, że stawkę ryczałtu 12% należy stosować wyłącznie do przychodów uzyskiwanych ze świadczenia usług, które są związane z doradztwem w zakresie oprogramowania.

Zatem usługi związane z doradztwem w zakresie oprogramowania (PKWiU ex 62.02) to takie spośród „Usług związanych z doradztwem w zakresie informatyki” (PKWiU 62.02), które dotyczą doradztwa w zakresie oprogramowania.

Wskazał Pan, że świadczone przez Pana Usługi audytu bezpieczeństwa informacji (dla audytów IT), które sklasyfikowane są w grupowaniu PKWiU 62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego” są usługami związanymi z doradztwem w zakresie oprogramowania. Usługi audytów bezpieczeństwa informacji (audytów IT) świadczone przez Pana polegają: na niezależnej, technicznej ocenie środowiska systemowego poprzez aktywne, zautomatyzowane lub manualne metody weryfikacji sprzętu i oprogramowania (np. skanowanie podatności przy wykorzystaniu specjalistycznych skanerów sieciowych, weryfikacja logów). Usługi te polegają na eksperckim badaniu systemów operacyjnych i baz danych pod kątem ich podatności na zagrożenia, konfiguracji zabezpieczeń i poprawności polityk dostępu. Przedmiotem badania jest bezpośrednio oprogramowanie komputerowe. Celem audytu IT jest wykrycie błędów technicznych, wadliwych zabezpieczeń, czy niezałatanych podatności („luk”) w oprogramowaniu serwerowym.

Podsumowując, na podstawie powołanych wyżej przepisów oraz opisu sprawy stwierdzam, że przychody uzyskiwane przez Pana ze świadczenia w ramach działalności gospodarczej usług wymienionych w punkcie 4 opisu stanu faktycznego, tj. Usług audytu bezpieczeństwa informacji (dla audytów IT), sklasyfikowanych przez Pana pod symbolem PKWiU 62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego”, i które – jak wynika ze wskazanych przez Pana we wniosku i uzupełnieniu okoliczności – stanowiły/stanowią usługi związane z doradztwem w zakresie oprogramowania – podlegały/podlegają opodatkowaniu 12% stawką ryczałtu od przychodów ewidencjonowanych, określoną w art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

W tej części uznano Pana stanowisko za prawidłowe.

Natomiast odnosząc się do świadczonych przez Pana usług wymienionych również w punkcie 4 opisu stanu faktycznego, tj. Usług audytu bezpieczeństwa informacji (dla audytów Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych), sklasyfikowanych przez Pana pod symbolem PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”, ponownie wskazuję, że co do zasady, przychody z działalności usługowej są objęte stawką ryczałtu w wysokości 8,5%, jeżeli brak jest możliwości przyporządkowania danego rodzaju usług do innych kategorii czynności precyzyjnie określonych w art. 12 ust. 1 pkt 1-4 oraz 6-8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, do których stosowane są odmienne stawki. Usługi sklasyfikowane pod symbolem PKWiU 74.90.20.0 nie zostały objęte dyspozycją art. 12 ust. 1 pkt 1-4 oraz 6-8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne. Zatem podlegają opodatkowaniu 8,5% stawką ryczałtu.

Wobec powyższego, na podstawie powołanych wyżej przepisów oraz opisu sprawy stwierdzam, że przychody uzyskiwane przez Pana ze świadczenia w ramach działalności gospodarczej usług wymienionych w punkcie 4 opisu stanu faktycznego, tj. Usług audytu bezpieczeństwa informacji (dla audytów Krajowych Ram Interoperacyjności, normy ISO, Bezpieczeństwa Informacji oraz Ochrony Danych Osobowych), sklasyfikowanych przez Pana pod symbolem PKWiU 74.90.20.0 „Pozostałe usługi profesjonalne, techniczne i handlowe, gdzie indziej niesklasyfikowane”, podlegały/podlegają opodatkowaniu 8,5% stawką ryczałtu od przychodów ewidencjonowanych, określoną w art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, a nie – jak Pan wskazał – stawką 12%.

W tej części uznano Pana stanowisko za nieprawidłowe.

Zaznaczyć jednak należy, że ww. stawki ryczałtu znajdą zastosowanie wyłącznie, jeśli spełnione były/są warunki do zastosowania tej formy opodatkowania, o których mowa w cytowanych przepisach ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Dodatkowe informacje

Informacja o zakresie rozstrzygnięcia

Interpretacja dotyczy zaistniałych stanów faktycznych przedstawionych przez Pana i stanu prawnego obowiązującego w dacie zaistnienia zdarzenia.

Interpretacja została wydana przy założeniu, że poprawnie zakwalifikował Pan świadczone usługi do odpowiednich grupowań PKWiU. Interpretacja nie rozstrzyga o prawidłowości tych klasyfikacji. Przyporządkowanie do wskazanych klasyfikacji zostało podane jako element opisu stanów faktycznych.

Ponadto należy podkreślić, że w przypadku wskazania przez Pana nieprawidłowych symboli PKWiU udzielona odpowiedź w drodze interpretacji indywidualnej nie będzie dawała Panu waloru ochronnego, o którym mowa w art. 14k-14n Ordynacji podatkowej.

Interpretacja indywidualna wywołuje skutki prawnopodatkowe tylko wtedy, gdy rzeczywisty stan faktyczny sprawy będącej przedmiotem interpretacji pokrywał się będzie ze stanami faktycznymi podanymi przez wnioskodawcę w złożonym wniosku. W związku z powyższym, w przypadku zmiany któregokolwiek elementu przedstawionego we wniosku opisu sprawy, udzielona interpretacja traci swoją aktualność.

Przy wydawaniu niniejszej interpretacji tutejszy organ dokonał wyłącznie analizy okoliczności podanych we wniosku. Rolą postępowania w sprawie wydania indywidualnej interpretacji przepisów prawa podatkowego nie jest bowiem ustalanie, czy przedstawione we wniosku stany faktyczne są zgodne ze stanem rzeczywistym. W ramach postępowania o wydanie interpretacji przepisów prawa podatkowego organ nie przeprowadza postępowania dowodowego, lecz opiera się jedynie na stanach faktycznych przedstawionych we wniosku. Ustalenie stanu rzeczywistego stanowi domenę ewentualnego postępowania podatkowego. To na podatniku ciąży obowiązek udowodnienia w toku tego postępowania okoliczności faktycznych, z których wywodzi on dla siebie korzystne skutki prawne.

W odniesieniu do powołanych przez Pana interpretacji indywidualnych wskazuję, że zapadły one w indywidualnych sprawach i nie są wiążące dla organu wydającego niniejszą interpretację.

Pouczenie o funkcji ochronnej interpretacji

·   Funkcję ochronną interpretacji indywidualnych określają przepisy art. 14k-14nb ustawy z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa (t. j. Dz. U. z 2026 r. poz. 622 ze zm.). Interpretacja będzie mogła pełnić funkcję ochronną, jeśli Pana sytuacja będzie zgodna (tożsama) z opisem tanów faktycznych i zastosuje się Pan do interpretacji.

·   Zgodnie z art. 14na § 1 Ordynacji podatkowej:

·   Zgodnie z art. 14na § 2 Ordynacji podatkowej:

Pouczenie o prawie do wniesienia skargi na interpretację

Ma Pan prawo do zaskarżenia tej interpretacji indywidualnej do Wojewódzkiego Sądu Administracyjnego. Zasady zaskarżania interpretacji indywidualnych reguluje ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2026 r. poz. 143 ze zm.; dalej jako „PPSA”).

Skargę do Sądu wnosi się za pośrednictwem Dyrektora KIS (art. 54 § 1 PPSA). Skargę należy wnieść w terminie trzydziestu dni od dnia doręczenia interpretacji indywidualnej (art. 53 § 1 PPSA):

·    w formie papierowej, w dwóch egzemplarzach (oryginał i odpis) na adres: Krajowa Informacja Skarbowa, ul. Warszawska 5, 43-300 Bielsko-Biała (art. 47 § 1 PPSA), albo

·    w formie dokumentu elektronicznego, w jednym egzemplarzu (bez odpisu), na adres Krajowej Informacji Skarbowej na platformie ePUAP: /KIS/wnioski albo /KIS/SkrytkaESP (art. 47 § 3 i art. 54 § 1a PPSA).

Skarga na interpretację indywidualną może opierać się wyłącznie na zarzucie naruszenia przepisów postępowania, dopuszczeniu się błędu wykładni lub niewłaściwej oceny co do zastosowania przepisu prawa materialnego. Sąd jest związany zarzutami skargi oraz powołaną podstawą prawną (art. 57a PPSA).

Podstawa prawna dla wydania interpretacji

Podstawą prawną dla wydania tej interpretacji jest art. 13 § 2a oraz art. 14b § 1 Ordynacji podatkowej.