Nagroda za znalezienie błędu musi być udokumentowana fakturą

Przedsiębiorca, który w ramach działalności gospodarczej wyszukuje luki w systemach informatycznych innych firm powinien dokumentować fakturami nagrody finansowe, jakie otrzymuje od tych firm - wynika z indywidualnej interpretacji.

Przedsiębiorca prowadzi jednoosobową działalność gospodarczą w zakresie działalności związanej z oprogramowaniem (PKD 62.01.Z) oraz pozostałej działalności usługowej w zakresie technologii informatycznych i komputerowych (PKD 62.09.Z). Opłaca ryczałt od przychodów ewidencjonowanych, jest też zarejestrowany jako czynny podatnik VAT.

Przedsiębiorca w 2024 r. zarejestrował się na platformie, która pośredniczy między firmami prowadzącymi programy Bug Bounty (systemy nagród dla zewnętrznych badaczy bezpieczeństwa poszukujących i zgłaszających luki w zabezpieczeniach oprogramowania lub w serwisach firmowych) a osobami, które takich luk poszukują. Rejestracja na takiej platformie nie wymaga podpisywania umowy, firmy wypłacają badaczom nagrody pieniężne za znalezione błędy, a platforma pośrednicząca zajmuje się obsługą tych płatności.

Przedsiębiorca początkowo poświęcał na wyszukiwanie błędów w ramach programów Bug Bounty niewiele czasu. Z czasem uległo to zmianie, dlatego w październiku 2025 r. zdecydował na włączenie czynności wykonywanych w tym zakresie do zakresu prowadzonej działalności gospodarczej. Zgodnie z opinią wydaną przez Ośrodek Klasyfikacji i Nomenklatur Urzędu Statystycznego wykonywanie takich czynności klasyfikowane jest na gruncie PKWiU w grupowaniu 62.02.30.0 (usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego). Wykonywane przez przedsiębiorcę czynności polegają zaś na:

• analizie zakresu danego programu bezpieczeństwa oraz wskazanych serwisów i środowisk objętych testami,
• ręcznym (manualnym) testowaniu aplikacji webowych, mobilnych oraz wybranych elementów infrastruktury informatycznej z wykorzystaniem specjalistycznej wiedzy z zakresu bezpieczeństwa systemów,
• korzystaniu z narzędzi automatyzujących powtarzalne zadania testowe (wyszukiwanie typowych błędów konfiguracyjnych, przegląd wybranych zasobów, wstępne skanowanie) przy zachowaniu kontroli i weryfikacji wyników przez testera,
• tworzeniu i wykorzystywaniu własnych skryptów pomocniczych, służących do automatyzacji wybranych czynności testowych lub do jednoznacznego potwierdzenia stwierdzonej podatności,
• analizie dostępnego kodu źródłowego (o ile jest udostępniany w ramach programu bezpieczeństwa) w celu wyszukiwania błędów projektowych i implementacyjnych mogących prowadzić do naruszenia bezpieczeństwa,
• ocenie, czy użytkownik nieuprawniony mógłby uzyskać dostęp do danych, wykonywać operacje, do których nie powinien mieć uprawnień, zmieniać lub usuwać cudze dane albo zakłócać działanie systemu.

Przedsiębiorca jest zdania, że nagród otrzymywanych od firm prowadzących programy Bug Bounty za pośrednictwem platformy nie powinien dokumentować fakturami VAT. Jego zdaniem nie jest to bowiem wynagrodzenie z tytułu świadczenia usług, lecz szczególnego rodzaju nagrody w konkursach. Podatnik wystąpił o indywidualną interpretację, aby uzyskać potwierdzenie swojego stanowiska. Zadał też pytanie o sposób postępowania w sytuacji, gdyby organ interpretacyjny uznał, że nagrody są wynagrodzeniem z tytułu świadczenia usług. Jego zdaniem konsekwencją takiego stanowiska powinno być uznanie, że na wystawianych fakturach jako nabywcy wskazywane powinny być poszczególne firmy prowadzące programu Bug Bounty, nie zaś operator platformy.

Z firmly przygotujesz i wyślesz JPK_V7M lub JPK_V7K prosto z przeglądarki!
firmly ułatwia wprowadzanie faktur, generowanie JPK_V7M, JPK_V7K i JPK_FA, oraz umożliwia online wysyłkę do urzędu skarbowego z e-podpisem. Sprawdź statusy wysyłki i pobieraj Urzędowe Poświadczenia Odbioru (UPO) bezpośrednio w aplikacji.
Przejdź do firmly i ułatw sobie pracę z JPK »

Usługa jest odpłatna, istnieje jej odbiorca, a usługodawca jest podatnikiem

W interpretacji Dyrektor KIS wskazał, że, zgodnie z art. 5 ust. 1 ustawy o podatku od towarów i usług, opodatkowaniu VAT podlega m.in. odpłatne świadczenie usług na terytorium kraju. Usługami są zaś wszelkie odpłatne świadczenia niebędące dostawą towarów, zarówno polegające na działaniu (uczynienie, wykonanie czegoś), jak i zaniechaniu (nieczynienie, tolerowanie, znoszenie określonych stanów rzeczy). Aby świadczenie podlegało, jako usługa, opodatkowaniu podatkiem od towarów i usług, musi istnieć odbiorca świadczenia odnoszący z niego choćby potencjalną korzyść. Jeżeli nie istnieje podmiot, który odnosi (lub powinien odnosić) korzyści o charakterze majątkowym związane z danym świadczeniem, to takie świadczenie nie jest czynnością podlegającą opodatkowaniu VAT. Dodatkowo aby dana czynność była opodatkowana tym podatkiem, musi być wykonana przez podmiot, który w związku z jej wykonaniem jest podatnikiem podatku od towarów i usług. Dyrektor KIS ocenił następnie, że wnioskodawca jest podatnikiem w rozumieniu ustawy o podatku od towarów i usług, a wykonywane przez niego czynności w zakresie wyszukiwania błędów wypełniają definicję odpłatnego świadczenia usług. Są więc czynnościami podlegającymi opodatkowaniu podatkiem od towarów i usług.

Następnie Dyrektor KIS zauważył, że aby określić, jaki podmiot powinien być wykazywany jako nabywca na fakturach wystawianych przez wnioskodawcę, należy ustalić, czy świadczone przez niego usługi mają charakter usług elektronicznych. Zgodnie bowiem z art. 9a rozporządzenia wykonawczego Rady UE nr 282/2011, gdy takie usługi są świadczone za pośrednictwem sieci telekomunikacyjnej, interfejsu lub portalu, np. sklepu z aplikacjami, przyjmuje się, że podatnik uczestniczący w świadczeniu tych usług działa w imieniu własnym, lecz na rzecz dostawcy tych usług. Usługami elektronicznymi są natomiast usługi świadczone za pomocą Internetu lub sieci elektronicznej, które, ze względu na ich charakter, są zasadniczo zautomatyzowane i wymagają minimalnego udziału człowieka, a ich wykonanie bez wykorzystania technologii informacyjnej jest niemożliwe. Z opisu zawartego we wniosku o interpretację wynika jednak, że świadczone przez przedsiębiorcę usługi wymagają znacznego udziału człowieka. Nie są to więc usługi elektroniczne. W konsekwencji nie można uznać, że wnioskodawca świadczy usługi na rzecz platformy pośredniczącej, tylko na rzecz ostatecznych nabywców, którymi są firmy prowadzące programy Bug Bounty. Dlatego to ostateczni nabywcy tych usług powinni być wskazywani na fakturach.

Dane zagranicznej spółki i jej polskiego oddziału na fakturze KSeF

Źródło: indywidualna interpretacja 0112-KDIL1-3.4012.47.2026.4.KK z 18 marca 2026 r.