Hacking Ético: tratamiento fiscal de servicios de seguridad informática

¿Qué es el hacking ético y cómo se regula tributariamente?

El hacking ético es una actividad de investigación sobre seguridad informática que consiste en evaluar la seguridad de servidores y sistemas de empresas de forma autorizada. En Uruguay, esta actividad tiene un tratamiento fiscal específico que varía según la estructura jurídica elegida.

Tratamiento en IRAE: ¿actividad empresarial o profesional?

La DGI establece que los servicios informáticos online constituyen actividad empresarial cuando existe combinación de capital y trabajo. En el caso del hacking ético:

• El uso de computadora propia y software especializado configura la utilización de capital
• Por tanto, las rentas quedan gravadas por IRAE, no por IRPF
• No es relevante que no se tenga título habilitante profesional

Exoneración para soportes lógicos: requisitos y limitaciones

Los servicios de hacking ético califican objetivamente para la exoneración del literal S) del artículo 52° del Título 4, ya que están incluidos como "servicios de riesgo informático y seguridad de soportes" en la normativa.

Sin embargo, existe una limitación crucial:

La exoneración NO es aplicable a empresas unipersonales. Solo pueden acceder sociedades constituidas conforme al derecho uruguayo.

Diferencias según la estructura elegida

Empresa unipersonal:

• No accede a la exoneración
• Paga IRAE a la tasa general
• Simplicidad operativa

Sociedad por Acciones Simplificada (SAS):

• SÍ accede a la exoneración
• Debe cumplir condiciones formales y materiales adicionales
• Mayor complejidad administrativa

IVA y exportación de servicios

Los servicios de hacking ético pueden calificar como exportación de servicios cuando:

• Se prestan a personas del exterior
• Son aprovechados exclusivamente fuera de Uruguay
• Califican como servicios técnicos de asesoramiento

En estos casos, la prestación queda exenta de IVA por tratarse de exportación.

Consideraciones prácticas para emprendedores

Si estás considerando ofrecer servicios de hacking ético, evaluá estos aspectos:

Análisis costo-beneficio de la SAS:

• Costos de constitución y mantenimiento
• Beneficio fiscal de la exoneración
• Volumen de facturación proyectado

Documentación necesaria:

• Contratos claros sobre el alcance del servicio
• Evidencia de que el servicio se aprovecha en el exterior (para exportación)
• Registro detallado de software y herramientas utilizadas

Errores comunes a evitar

Confundir con actividad profesional: Aunque sea un servicio técnico especializado, el uso de equipos propios lo convierte en actividad empresarial gravada por IRAE.

Asumir automáticamente la exoneración: Recordá que solo aplica para sociedades, no para empresas unipersonales.

No considerar la exportación: Si tus clientes están en el exterior, podrías estar perdiendo el beneficio de exención de IVA.

Texto completo de la consulta

PERSONA FÍSICA CON ACTIVIDAD EN INVESTIGACIÓN SOBRE SEGURIDAD INFORMÁTICA "HACKING ÉTICO" REALIZADA EN FORMA INDIVIDUAL DESDE EL URUGUAY O A TRAVÉS DE SOCIEDAD POR ACCIONES SIMPLIFICADA (SAS) - SERVICIOS INFORMÁTICOS ONLINE - IRAE - IVA - SOPORTES LÓGICOS, SERVICIOS VINCULADOS - EXONERACIÓN, CONSIDERACIONES - EXPORTACIÓN DE SERVICIOS, CONDICIONATES.

Se presenta una persona física cuya actividad consiste en la investigación sobre seguridad informática. Dicha actividad la realiza específicamente sobre el funcionamiento de los servidores de determinada empresa, actividad que también es conocida como "Hacking Ético". Para realizar la mencionada actividad el consultante utiliza una computadora propia y diversos softwares gratuitos, los cuales en algunas oportunidades son desarrollados directamente por el consultante.

La investigación es realizada en forma individual y desde Uruguay.

Consulta respecto de los servicios descriptos, si los mismos se encuentran alcanzados por el Impuesto a las Rentas de las Actividades Económicas (IRAE) y por ende amparados por la exoneración establecida en el numeral 2 del literal S) del artículo 52° del Título 4 del T.O. 1996, reglamentado por el apartado ii) del literal b) del artículo 161 bis del Decreto N° 150/007 de 26.04.007.

Adelanta opinión señalando que la citada actividad no está comprendida en el Impuesto a la Renta de las Personas Físicas (IRPF), en la medida que la computadora es considerada capital por no tratarse de un profesional con título habilitante. Asimismo, señala que su situación encuadra dentro de lo establecido en la Consulta N° 4.823 de 09.01.009 (Bol. N° 428), en la cual se entendía que dentro del desarrollo de los soportes lógicos quedaba comprendido los sitios web, por lo tanto entiende que los servicios vinculados a los sitios web están contemplados en la norma. Atento a lo expuesto, concluye, que los servicios que contribuyen a la seguridad informática y detección de riesgos pueden gozar de la mencionada exoneración.

Asimismo, señala en cuanto a que el mencionado servicio no queda comprendido en el listado de exportación de servicios que se establece en el artículo 34 del Decreto N° 220/998 de 12.08.998.

Por otra parte se consulta si la exoneración citada es aplicable en caso de optar por realizar la actividad mediante una Sociedad por Acciones Simplificada (SAS).

Respuesta:

Conforme lo indicado, el consultante prestará servicios informáticos on line.

En sucesivas consultas, esta Administración, ha entendido que para el desarrollo de estas actividades la utilización de equipos de computación constituye un aspecto determinante para concluir que existe combinación de capital y trabajo en forma conjunta, para la obtención de la renta, salvo que la actividad se desarrolle utilizando exclusivamente bienes de activo fijo, aportados por el prestatario. Conforme a lo indicado considerando que el consultante utilizará su propia computadora, las rentas obtenidas por el servicio serán de naturaleza empresarial quedando comprendidas en el ámbito del IRAE.

Ahora bien, a los efectos de determinar si la actividad del consultante, esto es "Hacking Ético", queda comprendida en la citada exoneración, se debe analizar si dicho servicio queda incluido dentro del concepto establecido en el apartado ii) del literal b) del artículo 161 bis del Decreto N° 150/007.

En el citado apartado se enumera como servicio vinculado a soportes lógicos, en este caso desarrollado por terceros, a los servicios de riesgo informático y seguridad de soportes. En la medida que el servicio descripto por el consultante consiste en la investigación sobre seguridad informática, estaría cumpliendo con las condiciones objetivas para la exoneración, siempre y cuando se verifiquen las restantes condiciones formales y materiales exigidas por la normativa.

Sin embargo, dado que el consultante no cumple con las condiciones subjetivas en la medida que la exoneración establecida en el literal S) del artículo 52° del Título 4 del T.O. 1996 no es aplicable a empresas unipersonales, no podrá acceder a la misma.

En cambio, si se tratara de una SAS, la citada exoneración resultaría aplicable, conforme lo señalado en Consulta N° 6.306 de 19.02.020.

Respecto al Impuesto al Valor Agregado (IVA), el numeral 11 del artículo 34 del Decreto N° 220/998 establece que constituyen exportaciones de servicios, los servicios prestados a personas del exterior, de asesoramiento en relación a actividades desarrolladas, bienes situados o derechos utilizados económicamente fuera de la República.

Asimismo, quedan comprendidos en este literal los servicios de carácter técnico, prestados en el ámbito de la gestión, administración, técnica o asesoramiento de todo tipo, y los servicios de consultoría, traducción, proyectos de ingeniería, diseño, arquitectura, asistencia técnica, capacitación y auditoría.

Los citados servicios deben ser aprovechados exclusivamente en el exterior.

En consecuencia, la prestación de servicios informáticos online, quedará comprendida en la definición de exportación de servicios, en la medida que sean prestados a personas del exterior y sean aprovechados exclusivamente en dicho ámbito espacial.

25.01.021 - La Directora General de Rentas, acorde.