Если организация — оператор персональных данных выплачивает физлицу компенсацию в связи с утечкой его персональных данных, такая компенсация облагается НДФЛ.
Дело в том, что перечень доходов, освобождаемых от НДФЛ, приведен в ст. 217 НК РФ. И такого вида дохода, как компенсация за утечку персональных данных, в этом перечне нет. А значит, налогообложение компенсации производится в общеустановленном порядке. Причем организация — оператор персональных данных в этом случае будет выступать в роли налогового агента.
Источник: Письмо ФНС