Il servizio di monitoraggio di dati sensibili sul c.d. “dark web” offerto dal datore di lavoro ai propri dipendenti non è fiscalmente rilevante in capo a questi ultimi. Si tratta, infatti, di un servizio erogato nell’interesse prevalente del datore di lavoro al fine di prevenire e minimizzare il rischio aziendale connesso all’uso fraudolento di informazioni sensibili.
Nota a AdE Risoluzione 12 agosto 2019, n. 77/E
Marialuisa De Vita
Con la Risoluzione n. 77/E del 2019, l’Agenzia delle Entrate ha fornito alcuni chiarimenti relativamente al trattamento fiscale da applicare al servizio di monitoraggio di dati sensibili offerto dal datore di lavoro ai propri dipendenti.
Nel caso di specie, una società, consapevole dei rischi legati ai furti di identità e di altre informazioni sensibili che possono colpire anche i propri dipendenti, intendeva fornire a questi ultimi un servizio di monitoraggio di dati sensibili (c.d. Dark-web monitoring), tra i quali vi sarebbero rientrate sia le informazioni strettamente aziendali (quali, ad es., e-mail aziendale e numero di badge) sia le informazioni personali (come, ad es., il numero della carta di identità).
La società istante, temendo che la prestazione di tale servizio a favore dei dipendenti potesse avere implicazioni fiscali, si rivolgeva all’Amministrazione finanziaria chiedendo, in particolare, se tale servizio potesse essere considerato non soggetto a tassazione in capo ai dipendenti in quanto erogato nell’esclusivo interesse del datore di lavoro (la società istante).
Nell’argomentare la propria soluzione, l’Agenzia delle Entrate muove innanzitutto dalla definizione di redditi di lavoro dipendente di cui all’art. 49 TUIR, secondo cui si considerano tali i redditi che “derivano da rapporti aventi per oggetto la prestazione di lavoro, con qualsiasi qualifica, alle dipendenze e sotto la direzione di altri “. Rammenta, poi, che in materia vige il principio di onnicomprensività ovverosia l’imponibilità “di tutte le somme e i valori in genere, a qualunque tipo percepiti nel periodo di imposta, anche sotto forma di erogazioni liberali, in relazione al rapporto di lavoro” (art. 51 TUIR).
Costituiscono eccezione a tale principio e, dunque, sono escluse da tassazione in capo al lavoratore dipendente (cfr. Circ. n. 326/1997 e n. 55/1999; Risoluz. n. 178/2003 e 357/2007):
- le somme che non costituiscono arricchimento per il lavoratore (ad es., gli indennizzi ricevuti a mero titolo di reintegrazione patrimoniale);
- le erogazioni effettuate per un esclusivo o prevalente interesse del datore di lavoro.
Ciò premesso, con riferimento al caso di specie, l’Agenzia delle Entrate osserva che i furti d’identità e di informazioni privilegiate, al pari dei c.d. “attacchi informatici”, costituiscono eventi sempre più diffusi, i quali, pur riguardando singoli individui, possono avere gravi ripercussioni sulle realtà aziendali nelle quali gli stessi si trovano ad operare.
Posto che il servizio di monitoraggio viene erogato dalla società per lo svolgimento in sicurezza e in maggiore libertà dell’attività lavorativa dei dipendenti e per prevenire e minimizzare il rischio aziendale correlato all’uso fraudolento delle loro informazioni sensibili, la tutela del dipendente e quella della realtà aziendale – chiarisce l’Agenzia delle Entrate – “costituiscono, in questa fattispecie, aspetti assolutamente interdipendenti per assicurare e garantire principalmente la società da eventuali attacchi informatici esterni”.
Ne deriva che il servizio di monitoraggio dei dati offerto dalla società ai dipendenti può ritenersi erogato principalmente nell’interesse della società, sicché non è fiscalmente rilevante in capo ai lavoratori e che la società, in qualità di sostituto di imposta, non è conseguentemente tenuta ad applicare alcuna ritenuta.