Regolamento (UE) 2026/1743

Modifica del regolamento (UE) n. 904/2010 sull’accesso di EPPO e OLAF ai dati IVA

Il regolamento 2026/1743 interviene sul sistema di cooperazione amministrativa in materia di IVA per rafforzare il contrasto alle frodi transfrontaliere e migliorare il coordinamento tra autorità fiscali, Eurofisc, Procura europea e OLAF. Il legislatore evidenzia che il quadro previgente non disciplinava in modo espresso l’accesso di EPPO e OLAF alle informazioni IVA di livello unionale, né lo scambio strutturato dei risultati delle analisi di Eurofisc.

Finalità e logica dell’intervento

La ratio della riforma è duplice: da un lato, consentire a EPPO di ottenere più rapidamente informazioni utili per valutare l’esercizio della propria competenza nelle frodi IVA transfrontaliere; dall’altro, permettere a OLAF di disporre di dati pertinenti per le sue indagini amministrative, soprattutto nel settore doganale. Le informazioni devono essere trasmesse o rese accessibili nel rispetto dei principi di necessità, proporzionalità e protezione dei dati, con accessi limitati a ricerche mirate e senza possibilità di monitoraggio generalizzato.

Ambito soggettivo e oggettivo

Le nuove norme riguardano gli Stati membri, le autorità competenti incaricate dell’applicazione della normativa IVA, Eurofisc, la Commissione europea, EPPO e OLAF. L’oggetto dell’accesso comprende categorie determinate di informazioni IVA già presenti nei sistemi e registri rilevanti, tra cui CESOP, VIES centrale, alcune informazioni di cui all’articolo 17 del regolamento (UE) n. 904/2010, le informazioni trasmesse ai sensi dell’articolo 24 ter, paragrafo 3, e quelle di cui all’articolo 24 octies, paragrafo 2. Restano invece escluse le informazioni conservate nel sistema TNA di Eurofisc, che non sono oggetto di ricerche mirate da parte di EPPO o OLAF.

Relazioni di analisi di Eurofisc e trasmissione di informazioni

L’articolo 36, come modificato, introduce un meccanismo di trasmissione strutturata delle relazioni di analisi di Eurofisc. Eurofisc deve comunicare a EPPO relazioni specifiche sui presunti sistemi fraudolenti transfrontalieri rilevanti per la competenza EPPO, sulla base delle informazioni scambiate dagli Stati membri e della relativa analisi. Deve inoltre fornire, su richiesta di EPPO, ulteriori informazioni pertinenti disponibili sulle frodi transfrontaliere in materia di IVA.

In parallelo, Eurofisc deve comunicare a OLAF relazioni di analisi relative a sospette frodi IVA nel settore doganale che ledono gli interessi finanziari dell’Unione, nonché, su richiesta di OLAF, qualsiasi informazione disponibile sulle sospette frodi transfrontaliere in materia di IVA nel settore doganale. Le relazioni devono essere redatte secondo criteri e contenuti definiti dalla Commissione mediante atto di esecuzione, che stabilisce anche il formulario tipo per la trasmissione.

Accesso centralizzato di EPPO

Il nuovo articolo 49 bis introduce un accesso centralizzato, tramite un punto di ingresso unico, per ricerche mirate effettuate da EPPO. L’accesso riguarda:

• dal 17 agosto 2027 al 30 giugno 2032, le informazioni di cui all’articolo 17, paragrafo 1, lettere a), b) e c);
• dal 17 agosto 2027, le informazioni di cui all’articolo 17, paragrafo 1, lettere e) ed f);
• dal 17 agosto 2027, le informazioni trasmesse ai sensi dell’articolo 24 ter, paragrafo 3;
• dal 1o luglio 2030, le informazioni di cui all’articolo 24 octies, paragrafo 2.

L’accesso è riservato ai procuratori europei, ai procuratori europei delegati e al personale autorizzato dell’ufficio centrale dell’EPPO munito di identificazione personale. Può essere utilizzato solo per esercitare la competenza di cui all’articolo 22 del regolamento (UE) 2017/1939. I registri di audit devono essere accessibili alle autorità competenti degli Stati membri a fini informativi e a EPPO per il controllo interno. La Commissione deve adottare atti di esecuzione su dettagli tecnici, categorie di ricerche, misure di protezione dei dati, identificazione degli utenti, controlli di accesso e requisiti del registro di audit. I costi infrastrutturali e di manutenzione sono posti a carico di EPPO.

Accesso centralizzato di OLAF

Il nuovo articolo 49 ter prevede un meccanismo sostanzialmente analogo per OLAF, sempre mediante ricerche mirate e punto di ingresso unico. L’accesso riguarda le stesse categorie di informazioni e segue gli stessi cronoprogrammi temporali. Può essere esercitato solo dal personale identificato autorizzato da OLAF e solo per valutare sospetti di frode prima dell’avvio e per svolgere indagini amministrative specifiche nel settore doganale, conformemente ai compiti istituzionali dell’ufficio.

Anche per OLAF sono previsti registri di audit accessibili alle autorità competenti degli Stati membri e meccanismi di controllo interno. La Commissione deve adottare atti di esecuzione per le specifiche tecniche e di sicurezza, mentre i costi di realizzazione, esercizio e manutenzione dell’infrastruttura sono a carico di OLAF.

Protezione dei dati e limiti dell’accesso

Il regolamento dedica particolare attenzione alla protezione dei dati personali. Richiama il regolamento (UE) 2018/1725 per EPPO e OLAF e il regolamento (UE) 2016/679 per le autorità nazionali. L’accesso centralizzato è definito come eccezionale e strettamente limitato a casi specifici, senza autorizzare ricerche generalizzate o un monitoraggio indiscriminato delle informazioni IVA.

Solo i soggetti autorizzati e identificati possono accedere ai dati; il sistema deve prevedere profili utente, controlli di accesso e meccanismi che associno ogni accesso a uno specifico fascicolo di indagine e a un utente specifico. Il Garante europeo della protezione dei dati è stato consultato nel procedimento legislativo.

Valutazione del sistema e decorrenza

Il nuovo articolo 49 modifica anche il meccanismo di valutazione del dispositivo di cooperazione amministrativa, prevedendo che Stati membri e Commissione esaminino il funzionamento del sistema tenendo conto dell’applicazione pratica delle nuove disposizioni su Eurofisc, EPPO e OLAF. La Commissione deve centralizzare l’esperienza degli Stati membri per migliorare il funzionamento complessivo del dispositivo.

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale, ma si applica dal 17 agosto 2027. Fa eccezione l’articolo 1, punto 3), relativo all’accesso al VIES centrale, che si applica dal 1o luglio 2030. La disciplina è direttamente applicabile in tutti gli Stati membri.