Risoluzione n. 77 del 12/08/2019

Tassabilità del servizio di monitoraggio del dark web offerto ai dipendenti

La risoluzione esamina il trattamento fiscale del servizio di "Dark-web Monitoring" che una società intende offrire ai propri dipendenti per prevenire furti di identità, violazioni di dati e utilizzi illeciti di informazioni sensibili. Il tema centrale è stabilire se tale beneficio debba essere considerato reddito di lavoro dipendente oppure no, ai sensi dell’art. 51 del TUIR.

Contenuto del servizio descritto

La società istante distribuisce in Italia un servizio di monitoraggio del cosiddetto "dark web" tramite una piattaforma informatica dedicata. Il servizio consente all’utente di caricare fino a 46 tipologie di dati, tra cui nome, cognome, codice fiscale, indirizzo e-mail, credenziali aziendali e documenti personali.

Dopo il caricamento, il sistema interroga il dark web, le comunità di hacker e altre pagine web, producendo report che indicano se i dati siano già stati scambiati o siano esposti a rischio. Il monitoraggio è continuativo e prevede anche avvisi immediati in caso di compromissione delle informazioni personali, oltre a servizi di formazione, sensibilizzazione e supporto per ridurre i rischi connessi all’uso improprio dei dati.

Quesito posto dalla società

La società, in qualità di sostituto d’imposta, chiede se il servizio di monitoraggio offerto ai dipendenti possa essere considerato non tassabile in capo a questi ultimi, in quanto erogato nell’esclusivo interesse del datore di lavoro. In particolare, si chiede se debba essere esclusa l’applicazione della ritenuta alla fonte prevista dall’art. 23 del DPR n. 600 del 1973.

Soluzione prospettata dal contribuente

La società ritiene che il servizio non sia imponibile per i dipendenti perché finalizzato a tutelare l’azienda dai rischi derivanti dal furto di identità e da attacchi informatici. Di conseguenza, sostiene di non dover applicare la ritenuta alla fonte sui valori eventualmente attribuiti ai lavoratori.

Quadro normativo richiamato

L’Agenzia richiama innanzitutto:

• l’art. 49, comma 1, del TUIR, che definisce i redditi di lavoro dipendente;
• l’art. 51, comma 1, del TUIR, che stabilisce il principio di onnicomprensività del reddito di lavoro dipendente, includendovi tutte le somme e i valori percepiti in relazione al rapporto di lavoro.

Viene precisato che la regola generale è la totale imponibilità di tutto ciò che il lavoratore riceve in relazione al rapporto di lavoro, salvo le eccezioni previste dallo stesso art. 51 o riconosciute dalla prassi amministrativa in presenza di un esclusivo o prevalente interesse del datore di lavoro.

Richiamo alla prassi precedente

La risoluzione richiama diversi precedenti dell’Amministrazione finanziaria per affermare il principio secondo cui non concorrono al reddito di lavoro dipendente le erogazioni che non determinano un arricchimento del lavoratore o che sono sostenute nell’interesse esclusivo o prevalente del datore di lavoro.

In particolare, vengono richiamati:

• la circolare n. 326 del 23 dicembre 1997, che distingue tra premi assicurativi imponibili e premi esclusi quando relativi a infortuni professionali, perché riconducibili all’interesse del datore di lavoro;
• la stessa circolare n. 326 del 1997, per i rimborsi di spese anticipate dal dipendente ma di competenza del datore di lavoro, esclusi da imposizione;
• la circolare n. 55 del 4 marzo 1999, sui contributi per assistenza sociale e sulle coperture che rispondono a un interesse esclusivo del datore di lavoro;
• la risoluzione n. 178/E del 9 settembre 2003, sui premi assicurativi per amministratori, esclusi quando stipulati nell’interesse della società;
• la risoluzione n. 357/E del 7 dicembre 2007, sul rimborso dei costi dei collegamenti telefonici per il telelavoro, escluso perché sostenuto nell’interesse del datore di lavoro.

Valutazione dell’Agenzia delle Entrate

L’Agenzia osserva che furti d’identità, violazioni di dati e attacchi informatici sono eventi sempre più diffusi e in grado di causare gravi conseguenze sia ai singoli sia alle aziende. Un uso fraudolento delle credenziali o dei dati personali di un dipendente può infatti consentire accessi indebiti ai sistemi aziendali e generare rilevanti danni economici.

In questo contesto, il servizio di monitoraggio offerto ai dipendenti è qualificato come uno strumento utile a svolgere l’attività lavorativa in maggiore sicurezza e a ridurre il rischio aziendale connesso all’uso illecito delle informazioni sensibili. Anche quando il monitoraggio riguarda dati personali del dipendente, il fine perseguito resta quello di proteggere principalmente la società da possibili attacchi informatici e dalle relative conseguenze.

Conclusione

L’Agenzia conclude che il servizio di monitoraggio dei dati offerto dalla società ai dipendenti non è fiscalmente rilevante in capo a questi ultimi, perché erogato in un contesto di prevalente interesse del datore di lavoro. Ne deriva che la società, in qualità di sostituto d’imposta, non è tenuta ad applicare la ritenuta ai sensi dell’art. 23 del DPR n. 600 del 1973.

Indicazione finale

La risoluzione si chiude con la consueta previsione di vigilanza delle Direzioni regionali affinché i principi espressi siano osservati dagli uffici dipendenti.