Tassa sicurezza informatica: no all'addebito in busta paga al dipendente

di Lucia Izzo - I costi del servizio, offerto dall'azienda stessa, per tutelare i lavoratori da eventuali attacchi informatici risponde a un interesse prevalente della società medesima e non concorre alla formazione del reddito da lavoro dipendente. Di conseguenza è esclusa la possibilità di tassarli in busta paga.

Lo ha chiarito l'Agenzia delle Entrate nella risoluzione n. 77/E (qui sotto allegata) rispondendo all'interpello di una società in materia di tassabilità, in capo ai dipendenti, del servizio di monitoraggio di dati sensibili offerto a questi ultimi dal datore di lavoro.

• Il quesito
• Erogazioni effettuate per prevalente interesse del datore di lavoro
• Sicurezza informatica: niente tasse in capo ai dipendenti

Il quesito

[Torna su]

In particolare, la società rappresenta di voler distribuire in Italia servizi di monitoraggio del cosiddetto "dark web" tramite apposita piattaforma, realizzata al fine di prevenire e minimizzare i potenziali danni derivanti dal furto d'identità e di altri dati sensibili.

Consapevole dei rischi legati ai furti di identità e di altre informazioni sensibili, di cui potrebbero essere vittime anche i propri dipendenti, la società nell'interpello sottolinea l'intenzione di fornire anche a questi ultimi il servizio di "Dark-web Monitoring" già proposto in vendita ai terzi.

In tale ottica, la società istante, nella sua qualità di sostituto di imposta, chiede all'Agenzia di conoscere il corretto trattamento tributario da riservare al servizio di monitoraggio del "dark web", offerto ai propri dipendenti: secondo la società, tale servizio non sarebbe soggetto a tassazione in capo a questi ultimi, in quanto erogato nell'esclusivo interesse del datore di lavoro.

Conseguentemente, la società ritiene non doversi applicare la ritenuta alla fonte di cui all'art. 23 del DPR 29 settembre 1973, n. 600, in materia di redditi di lavoro dipendente.

Erogazioni effettuate per prevalente interesse del datore di lavoro

[Torna su]

L'Agenzia, richiamando alcuni precedenti documenti di prassi, rammenta il principio per cui non concorrono alla formazione del reddito di lavoro dipendente le somme che non costituiscono un arricchimento per il lavoratore (es. gli indennizzi ricevuti a mero titolo di reintegrazione patrimoniale) e le erogazioni effettuate per un esclusivo o prevalente interesse del datore di lavoro.

Con riferimento alla fattispecie in esame, si osserva che i furti d'identità e di informazioni privilegiate, al pari dei cosiddetti "attacchi informatici", costituiscono, attualmente, degli eventi sempre più diffusi sia sulla rete internet che sui social network.

Tali eventi, che colpiscono anche i singoli individui, potrebbero avere inevitabili e gravi ripercussioni sulle realtà aziendali nelle quali gli stessi si trovano a operare, basti pensare al rischio di furto delle credenziali di accesso al profilo aziendale di un dipendente che potrebbe consentire un accesso fraudolento diretto al sistema informatico dell'azienda, con ripercussioni economiche rilevanti a carico di quest'ultima.

Sicurezza informatica: niente tasse in capo ai dipendenti

[Torna su]

In tale contesto, il servizio di monitoraggio dei dati personali che la società intende fornire ai dipendenti costituisce uno strumento fondamentale per lo svolgimento in sicurezza e in maggiore libertà dell'attività lavorativa, al fine ultimo di gestire e minimizzare il rischio aziendale connesso all'utilizzo illecito delle informazioni sensibili.

Pertanto, tale servizio risponde a un interesse prevalente della società medesima, anche nel caso in cui utilizzi informazioni personali dei dipendenti (ad es., numero di carta di identità e passaporto) quale veicolo per minimizzare il rischio aziendale correlato all'uso fraudolento di informazioni sensibili.

La tutela del dipendente e quella della realtà aziendale costituiscono, in questa particolare fattispecie, aspetti assolutamente interdipendenti per assicurare e garantire principalmente la società da eventuali attacchi informatici esterni.

In considerazione delle osservazioni che precedono, la società ritiene che il servizio di monitoraggio dei dati offerto dalla società ai dipendenti non sia fiscalmente rilevante in capo a questi ultimi e che la società, in qualità di sostituto di imposta, non sia tenuta ad applicare le relative ritenute ai sensi dell'art. 23 del DPR 29 settembre 1973, n. 600.