Attacco hacker, il riscatto dei dati in bitcoin non è deducibile
L’Agenzia delle Entrate, con la risposta a interpello 149/2023, ha affermato che i costi sostenuti per il pagamento in bitcoin di un riscatto dati non costituiscono un costo da reato, ma sono comunque indeducibili difettando dell’inerenza ai fini Ires e Irap. Una società quotata è stata vittima di un attacco informatico e ha deciso di pagare un riscatto in bitcoin per evitare danni ai propri clienti, ottenendo la consegna della chiave di decrittazione e la cancellazione e non pubblicazione dei file sottratti. Si chiedeva se i costi sostenuti fossero deducibili. I costi da reato sono indeducibili ex art. 14, comma 4-bis, della legge 537/93, ma tale norma non si applica in quanto il pagamento del riscatto non può considerarsi direttamente funzionale alla commissione di un reato da parte della società. Rispetto all’attività d’impresa i costi non sono deducibili in quanto non inerenti. La società non avrebbe dimostrato che l’uscita di denaro relativa all’acquisto dei bitcoin e il successivo trasferimento degli stessi era correlato alla remunerazione di un fattore della produzione. (Ved. anche Italia Oggi: ‘Riscatto senza deduzione Ires’ – pag. 34)
