Attacco hacker, il riscatto dei dati in bitcoin non è deducibile

I costi sostenuti per il pagamento in bitcoin di un riscatto dati non costituiscono un costo da reato, ma sono comunque indeducibili difettando dell’inerenza ai fini Ires e Irap, in base alla risposta a interpello 149/2023 delle Entrate.

Una società quotata è stata vittima di un attacco informatico e ha deciso di pagare un riscatto in bitcoin per evitare danni ai propri clienti, ottenendo la consegna della chiave di decrittazione e la cancellazione e non pubblicazione dei file sottratti. Si domanda quindi se i costi sostenuti siano deducibili. I costi da reato sono indeducibili ex articolo 14, comma 4-bis, della legge 537/93, ma tale norma non si applica in quanto il pagamento del riscatto non può considerarsi direttamente funzionale alla commissione di un reato da parte della società. Circa l’inerenza dei costi rispetto all’attività d’impresa l’Agenzia richiama le proprie pronunce e le posizioni della Cassazione, tra cui quella per cui l’onere della prova della correlazione del costo con l’attività d’impresa spetta al contribuente. Viene però negata la deducibilità in quanto la società non avrebbe dimostrato che l’uscita di denaro relativa all’acquisto dei bitcoin e il successivo trasferimento degli stessi sia strettamente correlato alla remunerazione di un fattore della produzione. Quindi leggendo in positivo la risposta se ne deduce che se la società avesse fornito tale prova l’inerenza sarebbe stata confermata. Ai fini Irap, nonostante la derivazione dal bilancio, vale l’assenza di inerenza e quindi l’indeducibilità. Ai fini Iva viene confermata l’esclusione in assenza del presupposto soggettivo, che evidentemente non può essere verificato.

Per la risposta a interpello 146/2023 la cessione a prezzo simbolico del credito verso la controllata non è deducibile come perdita, a differenza delle cessioni simboliche dei crediti verso le controllate indirette che sono invece deducibili al ricorrere degli elementi certi e precisi ex articolo 101, comma 5, del Tuir. In presenza di un accordo per la ristrutturazione dei debiti ex articolo 182-bis della legge fallimentare ciò comporta che la cessione a prezzo simbolico del credito verso la controllata diretta Delta è assimilabile ad una rinuncia e determina una minusvalenza indeducibile, che viene portata a incremento del costo fiscale della partecipazione ex articolo 94, comma 6, del Tuir (risoluzione 70/E/08). Invece le cessioni dei crediti verso le controllate indirette integrano gli elementi certi e precisi che sussistono nel caso di cessione pro soluto dei crediti con trasferimento sostanziale di tutti i rischi di insolvenza in capo al cessionario. Infatti la vendita del credito con trasferimento sostanziale dei rischi è una delle ipotesi di cancellazione dei crediti dal bilancio contemplate dal principio contabile Oic 15. Quindi le perdite derivanti dalle cessioni a 1 euro dei crediti verso le controllate indirette sono deducibili.