Dal 1° gennaio 2026 è operativa la Direttiva DAC8 (Direttiva UE 2023/2226), che modifica la Direttiva 2011/16/UE sulla cooperazione amministrativa in materia fiscale estendendone il perimetro alle cripto-attività. Tutti i 27 Stati membri UE avevano l'obbligo di recepirla entro il 31 dicembre 2025. Il 2026 è il primo anno di reporting effettivo: gli exchange, i wallet provider e qualsiasi soggetto che offre servizi su cripto-attività nell'ambito di un'attività commerciale sono ora formalmente obbligati a raccogliere e trasmettere dati sugli utenti alle autorità fiscali nazionali.
🎯 Cosa prevede la DAC8
La direttiva individua come soggetti obbligati i Reporting Crypto-Asset Service Providers (RCASP): sono tali tutti i CASP autorizzati ai sensi dell'art. 63 del Regolamento MiCA o notificati alle autorità locali competenti. L'obbligo riguarda persone giuridiche e soggetti che offrono servizi su cripto-attività nell'ambito di un'attività commerciale, indipendentemente dalla loro dimensione.
I dati che i RCASP sono tenuti a raccogliere e trasmettere comprendono:
- nome, indirizzo, codice fiscale e data di nascita per le persone fisiche
- denominazione, sede legale e codice fiscale per le persone giuridiche
- acquisti, vendite e trasferimenti di cripto-attività con i relativi valori di mercato aggregati
- importo lordo aggregato pagato o ricevuto per ciascuna operazione
L'ambito oggettivo è deliberatamente ampio e si costruisce sulle definizioni del Regolamento MiCA: rientrano nel perimetro token decentralizzati, stablecoin, e-money token e alcuni NFT. La direttiva copre quindi la quasi totalità degli asset digitali oggi circolanti sui mercati.
🔄 La differenza sostanziale rispetto a CRS e FATCA
La DAC8 introduce una novità strutturale rispetto ai regimi di scambio automatico di informazioni già esistenti. Il Common Reporting Standard (CRS) e il FATCA americano si applicano esclusivamente ai clienti non residenti di un'istituzione finanziaria: uno strumento pensato per intercettare capitali esportati all'estero, non per monitorare i cittadini nel proprio Paese.
La DAC8 rompe questa impostazione: l'obbligo di raccolta e reporting si applica sia ai residenti che ai non residenti degli Stati UE. Le autorità fiscali riceveranno quindi dati anche sui propri cittadini, non solo sugli stranieri. Il volume di utenti soggetti a segnalazione è significativamente più ampio rispetto a qualsiasi regime precedente, e i CASP dovranno aspettarsi un livello di scrutinio più elevato sulla qualità e completezza delle informazioni trasmesse.
🔒 Il profilo privacy: tensioni con il GDPR
Sul piano della protezione dei dati personali, la DAC8 entra in una tensione strutturale con alcuni principi fondamentali del GDPR. La raccolta sistematica e massiva di dati identitari e comportamentali degli utenti crypto solleva questioni di proporzionalità e minimizzazione dei dati ai sensi dell'art. 5 del Regolamento UE 2016/679.
A questo si aggiunge quanto chiarito dalle linee guida EDPB del 2025 sulla blockchain: indirizzi wallet e chiavi pubbliche sono dati personali se anche una sola parte nella catena è in grado di re-identificare l'interessato. Non esiste quindi un safe harbour per la blockchain sotto il GDPR. La combinazione tra le linee guida EDPB e gli obblighi DAC8 produce un sistema in cui:
- i dati transazionali on-chain sono qualificabili come dati personali
- i CASP sono titolari del trattamento con obblighi di accountability rafforzati
- la base giuridica del trattamento ai fini DAC8 è l'obbligo legale ex art. 6(1)(c) GDPR, ma restano aperti i profili relativi alla conservazione, alla sicurezza e ai diritti degli interessati
Gli utenti crypto che si rivolgono a exchange o wallet provider autorizzati MiCA non possono sottrarsi a questo sistema: la pseudonimia della blockchain non neutralizza gli obblighi di identificazione imposti ai CASP a monte.
📅 Le scadenze operative
Il calendario della DAC8 prevede tre momenti chiave:
- 1° gennaio 2026: le disposizioni sono operative, inizia il primo anno di reporting
- 1° luglio 2026: i CASP trasmettono i dati raccolti alle autorità fiscali nazionali
- 30 settembre 2027: primo scambio automatico tra Stati membri UE sui clienti non residenti
🌍 La dimensione globale: il CARF e i 76 Paesi aderenti
La DAC8 non è un'iniziativa isolata. Si inserisce nel Crypto-Asset Reporting Framework (CARF) elaborato dall'OCSE in collaborazione con i Paesi G20 e pubblicato nel 2023. Ad oggi 76 giurisdizioni si sono impegnate ad implementare il CARF, tra cui USA, UK, Brasile, Indonesia, Giappone e tutti i 27 Paesi UE. Il primo scambio globale di informazioni è previsto per il 2027.
Questo significa che la fine della riservatezza nelle transazioni crypto non è una scelta esclusivamente europea: è il risultato di un coordinamento normativo globale che rende strutturale la trasparenza fiscale nel settore degli asset digitali. Chi opera con exchange autorizzati in qualsiasi delle 76 giurisdizioni aderenti è soggetto a obblighi di identificazione e reporting sostanzialmente equivalenti.
#dac8 #criptovalute #blockchain #fiscalitàdigitale #MiCA
