Dal 2026 ogni movimento di bitcoin e digital asset eseguito attraverso intermediari vigilati verrà registrato e condiviso tra le autorità fiscali dei 27 Paesi UE.
Con l’entrata in vigore della direttiva DAC8, a partire dal 1° gennaio 2026 ogni movimento di bitcoin e altri asset digitali effettuato tramite intermediari vigilati sarà sottoposto a un controllo fiscale maggiore, attraverso un sistema di scambio automatico di informazioni che coinvolgerà tutti i 27 Stati membri dell’Unione Europea. Il cambiamento normativo, già approvato dal governo italiano l’8 ottobre 2025, estende all’ecosistema dei digital asset lo stesso meccanismo di scambio di informazioni già applicato ad altri redditi (lavoro dipendente, pensioni, dividendi, ecc.).
La Direttiva 2023/2226/UE (DAC8) costringe l’intero settore a confrontarsi con una realtà in cui ogni exchange, wallet custodial e provider diventerà di fatto un agente di controllo fiscale. Con tale norma, l’Europa segue gli standard OCSE del Crypto-Asset Reporting Framework (CARF), il quale creerà un sistema globale di monitoraggio che coinvolgerà oltre 67 Paesi entro il 2027/28. Il CARF è stato concepito come la versione crypto del tradizionale modello per conti bancari CRS (Common Reporting Standard).
La direttiva DAC8 non nasce dal nulla, ma si inserisce in un percorso normativo iniziato oltre un decennio fa con la direttiva 2011/16/UE sulla cooperazione amministrativa in materia fiscale. Quella che oggi chiamiamo DAC (Directive on Administrative Cooperation) è stata progressivamente ampliata attraverso otto emendamenti successivi, ciascuno mirato a colmare lacune specifiche nella trasparenza fiscale europea.
Le precedenti versioni della DAC si erano concentrate principalmente su:
- DAC1: scambio automatico di informazioni su categorie specifiche di reddito (salari, pensioni, dividendi);
- DAC2: estensione dello scambio automatico seguendo il Common Reporting Standard (CRS) dell’OCSE;
- DAC3: ruling fiscali preventivi transfrontalieri;
- DAC4: rendicontazione Paese per Paese delle multinazionali;
- DAC5-7: ulteriori affinamenti e ampliamenti.
DAC8 costituisce l’ottava evoluzione del sistema europeo di cooperazione amministrativa fiscale e rappresenta l’espansione definitiva al mondo degli asset digitali. Adottata il 17 ottobre 2023 e pubblicata nella Gazzetta Ufficiale dell’UE il 24 ottobre, la normativa obbliga gli Stati membri a recepirla entro il 31 dicembre 2025, con applicazione effettiva dal 1° gennaio 2026.
La direttiva si integra con il Regolamento MiCA (Markets in Crypto-Assets), creando un ecosistema normativo che copre sia gli aspetti autorizzativi che quelli fiscali. Mentre il MiCA definisce le regole operative per i Crypto-Asset Service Providers (CASP), DAC8 stabilisce gli obblighi di reporting fiscale per i Reporting Crypto-Asset Service Providers (RCASP), definiti come “individui e entità che forniscono servizi che realizzano transazioni di crypto-asset rilevanti”.
La Commissione Europea ha giustificato l’urgenza di DAC8 con la crescente diffusione e la natura transfrontaliera e decentralizzata delle cripto-attività. Secondo il Consiglio UE, DAC8 si propone di combattere efficacemente “evasione, frode ed elusione fiscale”, ridurre le asimmetrie informative tra Paesi UE e disincentivare il cosiddetto “whistleblowing fiscale”. L’obiettivo dichiarato è quello di fornire agli Stati membri una “visione completa” delle cripto-attività detenute dai contribuenti europei, riducendo al minimo la possibilità che redditi e plusvalenze siano nascosti o non dichiarati a seguito di scambi o investimenti in digital asset.
Definizioni tecniche
La normativa adotta le definizioni del MiCA per le cripto-attività, intese come “rappresentazioni digitali di valore o diritti trasferibili e memorizzabili elettronicamente, utilizzando la tecnologia del registro distribuito o simile”. Tuttavia, DAC8 introduce alcune distinzioni:
- EMT (Electronic Money Tokens): token assimilabili a moneta elettronica, soggetti al regime Common Reporting Standard (CRS) tradizionale;
- ART (Asset Referenced Tokens): token legati al valore di asset sottostanti, che seguono le regole del CARF;
- Utility token e altri crypto-asset: che rientrano in una categoria residuale con obblighi specifici.
Meccanismo operativo
Il funzionamento di DAC8 si basa su un sistema che coinvolge i vari operatori del settore. I provider di servizi crypto raccolgono dati dettagliati sui propri utenti attraverso procedure di adeguata verifica della clientela (KYC/AML) potenziate. Tali dati includono informazioni anagrafiche complete, codici fiscali, residenza fiscale dichiarata e tutti i dettagli delle operazioni effettuate.
La direttiva introduce un “Numero di Identificazione Fiscale Europeo” (NIF), un codice univoco per ogni contribuente che risiede e opera nel territorio dell’UE. Attraverso tale identificativo unico, sarà possibile collegare tutte le informazioni relative a redditi e movimenti economici di un individuo, compresi gli asset digitali.
Le informazioni raccolte vengono trasmesse alle autorità fiscali nazionali entro il 31 gennaio dell’anno successivo.
Obblighi per gli operatori
Gli operatori del settore – exchange, wallet custodial, provider – dovranno:
- registrarsi e ottenere l’autorizzazione MiCA: entro il 31 dicembre 2025, tutti gli operatori dovranno ottenere l’autorizzazione prevista dal regolamento MiCA;
- identificare ogni utente: raccolta di documenti d’identità e codice fiscale europeo tramite procedure KYC/AML (Know Your Customer & Anti-Money Laundering) rafforzate;
- applicare procedure di due diligence: verifica costante dell’identità e della residenza fiscale dei clienti;
- comunicare annualmente: trasmissione all’Agenzia delle Entrate di informazioni dettagliate su:
- dati anagrafici completi dei clienti: nome, indirizzo, data di nascita, residenza fiscale, codice fiscale o numero di identificazione fiscale (TIN);
- natura delle operazioni (acquisto, vendita, scambio, staking o lending);
- ammontare e data delle transazioni;
- saldi dei conti;
- plusvalenze realizzate;
- trasferimenti verso wallet esterni e indirizzi utilizzati;
- attività con carte collegate;
- movimenti di cash-out verso conti correnti bancari collegati.
Sistema sanzionatorio
La normativa prevede sanzioni graduate per garantire la compliance. I provider di servizi crypto che non si adeguano agli obblighi rischiano sanzioni pecuniarie da €1.500 a €15.000 per singola violazione, con sanzioni cumulabili.
Anche gli utenti individuali hanno delle responsabilità. Se un cliente ignora due solleciti consecutivi di richiesta di informazioni fiscali nell’arco di 60 giorni, la piattaforma deve bloccare completamente la sua operatività. Non potrà più comprare, vendere o trasferire criptovalute fino alla regolarizzazione.
Preparazione operativa
Gli RCASP dovranno implementare diverse trasformazioni operative, che comportano un incremento dei costi di compliance:
- sistemi KYC/AML potenziati: raccolta e verifica di dati fiscali dettagliati, inclusa residenza fiscale e codici identificativi nazionali;
- infrastrutture IT avanzate: sistemi per tracciare, categorizzare e riportare automaticamente tutte le transazioni dell’utente;
- processi di due diligence: procedure per identificare la natura delle cripto-attività e applicare i corretti regimi di reporting;
- training e compliance: formazione del personale sui requisiti normativi e coordinamento tra dipartimenti legali, compliance e IT.
Va notato inoltre l’effetto extraterritoriale di DAC8: chi serve clienti residenti in UE, anche da fuori Europa, deve adeguarsi, indipendentemente dalla sua ubicazione geografica. In pratica, gli exchange americani o asiatici che permettono ai contribuenti europei di acquistare asset digitali dovranno registrarsi in uno Stato membro e rispettare le stesse regole.
Un honeypot costruito per legge
DAC8 amplifica di fatto un problema di sicurezza strutturale. Obbligare gli exchange a trasmettere volumi maggiori di dati sensibili aumenta il rischio di data breach, trasformando ogni RCASP in un obiettivo ancora più ambito per attacchi mirati.
Ma la vera vulnerabilità non sta solo nella raccolta, ma nello scambio automatico tra 27 Stati membri. Ogni passaggio di dati è un potenziale punto di compromissione. La direttiva prevede che le informazioni attraversino sistemi informatici di autorità fiscali con livelli di cybersecurity molto diversi tra loro.
Oltre al rischio tecnico, rimane l’incertezza su come queste informazioni potranno essere utilizzate in futuro. Una volta raccolti e condivisi a livello europeo, i dati dei cittadini escono dal loro contesto originario – quello fiscale – e diventano accessibili a una molteplicità di autorità con competenze, priorità e agende differenti. Questo apre la porta a possibili estensioni d’uso: indagini non fiscali, profilazione economica, controlli patrimoniali, fino a potenziali reinterpretazioni normative che potrebbero ampliare ulteriormente le finalità della sorveglianza finanziaria.
