Art. 240 — Disposizioni in materia di protezione di dati personali (articolo 17 decreto legislativo 10 dicembre 2025, n. 194)

L'Agenzia delle entrate e i prestatori di servizi per le cripto-attività con obbligo di comunicazione sono titolari del trattamento dei dati personali quando determinano le finalità e i mezzi del trattamento dei dati personali ai sensi del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016.

I prestatori di servizi per le cripto-attività con obbligo di comunicazione:

a) informano ogni soggetto interessato che le informazioni a esso relative saranno raccolte e trasferite in conformità alla direttiva 2011/16/UE del Consiglio del 15 febbraio 2011 e alle norme di recepimento;

b) forniscono a ogni soggetto interessato tutte le informazioni che il medesimo soggetto ha diritto di ottenere dal titolare del trattamento ai sensi del citato regolamento (UE) 2016/679, nonché del decreto legislativo 30 giugno 2003, n. 196, in tempo utile per poter esercitare i propri diritti in materia di protezione dei dati e, in ogni caso, prima che le informazioni siano comunicate.

Si applica dal 1° gennaio 2027. Testo vigente al 19 settembre 2026. Fonte: Normattiva — Presidenza del Consiglio dei Ministri, dati aperti con licenza CC BY 4.0, riprodotti gratuitamente. I testi della banca dati Normattiva non hanno carattere di ufficialità: l’unico testo ufficiale è quello pubblicato nella Gazzetta Ufficiale. Fonti e licenze →

Spiegazione

L’Agenzia delle entrate e i prestatori di servizi per le cripto-attività tenuti a comunicare informazioni sono responsabili del trattamento dei dati quando ne stabiliscono gli scopi e le modalità. I prestatori devono avvisare le persone interessate che i loro dati saranno raccolti e trasmessi nell’ambito dello scambio fiscale di informazioni. Devono anche fornire loro le informazioni previste dalle norme sulla protezione dei dati. Questo deve avvenire in tempo perché possano esercitare i propri diritti e comunque prima della comunicazione dei dati.

Perché esiste questa norma

La norma tutela la trasparenza e i diritti delle persone i cui dati sono trattati per lo scambio automatico di informazioni sulle cripto-attività. Chiarisce le responsabilità dei soggetti che trattano i dati e impone che gli interessati siano informati prima della trasmissione.

Domande frequenti

Chi è responsabile dei miei dati se uso un servizio per cripto-attività?

L’Agenzia delle entrate e il prestatore del servizio sono titolari del trattamento quando determinano le finalità e i mezzi con cui i dati vengono trattati.

Il prestatore deve avvisarmi prima di comunicare i miei dati?

Sì. Deve informarti che i dati che ti riguardano saranno raccolti e trasferiti nell’ambito dello scambio di informazioni previsto dalla normativa.

Quali informazioni deve darmi il prestatore?

Deve fornirti le informazioni che hai diritto di ottenere dal titolare del trattamento secondo le norme sulla protezione dei dati personali.

Posso ricevere queste informazioni dopo che i dati sono stati comunicati?

No. Il prestatore deve darle in tempo utile per permetterti di esercitare i tuoi diritti e, in ogni caso, prima della comunicazione.

Questa regola riguarda qualsiasi servizio che tratta dati sulle cripto-attività?

La disposizione si riferisce ai prestatori di servizi per le cripto-attività che hanno l’obbligo di comunicare informazioni.

Sezione VIII — Disciplina sullo scambio automatico di informazioni su cripto-attività in attuazione della direttiva (UE) 2023/2226 del Consiglio, del 17 ottobre 2023, recante modifica della direttiva 2011/16/UE, relativa alla cooperazione amministrativa nel settore fiscale