Sentenza n. 13202/2026 - Roma, Sezione 4

Esito

La controversia

La ricorrente ha impugnato la delibera AGCOM n. 49/25/CONS, gli atti presupposti e connessi, nonché, con motivi aggiunti, la determina n. 245/24/DDA, atti relativi alla piattaforma Piracy Shield, la delibera regolamentare n. 209/25/CONS e, in altro giudizio riunito, l’atto di contestazione dell’inottemperanza e l’ordinanza-ingiunzione n. 333/25/CONS, recante una sanzione di euro 14.247.698,56. Sono stati dedotti: nullità per difetto assoluto di attribuzione e incompetenza territoriale di AGCOM, assumendo che la competenza spettasse all’autorità portoghese ai sensi degli artt. 13 e 56 del Digital Services Act; carenza di potere dell’autorità italiana nei confronti di un prestatore stabilito all’estero e violazione del principio di territorialità; violazione delle garanzie partecipative per omessa comunicazione di avvio e mancato contraddittorio preventivo; difetto di istruttoria e motivazione, in relazione all’uso della piattaforma Piracy Shield, all’affidamento sulle segnalazioni dei titolari dei diritti, al rischio di blocchi erronei e alla mancata verifica autonoma dei dati; violazione dei principi di proporzionalità, adeguatezza e bilanciamento con la libertà d’impresa, di espressione e d’informazione; impossibilità o inutilità dell’ordine perché i contenuti sarebbero già stati oscurati; illegittimità della donazione e dell’utilizzo della piattaforma; inammissibilità dell’impugnazione della delibera regolamentare sopravvenuta per difetto di connessione oggettiva. Quanto alla sanzione, sono stati dedotti la tardività della contestazione e del procedimento, la violazione del diritto di difesa per mancata audizione finale davanti al Consiglio AGCOM, l’illegittimità derivata dall’asserita illegittimità dell’ordine presupposto, l’eccessività della sanzione, l’erronea utilizzazione del fatturato mondiale e l’omessa valutazione delle osservazioni difensive.

La decisione

Il TAR ha riunito i due giudizi per connessione oggettiva e soggettiva e ha riconosciuto la legittimazione e l’interesse di Cloudflare Portugal a impugnare l’ordine, quale rappresentante legale designato ai sensi dell’art. 13 DSA e titolare di una posizione autonoma rispetto agli obblighi di cooperazione, esecuzione e riscontro derivanti dall’ordine. Nel merito ha respinto il ricorso contro la delibera n. 49/25/CONS. Ha ritenuto che il DSA non attribuisca né disciplini la competenza a emettere ordini di contrasto ai contenuti illegali: l’art. 56 riguarda soltanto la vigilanza sugli obblighi del DSA, mentre il potere inibitorio deriva dall’art. 2 della legge n. 93/2023, applicabile anche a prestatori ovunque residenti o localizzati. L’ordine non costituisce esercizio extraterritoriale della potestà amministrativa, poiché è diretto a impedire l’accesso, dall’Italia, a contenuti illeciti e produce effetti territorialmente limitati. La mancata comunicazione di avvio non è illegittima: il sistema antipirateria configura un procedimento speciale e bifasico, con intervento cautelare senza contraddittorio preventivo e contraddittorio differito mediante reclamo. Le ingiunzioni dinamiche costituiscono attuazione tecnica dell’ordine cautelare originario e non richiedono un nuovo procedimento partecipativo. In ogni caso, la ricorrente non ha dimostrato quali specifici elementi avrebbe introdotto e non ha fornito prova dell’asserita liceità delle risorse bloccate; il vizio sarebbe comunque non invalidante ai sensi dell’art. 21-octies, comma 2, l. n. 241/1990. Sono state respinte le censure di difetto di istruttoria, rischio di overblocking e sproporzione: il sistema Piracy Shield prevede verifiche tecniche, prova forense, whitelist e controlli automatizzati; le contestazioni della ricorrente sono rimaste generiche e non supportate da prova concreta riferita alle risorse bloccate. Le doglianze sulla delibera di accettazione della piattaforma sono state dichiarate irricevibili per tardività e comunque infondate. È stata ritenuta legittima la previsione di segnalazioni da parte dei titolari dei diritti, senza necessità della qualifica di trusted flagger. L’ordine rispetta l’art. 9 DSA, individua specificamente FQDN e indirizzi IP e lascia al prestatore la scelta delle modalità tecniche di esecuzione, con effetti limitati al territorio italiano. Il bilanciamento tra diritto d’autore, libertà d’impresa e libertà d’informazione è stato ritenuto proporzionato, anche perché l’ordine non impone una specifica tecnologia, richiede misure ragionevoli e prevede rimedi amministrativi e giurisdizionali. I secondi motivi aggiunti sono stati respinti perché l’ordine non era privo di scopo o oggetto: riguardava nuove risorse segnalate dopo i blocchi originari e consentiva di evitare la riabilitazione automatica dopo sei mesi. I motivi aggiunti contro la delibera regolamentare n. 209/25/CONS sono stati dichiarati inammissibili per difetto di connessione oggettiva, trattandosi di atto generale sopravvenuto, frutto di autonomo procedimento e destinato a operare pro futuro. Il ricorso contro l’atto di contestazione dell’inottemperanza è stato dichiarato inammissibile, poiché la contestazione è atto endoprocedimentale privo di autonoma lesività. Sono stati invece esaminati e respinti i motivi aggiunti contro l’ordinanza-ingiunzione n. 333/25/CONS. La contestazione è stata ritenuta tempestiva, applicandosi il termine di 360 giorni previsto per i soggetti non residenti, e non quello di 90 giorni. Il termine di 120 giorni per la chiusura dell’istruttoria è stato qualificato come ordinatorio ed endoprocedimentale, mentre quello finale di 150 giorni è perentorio; la proroga è stata adottata prima della scadenza. Non è stata ravvisata violazione del diritto di difesa: la società ha potuto presentare controdeduzioni, accedere agli atti e chiedere l’audizione, ma non ha richiesto l’audizione davanti alla Direzione. Non sussiste un diritto a un’ulteriore audizione o memoria finale davanti al Consiglio AGCOM. Sono state respinte le censure sulla gravità e sulla quantificazione della sanzione. Il riferimento al fatturato mondiale è stato ritenuto coerente con il dato letterale dell’art. 1, comma 31, l. n. 249/1997, con la finalità deterrente della sanzione e con la capacità economica effettiva dell’operatore globale. È stata quindi confermata la legittimità degli atti impugnati, con declaratoria complessiva di parziale inammissibilità, irricevibilità e infondatezza. Le spese sono state compensate per la novità e complessità delle questioni.

Norme richiamate

• art. 13 Regolamento (UE) 2022/2065

  Il prestatore di servizi intermediari non stabilito nell’Unione designa per iscritto una persona fisica o giuridica quale rappresentante legale nell’Unione.

  Il rappresentante legale designato ha una posizione autonoma di garanzia rispetto agli obblighi di cooperazione, esecuzione e riscontro derivanti dagli ordini, con conseguente interesse diretto a impugnarli.

• art. 56 Regolamento (UE) 2022/2065

  Disciplina la competenza per la vigilanza sul rispetto degli obblighi del DSA, ma non attribuisce la competenza a emettere ordini nazionali di contrasto ai contenuti illegali.

• art. 9 Regolamento (UE) 2022/2065

  Gli ordini di contrasto ai contenuti illegali sono adottati sulla base del diritto unionale o nazionale applicabile; devono individuare i contenuti, essere motivati e limitarsi a quanto strettamente necessario, con effetti nel caso concreto circoscritti al territorio italiano.

• art. 2 l. 14 luglio 2023, n. 93

  L’Autorità ordina ai prestatori di servizi [...] di disabilitare l’accesso a contenuti diffusi abusivamente; nei casi previsti, gli ordini possono essere rivolti anche a fornitori di VPN e DNS pubblicamente disponibili ovunque residenti e ovunque localizzati.

  Costituisce la base legislativa del potere inibitorio di AGCOM nei confronti dei prestatori coinvolti nell’accessibilità a contenuti illeciti, anche se stabiliti all’estero, quando l’attività produce effetti in Italia.

• art. 6 l. 14 luglio 2023, n. 93

  Prevede la piattaforma tecnologica unica e il tavolo tecnico per l’attuazione del sistema di contrasto alla pirateria.

• art. 9-bis Regolamento AGCOM sul diritto d’autore

  Configura un procedimento cautelare speciale, senza contraddittorio preventivo, con reclamo successivo e con possibilità di ingiunzioni dinamiche per estendere il blocco a nuove risorse riconducibili ai medesimi contenuti illeciti.

• art. 7 l. 241/1990

  Le garanzie partecipative ordinarie sono recessive rispetto al procedimento speciale antipirateria, caratterizzato da urgenza e contraddittorio differito.

• art. 10 l. 241/1990

  La partecipazione mediante memorie non è richiesta preventivamente quando opera il modulo speciale senza contraddittorio, purché sia assicurato un rimedio successivo effettivo.

• art. 21-octies, comma 2, l. 241/1990

  Un eventuale vizio partecipativo non comporta l’annullamento quando il contenuto dispositivo non avrebbe potuto essere diverso e il ricorrente non dimostri elementi decisivi che avrebbe introdotto.

• art. 43 c.p.a.

  I motivi aggiunti possono riguardare nuovi atti solo se sussiste una connessione oggettiva con l’atto originariamente impugnato; non è sufficiente la mera connessione soggettiva o la comune materia.

• art. 14 l. 24 novembre 1981, n. 689

  Il termine di notificazione della contestazione è di 90 giorni per i residenti e di 360 giorni per i soggetti non residenti nel territorio dello Stato; nel caso concreto si applica il termine più lungo.

• art. 6 Regolamento AGCOM sanzioni, delibera n. 286/23/CONS

  Il termine per l’adozione del provvedimento finale è di 150 giorni; entro 120 giorni il responsabile conclude l’attività istruttoria.

  Il termine di 120 giorni è ordinatorio ed endoprocedimentale; il termine finale di 150 giorni è perentorio e può essere differito, prima della scadenza, per approfondimenti istruttori.

• art. 9 Regolamento AGCOM sanzioni, delibera n. 286/23/CONS

  Garantisce la presentazione di memorie, documenti e la richiesta di audizione nell’ambito del procedimento sanzionatorio.

• art. 11 l. 24 novembre 1981, n. 689

  I criteri di gravità, opera svolta per eliminare le conseguenze, personalità dell’agente e condizioni economiche devono essere considerati nella quantificazione della sanzione.

• art. 1, comma 31, l. 31 luglio 1997, n. 249

  Il riferimento generico al fatturato consente di assumere il fatturato globale dell’operatore multinazionale, in assenza di una limitazione legislativa al fatturato nazionale.

• art. 134, comma 1, lett. c), c.p.a.

  Il giudice amministrativo esercita un sindacato pieno sulle sanzioni pecuniarie delle autorità indipendenti, inclusi adeguatezza e proporzionalità.

Massime di principio

• Il Digital Services Act disciplina la vigilanza sugli obblighi posti ai prestatori di servizi intermediari, ma non armonizza né attribuisce la competenza a emettere ordini nazionali di contrasto ai contenuti illegali; tale competenza resta regolata dalla normativa nazionale o settoriale applicabile.
• Una norma nazionale che abilita l’autorità a ordinare il blocco di contenuti illeciti nei confronti di prestatori ovunque residenti o localizzati è compatibile con il principio di territorialità quando l’ordine mira esclusivamente a impedire gli effetti lesivi prodotti nel territorio nazionale e non pretende di disciplinare in via generale l’attività estera del prestatore.
• Il procedimento speciale antipirateria può prevedere una prima fase cautelare senza contraddittorio preventivo e una successiva fase di contraddittorio differito mediante reclamo; le ingiunzioni dinamiche che aggiornano l’ordine originario non richiedono un nuovo procedimento partecipativo, purché siano assicurati rimedi successivi effettivi.
• Il rischio generico di overblocking non dimostra il difetto di istruttoria o la sproporzione di un ordine di blocco: il ricorrente deve indicare e provare specifiche risorse lecite concretamente incise, mentre la consulenza tecnica non può essere utilizzata come mezzo esplorativo per supplire all’assenza di un principio di prova.
• Nel procedimento sanzionatorio amministrativo, l’audizione davanti all’organo collegiale decidente non è necessariamente dovuta quando la parte ha ricevuto una contestazione analitica, ha potuto depositare memorie e chiedere l’audizione nella fase istruttoria, ma ha scelto di non avvalersene; il diritto di difesa va valutato considerando l’intero procedimento e il successivo sindacato giurisdizionale pieno.
• Quando la legge commisura una sanzione al generico fatturato dell’impresa, senza limitazione territoriale espressa, è legittimo assumere il fatturato globale di un operatore multinazionale se ciò è necessario a garantire effettività, proporzionalità e deterrenza della sanzione.

Come è indicizzato