Sentenza n. 13201/2026 - Roma, Sezione 4

Esito

La controversia

Cloudflare ha impugnato la delibera AGCOM n. 49/25/CONS, con cui le era stato ordinato di disabilitare la risoluzione DNS e l'instradamento del traffico verso oltre 15.000 nomi di dominio e indirizzi IP, nonché gli atti successivi e la sanzione di euro 14.247.698,56 per l'inottemperanza. Ha dedotto: difetto assoluto di attribuzione e incompetenza territoriale dell'AGCOM, sostenendo che la competenza spettasse all'autorità portoghese in ragione del rappresentante legale europeo e del Digital Services Act; carenza di potere nei confronti di un prestatore stabilito negli Stati Uniti e violazione del principio di territorialità; violazione delle garanzie partecipative per mancata comunicazione di avvio e mancato contraddittorio preventivo; difetto di istruttoria e motivazione, anche per l'utilizzo della piattaforma Piracy Shield, per l'affidamento sulle segnalazioni dei titolari dei diritti, per il rischio di blocchi erronei e per l'asserita natura condivisa degli indirizzi IP delle CDN; violazione dei principi di proporzionalità, adeguatezza e bilanciamento con la libertà d'impresa, la libertà di espressione e il diritto all'informazione; impossibilità o inutilità dell'oggetto dell'ordine, perché le risorse sarebbero già state oscurate; tardività della contestazione e del provvedimento sanzionatorio; violazione dei termini del procedimento sanzionatorio; lesione del diritto di difesa per mancata memoria finale e mancata audizione davanti al Consiglio AGCOM; sproporzione della sanzione e illegittimità dell'utilizzo del fatturato mondiale quale parametro; omessa o errata valutazione delle osservazioni difensive. Sono stati inoltre impugnati, con motivi aggiunti, atti acquisiti mediante accesso e la delibera regolamentare AGCOM n. 209/25/CONS.

La decisione

Il TAR ha riunito i due ricorsi per connessione oggettiva e soggettiva. Ha respinto le censure principali contro l'ordine di inibizione. Ha ritenuto che il DSA distingua tra il potere di emettere ordini fondati sul diritto nazionale e la vigilanza sugli obblighi propri dei prestatori derivanti dal DSA: l'art. 56 DSA non attribuisce in via esclusiva all'autorità dello Stato del rappresentante legale la competenza a emettere ordini antipirateria. Il potere AGCOM deriva dall'art. 2, comma 3, l. n. 93/2023, applicabile ai prestatori ovunque residenti e localizzati. L'ordine non è stato considerato extraterritoriale, poiché limitato agli effetti prodotti sugli utenti in Italia. Quanto alla partecipazione, il Collegio ha qualificato il sistema come procedimento speciale e derogatorio, bifasico: ordine cautelare senza contraddittorio preventivo, seguito dalla possibilità di reclamo e di contraddittorio differito. Le ingiunzioni dinamiche sono state ritenute modalità esecutive dell'ordine originario e non nuovi procedimenti, sicché non richiedono un nuovo avvio. In ogni caso, la ricorrente non ha dimostrato quali elementi avrebbe introdotto e non ha fornito prova tempestiva dell'illiceità dei blocchi; il vizio partecipativo sarebbe comunque non invalidante ai sensi dell'art. 21-octies, comma 2, l. n. 241/1990. Le censure istruttorie e di proporzionalità sono state respinte perché generiche e non supportate da prova concreta di overblocking; la piattaforma era assistita da verifiche tecniche, prova forense, whitelist e meccanismi di reclamo. La contestazione relativa alla donazione e all'utilizzo di Piracy Shield è stata dichiarata irricevibile per tardività, essendo stata impugnata quasi due anni dopo la delibera di acquisizione, e comunque infondata. Il ricorso contro la delibera AGCOM n. 209/25/CONS è stato dichiarato inammissibile per difetto di connessione oggettiva, trattandosi di atto regolamentare generale adottato in autonomo procedimento. Il ricorso contro l'atto di contestazione dell'inottemperanza è stato dichiarato inammissibile perché l'atto è endoprocedimentale e privo di autonoma lesività. Quanto alla sanzione, il termine di 360 giorni per la contestazione è stato ritenuto applicabile alla società non residente, rendendo tempestiva la contestazione. Il termine istruttorio di 120 giorni è stato qualificato come ordinatorio, mentre quello finale di 150 giorni è perentorio; la proroga è stata ritenuta tempestiva perché adottata prima della scadenza del termine finale. Non è stata ravvisata lesione del diritto di difesa: Cloudflare ha ricevuto la contestazione, ha avuto accesso agli atti e ha depositato controdeduzioni, mentre non ha chiesto l'audizione istruttoria prevista dal regolamento. Non sussiste un diritto a un'ulteriore audizione davanti al Consiglio né a una memoria finale. Le censure derivate contro la sanzione sono state respinte o dichiarate irricevibili/inammissibili per le stesse ragioni già esposte sull'ordine presupposto. È stata ritenuta legittima la qualificazione della violazione come di elevata gravità e l'utilizzazione del fatturato mondiale, poiché la legge richiama genericamente il fatturato e la sanzione deve conservare effettività e deterrenza rispetto alla capacità economica globale dell'operatore. È stata altresì ritenuta adeguata la motivazione sulle osservazioni difensive. I ricorsi sono stati quindi dichiarati in parte inammissibili, in parte irricevibili e per il resto infondati, con compensazione delle spese.

Norme richiamate

• art. 2, commi 3, 4, 5 e 7-bis, l. 14 luglio 2023, n. 93

  "ovunque residenti e ovunque localizzati"; "procedimento abbreviato senza contraddittorio"; esecuzione entro il termine massimo di trenta minuti

  Attribuisce all'AGCOM il potere di ordinare il blocco dei contenuti illeciti anche nei confronti di prestatori stabiliti all'estero; disciplina il procedimento cautelare senza contraddittorio preventivo, le segnalazioni successive e la riabilitazione dopo almeno sei mesi.

• art. 56 Regolamento (UE) 2022/2065 (DSA)

  Riguarda la vigilanza sugli obblighi imposti dal DSA ai prestatori e non determina la competenza esclusiva dell'autorità dello Stato del rappresentante legale a emettere ordini fondati su normative settoriali nazionali.

• art. 9 Regolamento (UE) 2022/2065 (DSA)

  Gli ordini sono emessi dalle autorità nazionali competenti sulla base del diritto dell'Unione o nazionale; devono individuare i contenuti e limitarsi a quanto strettamente necessario, requisiti ritenuti rispettati dall'ordine AGCOM.

• art. 9-bis Regolamento AGCOM sul diritto d'autore, delibera n. 680/13/CONS e successive modifiche

  "procedimento cautelare"; reclamo entro cinque giorni; disabilitazione entro trenta minuti

  Configura un procedimento cautelare bifasico, con ordine iniziale senza contraddittorio preventivo, reclamo e contraddittorio differito; le segnalazioni successive costituiscono ingiunzioni dinamiche esecutive dell'ordine originario.

• art. 7 l. 241/1990

  Le garanzie ordinarie di comunicazione di avvio non si applicano in via prevalente al procedimento speciale e urgente antipirateria disciplinato dalla l. n. 93/2023.

• art. 21-octies, comma 2, l. 241/1990

  Anche ipotizzando un vizio partecipativo, esso non comporta l'annullamento quando il contenuto dispositivo non avrebbe potuto essere diverso, in assenza di elementi difensivi idonei a modificare l'esito.

• art. 14 l. 689/1981

  Il termine di novanta giorni per la contestazione riguarda i soggetti residenti; per i soggetti non residenti si applica il termine di 360 giorni ritenuto applicabile a Cloudflare.

• art. 6, commi 1, 2, 3 e 11, Regolamento sanzioni AGCOM, delibera n. 286/23/CONS

  termine di 150 giorni per il provvedimento finale; termine di 120 giorni per la conclusione dell'istruttoria

  Il termine istruttorio di 120 giorni è ordinatorio ed endoprocedimentale; il termine finale di 150 giorni è perentorio e può essere differito, prima della scadenza, per approfondimenti istruttori.

• art. 9 Regolamento sanzioni AGCOM, delibera n. 286/23/CONS

  Garantisce la presentazione di memorie e documenti e la richiesta di audizione; non impone una memoria finale o un'audizione davanti all'organo collegiale deliberante.

• art. 1, comma 31, l. 31 luglio 1997, n. 249

  Consente di parametrizzare la sanzione sul fatturato globale del soggetto, in mancanza di una limitazione territoriale espressa e per assicurare effettività e deterrenza.

• art. 11 l. 24 novembre 1981, n. 689

  I criteri di gravità, opera svolta per eliminare le conseguenze e capacità economica sono stati ritenuti correttamente considerati da AGCOM.

• art. 43 c.p.a.

  I motivi aggiunti possono investire ulteriori atti solo quando sussista una connessione oggettiva qualificata; non è sufficiente la mera connessione soggettiva o l'appartenenza alla stessa materia.

• art. 134, comma 1, lett. c), c.p.a.

  Il sindacato del giudice amministrativo sulle sanzioni AGCOM è pieno ed effettivo, anche quanto alla fondatezza e proporzionalità delle scelte dell'Autorità.

Massime di principio

• Il DSA non armonizza integralmente né costituisce la base giuridica degli ordini nazionali di contrasto ai contenuti illeciti: la competenza a emettere tali ordini resta disciplinata dalle normative settoriali nazionali, mentre il riparto previsto dall'art. 56 DSA riguarda la vigilanza sugli obblighi propri del DSA e non la competenza ad adottare l'ordine.
• Una norma nazionale che attribuisca all'autorità competente il potere di ordinare il blocco dei contenuti illeciti nei confronti di prestatori "ovunque residenti e ovunque localizzati" può legittimamente applicarsi a un prestatore estero quando l'attività produce effetti lesivi qualificati sul territorio nazionale; l'ordine non è extraterritoriale se limita i propri effetti agli utenti e al traffico localizzati nello Stato.
• Nel procedimento speciale antipirateria, l'ordine cautelare può essere adottato senza contraddittorio preventivo quando la tempestività sia essenziale; la garanzia difensiva può essere assicurata mediante un reclamo successivo idoneo ad attivare un contraddittorio pieno. Le ingiunzioni dinamiche relative a nuovi domini o indirizzi IP riconducibili ai medesimi contenuti costituiscono modalità esecutive dell'ordine originario e non richiedono un nuovo procedimento partecipativo.
• Il destinatario che deduce la violazione della partecipazione procedimentale deve indicare e dimostrare quali elementi avrebbe concretamente introdotto. In mancanza di tale prova, e quando il contenuto dell'atto non avrebbe potuto essere diverso, il vizio partecipativo non comporta annullamento ai sensi dell'art. 21-octies, comma 2, l. n. 241/1990.
• Nel procedimento sanzionatorio AGCOM, il termine assegnato agli uffici per la conclusione dell'istruttoria ha natura ordinatoria ed endoprocedimentale, mentre il termine per l'adozione del provvedimento finale è perentorio. È legittima la proroga disposta prima della scadenza del termine finale per acquisire elementi istruttori necessari.
• Il diritto di difesa nel procedimento sanzionatorio amministrativo è soddisfatto dalla contestazione degli addebiti, dall'accesso agli atti, dalla possibilità di depositare memorie e documenti e dall'eventuale audizione prevista nella fase istruttoria; non sussiste, in assenza di specifica previsione o richiesta tempestiva, un diritto a un'ulteriore memoria conclusiva o a un'audizione diretta davanti all'organo collegiale deliberante.

Come è indicizzato