Sentenza n. 6283/2026 - Roma, Sezione 4

Esito

La controversia

La ricorrente ha impugnato la disciplina AGCOM attuativa dell’art. 13-bis del d.l. 123/2023, deducendo sei motivi: omessa notifica preventiva dell’art. 13-bis alla Commissione europea ai sensi della direttiva (UE) 2015/1535; contrasto con il Regolamento (UE) 2022/2065, ritenuto pienamente armonizzante la materia della tutela dei minori online; violazione del principio del Paese d’origine previsto dall’art. 3 della direttiva 2000/31/CE; violazione della libera prestazione dei servizi; violazione dei principi di legalità e riserva di legge per l’introduzione, da parte di AGCOM, di criteri sostanziali per individuare i fornitori esteri diretti al pubblico italiano; violazione dei principi di necessità, proporzionalità e minimizzazione dei dati personali ai sensi del GDPR. AGCOM ha eccepito anche la tardività dell’impugnazione della delibera n. 96/25/CONS.

La decisione

Il TAR ha respinto l’eccezione di tardività, ritenendo che la lesione nei confronti dell’operatore stabilito in altro Stato membro si fosse concretizzata soltanto con la pubblicazione della lista AGCOM, atto dal quale gli obblighi divenivano effettivamente applicabili. Nel merito, ha ritenuto fondati il terzo e il quarto motivo, nei limiti della violazione della procedura derogatoria prevista dall’art. 3, par. 4, lett. b), della direttiva 2000/31/CE. La disciplina nazionale può derogare eccezionalmente al principio del Paese d’origine e alla libera prestazione dei servizi per proteggere i minori, purché la misura sia riferita a prestatori individuabili, necessaria e proporzionata e siano previamente interpellati lo Stato membro d’origine e la Commissione europea. La delibera AGCOM, prevedendo l’applicazione automatica degli obblighi ai prestatori stabiliti in altri Stati membri tre mesi dopo la pubblicazione della lista, senza subordinare tale applicazione alla previa interlocuzione e notificazione, è stata annullata in parte qua. Sono stati invece respinti i motivi relativi alla direttiva TRIS, al DSA, alla legalità e riserva di legge e alla minimizzazione dei dati. Il TAR ha ritenuto che la delibera fosse stata regolarmente notificata alla Commissione, che il DSA non avesse ancora realizzato una piena armonizzazione della verifica dell’età, che AGCOM avesse esercitato una competenza tecnica e attuativa coerente con la delega legislativa e che l’approccio tecnologicamente neutrale, corredato da requisiti di minimizzazione e sicurezza, non fosse manifestamente irragionevole o sproporzionato. L’Autorità dovrà osservare integralmente la procedura europea prima di estendere le misure agli operatori stabiliti in altri Stati membri. Spese compensate.

Norme richiamate

• art. 13-bis d.l. 123/2023, convertito dalla l. 159/2023

  "gestori di siti web e fornitori di piattaforme di condivisione video che diffondono in Italia contenuti a carattere pornografico"

  La disposizione individua i soggetti obbligati alla verifica della maggiore età e demanda ad AGCOM la definizione delle modalità tecniche e procedurali; non consente tuttavia l’applicazione automatica agli operatori stabiliti in altri Stati membri in assenza del rispetto della procedura europea derogatoria.

• art. 3 direttiva 2000/31/CE

  Non presente nel testo in forma ulteriore rispetto ai paragrafi richiamati

  Sancisce il principio del Paese d’origine e la libera circolazione dei servizi della società dell’informazione. Le deroghe dello Stato di destinazione richiedono, oltre a riferibilità, necessità, rischio serio e grave e proporzionalità, la previa interlocuzione con lo Stato d’origine e la notifica alla Commissione europea.

• art. 3, par. 4, lett. b), direttiva 2000/31/CE

  La procedura preventiva di interlocuzione con lo Stato membro d’origine e di notifica alla Commissione costituisce presupposto essenziale di legittimità della misura restrittiva adottata nei confronti di prestatori stabiliti in altro Stato membro; non può essere rinviata alla fase successiva di contestazione dell’inadempimento.

• art. 28 Regolamento (UE) 2022/2065

  "misure adeguate e proporzionate per garantire un elevato livello di tutela della vita privata, della sicurezza e della protezione dei minori sul loro servizio"

  La disposizione impone obblighi di protezione dei minori alle piattaforme online, ma, secondo il TAR, non determina ancora una piena armonizzazione europea delle soluzioni di verifica dell’età tale da impedire misure nazionali transitorie conformi al diritto dell’Unione.

• art. 35, par. 1, lett. j), Regolamento (UE) 2022/2065

  Prevede, per le piattaforme di dimensioni molto grandi, misure ragionevoli, proporzionate ed efficaci di mitigazione dei rischi sistemici, comprese misure a tutela dei minori e strumenti di verifica dell’età.

• direttiva (UE) 2015/1535

  La notifica della delibera AGCOM alla Commissione europea è stata ritenuta sufficiente a garantire l’interlocuzione preventiva; l’omessa notifica preventiva dell’art. 13-bis non comporta la nullità della delibera, poiché gli obblighi sono divenuti operativi con l’atto regolatorio notificato.

• art. 5, par. 1, lett. c), Regolamento (UE) 2016/679

  Il principio di minimizzazione dei dati deve essere bilanciato con la tutela dei minori e non impone necessariamente l’adozione di un sistema unitario o centralizzato di verifica dell’età, non previsto come obbligatorio dal diritto dell’Unione.

• art. 25 Regolamento (UE) 2016/679

  I requisiti di protezione dei dati fin dalla progettazione e per impostazione predefinita sono stati ritenuti rispettati dalla previsione di principi e misure tecniche orientati alla minimizzazione, sicurezza, limitazione della conservazione e trasparenza.

Massime di principio

• Uno Stato membro di destinazione può imporre misure restrittive a prestatori di servizi della società dell’informazione stabiliti in un altro Stato membro, in deroga al principio del Paese d’origine, solo se la misura è riferibile a prestatori sufficientemente individuati, necessaria e proporzionata alla tutela di interessi fondamentali e sono previamente rispettati gli obblighi di interlocuzione con lo Stato d’origine e di notifica alla Commissione europea previsti dall’art. 3, par. 4, lett. b), della direttiva 2000/31/CE.
• Gli obblighi procedurali di previa interlocuzione con lo Stato membro d’origine e di notifica alla Commissione europea costituiscono presupposti sostanziali di legittimità della misura derogatoria e devono essere adempiuti prima di rendere operativa la misura nei confronti dei prestatori interessati; non è sufficiente assolverli dopo l’eventuale contestazione dell’inadempimento.
• Quando una disciplina generale è resa applicabile ai prestatori stabiliti in altri Stati membri soltanto mediante un elenco che li individua specificamente, l’atto di inserimento nella lista può costituire il momento di attualizzazione della lesione e, quindi, il dies a quo per l’impugnazione, se prima di tale atto gli obblighi non erano immediatamente efficaci nei confronti dell’operatore.
• In assenza di una piena armonizzazione europea delle tecniche di verifica dell’età, sono ammissibili soluzioni nazionali transitorie a tutela dei minori, purché conformi al diritto dell’Unione, rispettose del principio del Paese d’origine e corredate da meccanismi di adeguamento o superamento in caso di sopravvenuta disciplina europea uniforme.
• La definizione da parte di un’autorità indipendente di criteri tecnici e verificabili per individuare i prestatori che diffondono contenuti al pubblico nazionale non viola di per sé la riserva di legge quando la fonte primaria abbia già individuato i soggetti obbligati e abbia conferito all’autorità il potere di stabilire le modalità tecniche e procedurali di attuazione.
• La scelta tra diversi sistemi tecnici di verifica dell’età costituisce esercizio di discrezionalità tecnica e bilanciamento tra tutela dei minori e protezione dei dati personali; il sindacato giurisdizionale può censurarla, in assenza di una soluzione unionale obbligatoria, solo se manifestamente irragionevole o sproporzionata.

Come è indicizzato