Cassazione Civile, Ordinanza n. 21030/2026 del 21/06/2026

Esito

La controversia

La controversia origina da un provvedimento dell’AGCM che aveva qualificato come pratica commerciale scorretta la condotta di due società del gruppo Telepass nella promozione, preventivazione, sottoscrizione e pagamento di polizze RC auto tramite app, per asserite informazioni ingannevoli o carenti sulla raccolta, conservazione e utilizzo dei dati degli utenti e sui criteri di selezione del preventivo definito "migliore", irrogando anche una sanzione pecuniaria di 2 milioni di euro e il divieto di prosecuzione della condotta. Il TAR aveva respinto il ricorso delle società, ma il Consiglio di Stato ha accolto l’appello e annullato il provvedimento ritenendo decisivo il mancato coinvolgimento del Garante privacy nella fase istruttoria, in ragione dell’interferenza tra tutela dei consumatori e trattamento dei dati personali, richiamando anche il principio di leale collaborazione e la giurisprudenza della Corte di giustizia UE. Avverso tale sentenza l’AGCM ha proposto ricorso per cassazione deducendo, con un unico motivo, eccesso di potere giurisdizionale per violazione dei limiti esterni della giurisdizione: il Consiglio di Stato avrebbe creato una regola procedimentale non prevista dalla legge, imponendo l’obbligo di acquisire il parere del Garante privacy in ipotesi non rientranti nei casi espressamente contemplati dall’art. 27, comma 1-bis, Codice del consumo, e avrebbe così invaso la sfera riservata al legislatore. Le società e il Garante privacy hanno resistito con controricorso.

La decisione

Le Sezioni Unite hanno ritenuto infondato il ricorso. Hanno affermato che la censura dell’AGCM non integrava un vero e proprio eccesso di potere giurisdizionale, perché il Consiglio di Stato non ha oltrepassato i limiti esterni della giurisdizione, ma ha svolto un’attività interpretativa delle norme interne e un coordinamento con il diritto unionale. In particolare, la Corte ha ritenuto che la lettura del sistema operata dal giudice amministrativo, anche alla luce dell’art. 27, comma 1-bis, Codice del consumo, dell’art. 130 Codice privacy e della sentenza CGUE 4 luglio 2023, non costituisse creazione giudiziale di una norma nuova, bensì applicazione di principi già desumibili dall’ordinamento, in primis il principio di leale collaborazione tra autorità. Il ricorso è stato quindi rigettato; le spese sono state poste a carico dell’AGCM in favore delle controricorrenti; è stata inoltre dichiarata la sussistenza dei presupposti per l’ulteriore contributo unificato.

Norme richiamate

• art. 111, comma 8, Cost.

  Il ricorso per cassazione contro le sentenze del Consiglio di Stato è ammesso soltanto per motivi inerenti alla giurisdizione; il controllo della Cassazione non può estendersi alle scelte interpretative del giudice amministrativo.

• art. 362 c.p.c.

  Richiamato come base del ricorso per cassazione per motivi di giurisdizione.

• art. 110 c.p.a.

  Richiamato come norma processuale evocata a sostegno della censura di eccesso di potere giurisdizionale.

• art. 27, comma 1-bis, d.lgs. 6 settembre 2005, n. 206

  "acquisito il parere dell'Autorità di regolazione competente"

  La Corte ha ritenuto che la formulazione non escluda necessariamente il Garante privacy dalla nozione di autorità di regolazione competente e che comunque la lettura restrittiva proposta dalla ricorrente non fosse imposta dal dato testuale.

• art. 27, commi 1-bis e 6, d.lgs. 6 settembre 2005, n. 206

  Richiamato nel contesto della disciplina delle pratiche commerciali scorrette e dei rapporti con altre autorità amministrative.

• artt. 20, 21 e 22, commi 1 e 2, d.lgs. 6 settembre 2005, n. 206

  Costituiscono la base normativa dell’illecito consumeristico contestato alle società.

• art. 67-sexiesdecies d.lgs. 6 settembre 2005, n. 206

  Richiamato dalle parti per sostenere l’ampiezza degli obblighi informativi e la rilevanza del coordinamento con la disciplina privacy.

• art. 130, commi 3-bis, 4 e 5, d.lgs. 30 giugno 2003, n. 196

  La Corte valorizza la norma come indicativa della necessità di piena informazione al consumatore sul trattamento dei dati e della rilevanza delle competenze del Garante privacy.

• Regolamento (UE) 2016/679 (RGPD)

  Il sistema del RGPD impone la centralità delle autorità di controllo dei dati personali e la cooperazione con le altre autorità nazionali che debbano valutare condotte incidenti sulla protezione dei dati.

• art. 4, par. 3, TUE

  Fondamento del principio di leale collaborazione e dell’obbligo di cooperazione tra autorità nazionali quando vengono in rilievo competenze connesse al diritto dell’Unione.

• art. 120 Cost.

  Richiamato come consacrazione costituzionale del principio di leale collaborazione nei rapporti tra Stato e Regioni, evocato in via analogica a sostegno del coordinamento tra autorità.

• art. 13, comma 1-quater, d.P.R. 30 maggio 2002, n. 115

  Applicato per dichiarare la sussistenza dell’obbligo di versamento dell’ulteriore contributo unificato in caso di rigetto del ricorso.

• art. 13, comma 1-bis, d.P.R. 30 maggio 2002, n. 115

  Richiamato in relazione al contributo unificato ulteriore dovuto in caso di rigetto dell’impugnazione.

Massime di principio

• Nel ricorso per cassazione avverso le sentenze del Consiglio di Stato, l’eccesso di potere giurisdizionale è configurabile solo quando il giudice speciale invada la sfera riservata al legislatore o ad altre autorità, oppure arretri indebitamente dalla propria giurisdizione; non basta denunciare un asserito errore interpretativo, anche se grave o decisivo.
• L’attività del giudice amministrativo che, per risolvere un conflitto o una lacuna apparente, ricostruisce il sistema normativo e coordina disciplina interna e diritto dell’Unione resta un errore eventualmente interno alla giurisdizione, ma non un superamento dei limiti esterni della stessa.
• Quando una condotta oggetto di valutazione antitrust o consumeristica interferisce in modo sostanziale con il trattamento di dati personali, il principio di leale collaborazione impone il coordinamento con l’autorità di controllo privacy competente, salvo che il sistema normativo o una precedente decisione ne rendano inutile o superflua la consultazione.
• La nozione di "autorità di regolazione competente" può essere interpretata in senso non meramente settoriale, ove il dato testuale e la ratio della disciplina, letti alla luce del diritto dell’Unione, consentano di ricomprendere anche l’autorità privacy.
• Nel mercato digitale, la valutazione di pratiche commerciali scorrette può richiedere il previo o contestuale confronto con l’autorità privacy, poiché il trattamento dei dati personali può costituire elemento centrale della condotta scrutinata e non mero profilo accessorio.
• Le autorità nazionali che applichino norme del diritto dell’Unione in materie interconnesse devono rispettare le decisioni e le competenze delle autorità specializzate del settore interessato, e in mancanza di un coordinamento devono attivare forme di cooperazione procedimentale.
• Il principio di leale collaborazione opera come criterio dinamico di esercizio delle competenze pubbliche e può tradursi in obblighi impliciti di consultazione e coordinamento, non necessariamente espressamente tipizzati dalla legge, quando ciò sia necessario per preservare l’equilibrio dell’ordinamento.

Come è indicizzato