Sentenza n. 3509/2026 - Milano, Sezione 1

Esito

La controversia

La ricorrente ha impugnato la deliberazione ARERA n. 480/2024/S/COM, deducendo, in primo luogo, la violazione della disciplina del Sistema Informativo Integrato, il travisamento dei fatti, il difetto di istruttoria e l’eccesso di potere, sostenendo che le credenziali personali assegnate all’amministratore unico erano state utilizzate soltanto da due collaboratori interni, per finalità aziendali lecite, senza divulgazione indiscriminata a terzi né pregiudizio per la sicurezza o la riservatezza dei dati. Ha inoltre contestato l’addebito relativo all’impiego di BOTNET, sostenendo di avere utilizzato un software commerciale lecito e privo di automatismi robotici. In secondo luogo, ha dedotto la violazione dell’art. 3 della legge n. 241/1990, il difetto di motivazione e la contraddittorietà dell’atto, assumendo che ARERA non avesse illustrato le caratteristiche tecniche del software che avrebbero consentito di assimilarlo a una BOTNET. In terzo luogo, ha contestato la quantificazione della sanzione per violazione dei criteri di cui agli artt. 11 e 12 della legge n. 689/1981 e del regolamento sanzionatorio ARERA, nonché per irragionevolezza, sproporzione, disparità di trattamento e difetto di motivazione. Ha evidenziato la limitata durata della condotta, il numero contenuto degli accessi, l’assenza di danni e vantaggi indebiti, l’assenza di dolo, la collaborazione prestata e la mancata applicazione della riduzione riconosciuta ad altri operatori sanzionati.

La decisione

Il TAR ha respinto il primo motivo, ritenendo provato l’utilizzo abusivo delle credenziali da parte di persone diverse dal titolare. La circostanza che gli utilizzatori fossero collaboratori interni non esclude la violazione, poiché la disciplina del SII tutela l’intangibilità e la sicurezza del sistema e considera divulgazione anche la disponibilità delle credenziali in capo a soggetti diversi dai titolari. Il Collegio ha inoltre ritenuto non contestata la provenienza degli accessi dall’account della società e ha considerato gli accessi massivi e concentrati in un breve periodo elementi sufficienti a giustificare l’inferenza sull’impiego di strumenti automatizzati, non essendo necessario che gli accessi fossero nell’ordine delle migliaia. È stata respinta anche la censura di difetto di motivazione: una volta accertati gli accessi abusivi e la loro riferibilità alla società, non era necessario ricostruire dettagliatamente lo specifico strumento tecnico impiegato. Il terzo motivo è stato invece accolto parzialmente. Il giudice amministrativo, nell’ambito della giurisdizione estesa al merito sulle sanzioni pecuniarie, può rideterminare direttamente l’importo della sanzione. Nel caso concreto, la condotta si era verificata in un solo giorno, era stata prontamente bloccata dal sistema, non si era reiterata, non aveva prodotto danni specifici né vantaggi indebiti e risultava meno grave rispetto a condotte contestate ad altri operatori. ARERA, inoltre, non aveva considerato adeguatamente l’incidenza della misura prescrittiva consistente nel blocco dell’account. Per tali ragioni il TAR ha ridotto direttamente la sanzione da euro 185.000 a euro 92.500, annullando il provvedimento limitatamente alla quantificazione. Le spese sono state compensate per soccombenza reciproca.

Norme richiamate

• art. 1-bis d.l. n. 105/2010

  Istituisce il Sistema Informativo Integrato presso l’autorità di regolazione per sostenere la competitività e la funzionalità dei mercati dell’energia elettrica e del gas naturale.

• artt. 6, comma 1, lettera d), Allegato A deliberazione ARG/com 201/10; artt. 6, comma 1, lettera c), e 15, comma 3, Regolamento del SII; sezioni 2.2 e 2.4 Allegato C al Regolamento del SII

  Prevedono obblighi relativi all’uso personale e alla sicurezza delle credenziali di accesso al Sistema Informativo Integrato; la violazione sussiste anche quando le credenziali siano utilizzate da collaboratori interni diversi dal titolare.

• art. 11, commi 3, 4 e 6, Regolamento del SII

  Disciplina l’individuazione degli operatori autorizzati, i profili personali di accesso e l’obbligo dell’utente di comunicare tempestivamente le modifiche e le revoche delle abilitazioni.

• art. 134, comma 1, lettera c), c.p.a.

  le sanzioni pecuniarie la cui contestazione è devoluta alla giurisdizione del giudice amministrativo, comprese quelle applicate dalle Autorità amministrative indipendenti

  Attribuisce al giudice amministrativo giurisdizione estesa al merito sulle controversie relative alle sanzioni pecuniarie e consente la rideterminazione diretta dell’importo.

• art. 23 l. n. 689/1981

  con la sentenza il giudice [ordinario] può rigettare l'opposizione, ponendo a carico dell'opponente le spese del procedimento o accoglierla, annullando in tutto o in parte l'ordinanza o modificandola anche limitatamente all'entità della sanzione dovuta

  Individua il potere giudiziale di annullare o modificare la sanzione anche soltanto nella sua entità, potere ritenuto applicabile dal giudice amministrativo in presenza di giurisdizione estesa al merito.

• artt. 11 e 12 l. n. 689/1981

  Dettano i criteri generali per la commisurazione della sanzione, da adeguare alla gravità dell’illecito e alle condizioni soggettive dell’autore.

• art. 29 Regolamento ARERA per la disciplina dei procedimenti sanzionatori

  Le sanzioni irrogate dall’Autorità sono calcolate sulla base dei criteri di cui all’articolo 11, della legge 689/1981 secondo le disposizioni del presente titolo. L’Autorità può motivatamente derogare all’applicazione degli articoli di cui al presente titolo per ottenere un particolare effetto dissuasivo o per tener conto di particolari condizioni economiche dell’agente.

  Impone la commisurazione delle sanzioni secondo i criteri legali e richiede una motivazione per eventuali deroghe finalizzate a effetti dissuasivi o alla considerazione delle condizioni economiche.

• art. 31 Regolamento ARERA per la disciplina dei procedimenti sanzionatori

  La gravità della violazione si desume: a) dalla natura dell’interesse tutelato dalla norma violata, dall’offensività della condotta e dall’attitudine della condotta a ledere più di un interesse; b) dalla durata della violazione, dalla sua estensione territoriale, anche avuto riguardo, ove possibile, al numero di clienti coinvolti, e dalle altre modalità con le quali si realizza la lesione degli interessi tutelati; c) dalla rilevanza degli eventuali effetti pregiudizievoli sul mercato, sugli utenti, sui clienti finali o sull’azione amministrativa dell’Autorità; d) dagli indebiti vantaggi, economici e non, conseguiti dall’agente in conseguenza della violazione; e) dal grado di colpevolezza dell’agente desunto, tra l’altro, dall’assenza di modelli di organizzazione e di gestione idonei a prevenire violazioni della stessa specie e dal tentativo di occultare la violazione.

  La gravità deve essere valutata considerando natura e offensività della condotta, durata, estensione, effetti pregiudizievoli, vantaggi conseguiti e grado di colpevolezza.

• art. 2, comma 20, lettera d), l. n. 481/1995

  ordina al soggetto esercente il servizio la cessazione di comportamenti lesivi dei diritti degli utenti

  La misura prescrittiva di blocco dell’account costituisce un elemento da considerare nella complessiva valutazione della risposta sanzionatoria e nella proporzionalità dell’importo pecuniario.

• art. 3 Cost.

  Fonda, in combinato disposto con le altre norme costituzionali pertinenti, il principio di necessaria proporzionalità delle sanzioni amministrative punitive rispetto alla gravità dell’illecito.

• art. 3 l. n. 241/1990

  Impone la motivazione dei provvedimenti amministrativi; nel caso concreto non richiedeva una dettagliata ricostruzione dello specifico strumento tecnico, essendo sufficienti l’accertamento degli accessi abusivi e la loro riferibilità all’account della società.

Massime di principio

• La disciplina delle credenziali personali di accesso a un sistema informativo regolato tutela l’intangibilità e la sicurezza del sistema, sicché l’utilizzo delle credenziali da parte di soggetti diversi dal titolare integra una violazione anche quando tali soggetti siano collaboratori interni dell’impresa, agiscano per finalità aziendali lecite e siano identificabili.
• Ai fini dell’accertamento di accessi abusivi a un sistema informativo, la provenienza dei tentativi dall’account dell’operatore e la loro concentrazione massiva in un breve periodo possono fondare l’inferenza sull’impiego di strumenti automatizzati; non è necessario che gli accessi raggiungano necessariamente l’ordine delle migliaia.
• Quando l’illecito sanzionato consiste nel tentativo di accesso non adeguatamente profilato a un sistema informativo, una volta accertate la riferibilità degli accessi all’operatore e la loro abusività, l’amministrazione non è tenuta a ricostruire con analitica motivazione ogni caratteristica tecnica dello strumento concretamente utilizzato.
• Nelle controversie sulle sanzioni pecuniarie devolute alla giurisdizione amministrativa, il giudice esercita giurisdizione estesa al merito e può rideterminare direttamente l’importo della sanzione, senza limitarsi all’annullamento con rinvio all’amministrazione.
• La quantificazione di una sanzione amministrativa punitiva deve rispettare il principio di proporzionalità e considerare concretamente durata, offensività, effetti dannosi, vantaggi conseguiti, grado di colpevolezza, reiterazione della condotta e misure già adottate dall’amministrazione per far cessare la violazione.
• La sanzione deve essere ridotta quando l’amministrazione qualifichi la condotta come grave senza adeguata considerazione del fatto che essa si sia verificata in un solo giorno, sia stata prontamente bloccata, non abbia prodotto danni o vantaggi indebiti, non si sia reiterata e sia stata accompagnata da una misura prescrittiva incidente sulla condotta.

Come è indicizzato