Ordini di blocco su Piracy Shield: poteri AGCOM sui DNS esteri

01. L’inquadramento sistematico della tutela del diritto d’autore online: dall’archetipo regolamentare alla legge n. 93 del 2023

1.1 — La genesi del potere inibitorio amministrativo e il precedente del Consiglio di Stato n. 4993 del 2019

L’evoluzione del quadro normativo posto a presidio della proprietà intellettuale sulle reti telematiche trova il proprio baricentro sistematico nell’attribuzione di penetranti potestà interdittive all’Autorità per le Garanzie nelle Comunicazioni. L’efficacia operativa che oggi connota gli ordini di blocco su Piracy Shield affonda le proprie radici nel lungo percorso di conformazione pubblicistica avviato con la delibera n. 680/13/CONS, con la quale l’organo di regolazione introdusse per la prima volta un modello di tutela amministrativa del diritto d’autore fondato sull’intervento diretto nei confronti dei prestatori di servizi intermediari. Tale architettura rispondeva all’esigenza di assicurare una risposta tempestiva alle violazioni commesse nell’ambiente digitale, ove la dispersione delle sorgenti e la volatilità dei dati rendono sovente inefficaci i tradizionali rimedi civilistici azionati dinanzi al giudice ordinario.

La legittimità di siffatto intervento regolamentare ha costituito a lungo oggetto di un serrato dibattito, sfociato nel fondamentale arresto con cui il Consiglio di Stato ha vagliato la coerenza del modello con i principi costituzionali ed eurounitari¹. Il giudice d’appello, nel confermare la validità della potestà regolamentare generale dell’Autorità derivante dalla legge 31 luglio 1997, n. 249, e dal decreto legislativo 9 aprile 2003, n. 70, ha statuito che la previsione di misure inibitorie amministrative rappresenta il naturale corollario per la rimozione delle condotte antigiuridiche. L’esercizio di tale potere non si pone in conflitto con la riserva di giurisdizione, né viola l’art. 21 della Costituzione, poiché la disabilitazione dell’accesso si dirige esclusivamente verso canali che veicolano contenuti illeciti, senza comprimere la libertà di manifestazione del pensiero riguardante informazioni legittime.

Nondimeno, la medesima pronuncia ha tracciato una linea di confine invalicabile rispetto al principio di legalità sostanziale di cui all’art. 23 della Costituzione e alla legge 24 novembre 1981, n. 689. Il Consiglio di Stato ha infatti chiarito che, se è consentito all’Autorità emanare ordini di inibizione a salvaguardia delle opere protette, non è ammissibile introdurre per via regolamentare sanzioni pecuniarie a carico degli intermediari che non vi ottemperino, in assenza di una puntuale previsione legislativa primaria. La teoria dei poteri impliciti non può spingersi sino alla configurazione di obblighi patrimoniali di natura afflittiva non predeterminati dal legislatore. Tale arresto ha evidenziato la strutturale asimmetria tra l’efficacia inibitoria dell’ordine e la debolezza del relativo apparato sanzionatorio, spingendo la dottrina più attenta a sollecitare un intervento legislativo organico capace di dotare l’Autorità di strumenti coercitivi tipizzati^D1.

1.2 — L’architettura della legge n. 93 del 2023 e la qualificazione degli ordini dinamici cautelari

La promulgazione della legge 14 luglio 2023, n. 93, ha segnato il definitivo superamento del previgente assetto sublegislativo, colmando la lacuna rilevata dalla giurisprudenza amministrativa e conferendo all’ordinamento una base legale primaria espressa e articolata. Il legislatore ha inteso conciliare la salvaguardia della proprietà intellettuale (artt. 41 e 42 Cost., art. 17 Carta UE) con i diritti alla riservatezza delle comunicazioni e alla libertà di iniziativa economica degli intermediari tecnici, delineando un sistema fondato su una responsabilità condivisa dell’ecosistema digitale. L’art. 2 della legge ha attribuito all’Autorità la potestà di ordinare ai prestatori di servizi, compresi gli access provider, i gestori di reti private virtuali e i servizi di risoluzione dei nomi a dominio, di disabilitare l’accesso ai contenuti diffusi abusivamente mediante il blocco della risoluzione DNS e l’interruzione dell’instradamento verso gli indirizzi IP «prevalentemente destinati ad attività illecite».

Il perno innovativo dell’intervento risiede nella tipizzazione normativa delle ingiunzioni dinamiche (dynamic injunctions), disciplinate dai commi 2 e 3 del medesimo art. 2. A fronte di violazioni aventi ad oggetto contenuti trasmessi in diretta o prime visioni cinematografiche, la celerità della consumazione dell’illecito rende inoperante la sequenza procedimentale ordinaria. Il legislatore ha quindi configurato un procedimento cautelare abbreviato inaudita altera parte, in cui l’ordine originario si estende programmaticamente a ogni futuro nome di dominio, sottodominio o indirizzo IP che consenta la reindirizzazione verso i medesimi contenuti abusivi o verso materiali della medesima natura. In tal modo viene neutralizzata la pratica elusiva del cosiddetto domain hopping, consistente nella continua migrazione dei flussi di trasmissione verso nuovi identificatori di rete al fine di sfuggire ai provvedimenti inibitori.

Sul piano dogmatico, la dottrina processualistica ha indagato a fondo la collocazione di tali misure, evidenziando come l’ordine dinamico non costituisca una serie indeterminata di autonomi provvedimenti ablatori, bensì un comando a fattispecie progressiva, in cui l’accertamento dell’illeceità originaria funge da presupposto per la conformazione degli obblighi esecutivi futuri a carico degli intermediari terzi^D2. L’efficacia della tutela dipende dalla capacità dell’intermediario di attuare l’inibitoria senza ritardo, configurando l’attività dell’operatore non come adempimento sanzionatorio, ma quale dovere di cooperazione tecnica imposto a soggetti che, pur non essendo autori dell’illecito, gestiscono le infrastrutture essenziali alla sua propagazione. La chiusura del circuito di legalità sostanziale si completa con la correlazione tra l’inottemperanza a tali ordini e l’attivazione delle sanzioni pecuniarie tipizzate all’art. 5 della legge.

02. Il funzionamento operativo della piattaforma Piracy Shield e la disabilitazione dell’accesso entro trenta minuti

2.1 — L’automazione machine-to-machine e la proporzionalità del termine nel vaglio del TAR Lazio n. 1223 del 2024

L’attuazione delle prescrizioni contenute nella legge n. 93 del 2023 ha richiesto l’allestimento di un’infrastruttura tecnologica capace di garantire un’interazione telematica istantanea tra titolari dei diritti, Autorità e prestatori di servizi della società dell’informazione. La piattaforma Piracy Shield, introdotta e disciplinata dalle delibere AGCOM n. 189/23/CONS e n. 321/23/CONS, opera mediante un’architettura automatizzata fondata su protocolli machine-to-machine. Tale configurazione risponde alla precisa volontà normativa di comprimere i tempi di reazione procedimentale, stabilendo che i destinatari dell’ordine eseguano la disabilitazione della risoluzione dei nomi a dominio e dell’instradamento del traffico IP «entro il termine massimo di trenta minuti dalla notificazione». L’automazione del flusso informativo consente di superare i limiti temporali dell’istruttoria tradizionale, trasferendo il momento di controllo pubblicistico a monte dell’accreditamento dei soggetti legittimati e a valle nell’eventuale fase di reclamo.

La sostenibilità giuridica e tecnica di una tempistica tanto compressa è stata vagliata dal TAR Lazio, chiamato a pronunciarsi sui ricorsi proposti dalle associazioni rappresentative dei provider indipendenti avverso la regolamentazione attuativa². I giudici amministrativi hanno respinto le censure di sproporzione e di lesione della libertà d’impresa, affermando che la brevità del termine non costituisce un’imposizione arbitraria, ma scaturisce dalla natura intrinsecamente volatile degli eventi audiovisivi in diretta. Poiché la trasmissione illegale di una manifestazione sportiva esaurisce il proprio disvalore economico e commerciale nell’arco di poche ore, una misura inibitoria tempestiva attuata con ritardi superiori risulterebbe priva di effettività pratica, trasformandosi in una tutela puramente simbolica. La pronuncia ha altresì ribadito che il rimedio amministrativo delineato dall’Autorità opera su un piano concorrente e non alternativo rispetto alla tutela giudiziale ordinaria di cui all’art. 156 della legge sul diritto d’autore, confermando la piena legittimità del cosiddetto doppio binario di tutela.

La riflessione dottrinale sviluppatasi all’indomani dell’avvio della piattaforma ha sottolineato come la compressione dell’intervallo temporale imponga agli intermediari di rete una profonda riconfigurazione delle proprie strutture organizzative e dei sistemi di instradamento, inducendo gli operatori ad adottare soluzioni di blocco automatico parametrate su elenchi continuamente aggiornati^D3. Sotto il profilo della teoria dell’atto amministrativo, la delega operativa all’elaborazione algoritmica solleva delicati interrogativi sul mantenimento del controllo umano sui presupposti della decisione. Come evidenziato nell’approfondimento di Metodo Giuridico dedicato a Decisioni algoritmiche tra automazione e riserva di umanità, il rispetto del principio di legalità e del canone di non esclusività dell’automazione esige che la standardizzazione informatica dei flussi mantenga sempre accessibile una verifica sostanziale ad opera di funzionari persone fisiche, presidio essenziale per scongiurare derive di automatismo cieco e garantire una reale riserva di umanità nel procedimento^D4.

2.2 — Il ruolo dei segnalatori accreditati, il regime probatorio asimmetrico e il dovere di massima diligenza

Il corretto funzionamento del sistema delineato dall’Autorità poggia su una ripartizione degli oneri probatori fortemente asimmetrica, concepita per bilanciare la tempestività dell’intervento cautelare con la certezza dei presupposti di fatto. L’art. 2, commi 3 e 4, della legge n. 93 del 2023 attribuisce la legittimazione attiva all’immissione delle segnalazioni ai titolari dei diritti, ai loro licenziatari, agli organismi di gestione collettiva e ai soggetti qualificati come segnalatori attendibili. Ciascuna istanza deve essere corredata da una rigorosa attestazione tecnica comprovante l’attualità della condotta lesiva e l’effettiva diffusione abusiva dei contenuti protetti, caricata sotto la diretta responsabilità civile e penale del segnalatore.

L’esperienza applicativa maturata durante il primo biennio di operatività della piattaforma ha tuttavia posto in luce il pericolo di segnalazioni sommarie o tecnicamente imperfette, suscettibili di colpire indirizzi IP non dedicati in via esclusiva ad attività illecite. Per fronteggiare tale criticità, l’Autorità è intervenuta con la delibera n. 209/25/CONS, recante una profonda riscrittura dell’art. 10 del Regolamento in materia di tutela del diritto d’autore. La novella ha introdotto l’obbligo espresso per i soggetti accreditati di operare con la massima diligenza e il più rigoroso vaglio tecnico, vietando categoricamente la segnalazione di risorse telematiche che presentino un elevato rischio di oscuramento indiscriminato. L’inosservanza di tale standard di condotta non costituisce una mera irregolarità formale, ma è presidiata dalla sanzione della sospensione immediata o della revoca dell’accreditamento alla piattaforma disposta dall’Autorità.

La progressiva sedimentazione delle fonti regolamentari e legislative ha così definito un quadro articolato, i cui passaggi essenziali risultano scanditi dalle modifiche strutturali intervenute sull’ordinamento di settore:

La proceduralizzazione del dovere di diligenza in capo ai titolari trasforma la segnalazione in un atto ad alta qualificazione giuridica. Il segnalatore non agisce quale mero denunciante, ma assume una posizione di garanzia verso l’integrità del sistema telematico. La previsione di adeguate conseguenze interdittive in caso di imperizia o abuso nell’immissione dei dati costituisce il necessario contrappeso all’eccezionale celerità dell’ordine, ristabilendo la simmetria tra la proprietà intellettuale e l’immunità delle risorse estranee alle condotte illecite.

03. Il perimetro sovranazionale: ordini di blocco su Piracy Shield e compatibilità con il diritto dell’Unione europea

3.1 — Dal divieto di sorveglianza generale alla legittimità delle ingiunzioni di risultato: la giurisprudenza della Corte di giustizia

La conformazione degli strumenti nazionali di contrasto alla pirateria informatica deve costantemente misurarsi con il sistema di tutele e immunità delineato dall’ordinamento dell’Unione europea. Sin dalle origini della regolazione del commercio elettronico, recepite dall’art. 8 del Regolamento (UE) 2022/2065, è stato sancito il principio cardinale secondo cui «Ai prestatori di servizi intermediari non è imposto alcun obbligo generale di sorveglianza sulle informazioni che tali prestatori trasmettono o memorizzano, né di accertare attivamente fatti o circostanze che indichino la presenza di attività illegali.» Tale divieto generale di sorveglianza mira a preservare la neutralità tecnologica degli operatori di rete, impedendo che gli intermediari siano trasformati in organi di censura privata o siano gravati da oneri sproporzionati di monitoraggio preventivo di tutti i flussi telematici veicolati sulle proprie infrastrutture.

La giurisprudenza della Corte di giustizia ha chiarito la portata di tale limite con la storica sentenza resa nel caso Scarlet Extended, dichiarando l’incompatibilità con il diritto dell’Unione di qualsiasi provvedimento giudiziale o amministrativo che imponga a un fornitore di accesso a Internet l’allestimento di un sistema di filtraggio generalizzato, permanente e a proprie spese³. I giudici di Lussemburgo hanno precisato che un filtraggio indiscriminato su tutte le comunicazioni elettroniche violerebbe la libertà d’impresa dell’intermediario garantita dall’art. 16 della Carta dei diritti fondamentali dell’Unione europea, compromettendo al contempo il diritto alla protezione dei dati personali e la libertà di informazione degli utenti (artt. 8 e 11 della Carta). La pronuncia ha evidenziato il rischio che meccanismi automatici non sufficientemente selettivi finiscano per bloccare indebitamente comunicazioni lecite, atteso che la legittimità della fruizione può dipendere da eccezioni e limitazioni di legge non rilevabili da meri algoritmi di controllo.

L’approfondimento della giurisprudenza europea ha consentito alla dottrina specialistica di distinguere nettamente tra l’inammissibile sorveglianza preventiva e le ingiunzioni mirate a specifici contenuti illeciti^D5. Il divieto di sorveglianza non esclude, infatti, che le autorità competenti impongano agli intermediari ordini puntuali volti a far cessare o prevenire violazioni concrete, purché l’oggetto della misura sia identificato in modo inequivoco e non richieda all’operatore di compiere valutazioni giuridiche autonome sulla liceità delle trasmissioni. Il punto di equilibrio risiede dunque nella transizione da modelli di controllo attivo ad obblighi esecutivi di cooperazione reattiva, ove l’onere di individuazione dell’illecito rimane interamente incardinato sui titolari e sull’autorità pubblica.

3.2 — L’evoluzione da Scarlet Extended a UPC Telekabel Wien e Glawischnig-Piesczek

Il rigoroso divieto di filtraggio preventivo sancito dalla pronuncia Scarlet Extended ha trovato un fondamentale completamento e temperamento nella successiva decisione della Corte di giustizia nel caso UPC Telekabel Wien⁴. Chiamata a pronunciarsi sulla conformità di un ordine che ingiungeva a un fornitore di accesso di bloccare l’accesso a un sito internet pirata senza specificare le misure tecniche concrete da adottare, la Corte ha convalidato la piena legittimità delle cosiddette ingiunzioni di risultato (outcome-based injunctions). I giudici europei hanno affermato che tale modello lascia all’operatore la scelta dei mezzi tecnologici più appropriati e sostenibili, consentendogli di evitare l’applicazione di sanzioni qualora dimostri di aver adottato tutte le misure ragionevoli per ostacolare l’accesso ai materiali protetti. L’ingiunzione risulta pienamente compatibile con il bilanciamento dei diritti fondamentali prescritto dall’art. 52, par. 1, della Carta UE, purché le misure implementate non privino inutilmente gli utenti della possibilità di fruire in modo lecito di informazioni disponibili e raggiungano l’effetto di scoraggiare seriamente le consultazioni abusive.

Un ulteriore e decisivo snodo dogmatico nella costruzione del quadro sovranazionale è intervenuto con la sentenza Glawischnig-Piesczek, in cui la Corte di giustizia ha affrontato la problematica della reiterazione degli illeciti nell’ambiente delle piattaforme digitali⁵. La Corte ha statuito che il divieto di imporre obblighi generali di sorveglianza non osta a che un’autorità giudiziaria o amministrativa ordini all’intermediario di rimuovere o disabilitare non soltanto i contenuti specificamente accertati come illeciti, ma anche informazioni di contenuto identico o equivalente, diffuse dal medesimo utente o da altri soggetti. La legittimità di tale estensione poggia sulla condizione imprescindibile che gli elementi identificativi della violazione siano puntualmente specificati nel provvedimento originario e che le differenze formali non costringano il prestatore a compiere un apprezzamento giuridico autonomo, potendo quest’ultimo fare ricorso a strumenti di ricerca e filtraggio automatizzati.

L’approdo pretorio di Glawischnig-Piesczek costituisce l’antecedente logico-giuridico fondamentale su cui si fonda la categoria delle ingiunzioni dinamiche. Se l’ordine inibitorio fosse confinato esclusivamente alle stringhe testuali o agli indirizzi numerici accertati al momento dell’avvio del procedimento, l’autore della violazione potrebbe aggirare l’effetto interdittivo mediante modifiche minime dell’estensione del dominio o attraverso il mero spostamento del flusso su un server contiguo. Riconoscere la legittimità di ordini estesi a contenuti equivalenti consente di ancorare la cogenza del provvedimento alla sostanza dell’illecito, salvaguardando l’effetto utile della tutela giurisdizionale senza tramutare l’intermediario in un giudice della liceità dei contenuti trasmessi.

3.3 — L’art. 17 della direttiva copyright, la sentenza Polonia e il bilanciamento tra diritti fondamentali

La definitiva saldatura tra i principi del commercio elettronico e la tutela d’urgenza dei diritti di proprietà intellettuale si è compiuta con la disamina della direttiva (UE) 2019/790 e, segnatamente, dell’art. 17, scrutinato dalla Corte di giustizia nella sentenza Polonia c. Parlamento europeo e Consiglio⁶. Nel respingere il ricorso di annullamento promosso dallo Stato membro avverso il regime di responsabilità attenuata per i prestatori di servizi di condivisione, i giudici di Lussemburgo hanno tracciato le coordinate costituzionali entro cui l’impiego di tecnologie automatizzate di filtraggio e disabilitazione può considerarsi legittimo alla luce dell’art. 52 della Carta dei diritti fondamentali. La pronuncia ha chiarito che qualsiasi limitazione all’esercizio della libertà di espressione e di informazione garantita dall’art. 11 della Carta deve essere prevista dalla legge e rispettare il principio di proporzionalità, esigendo un quadro normativo che definisca in modo rigoroso i presupposti e i limiti dell’ingerenza.

L’elemento qualificante dell’arresto risiede nell’affermazione secondo cui i meccanismi di blocco algoritmico sono compatibili con i trattati eurounitari solo a fronte di un solido sistema di garanzie strutturali poste a tutela degli utenti e dei contenuti leciti. L’obbligo imposto agli intermediari di compiere i massimi sforzi per impedire il caricamento di opere abusive trova un limite insuperabile nella doverosa salvaguardia degli utilizzi legittimi, quali le eccezioni per citazione, critica, rassegna o parodia. La Corte ha statuito che la normativa deve prescrivere un obbligo di risultato negativo: il filtraggio non può condurre al blocco preventivo di contenuti privi di evidente illiceità. Inoltre, la tutela dell’utente richiede l’istituzione obbligatoria di procedure di reclamo rapide ed efficaci, le cui determinazioni conclusive siano inderogabilmente soggette a una verifica umana e a un successivo controllo giurisdizionale effettivo.

Il modello delineato dalla Corte nella sentenza Polonia proietta la propria valenza esegetica direttamente sulla disciplina dei blocchi dinamici d’urgenza. Sebbene l’art. 17 della direttiva riguardi specificamente le piattaforme di condivisione di contenuti, i canoni di bilanciamento ivi elaborati informano l’intera materia dei servizi digitali. Ne discende che la velocità operativa assicurata dagli algoritmi non può mai tradursi in una presunzione assoluta di antigiuridicità della risorsa segnalata. L’ordinamento esige che la celerità del comando interdittivo sia bilanciata da rimedi procedurali tempestivi, che consentano ai titolari di risorse legittime erroneamente oscurate di ottenere la pronta riabilitazione dell’instradamento, preservando il delicato equilibrio tra privativa industriale e pluralismo informativo.

04. I prestatori esteri di servizi DNS, VPN e CDN dinanzi all’ordinamento italiano: il contenzioso Cloudflare

4.1 — La distinzione dogmatica tra art. 9 e art. 56 DSA e il principio del paese d’origine

La concreta efficacia della tutela contro la pirateria digitale è fatalmente destinata a scontrarsi con la dislocazione transfrontaliera degli intermediari tecnologici. La circostanza che i servizi di risoluzione DNS autoritativi e ricorsivi, le reti private virtuali (VPN) e i circuiti di distribuzione dei contenuti (CDN) siano gestiti da società multinazionali con sede fuori dal territorio nazionale ha alimentato complesse questioni di giurisdizione e competenza. Nel contenzioso promosso da Cloudflare Inc. avverso i provvedimenti inibitori e sanzionatori dell’Autorità, il TAR Lazio ha affrontato in termini dogmatici il rapporto tra sovranità regolamentare interna e diritto eurounitario dei servizi digitali⁷. Il collegio capitolino ha disatteso la tesi del provider statunitense, secondo cui l’avvenuta designazione di un rappresentante legale europeo in Portogallo avrebbe attribuito la competenza esclusiva all’autorità nazionale di quel Paese ai sensi dell’art. 56 del Digital Services Act.

La pronuncia ha chiarito la netta separazione funzionale che intercorre tra l’art. 9 e art. 56 del Regolamento (UE) 2022/2065. L’art. 56 disciplina la vigilanza generale e l’esecuzione degli obblighi sistemici posti dal regolamento a carico dei prestatori intermediari, incardinando la relativa potestà presso il coordinatore dei servizi digitali dello Stato di stabilimento. Al contrario, l’art. 9 del medesimo regolamento contempla espressamente il potere delle autorità giudiziarie o amministrative nazionali di emettere ordini di contrasto verso specifici contenuti illegali, radicando la competenza in capo allo Stato membro in cui tali contenuti producono i loro effetti lesivi. Gli ordini di blocco su Piracy Shield non costituiscono misure di vigilanza strutturale sulle condizioni di servizio dell’intermediario, ma rappresentano puntuali ingiunzioni volte a reprimere violazioni della proprietà intellettuale consumate nell’ordinamento italiano, pienamente legittimate dal criterio territoriale di destinazione del servizio.

La sovranità digitale degli Stati membri non recede di fronte all’architettura globale della rete: il principio degli effetti lesivi legittima l’ordine inibitorio nazionale verso chiunque fornisca il canale tecnico per la propagazione dell’illecito.

Ne discende l’inapplicabilità del principio del paese d’origine quale esimente generale per condotte lesive incidenti su mercati territoriali definiti. Il fornitore estero che offre servizi di reverse proxy o di risoluzione DNS pubblicamente accessibili agli utenti italiani non può trincerarsi dietro la propria neutralità tecnica per disapplicare un ordine legalmente dato. L’art. 2, comma 3, della legge n. 93 del 2023, nell’estendere l’obbligo di disabilitazione ai fornitori di servizi ovunque residenti e ovunque localizzati, opera nel pieno alveo della clausola di salvaguardia eurounitaria, assicurando che la localizzazione geografica dei server o della sede sociale non si traduca in una zona franca dall’osservanza delle ingiunzioni a tutela dei diritti esclusivi.

4.2 — La decisione del TAR Lazio n. 13201 del 2026 e l’irrilevanza della sede estera del rappresentante legale (TAR Lazio n. 13202 del 2026)

La complementarietà della tutela multilivello ha trovato piena consacrazione nella sentenza gemella pronunciata dal TAR Lazio nei confronti di Cloudflare Portugal Unipessoal Lda, rappresentante legale europeo designato dalla capogruppo ai sensi dell’art. 13 del DSA⁸. I giudici hanno statuito che la designazione del rappresentante nell’Unione assolve a una funzione meramente facilitatrice per la notifica degli atti e l’interlocuzione con le autorità pubbliche, ma non comporta affatto una traslazione della competenza inibitoria esclusiva a favore dello Stato membro di stabilimento di tale entità di servizio. Ritenere il contrario significherebbe consentire una forma di forum shopping normativo, permettendo a colossi digitali operanti su scala globale di neutralizzare l’efficacia dei provvedimenti emanati dalle autorità nazionali mediante la semplice costituzione di veicoli societari strumentali in giurisdizioni percepite come meno rigorose.

Sul terreno specificamente procedimentale, la sentenza n. 13202 del 2026 assume un rilievo centrale poiché chiarisce la natura giuridica dei singoli ticket di blocco diramati tramite la piattaforma tecnologica. Il collegio ha respinto la tesi attorea secondo cui ciascuna segnalazione integrerebbe un provvedimento amministrativo autonomo, viziato da difetto di istruttoria e pretermesso contraddittorio. Le ingiunzioni dinamiche non costituiscono atti innovativi della sfera giuridica dell’intermediario, ma rappresentano meri atti di esecuzione e di costante aggiornamento dell’originaria misura interdittiva, indispensabili per impedire l’elusione del comando principale. Il contraddittorio differito alla fase eventuale del reclamo assicura la piena conformità del modulo operativo alle garanzie di difesa previste dall’art. 24 della Costituzione e dall’art. 6 della Convenzione europea dei diritti dell’uomo.

Il commento dottrinale al doppio arresto del TAR Lazio ha rimarcato come l’affermazione della giurisdizione nazionale sui fornitori di DNS pubblici e VPN transfrontaliere realizzi un fondamentale passo in avanti nella salvaguardia della legalità telematica, imponendo a soggetti finora operanti ai margini del sistema regolamentare obblighi stringenti di cooperazione giudiziaria e amministrativa^D6. L’efficacia extraterritoriale dell’ordine si salda con il principio di prossimità lesiva: chi fornisce servizi che ottimizzano e veicolano traffico destinato al pubblico nazionale non può sottrarsi alle determinazioni dell’autorità di vigilanza, dovendo predisporre le adeguate misure tecniche — compresa la geolocalizzazione dell’inibitoria — per arrestare la propagazione del contenuto abusivo entro i confini della giurisdizione statale.

05. Il potere sanzionatorio di AGCOM e la commisurazione al fatturato globale dell’intermediario

5.1 — La base legale primaria delle sanzioni pecuniarie e l’art. 1 comma 31 della legge n. 249 del 1997

L’efficacia deterrente di qualsiasi disciplina regolatoria presuppone un apparato punitivo tipizzato e proporzionato, idoneo a disincentivare comportamenti opportunistici o dilatori da parte degli operatori economici. Come si è evidenziato in sede di ricostruzione storica, il principale limite che affliggeva il regime antipirateria prima della riforma del 2023 risiedeva nella mancanza di una disposizione primaria che prevedesse specifiche sanzioni pecuniarie in caso di inottemperanza agli ordini inibitori dell’Autorità. Tale vulnerabilità dogmatica è stata risolta dall’art. 5 della legge n. 93 del 2023, il quale ha espressamente stabilito che, in caso di mancata esecuzione dei provvedimenti cautelari d’urgenza o delle relative ingiunzioni dinamiche, l’Autorità applica le sanzioni amministrative pecuniarie previste dall’art. 1, comma 31, della legge 31 luglio 1997, n. 249.

La formulazione della norma istitutiva contempla una commisurazione della sanzione compresa tra il due e il cinque per cento del fatturato realizzato dall’impresa nell’ultimo esercizio chiuso anteriormente alla notificazione della contestazione, per i casi di mancata ottemperanza agli ordini dell’Autorità. La qualificazione del procedimento sanzionatorio impone il rigoroso rispetto dei principi generali codificati dalla legge n. 689 del 1981 in tema di legalità, imputabilità, personalità della sanzione e tempestività dell’atto di contestazione. Nelle fattispecie transfrontaliere, ove il destinatario dell’ordine risieda al di fuori del territorio nazionale, il termine perentorio di novanta giorni previsto per i residenti interni viene sostituito dal più ampio termine di trecentosessanta giorni di cui all’art. 14, comma 2, della citata legge generale, garantendo la piena tempestività dell’azione repressiva statale anche nei confronti di colossi tecnologici d’oltreoceano.

La compatibilità del rito sanzionatorio con i parametri convenzionali dell’equo processo ex art. 6 CEDU è stata confermata dal giudice amministrativo, il quale ha ribadito che la distinzione interna tra organi istruttori e organo collegiale decidente rispetta pienamente le garanzie partecipative. L’intermediario cui viene contestata l’inottemperanza dispone della facoltà di accedere agli atti, depositare memorie difensive e sollecitare un’audizione orale; la circostanza che il provvedimento finale sia assoggettato al sindacato di piena giurisdizione e di merito dinanzi al TAR assicura che qualsiasi eventuale vizio procedimentale o eccesso quantitativo possa essere tempestivamente emendato in sede giurisdizionale, preservando il diritto costituzionale di difesa in ogni grado del procedimento.

5.2 — La determinazione del quantum nella delibera n. 333 del 2025 e i parametri di proporzionalità

L’applicazione pratica della nuova potestà punitiva ha raggiunto il proprio vertice applicativo con l’adozione della delibera n. 333/25/CONS, recante un’ordinanza-ingiunzione di € 14.247.698,56 nei confronti di Cloudflare Inc. per la reiterata inottemperanza all’ordine di inibizione di cui alla delibera n. 49/25/CONS. Nel contestare la quantificazione economica della misura, la società ha lamentato la sproporzione del trattamento sanzionatorio, criticando aspramente la determinazione dell’Autorità di assumere quale base di calcolo non il volume d’affari realizzato sul territorio italiano, bensì il fatturato globale consolidato del gruppo, ammontante a oltre 1,6 miliardi di dollari.

Il TAR Lazio ha confermato la piena legittimità dell’operato dell’Autorità, fondando la propria decisione sia sul chiaro tenore testuale della norma primaria, sia su rigorosi argomenti di analisi economica del diritto. L’art. 1, comma 31, della legge n. 249 del 1997 fa riferimento in termini generali al fatturato dell’impresa, senza operare alcuna delimitazione geografica o territoriale, che avrebbe richiesto un’espressa previsione derogatoria. Inoltre, atteso che la società eroga e monetizza i propri servizi di rete direttamente dalla capogruppo estera senza avvalersi di una stabile organizzazione commerciale sul territorio nazionale, parametrare la sanzione sui soli proventi formalmente dichiarati in Italia avrebbe condotto all’irrogazione di importi irrisori, vanificando la funzione deterrente della sanzione e creando una palese distorsione concorrenziale a danno degli operatori nazionali, i quali fatturano integralmente all’interno dello Stato.

Il riparto operativo tra le prerogative sanzionatorie nazionali e la disciplina europea del Digital Services Act risulta efficacemente sintetizzato nello schema comparativo che segue:

L’approdo interpretativo del TAR Lazio allinea l’ordinamento delle comunicazioni elettroniche ai più moderni modelli del diritto sanzionatorio tecnologico, ove la capacità economica del contravventore viene costantemente desunta dal bilancio consolidato globale. L’imposizione di una misura punitiva rapportata alla reale scala operativa dell’impresa multinazionale ristabilisce l’effettività dell’ordinamento nazionale, impedendo che la frammentazione societaria o l’assenza formale di sedi legali interne si trasformi in una sostanziale immunità patrimoniale per i grandi intermediari della rete.

06. I nodi critici irrisolti: overblocking, contraddittorio differito e accesso agli atti tecnici

6.1 — Il fenomeno degli IP condivisi, le novelle della legge n. 143 del 2024 e la delibera n. 209 del 2025

Nonostante il favore giurisprudenziale riscontrato in sede contenziosa, l’operatività del modello antipirateria lascia aperti complessi profili critici sul piano delle ricadute operative e della tutela dei soggetti terzi estranei alle violazioni. La principale criticità scaturisce dalla peculiare architettura dei protocolli di rete contemporanei, ove l’impiego massivo di soluzioni di cloud hosting condiviso e di infrastrutture di distribuzione CDN fa sì che un medesimo indirizzo IP numerico possa ospitare centinaia di siti web e applicativi leciti accanto a un singolo flusso pirata. In questa prospettiva, l’esecuzione indifferenziata degli ordini di blocco su Piracy Shield mediante l’oscuramento dell’intero instradamento verso quell’indirizzo rischia di provocare il cosiddetto fenomeno dell’overblocking, ossia la paralisi ingiustificata di attività imprenditoriali e servizi digitali perfettamente conformi alla legge.

Per circoscrivere tali effetti distorsivi, il legislatore è intervenuto con la legge 9 ottobre 2024, n. 143 (di conversione del decreto-legge n. 113/2024), apportando significative modifiche all’art. 2 della legge n. 93 del 2023. Il parametro oggettivo di riferimento per il blocco IP è stato riformulato, sostituendo la precedente nozione di risorse univocamente destinate all’illecito con quella di indirizzi «prevalentemente destinati» ad attività illecite. Tale innovazione, se da un lato agevola l’intervento su infrastrutture miste, dall’altro accentua l’onere valutativo e la responsabilità dei segnalatori, imponendo un’attenta analisi quantitativa dei flussi per accertare che l’attività illegale costituisca la componente preponderante del traffico veicolato. La novella ha inoltre introdotto il comma 5-bis, prescrivendo lo sblocco periodico semestrale delle risorse telematiche qualora non risultino più utilizzate per scopi contrari alla legge, e ha inserito l’art. 174-sexies nella legge sul diritto d’autore, introducendo uno specifico dovere di denuncia dei reati di pirateria all’autorità giudiziaria a carico dei prestatori di servizi.

Il quadro dei correttivi è stato completato dall’Autorità con la delibera n. 209/25/CONS, la quale ha conformato il regolamento di settore ai nuovi canoni legislativi. L’Allegato A della delibera ha codificato il divieto espresso per i titolari di diritti di inoltrare segnalazioni su risorse che presentino un alto rischio di oscuramento collaterale, subordinando l’accesso alla piattaforma a stringenti controlli di conformità. Il dovere di prudenza tecnica si salda con la possibilità per l’Autorità di avvalersi della cooperazione della Guardia di Finanza e della Polizia Postale per monitorare l’attendibilità dei dati immessi, configurando un reticolo di salvaguardie volto a scongiurare che l’urgenza repressiva leda la continuità operativa dei servizi digitali terzi.

6.2 — Il regime del reclamo a dieci giorni e il limite dell’accesso documentale nel TAR Lazio n. 14414 del 2024

Il bilanciamento tra l’efficacia esecutiva dell’ordine e le garanzie dei soggetti incisi si realizza essenzialmente nella fase del contraddittorio differito, azionabile mediante lo strumento del reclamo. Nella sua originaria formulazione, il regolamento assegnava ai destinatari dell’inibitoria un termine di soli cinque giorni per contestare il provvedimento dinanzi all’Autorità. Con la novella di cui alla delibera n. 209/25/CONS (Allegato A, art. 10, comma 7), tale intervallo è stato opportunamente raddoppiato ed elevato a dieci giorni dalla disabilitazione dell’accesso. La medesima facoltà è stata espressamente estesa a qualsiasi soggetto terzo che dimostri di possedere un interesse qualificato, da esercitarsi entro dieci giorni dall’effettiva conoscenza della documentata carenza dei requisiti di legge. La presentazione del reclamo apre un procedimento contenzioso a cognizione piena affidato all’organo collegiale, garantendo la tempestiva revoca del blocco ove emerga l’erroneità della segnalazione.

La concreta azionabilità della tutela difensiva presuppone tuttavia la conoscibilità degli elementi tecnici posti a fondamento della misura inibitoria, tema sul quale si è registrata una rigorosa presa di posizione da parte del TAR Lazio⁹. Chiamato a pronunciarsi sul ricorso ex art. 116 c.p.a. proposto da un’associazione di categoria per ottenere l’ostensione massiva di tutti i ticket, domini e indirizzi IP bloccati dalla piattaforma nei primi mesi di esercizio, il tribunale ha respinto integralmente la domanda. Il collegio ha statuito che la legittimazione all’accesso documentale non può essere presunta in via astratta dalla mera rappresentanza di categoria o dalla partecipazione a tavoli tecnici, ma deve essere rigorosamente dimostrata con riguardo a uno specifico e differenziato interesse giuridico. Una richiesta indiscriminata volta a vagliare l’intera mole dei provvedimenti adottati si scontra con il divieto di controllo generalizzato sull’operato della pubblica amministrazione codificato dall’art. 24, comma 3, della legge 7 agosto 1990, n. 241.

La problematica dell’ostensione dei codici sorgente, dei log informatici e degli algoritmi della piattaforma interseca le più generali coordinate del diritto amministrativo in tema di segreti tecnici e trasparenza dell’azione automatizzata. Come illustrato nell’indagine dottrinale di Metodo Giuridico su Accesso difensivo e segreti tecnici nel nuovo Codice appalti, la giurisprudenza ha da tempo delineato i confini che presiedono al bilanciamento tra difesa in giudizio e tutela del segreto industriale e tecnologico dei sistemi informatici proprietari, chiarendo che l’ostensione non può mai tradursi in una perlustrazione esplorativa^D7. Nel contesto di Piracy Shield, la riservatezza delle specifiche algoritmiche risponde altresì all’imprescindibile esigenza di sicurezza cibernetica, volta a impedire che le organizzazioni criminali acquisiscano informazioni utili a eludere i filtri. Ne deriva una ponderata asimmetria conoscitiva: il destinatario del blocco o il terzo leso possono accedere puntualmente ai soli elementi afferenti alla propria risorsa, mentre l’architettura sistemica rimane presidiata dalla vigilanza istituzionale dell’Autorità.

07. Sintesi sistematica e prospettive evolutive della tutela amministrativa antipirateria

L’approfondimento condotto consente di delineare una compiuta sintesi dogmatica dell’ordinamento antipirateria scaturito dalla legge n. 93 del 2023 e dalla sua attuazione regolamentare. La tenuta complessiva del modello alla prova del contenzioso dinanzi alla giustizia amministrativa testimonia la riuscita transizione da un sistema frammentario e privo di idonea copertura primaria a un regime pubblicistico strutturato, capace di coniugare l’inderogabile prontezza della reazione cautelare con le garanzie fondamentali del giusto procedimento e della riserva di legge. La qualificazione degli ordini di blocco su Piracy Shield quali ingiunzioni di risultato a efficacia progressiva ha superato le censure di violazione della riserva di giurisdizione e del principio di proporzionalità, collocando l’intervento amministrativo in una posizione di feconda complementarità rispetto alle azioni civili e penali ordinarie.

Sul versante eurounitario, la disamina ha dimostrato come la salvaguardia dei diritti di proprietà intellettuale non possa prescindere da una lettura rigorosa e non elusiva del Digital Services Act. Il riparto di competenze tra l’art. 9 e l’art. 56 del regolamento europeo preserva la sovranità degli Stati membri nel perseguire gli illeciti che si consumano entro i rispettivi confini, impedendo che lo stabilimento formale o l’elezione di un rappresentante legale in uno Stato terzo si trasformi in una barriera di immunità per i fornitori esteri di servizi telematici. La commisurazione delle sanzioni pecuniarie al fatturato globale consolidato dell’intermediario, lungi dal configurare una deviazione punitiva sproporzionata, risponde alla logica economica dell’effettiva deterrenza, scongiurando distorsioni di mercato a svantaggio degli operatori residenti e garantendo che le grandi piattaforme tecnologiche concorrano attivamente alla legalità dell’ecosistema digitale.

Le prospettive evolutive dell’istituto impongono tuttavia una costante vigilanza sui delicati punti di frizione emersi nella prassi applicativa. L’affinamento dei criteri tecnici per l’individuazione delle risorse prevalenti e il potenziamento dei doveri di diligenza a carico dei segnalatori, propugnati dalla delibera n. 209/25/CONS, indicano la rotta per minimizzare il rischio sistemico di oscuramento indiscriminato su indirizzi condivisi. Al contempo, l’elevazione del termine di reclamo a dieci giorni e il rigoroso controllo di legittimità esercitato dal giudice amministrativo offrono un argine solido contro eventuali arbitri istruttori, garantendo che la straordinaria celerità dell’automazione procedimentale mantenga sempre intatto il nucleo essenziale delle prerogative difensive e del contraddittorio sostanziale.