L’ordine di inibizione AGCOM a un provider DNS estero è legittimo per il criterio degli effetti (TAR Lazio n. 13201 del 17.07.2026)

Principi di diritto (Massima)
Il potere dell’AGCOM di adottare ordini di inibizione nei confronti di prestatori di servizi DNS e VPN, anche se stabiliti all’estero, trova il suo fondamento nell’art. 2, comma 3, della legge n. 93/2023, norma che espressamente estende l’ambito soggettivo del potere a operatori “ovunque residenti e ovunque localizzati”. Il Regolamento (UE) 2022/2065 (DSA) non fornisce la base giuridica per tali ordini, né disciplina la loro applicazione transfrontaliera, limitandosi a stabilire condizioni e prescrizioni complementari. La competenza a vigilare sul rispetto degli obblighi del DSA, attribuita dall’art. 56 allo Stato membro del rappresentante legale, non incide sulla competenza adottare gli ordini di contrasto. La legittimità del potere inibitorio si radica nel criterio degli effetti, dovendosi avere riguardo al luogo in cui l’attività del prestatore estero produce l’evento lesivo, ossia il territorio nazionale. Il procedimento sanzionatorio per l’inottemperanza è legittimo se la contestazione è notificata, a soggetto non residente, entro il termine di 360 giorni di cui all’art. 14, comma 2, della legge n. 689/1981.

Il Fatto

La società Cloudflare Inc., fornitore statunitense di servizi DNS e VPN, impugnava la delibera AGCOM n. 49/25/CONS del 18 febbraio 2025, con cui l’Autorità, ai sensi dell’art. 2 della legge n. 93/2023, ordinava la disabilitazione della risoluzione DNS e dell’instradamento del traffico verso gli indirizzi IP indicati dai titolari dei diritti per contrastare la pirateria di eventi sportivi in diretta. La ricorrente deduceva, in sintesi, la nullità dell’ordine per difetto di attribuzione e incompetenza territoriale dell’AGCOM, sostenendo che la competenza spettasse all’autorità portoghese in ragione della sede del proprio rappresentante legale nel territorio dell’Unione; contestava, inoltre, la violazione delle garanzie partecipative e dell’istruttoria, la sproporzione della misura e l’impossibilità tecnica di eseguire l’ordine coinvolgendo oltre 15.000 indirizzi IP. Perdurando l’inottemperanza, l’AGCOM contestava la violazione e, con delibera n. 333/25/CONS dell’8 gennaio 2026, irrogava una sanzione pecuniaria. La società impugnava separatamente anche la sanzione e gli atti presupposti; i giudizi venivano riuniti dal TAR.

La Motivazione della Corte

Il TAR Lazio ha respinto la tesi della ricorrente sulla presunta incompetenza dell’AGCOM, chiarendo che il fondamento del potere inibitorio non risiede nel DSA, ma nella normativa nazionale di settore, ossia nell’art. 2, comma 3, della legge n. 93/2023. Il regolamento europeo, come chiarito dal considerando 31, non armonizza la materia degli ordini di blocco, la cui fonte resta affidata alle discipline nazionali. L’art. 56 del DSA, invece, disciplina esclusivamente la vigilanza sul rispetto degli obblighi del regolamento, non la competenza ad emanare ordini contro contenuti illeciti.

Quanto all’operatività della misura verso un soggetto stabilito negli Stati Uniti, il Collegio ha valorizzato il criterio degli effetti, coerente con la giurisprudenza della Corte di giustizia (sentenza Pinckney, C-170/12), affermando che l’ordine non produce effetti extraterritoriali, in quanto impone misure per rendere non fruibili i contenuti agli utenti finali presenti sul territorio italiano. La natura di obbligo di risultato dell’ordine lascia al prestatore la scelta delle modalità esecutive, incluso il geo-blocking, e la misura non lede la libertà d’impresa, potendo il destinatario sottrarsi alla responsabilità dimostrando di aver adottato tutte le misure ragionevoli.

In merito al difetto di garanzie partecipative, il TAR ha ricondotto l’ordine impugnato al procedimento cautelare di cui all’art. 9-bis del Regolamento AGCOM, caratterizzato da una struttura bifasica: una prima fase senza contraddittorio preventivo, giustificata dall’urgenza, e una seconda fase a contraddittorio differito, attivabile tramite reclamo entro cinque giorni. La delibera n. 49/25/CONS doveva considerarsi attuazione dinamica del modulo cautelare già definito, con la conseguenza che l’obbligo di comunicazione di avvio non sussisteva. In ogni caso, l’eventuale vizio procedimentale sarebbe stato irrilevante, applicandosi l’art. 21-octies, comma 2, della legge n. 241/1990, attesa l’inidoneità degli elementi offerti dalla ricorrente a dimostrare la liceità dei contenuti diffusi.

Il Collegio ha infine ritenuto infondate le censure sulla sproporzione e sul difetto di istruttoria, evidenziando che la prova dell’overblocking era carente e che il sistema Piracy Shield è assistito da meccanismi di verifica e whitelist. Con riguardo alla sanzione, ha confermato la legittimità dell’utilizzo del fatturato globale quale base di calcolo, in base al tenore letterale dell’art. 1, comma 31, della legge n. 249/1997, che non introduce limitazioni territoriali, e della notifica della contestazione entro il termine di 360 giorni per i soggetti non residenti.