Accessi abusivi al SII e riduzione della sanzione per proporzionalità (TAR Lombardia n. 3509 del 02.07.2026)

Principi di diritto (Massima)
In materia di sanzioni irrogate dalle Autorità amministrative indipendenti, il giudice amministrativo, ai sensi dell’art. 134, comma 1, lett. c), cod. proc. amm., esercita una giurisdizione estesa al merito che gli consente di rideterminare direttamente l’entità della sanzione, applicando i criteri di cui all’art. 11 della legge n. 689/1981. La violazione delle disposizioni sul funzionamento del Sistema Informativo Integrato (SII) non consiste nella divulgazione dei dati a terzi, ma nel tentativo di accesso non autorizzato al sistema da parte di soggetti diversi dal titolare delle credenziali, senza che rilevi la loro provenienza interna o esterna all’azienda. La sanzione deve rispettare il principio di proporzionalità rispetto alla gravità dell’illecito, desumibile dall’art. 3 Cost., e il giudice, nell’ambito del sindacato sul quantum, può ridurla quando l’Autorità non abbia adeguatamente considerato elementi attenuanti quali l’assenza di danni, la mancata reiterazione e il confronto con casi più gravi sanzionati in misura proporzionalmente inferiore.

Il Fatto

La società ricorrente, operante nel settore energetico, impugnava la deliberazione con cui l’ARERA le aveva irrogato una sanzione amministrativa di euro 185.000,00 per la violazione delle disposizioni in materia di funzionamento del Sistema Informativo Integrato (SII). L’Autorità contestava che, in un’unica giornata, fossero stati effettuati oltre duecento tentativi di accesso al sistema mediante le credenziali assegnate a un utente finale della società, caratterizzati da automatismi robotici riconducibili all’uso di BOTNET.

La società ammetteva di aver condiviso le credenziali con due propri collaboratori per finalità aziendali, ma negava di averle divulgate a soggetti esterni e di essersi avvalsa di strumenti automatici di accesso massivo. Il ricorso si articolava in tre motivi: il primo volto a escludere la configurabilità della violazione; il secondo a contestare il difetto di motivazione in ordine all’uso del BOTNET; il terzo a censurare la sproporzione della sanzione.

La Motivazione della Corte

Il TAR ha respinto il primo motivo di ricorso, affermando che la regolazione del SII è volta a tutelare non già la riservatezza dei dati degli utenti, ma l’intangibilità del sistema. La violazione, pertanto, non consiste nella divulgazione dei dati informatici a terzi, ma nel tentativo di accesso da parte di soggetti non autorizzati, a prescindere dalla loro provenienza interna o esterna all’azienda. L’uso condiviso delle credenziali con personale interno, pur sorretto da finalità aziendali e da un rapporto fiduciario, non costituisce elemento scriminante. Quanto all’impiego di BOTNET, il Collegio ha ritenuto che la difesa della società, limitandosi a negare la disponibilità di detti strumenti senza contestare il fatto degli accessi massivi, non fosse idonea a escludere la violazione.

Il secondo motivo è stato parimenti respinto: accertato il profilo soggettivo, le modalità tecniche con cui gli accessi abusivi sono stati realizzati risultano irrilevanti, con la conseguenza che l’Amministrazione non era tenuta a ricostruire in motivazione i caratteri degli strumenti impiegati.

Il terzo motivo è stato invece accolto. Il TAR ha richiamato il consolidato orientamento secondo cui, in forza dell’art. 134, comma 1, lett. c), cod. proc. amm., il giudice amministrativo gode degli stessi poteri del giudice ordinario ai sensi dell’art. 23 della legge n. 689/1981, potendo rideterminare direttamente la sanzione. Ha poi evocato i principi espressi da Corte cost. n. 95 del 2022 e Corte cost. n. 246 del 2022, secondo cui il principio di proporzionalità si applica anche alle sanzioni amministrative a carattere punitivo, trovando fondamento nell’art. 3 Cost.

Applicando tali criteri, il Collegio ha rilevato che la violazione si era verificata in un solo giorno, senza arrecare danni al sistema, prontamente respinto, e non si era reiterata. Ha inoltre evidenziato che altre imprese sanzionate per condotte più gravi — circa 36.000 accessi e accesso durante la manutenzione straordinaria del sistema — avevano subito sanzioni proporzionalmente inferiori rispetto al fatturato. Sul punto, infine, ha rilevato che l’Autorità non aveva considerato la misura prescrittiva del blocco dell’account quale elemento di attenuazione. Alla luce di tali elementi, la sanzione è stata ridotta alla metà, a euro 92.500, con annullamento parziale del provvedimento e compensazione delle spese.