Il Tribunale amministrativo respinge i ricorsi della società contro l’ordine di blocco dei contenuti pirata e la sanzione da oltre 14 milioni di euro.
Il Tribunale amministrativo regionale del Lazio ha depositato il 17 luglio tre sentenze che rafforzano l’impianto normativo di Piracy Shield, il sistema antipirateria coordinato dall’Autorità per le garanzie nelle comunicazioni. Il Tar Lazio ha respinto integralmente i ricorsi presentati da Cloudflare contro l’Autorità per le garanzie nelle comunicazioni, confermando sia l’ordine di disabilitazione dei contenuti illeciti sia la sanzione da 14.247.698,56 euro inflitta per il mancato adeguamento.
La Quarta Sezione ha riunito i due procedimenti, iscritti ai numeri di registro generale 6086 e 10680 del 2025, dichiarandoli in parte inammissibili, in parte irricevibili e per il resto infondati, con spese compensate vista la complessità delle questioni sollevate. Alla base della vicenda c’è la delibera n. 49/25/CONS del 18 febbraio 2025, con cui Agcom aveva imposto a Cloudflare di disabilitare la risoluzione DNS e l’instradamento del traffico verso i domini segnalati attraverso la piattaforma antipirateria. Di fronte al mancato adempimento era arrivata la delibera sanzionatoria n. 333/25/CONS dell’8 gennaio 2026.
Il cuore del ricorso era la competenza territoriale. Cloudflare sosteneva che, avendo un rappresentante legale in Portogallo ai sensi del Digital Services Act, la vigilanza sulle proprie attività spettasse all’autorità portoghese, non ad Agcom. Il Tar smonta questa lettura: il Dsa, scrivono i giudici, non attribuisce il potere di ordinare la rimozione dei contenuti, ma fissa solo alcuni requisiti procedurali. Il fondamento resta quindi l’articolo 2 della legge 93 del 2023, che consente ad Agcom di rivolgersi anche a fornitori di Vpn, Dns e servizi digitali con sede all’estero, quando i loro servizi permettono l’accesso a contenuti illeciti dall’Italia. Nel digitale, insomma, conta dove arrivano gli effetti di un’attività, non dove è registrata l’azienda che la svolge: per questo l’ordine non configurerebbe un esercizio extraterritoriale del potere amministrativo, ma una risposta a conseguenze prodotte sul territorio nazionale.
Passa il vaglio del Tribunale anche il meccanismo delle ingiunzioni dinamiche, che permette di estendere un blocco a nuovi domini o IP legati agli stessi contenuti pirata senza aprire un nuovo procedimento. Cloudflare la contestava proprio come procedura mai avviata correttamente; per i giudici si tratta invece di una modalità esecutiva, l’unico modo per impedire che i gestori dei siti pirata aggirino i blocchi cambiando indirizzo nel giro di poche ore.
Cadono anche le censure sulla presunta assenza di contraddittorio preventivo. La disciplina antipirateria prevede legittimamente una procedura urgente e abbreviata, giustificata dalla necessità di intervenire in fretta, spesso durante le dirette sportive, mentre le garanzie difensive restano affidate alla fase del reclamo successivo davanti all’organo collegiale dell’Autorità. Uno strumento che, nota la sentenza, Cloudflare non avrebbe mai attivato, né avrebbe fornito prova che le oltre 15 mila risorse indicate nell’ordine fossero destinate ad attività lecite al momento delle segnalazioni. Il Tribunale esclude poi un rischio sproporzionato di overblocking, richiamando le verifiche automatizzate della piattaforma e l’assenza, nel caso specifico, di episodi concreti contestati; sulla proporzionalità osserva che Agcom non avrebbe imposto una soluzione tecnica precisa ma un risultato da raggiungere, lasciando alla società la scelta degli strumenti, compreso un eventuale blocco geografico limitato all’Italia.
Confermato infine anche il criterio di calcolo della sanzione, basato sul fatturato mondiale di Cloudflare: per il Tar la norma non pone limiti geografici, e limitare il computo ai soli ricavi italiani rischierebbe di rendere la multa poco efficace per un operatore che monetizza i propri servizi su scala globale.
Restano da vedere gli sviluppi. Le pronunce sono di primo grado e un ricorso al Consiglio di Stato appare un’opzione concreta, vista la posta in gioco per una società che gestisce una quota rilevante del traffico internet mondiale.
