di Giuseppe Cassano 8 Giugno 2026

L’ordinanza del TAR Lazio del 30 aprile 2026 sul ricorso di Cloudflare avverso il diniego parziale di accesso agli atti AGCOM risolve in modo equilibrato ma non simmetrico il conflitto tra accesso difensivo e riservatezza operativa del sistema Piracy Shield. Il provvedimento ordina l’ostensione delle relazioni istruttorie del Consiglio AGCOM — atti endoprocedimentali rilevanti ai fini della contestata inottemperanza sanzionata con 14 milioni di euro — e rigetta invece integralmente la richiesta di accesso ai verbali del Tavolo tecnico antipirateria, ritenuti estranei al fascicolo sanzionatorio e contenenti metodologie di intelligence a protezione dei segnalatori. La decisione fonda un principio di diritto destinato a consolidarsi: la sicurezza del sistema antipirateria richiede una riservatezza “in astratto”, indipendente da impegni unilaterali del richiedente, che tutela le attività di monitoraggio e segnalazione dei titolari e licenziatari dei diritti.

1. Il contesto del contenzioso: sanzione da 14 milioni e accesso agli atti

L’ordinanza del 30 aprile 2026 della Sezione Quarta del TAR Lazio si inserisce nel contenzioso più ampio proposto da Cloudflare Inc. avverso la delibera AGCOM n. 333/25/CONS, con cui l’Autorità aveva inflitto alla società una sanzione di quattordici milioni di euro per inottemperanza all’ordine di oscuramento dei DNS contenuto nella delibera n. 49/25/CONS, emessa nell’ambito del sistema Piracy Shield.[1]

Al fine di dedurre vizi istruttori nel ricorso di merito avverso la sanzione, Cloudflare aveva presentato in data 26 gennaio 2026 all’AGCOM istanza di accesso agli atti ai sensi dell’art. 24, co. 7, l. n. 241/1990, richiedendo quattro categorie di documenti: i verbali dei tavoli tecnici e delle riunioni istruttorie; i verbali delle verifiche istruttorie condotte nei mesi di maggio e ottobre; le relazioni istruttorie con allegati; e, in via residuale, tutta la documentazione del fascicolo.[2]

AGCOM aveva accordato l’accesso a nove categorie documentali, tra cui l’atto di contestazione, le controdeduzioni, le verifiche istruttorie, gli esiti delle riunioni consiliari e la delibera sanzionatoria. Aveva viceversa negato l’accesso alle relazioni istruttorie con allegati per le riunioni del Consiglio del 6 novembre, 17 e 29 dicembre 2025 (richiamando l’art. 13, comma 1, lett. a) del proprio Regolamento) e ai verbali integrali del Tavolo tecnico antipirateria del 29 e 30 ottobre 2025 (invocando la tutela dei dati personali e del know-how operativo dei segnalatori).[3]

2. L’accoglimento parziale: le relazioni istruttorie del Consiglio

Sul primo filone, il Collegio ha riconosciuto la legittimità dell’accesso difensivo alle relazioni istruttorie, in quanto atti endoprocedimentali che hanno concorso alla formazione della volontà dell’Autorità nel provvedimento sanzionatorio impugnato. La motivazione richiama l’insegnamento dell’Adunanza Plenaria del Consiglio di Stato n. 4/2021, secondo cui, una volta accertato il nesso di strumentalità tra il documento e la situazione finale da tutelare, l’amministrazione non deve svolgere alcuna ultronea valutazione sull’ammissibilità o decisività del documento richiesto.[4]

Il TAR ha chiarito che l’art. 13 del Regolamento AGCOM deve essere interpretato in modo unitario: il limite di riservatezza degli atti endoprocedimentali recede dinanzi alla regola dell’accesso difensivo, contenuta nel secondo comma della stessa norma, che garantisce l’ostensione quando il richiedente deduca specifici vizi istruttori del provvedimento impugnato. La natura endoprocedimentale delle relazioni non osta quindi all’accesso.[5]

L’Amministrazione è stata pertanto condannata a esibire, entro trenta giorni, le relazioni degli uffici relative alle riunioni del Consiglio AGCOM del 6 novembre, 17 e 29 dicembre 2025, con i relativi allegati.

3. Il rigetto integrale della richiesta sui verbali del Tavolo tecnico: la tutela del know-how dei rights holders

La parte più rilevante dell’ordinanza ai fini della comprensione sistemica del funzionamento del Piracy Shield è quella che riguarda il rigetto integrale della richiesta di accesso ai verbali del Tavolo tecnico antipirateria istituito ai sensi dell’art. 6 della l. 93/2023. La motivazione si articola su tre piani distinti che convergono verso un principio comune: la riservatezza del sistema di intelligence antipirateria non è negoziabile.[6]

3.1. L’estraneità funzionale del Tavolo tecnico al fascicolo sanzionatorio

Il primo fondamento del rigetto è strutturale: il Tavolo tecnico istituito dalla l. 93/2023 ha una funzione di indirizzo generale, volta a definire i requisiti operativi della piattaforma Piracy Shield, e non ha avuto ad oggetto l’accertamento dell’inottemperanza contestata a Cloudflare. I verbali delle riunioni del 29 e 30 ottobre 2025 sono quindi, sul piano funzionale e documentale, estranei al fascicolo istruttorio del procedimento sanzionatorio concluso con la delibera n. 333/25/CONS.

Questa qualificazione ha un effetto decisivo: impedisce di costruire un nesso di strumentalità tra i verbali e i vizi istruttori del provvedimento sanzionatorio, poiché tale provvedimento si fonda sull’inottemperanza a un pregresso ordine dell’Autorità e non sugli esiti del Tavolo tecnico.

3.2. Il difetto del nesso di strumentalità: la genericità della richiesta

Il TAR ha inoltre rilevato che Cloudflare si era limitata a prospettare una «esigenza informativa di carattere generico», senza chiarire quale profilo dei dati oscurati avrebbe potuto effettivamente rilevare ai fini di una censura di illegittimità del provvedimento sanzionatorio. Questa carenza motivazionale è decisiva alla luce dell’orientamento del Consiglio di Stato in materia di accesso difensivo.[7]

«In tema di accesso difensivo, la sussistenza di un nesso di necessaria strumentalità impone al richiedente di motivare la propria richiesta di accesso, rappresentando in modo puntuale e specifico nell’istanza di ostensione elementi che consentano all’amministrazione detentrice del documento il vaglio del nesso di strumentalità necessaria tra la documentazione richiesta sub specie di astratta pertinenza con la situazione “finale” controversa» (Cons. Stato n. 2655/2022).

Il nesso di strumentalità deve essere concreto e specifico, non astratto e speculativo. La sola possibilità che i verbali contengano qualcosa di utile è insufficiente a fondare l’accesso difensivo quando i documenti richiesti siano estranei al nucleo istruttorio del provvedimento gravato.

3.3. La tutela del know-how dei titolari e licenziatari: il cuore della decisione

La motivazione più densa di implicazioni sistemiche riguarda la tutela del know-how tecnico-operativo dei titolari e licenziatari dei diritti che operano come segnalatori nel sistema Piracy Shield. Il TAR ha recepito integralmente le argomentazioni dell’AGCOM, riconoscendo che la divulgazione delle «metodologie utilizzate dai titolari e licenziatari dei diritti per effettuare le segnalazioni e il know how di questi ultimi» potrebbe consentire di osteggiare le attività di individuazione dei siti pirata, con la conseguenza che tali attività potrebbero essere seriamente compromesse.

Il ragionamento del Collegio sviluppa due distinti argomenti a tutela dei rights holders:

1. a) Minimizzazione dei dati (art. 5, par. 1, lett. c, GDPR): l’oscuramento dei nominativi dei partecipanti alle riunioni del Tavolo risponde al principio di minimizzazione, rispetto al quale Cloudflare non ha fornito alcun elemento idoneo a dimostrare la stretta necessità di conoscere le identità dei soggetti partecipanti.[8]
2. b) Tutela del modus operandi dei segnalatori: l’omissione delle informazioni relative alle strategie operative e alle metodologie tecniche utilizzate dai titolari/licenziatari per monitorare i siti pirata è giustificata dall’esigenza di preservare l’efficacia del sistema di contrasto e la sicurezza dei soggetti accreditati.

Il passaggio decisivo è nell’affermazione che AGCOM ha operato un corretto bilanciamento tra i contrapposti interessi, avendo garantito l’accesso ai resoconti sintetici delle sedute del Tavolo e limitando l’oscuramento ai soli dati e informazioni di natura riservata. Non si tratta dunque di opacità totale, ma di riservatezza proporzionata e mirata, volta a proteggere le componenti del sistema che, se divulgate, ne comprometterebbero l’efficacia.

3.4. La dottrina della “riservatezza in astratto”: un principio di sistema

Il profilo più innovativo e foriero di sviluppi applicativi riguarda il rigetto dell’argomento con cui Cloudflare aveva tentato di superare le obiezioni di riservatezza, osservando che le informazioni eventualmente ostese sarebbero state conosciute solo ed esclusivamente da Cloudflare, che non le avrebbe divulgate per nessuna ragione. Il TAR ha esplicitamente respinto questo approccio con motivazione di sicuro rilievo sistematico:[9]

«La tutela di asset informativi così delicati risponde a una logica di prevenzione del rischio in astratto, in base alla quale la salvaguardia del segreto non può dipendere da impegni unilaterali assunti dal richiedente, ma deve restare affidata all’esclusiva sfera di controllo del titolare del dato. Solo il mantenimento di tale controllo diretto garantisce che il sistema di sicurezza non sia esposto a potenziali vulnerabilità, prescindendo dalle garanzie di riservatezza che la parte richiedente il dato riservato può pur offrire in perfetta buona fede».

Questa affermazione introduce nel diritto dell’accesso una dottrina della riservatezza strutturale: la protezione degli asset informativi critici non si misura dalla reputazione o dalle dichiarazioni del richiedente, ma dalla necessità che il controllo rimanga in capo all’amministrazione titolare del dato. L’impegno di riservatezza, quand’anche offerto in buona fede, non è strumento adeguato a proteggere sistemi di sicurezza complessi.

In termini pratici, questo principio significa che i pirati informatici non possono avvantaggiarsi delle tecniche di intelligence dei titolari dei diritti per il solo fatto che un soggetto terzo — anche un operatore legittimo come Cloudflare — ottenga accesso a quelle informazioni in un procedimento di accesso difensivo. Il rischio di divulgazione secondaria o di utilizzo delle informazioni per adattare le contromisure è sufficiente, nella logica adottata dal TAR, a giustificare il diniego a prescindere dalle garanzie offerte.

4. Il precedente del Consiglio di Stato n. 10236/2026: la corretta distinzione

Il TAR ha dovuto confrontarsi con l’ordinanza del Consiglio di Stato n. 10236/2026, invocata da Cloudflare, in cui il giudice d’appello aveva affermato che l’ostensione non può essere impedita dal rischio che l’accesso nuoccia all’interesse pubblico a contrastare i contenuti illegali. Il Collegio ha tuttavia operato una distinzione rigorosa e convincente.[10]

In quel precedente, l’accesso riguardava atti probatori specifici posti alla base del provvedimento impugnato (segnalazioni e prove documentali dell’illecito contestato a Cloudflare nella delibera 49/25/CONS). Trattandosi di atti costitutivi della contestazione, l’esigenza difensiva era prevalente. Qui, invece, i verbali del Tavolo tecnico non erano entrati a far parte del fascicolo istruttorio della sanzione e la loro divulgazione avrebbe comportato un grave pregiudizio all’interesse pubblico alla repressione degli illeciti, senza che Cloudflare avesse dimostrato alcuna concreta rilevanza difensiva.

Il TAR ha inoltre valorizzato il fatto che lo stesso Consiglio di Stato, nel precedente richiamato, aveva imposto misure di oscuramento dei dati identificativi dei segnalatori, riconoscendo quindi la necessità del bilanciamento tra interesse all’accesso e interesse alla riservatezza secondo un principio di proporzionalità.

5. Implicazioni per il sistema Piracy Shield e i rights holders

L’ordinanza del 30 aprile 2026 produce effetti che trascendono il singolo contenzioso e che assumono rilievo sistemico per il funzionamento del Piracy Shield (e non solo) come strumento di contrasto alla pirateria audiovisiva.

In primo luogo, la decisione consolida la riservatezza delle metodologie di segnalazione dei titolari e licenziatari dei diritti come elemento strutturale del sistema, non riducibile ad un interesse commerciale secondario. Il know-how tecnico utilizzato per individuare i siti pirata — le modalità di rilevamento, i criteri di segnalazione, i tempi e i parametri di identificazione — è un asset che il giudice amministrativo riconosce meritevole di tutela rafforzata.

In secondo luogo, il principio della “riservatezza in astratto” è destinato a operare come scudo sistemico per i rights holders: l’esigenza di non esporre le attività di intelligence antipirateria prescinde dalla destinazione finale delle informazioni e dalla buona fede del richiedente. Questo è particolarmente significativo in un settore — quello dell’illecito audiovisivo — dove i soggetti che eludono i sistemi di protezione dispongono di capacità tecniche avanzate e di tempi di reazione estremamente rapidi.

In terzo luogo, la decisione offre ai soggetti accreditati come segnalatori nel sistema Piracy Shield la garanzia giuridica che le proprie metodologie operative non potranno essere coattivamente rivelate nell’ambito di procedimenti di accesso difensivo, a condizione che le stesse rimangano estranee al fascicolo istruttorio del provvedimento impugnato. Ciò incentiva l’adozione di metodologie di segnalazione sempre più sofisticate, nella consapevolezza che il sistema giuridico le protegge.

Resta fermo che, ove le metodologie operative venissero direttamente richiamate in un provvedimento sanzionatorio come elemento costitutivo dell’inottemperanza contestata, il regime potrebbe essere diverso: in quel caso il nesso di strumentalità con il vizio istruttorio sarebbe diretto e specifico, e la tutela del know-how potrebbe cedere dinanzi al diritto di difesa. Ma nelle normali procedure di monitoraggio del Piracy Shield, l’isolamento documentale delle attività del Tavolo tecnico rispetto al fascicolo sanzionatorio è — come dimostra questa ordinanza — una scelta organizzativa che produce effetti giuridici rilevanti.

6. Conclusioni

Il TAR Lazio ha reso un’ordinanza che è solo in apparenza bilanciata. A un’analisi approfondita, la parte dispositivamente rilevante per il sistema Piracy Shield è quella che rigetta le richieste di accesso ai verbali del Tavolo tecnico, confermando che il know-how dei rights holders è un bene giuridico protetto dall’ordinamento anche nel contesto dei procedimenti di accesso difensivo.

La dottrina della “riservatezza strutturale in astratto” introdotta dall’ordinanza supera la logica della valutazione caso per caso degli impegni di riservatezza del richiedente, ancorandosi invece alla necessità che il controllo sul dato rimanga saldamente in capo al titolare. È una scelta coerente con l’architettura del sistema Piracy Shield, che per funzionare efficacemente richiede che i pirati non possano identificare le attività di intelligence dei rights holders.

L’accoglimento parziale della richiesta di Cloudflare, limitato alle relazioni istruttorie del Consiglio AGCOM, risponde a principi consolidati di accesso difensivo che non mettono in discussione la struttura portante del sistema. Il soggetto sanzionato ha diritto di conoscere gli atti interni che hanno condotto alla delibera afflittiva; non ha invece diritto di accedere alla cassetta degli attrezzi con cui i titolari dei diritti costruiscono il sistema di difesa della propria proprietà intellettuale.

[1]TAR Lazio, Sezione Quarta, ordinanza 30 aprile 2026, R.G. 10700/2025, rel. Dott.ssa Marianna Scali.

[2]Delibera AGCOM n. 333/25/CONS dell’8 gennaio 2026, «Ordinanza ingiunzione alla società Cloudflare Inc. per l’inottemperanza all’ordine di cui alla delibera n. 49/25/CONS per la violazione dell’art. 1, comma 31, della legge 31 luglio 1997, n. 249».

[3]Regolamento AGCOM sull’accesso, delibera 383/17/CONS come modificato dalla delibera 205/23/CONS, art. 13, comma 1, lett. a): sottratti all’accesso le «note, gli appunti, le bozze preliminari, le proposte degli uffici e ogni altra elaborazione con funzione di studio e preparazione del contenuto di atti o provvedimenti».

[4]Cons. Stato, Ad. Plenaria, 18 marzo 2021, n. 4: il nesso di strumentalità una volta accertato esclude ultronee valutazioni di ammissibilità, influenza o decisività del documento richiesto.

[5]Cons. Stato, Sez. VI, 22 aprile 2024, n. 2453.

[6]Art. 6, legge 14 luglio 2023, n. 93 (c.d. legge antipirateria), che istituisce il Tavolo tecnico antipirateria con funzioni di indirizzo generale e definizione dei requisiti operativi della piattaforma Piracy Shield.

[7]Cons. Stato, Sez. VI, 4 aprile 2022, n. 2655: in tema di accesso difensivo il richiedente deve motivare in modo puntuale e specifico il nesso di strumentalità necessaria con la situazione giuridica finale da tutelare.

[8]Regolamento UE 2016/679 (GDPR), art. 5, comma 1, lett. c): principio di minimizzazione dei dati. Il TAR rileva che Cloudflare non ha «fornito alcun elemento idoneo a dimostrare la stretta necessità di tale conoscenza per la tutela dei propri interessi».

[9]L’ordinanza precisa che «la tutela di asset informativi così delicati risponde a una logica di prevenzione del rischio in astratto, in base alla quale la salvaguardia del segreto non può dipendere da impegni unilaterali assunti dal richiedente, ma deve restare affidata all’esclusiva sfera di controllo del titolare del dato».

[10]Cons. Stato, ordinanza n. 10236 del 2026: la fattispecie riguardava l’accesso a «atti probatori specifici (segnalazioni e prove documentali dell’illecito) posti alla base del provvedimento impugnato», con conseguente prevalenza dell’esigenza difensiva. Il Consiglio di Stato ha comunque richiesto misure di oscuramento dei dati identificativi dei soggetti segnalanti.