Perché la maxi sanzione AGCOM a Cloudflare cambia per sempre la pirateria digitale

Il contrasto alla pirateria digitale ha conosciuto una trasformazione profonda. Se in una prima fase l’attenzione delle Autorità si concentrava prevalentemente sui contenuti illeciti e sui soggetti che li diffondevano direttamente, oggi il baricentro dell’azione regolatoria si è progressivamente spostato verso l’infrastruttura tecnica che rende tali contenuti accessibili. La sanzione da oltre 14 milioni di euro inflitta da AGCOM (Autorità per le Garanzie nelle Comunicazioni) a Cloudflare si colloca esattamente sullo stesso solco.

Non è una decisione che colpisce un editore pirata, né un hosting provider tradizionale, ma uno dei principali operatori globali di servizi Internet “abilitanti”: DNS pubblici, CDN, reverse proxy, VPN, servizi di sicurezza e ottimizzazione del traffico.

Il caso Cloudflare rappresenta quindi molto più di un singolo procedimento sanzionatorio. È il primo vero banco di prova dell’applicazione sistematica e coercitiva della legge antipirateria n. 93/2023 e, al tempo stesso, un segnale inequivocabile rivolto all’intero ecosistema digitale: nel nuovo contesto normativo europeo e nazionale, la neutralità tecnica non è più sufficiente a escludere obblighi di cooperazione attiva.

Il contesto normativo: una legge pensata per agire in tempo reale

La legge 14 luglio 2023, n. 93 nasce con un obiettivo preciso: interrompere la fruizione illecita dei contenuti prima che il danno economico si consolidi, in particolare nel settore delle manifestazioni sportive trasmesse in diretta. Sappiamo con quale fervore AGCOM ha voluto implementare il Piracy Shield (non senza polemiche).

Il legislatore ha introdotto tre elementi di discontinuità:

• Un ampliamento dei soggetti obbligati, che non sono più solo gli ISP tradizionali, ma tutti i fornitori di servizi della società dell’informazione “coinvolti a qualsiasi titolo nell’accessibilità” dei contenuti illegali.
• Un meccanismo automatizzato di segnalazione e blocco, fondato sulla piattaforma Piracy Shield.
• Tempi di esecuzione estremamente ridotti, con obbligo di intervento entro 30 minuti dalla notifica.

In questo schema, AGCOM assume un ruolo centrale non solo come Autorità di vigilanza, ma come regista operativo del sistema, anche in qualità di Digital Services Coordinator ai sensi del Digital Services Act (DSA) europeo.

Perché Cloudflare è un soggetto “chiave” nel sistema antipirateria

L’elemento qualificante del caso non è tanto la dimensione economica della sanzione, quanto la posizione funzionale di Cloudflare all’interno dell’ecosistema Internet.

Cloudflare non è un semplice fornitore di servizi accessori. La sua infrastruttura globale gestisce la risoluzione DNS per milioni di utenti, instrada e ottimizza il traffico tramite CDN e reverse proxy, offre VPN e strumenti di elusione geografica, protegge i siti da blocchi e mitigazioni attraverso tecniche di mascheramento dell’hosting originario.

Questi servizi, se utilizzati in modo conforme, migliorano sicurezza e performance della rete. Tuttavia, nel contesto della pirateria digitale, possono aiutare all’aggiramento sistematico dei provvedimenti di blocco. Ovviamente se utilizzati “con malizia” da parte dei soggetti che diffondono e distribuiscono contenuti protetti da copyright senza averne alcun diritto.

È proprio questo il punto centrale della valutazione di AGCOM: anche senza ospitare direttamente i contenuti, Cloudflare incide materialmente sulla loro raggiungibilità, rendendo inefficaci i blocchi DNS e IP eseguiti dagli operatori italiani conformemente agli ordini dell’Autorità.

L’inottemperanza come violazione autonoma e qualificata

Uno degli aspetti più rilevanti della delibera è la netta separazione tra responsabilità per i contenuti, che non viene ovviamente contestata a Cloudflare, e inottemperanza all’ordine dell’Autorità, che costituisce di per sé una violazione grave e sanzionabile.

AGCOM accerta che Cloudflare era stata ripetutamente informata dell’uso dei propri servizi da parte di siti pirata; aveva ricevuto un ordine puntuale, con l’elenco dettagliato di FQDN (Fully Qualified Domain Name, indica il nome di dominio completo e univoco di una risorsa su Internet, così come registrata nel sistema DNS) e IP da inibire, non aveva adottato alcuna misura tecnica o organizzativa idonea, non aveva nemmeno comunicato all’Autorità il seguito dato all’ordine, in violazione del DSA.

A detta dell’Autorità italiana, quindi, la violazione, quindi, non è episodica ma perdurante, protrattasi per mesi nonostante controlli e solleciti, e aggravata dall’assenza di qualsiasi forma di cooperazione istituzionale.

Il nodo tecnico: perché i DNS pubblici cambiano l’efficacia dei blocchi

Dal punto di vista tecnologico, la decisione chiarisce un punto spesso sottovalutato nel dibattito pubblico: il blocco DNS funziona solo se tutti gli attori rilevanti collaborano.

Quando un ISP italiano oscura un dominio l’utente può aggirare il blocco semplicemente cambiando resolver DNS. Utilizzando un DNS pubblico definito da AGCOM “non conforme“, il dominio torna immediatamente accessibile. Se a questo si aggiunge l’uso di un servizio VPN, il blocco territoriale perde ogni efficacia.

AGCOM rileva quindi che i DNS pubblici non sono un elemento neutro, ma un punto di controllo strategico, la cui mancata cooperazione compromette l’intero impianto normativo.

La fine dell’alibi della neutralità

Il caso AGCOM-Cloudflare segna un punto di non ritorno. Nel nuovo scenario normativo europeo, chi controlla nodi essenziali dell’accessibilità online non può più limitarsi a dichiarare la propria neutralità tecnica.

La legge antipirateria italiana, applicata in modo così rigoroso, introduce un principio destinato a consolidarsi: la responsabilità non nasce dal contenuto, ma dalla scelta di non cooperare quando un’Autorità legittima ordina di impedire una violazione sistemica.

Per i grandi fornitori di infrastrutture Internet, il messaggio è chiaro: l’alternativa non è più tra intervento e non intervento, ma tra collaborazione regolata e rischio sanzionatorio su scala globale.

Nel testo della delibera n.333/25/CONS AGCOM chiarisce che l’atto notificato a Cloudflare può essere impugnato davanti al Tribunale Amministrativo Regionale (TAR) del Lazio entro 60 giorni dalla notifica dello stesso.