Ordini di blocco AGCOM: cinque giorni lavorativi o trenta minuti? Dipende dall’articolo
7 min di lettura
Se in Italia fornite accesso, hosting o risoluzione DNS, potete essere già parte di un procedimento senza aver ricevuto nulla. Non una PEC, non una notifica: quando i destinatari sono troppi, l’avvio si comunica per pubblicazione su una pagina web, e il termine per controdedurre decorre comunque. Quel termine è di cinque giorni. Sono giorni lavorativi, ma non lo dice l’articolo che li fissa: lo dice un articolo in fondo al regolamento. E nella procedura accanto, sullo stesso operatore, il termine non è di cinque giorni. È di trenta minuti.
Cinque giorni, contati in un altro articolo
Il regolamento sulla tutela del diritto d’autore nelle reti di comunicazione elettronica è l’allegato B alla delibera 680/13/CONS, modificato da ultimo dalla delibera 209/25/CONS del 30 luglio 2025. L’articolo 7, comma 4, sta nella procedura ordinaria del capo III: i prestatori di servizi, l’uploader e i gestori della pagina e del sito, se ritengono di controdedurre, «trasmettono alla direzione, entro il termine di cinque giorni dalla ricezione della comunicazione di cui al comma 1, ogni elemento utile ai fini del relativo accertamento».
Cinque giorni, e l’articolo non dice quali. La regola sta due capi più avanti, fra le disposizioni finali. Articolo 15, comma 1: «Nel computo dei termini di cui al presente regolamento si tiene conto esclusivamente dei giorni lavorativi, fatto salvo quanto previsto al capo IV.» Il capo IV sono gli articoli da 11 a 13, sui fornitori di servizi di media: lì i termini sono di novanta, centocinquanta e settanta giorni.
La delibera 68/26/CSP, adottata il 10 settembre 2026 e pubblicata il 23, lo conferma e aggiunge un dettaglio scomodo: dà atto che «nei termini fissati dall’art. 7, comma 4, del Regolamento, ovvero entro cinque giorni lavorativi decorrenti nel caso di specie dal 3 agosto 2026», nessuno ha controdedotto. Il dettaglio è la data: lo stesso atto colloca la comunicazione di avvio al 4 agosto 2026 e fa decorrere il termine dal 3. Un giorno di scarto non cambia quell’esito. Cambia il modo di ricostruire la scadenza: non dalla data che avete in casa, ma dall’atto.
Trenta minuti, e stanno all’articolo 10
L’altro orologio è nell’articolo 10, il procedimento cautelare per i contenuti audiovisivi trasmessi in diretta. Al comma 5 l’Autorità verifica le segnalazioni e le comunica, tramite la piattaforma Piracy Shield, ai destinatari del provvedimento, che «immediatamente e comunque non oltre 30 minuti dalla ricezione, disabilitano l’accesso ai nomi a dominio e indirizzi IP segnalati, con contestuale reindirizzamento automatico verso una pagina internet redatta secondo le modalità indicate dall’Autorità».
Il comma 6 chiude la via d’uscita. Chi non è coinvolto nell’accessibilità del sito o dei servizi illegali provvede comunque, «non oltre 30 minuti dalla notificazione del provvedimento di disabilitazione, ad adottare tutte le misure tecniche utili ad ostacolare la visibilità dei contenuti illeciti, tra le quali in ogni caso la deindicizzazione dai motori di ricerca di tutti i nomi di dominio oggetto delle comunicazioni di cui al comma 5». Non essere nella catena non vi toglie dall’elenco: vi cambia l’adempimento, non il cronometro.
L’articolo 10 sta nel capo III, non nel capo IV: il capo che l’articolo 15 sottrae al conteggio in giorni lavorativi non è quello dove abitano i trenta minuti. Nostra lettura: un termine scritto in minuti non si conta in giorni, la regola dei giorni lavorativi non lo tocca, e quei trenta minuti corrono anche di notte, di sabato e a Ferragosto.
Fra i due estremi ce ne sono altri tre. «I prestatori di servizi ottemperano agli ordini entro tre giorni dalla notifica» (art. 8, comma 2). Il procedimento abbreviato scende a «entro due giorni dalla notifica dell’ordine stesso» (art. 9, comma 1, lettera f), e due giorni dà anche l’ordine cautelare dell’art. 9-bis. Quello sui contenuti in diretta si esegue nel termine stabilito dall’Autorità, «comunque non superiore alle 24 ore dalla notifica dello stesso» (art. 10, comma 2). Cinque scadenze, tre in giorni lavorativi e due a orologio continuo, sullo stesso soggetto — la stessa scala dell’incidente significativo, dove la soglia è un’ora.
Nello stesso articolo 10, al comma 4, sta la clausola su chi segnala: il soggetto legittimato «è tenuto a non segnalare risorse che presentano un alto rischio di overblocking». Segue una frase che non nomina chi colpisce: «In caso di mancato rispetto dei requisiti e delle condizioni che regolano il funzionamento della piattaforma Piracy Shield, l’Autorità provvede alla sospensione dell’accreditamento alla stessa.» Sta nel comma sugli obblighi di chi segnala; l’accreditamento, però, è condizione di chiunque stia sulla piattaforma, e la disposizione non distingue.
Come si finisce nel fascicolo senza essere chiamati
Il provvedimento di settembre nasce dall’istanza di un titolare di diritti su un’opera fotografica, con server fuori dal territorio nazionale. L’avvio è stato comunicato ai prestatori di servizi soggetti all’art. 4 del regolamento e ai prestatori intermediari dell’art. 2 della legge antipirateria «mediante pubblicazione sul sito internet dell’Autorità, ai sensi dell’art. 8, comma 3, della legge n. 241/90, in ragione dell’elevato numero di destinatari, circostanza che rende particolarmente gravosa la comunicazione personale». Personalmente sono stati contattati tre recapiti: chi ha richiesto il nome a dominio, il fornitore di hosting e il soggetto cui risultano riconducibili i server. Tutti gli altri sono stati informati da una pagina web.
L’istruttoria ricostruisce la catena. Il registrar è una società statunitense, che ha registrato il dominio «per conto di un soggetto non identificabile». Davanti all’hosting c’è un reverse proxy, che nell’atto «appare essere fornitore di hosting in quanto opera come reverse proxy per il sito»; interrogato, indica il fornitore effettivo, con sede a Hong Kong. I server sono localizzati ad Amsterdam. Tre giurisdizioni per una fotografia. Quello che vi identifica nel fascicolo non è il nome: è il posto che il vostro instradamento, il vostro resolver o il vostro spazio disco occupano nella catena.
L’esito va letto per primo. L’articolo 8, comma 2-bis, copre il caso in cui la violazione c’è ma l’ordine non si può dare: l’organo collegiale «dispone l’archiviazione degli atti e dà comunicazione della violazione accertata agli organi di polizia giudiziaria ai sensi dell’art. 182-ter della Legge sul diritto d’autore». È quello che è successo. La violazione è stata accertata, l’opera dopo la comunicazione di avvio era «ancora accessibile», ma il sito presenta «una molteplicità di contenuti dell’ordine dei milioni» e «la violazione accertata riguarda pertanto una sola opera», per cui «risulterebbe non proporzionata l’adozione di un provvedimento di disabilitazione dell’accesso all’intero sito internet». Archiviazione, e trasmissione alla polizia giudiziaria.
Il punto
Trenta minuti non sono un tempo di reazione tecnica: sono un tempo organizzativo. L’articolo 14 dice che le comunicazioni si fanno «esclusivamente mediante posta elettronica, ove possibile, certificata» e, dove previsto, tramite la piattaforma: il cronometro parte su una casella, non su un’API. Nei capitolati di conformità che consegniamo quella casella diventa un presidio con un turno, un destinatario nominato e un tempo di riconoscimento misurato; e la disabilitazione lascia una traccia — che cosa, su quale risorsa, a che ora, con quale reindirizzamento — verificata in accettazione come si verifica una misura. Serve anche in uscita: l’articolo 10, comma 11, prevede che l’Autorità ordini di riabilitare i nomi di dominio e sbloccare l’instradamento verso gli IP «bloccati da almeno sei mesi».
Sull’altro asse: elenco .txt dell’articolo 8, liste della piattaforma, configurazioni dei resolver, filtri sugli instradamenti, log di blocco e di riabilitazione stanno in sistemi che non si parlano. Da noi confluiscono nella mappa unica della rete e dei suoi nodi, dove un’AI confronta la lista ordinata con quella applicata e segnala l’ordine eseguito su un nodo e non sull’altro, o la risorsa che nessuno ha riabilitato. Dove serve un’AI su quei dati, gira nel perimetro del cliente — on-premise o in cloud dedicato con data center in Italia — insieme a CSIDIA, l’altra società del gruppo. Squadre nostre, senza subappalto.
Sapete chi legge, in azienda, la casella su cui arriva un ordine di disabilitazione, e in quanto tempo? Parlatene con un tecnico: il sopralluogo è senza costi, e un presidio si progetta perché regga alle due del mattino, non perché esista sulla carta.