Indagini bancarie e tutela della vita privata: la Cassazione recepisce la CEDU solo a metà
La sentenza n. 19956/2026 della Cassazione tra aperture innovative e persistenti resistenze
La Corte accoglie la necessità dell’autorizzazione (prima addirittura ne negava la necessità e lo riteneva un atto interno), ma non affronta il problema centrale segnalato dalla CEDU, cioè che il controllo deve provenire da un’autorità indipendente e non dalla stessa amministrazione finanziaria che richiede l’accesso ai dati bancari.
Con l’ordinanza n. 19956 del 15 giugno 2026, la Sezione Tributaria della Corte di Cassazione affronta per la prima volta in modo diretto l’impatto della sentenza della Corte europea dei diritti dell’uomo Ferrieri e Bonassisa c. Italia dell’8 gennaio 2026 sul sistema delle indagini finanziarie disciplinato dagli artt. 32 del D.P.R. n. 600/1973 e 51 del D.P.R. n. 633/1972.
La decisione rappresenta senza dubbio una svolta rispetto al tradizionale orientamento della giurisprudenza di legittimità, che aveva costantemente qualificato l’autorizzazione alle indagini bancarie come un mero atto interno, privo di rilevanza esterna e sostanzialmente insindacabile.
La Corte, infatti, riconosce espressamente che l’accesso ai dati bancari costituisce un’ingerenza nel diritto al rispetto della vita privata garantito dall’art. 8 CEDU e dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea. Richiamando la recente pronuncia della Corte di Strasburgo, afferma inoltre che l’autorizzazione preventiva non può essere considerata irrilevante e che deve possedere un contenuto minimo idoneo a rendere verificabili i presupposti, l’oggetto e i limiti dell’accesso ai dati finanziari del contribuente.
Tuttavia, proprio nel momento in cui sembra avvicinarsi ai principi elaborati dalla Corte EDU, la Cassazione arresta il proprio percorso interpretativo e lascia irrisolta la questione centrale posta da Strasburgo: chi deve autorizzare l’accesso ai dati bancari?
La vicenda trae origine da una serie di accertamenti fiscali effettuati nei confronti dello studio legale associato Panzarola-Accica e dei professionisti ad esso collegati.
L’Agenzia delle Entrate aveva fondato le proprie pretese principalmente sulle risultanze delle indagini finanziarie eseguite sui conti correnti degli associati e dello studio professionale, ritenendo non giustificate numerose movimentazioni bancarie e imputandole a compensi o redditi non dichiarati.
Nel corso del giudizio emergeva però una circostanza decisiva: l’Agenzia delle Entrate non era in grado di dimostrare l’esistenza di una valida autorizzazione preventiva alle indagini bancarie. La stessa Amministrazione, nel controricorso, ammetteva che non risultavano agli atti le autorizzazioni della Direzione Regionale delle Entrate.
Da qui la questione giuridica sottoposta alla Corte: se la mancanza dell’autorizzazione preventiva potesse determinare l’invalidità dell’accertamento fondato sui dati bancari acquisiti.
L’art. 32, comma 1, n. 7, del D.P.R. n. 600/1973 consente all’Amministrazione finanziaria di acquisire dati e informazioni relativi ai rapporti bancari dei contribuenti previa autorizzazione dell’organo gerarchicamente sovraordinato.
Analoga previsione è contenuta nell’art. 51 del D.P.R. n. 633/1972 per l’IVA.
Tradizionalmente la giurisprudenza di legittimità aveva attribuito a tale autorizzazione una funzione esclusivamente organizzativa e interna, escludendo che la sua assenza o irregolarità potesse incidere sulla validità dell’accertamento, salvo casi eccezionali di concreto pregiudizio per il contribuente.
La sentenza della Corte EDU Ferrieri e Bonassisa, tuttavia, ha profondamente messo in discussione tale impostazione.
Secondo Strasburgo, la normativa italiana non offre garanzie sufficienti contro arbitrii e abusi poiché:
1. non impone una motivazione effettiva dell’autorizzazione;
2. non delimita adeguatamente i presupposti dell’accesso;
3. non assicura un controllo giurisdizionale o indipendente efficace;
4. non consente una verifica reale della necessità e proporzionalità dell’ingerenza.
La Corte EDU ha quindi concluso che il sistema italiano viola l’art. 8 CEDU poiché l’accesso ai dati bancari non è assistito da adeguate garanzie di legalità e controllo.
Il principio di diritto affermato dalla Cassazione
Muovendo da tali premesse, la Cassazione compie un significativo mutamento di prospettiva.
La Corte afferma che l’autorizzazione:
1. deve necessariamente precedere la richiesta dei dati bancari;
2. deve contenere elementi idonei a identificare presupposti, oggetto e limiti dell’accesso;
3. costituisce il titolo legittimante dell’ingerenza nei dati personali del contribuente;
4. se mancante o radicalmente inidonea può determinare l’invalidità dell’avviso di accertamento fondato sulle risultanze acquisite.
In sostanza, la Cassazione supera il precedente orientamento che considerava l’autorizzazione una formalità interna priva di effetti esterni e riconosce che il difetto del titolo autorizzativo si riflette sulla legittimità dell’intero procedimento accertativo.
Si tratta di un passaggio certamente innovativo e destinato ad avere importanti ricadute nel contenzioso tributario.
Il limite della decisione: la mancata individuazione di un’autorità indipendente
Proprio qui emerge però il principale limite dell’ordinanza.
La Cassazione accoglie la critica della Corte EDU circa la necessità di un’autorizzazione preventiva e motivata, ma evita accuratamente di confrontarsi con il cuore della decisione di Strasburgo.
La sentenza Ferrieri e Bonassisa non censura infatti soltanto l’assenza di motivazione dell’autorizzazione.
La Corte EDU individua un difetto strutturale del sistema italiano: il controllo è esercitato dalla stessa amministrazione che richiede l’accesso ai dati bancari.
In altri termini, il soggetto che vuole acquisire le informazioni è anche quello che autorizza l’acquisizione.
Si tratta di un meccanismo incompatibile con la logica delle garanzie convenzionali, che richiedono l’intervento di un’autorità terza e indipendente capace di verificare preventivamente la necessità e la proporzionalità dell’ingerenza.
La stessa Cassazione richiama più volte i passaggi della sentenza CEDU nei quali si evidenzia l’assenza di un “controllo giurisdizionale o indipendente effettivo”.
Eppure, una volta richiamati tali principi, la Corte continua a ritenere sufficiente un’autorizzazione rilasciata da organi interni dell’Amministrazione finanziaria.
La contraddizione è evidente.
Se il problema individuato dalla Corte EDU è la mancanza di un controllo indipendente, non basta pretendere che l’autorizzazione sia motivata.
Una motivazione redatta dalla stessa amministrazione che intende effettuare l’accesso non elimina il rischio di arbitrarietà denunciato da Strasburgo.
La garanzia richiesta dalla Convenzione non è soltanto formale ma istituzionale.
Ciò che manca nel sistema italiano è un soggetto terzo rispetto all’interesse fiscale perseguito dall’amministrazione.
La distanza dalla giurisprudenza europea
La differenza tra l’impostazione della Corte EDU e quella della Cassazione emerge chiaramente.
Per Strasburgo il problema consiste nell’assenza di garanzie indipendenti che limitino il potere dell’autorità fiscale.
Per la Cassazione il problema sembra invece ridursi alla mancanza di una preventiva autorizzazione sufficientemente motivata.
La prima prospettiva è sostanziale.
La seconda è prevalentemente procedimentale.
La conseguenza è che la Cassazione recepisce soltanto parzialmente il messaggio proveniente dalla Corte EDU.
Viene riconosciuta la necessità dell’autorizzazione, ma non viene affrontata la questione dell’indipendenza dell’autorità chiamata a rilasciarla.
In questo modo il rischio di arbitrarietà denunciato dalla Corte di Strasburgo rimane sostanzialmente immutato.
Un controllo esercitato all’interno della medesima struttura amministrativa continua infatti a non offrire quelle garanzie di imparzialità che caratterizzano il controllo giudiziario o quello affidato ad autorità realmente indipendenti.
L’ordinanza n. 19956/2026 segna certamente un punto di svolta nella giurisprudenza tributaria italiana.
Per la prima volta la Cassazione riconosce che l’accesso ai dati bancari costituisce un’ingerenza nella vita privata e che il titolo autorizzativo non può essere degradato a mera formalità interna.
La decisione rappresenta dunque un significativo passo avanti rispetto agli orientamenti precedenti.
Si tratta però di un passo incompleto.
Milano, 17/06/2026
Avv. Giuseppe Marin0
Camera lombarda degli avvocati tributaristi