Commento
Indagini bancarie: la Cassazione ridisegna i limiti*
Giulio Andreani, Dottore commercialista e consulente fiscale in Milano
17 Giugno 2026
*Il commento è stato sottoposto in forma anonima alla valutazione di un referee.
Cambia dimensione testo
Visualizza: Cass., Sez. 5, 15 giugno 2026, n. 19956, Pres. Perrino, Est. Leuzzi
Visualizza: Cass., Sez. 5, 15 giugno 2026, n. 19960, Pres. Perrino, Est. Leuzzi
Le ordinanze della Sezione tributaria della Corte di Cassazione n. 19956 e n. 19960 del 15 giugno 2026 (entrambe con Pres. Perrino ed Est. Leuzzi) offrono, con considerazioni innovative e assai rilevanti sul piano operativo, l'occasione per una compiuta valutazione degli effetti del regime delle autorizzazioni all’esecuzione delle indagini bancarie, alla luce dei principi elaborati dalla Corte europea dei diritti dell'uomo e dalla Corte di giustizia dell'Unione europea in materia di tutela della vita privata e protezione dei dati personali. Pur senza mettere in discussione la legittimità del potere dell'Amministrazione finanziaria di acquisire dati bancari del contribuente, le due pronunce sopra menzionate ne ridefiniscono le condizioni di esercizio, valorizzando i requisiti di legalità, proporzionalità e controllabilità dell'ingerenza richiesti dagli artt. 8 CEDU, 7 e 8 della Carta dei diritti fondamentali dell'Unione europea.
La natura endoprocedimentale dell'autorizzazione alle indagini finanziarie resta ferma, ma viene reinterpretata alla luce della sua funzione di garanzia. L'autorizzazione è configurata quale presupposto giuridico dell'accesso ai dati bancari e deve pertanto preesistere all'ingerenza, consentire la verifica dei relativi presupposti e risultare conoscibile dal contribuente, affinché siano effettivi sia il controllo giurisdizionale sia l'esercizio del diritto di difesa.
In tale prospettiva, il difetto, la mancata allegazione o l’inidoneità della motivazione dell'autorizzazione non integrano mere irregolarità procedimentali, ma incidono sul fondamento legittimante dell'acquisizione dei dati bancari e possono determinare l'invalidità derivata, totale o parziale, dell'atto impositivo fondato sulle relative risultanze. Le ordinanze segnano così un significativo processo di armonizzazione tra le categorie tradizionali del diritto tributario e gli standard sovranazionali di tutela dei diritti fondamentali, attribuendo all'autorizzazione una funzione non soltanto organizzativa, ma anche garantistica e contribuendo a una più ampia rilettura dei poteri istruttori dell'Amministrazione finanziaria alla luce del principio di proporzionalità e della tutela multilivello dei diritti della persona.
Riproduzione riservata
1 . L’oggetto delle cause
Le ordinanze della Corte di Cassazione n. 19956 e n. 19960 del 15 giugno 2026 traggono origine da due controversie concernenti avvisi di accertamento fondati in misura rilevante sulle risultanze di indagini finanziarie eseguite dall'Amministrazione finanziaria ai sensi degli artt. 32 del D.P.R. n. 600/1973 e 51 del D.P.R. n. 633/1972.
In entrambe le vicende, relative alle annualità 2005 e 2006, la pretesa erariale era stata costruita attraverso l'acquisizione dei dati relativi ai rapporti bancari dei contribuenti – un'associazione professionale e i relativi associati – e la successiva applicazione delle presunzioni legali proprie del sistema delle indagini finanziarie. Sulla base dei movimenti ritenuti privi di adeguata giustificazione, l'Agenzia delle Entrate aveva infatti ricostruito maggiori imponibili, ponendo a carico dei contribuenti l'onere di dimostrarne la diversa provenienza o l'irrilevanza fiscale di tali movimenti.
Pur nella diversità delle fattispecie, il nucleo comune delle due controversie concerne il ruolo dell'autorizzazione amministrativa che, ai sensi della disciplina vigente, costituisce il presupposto legale per l'accesso alle informazioni detenute dagli intermediari finanziari.
Nella vicenda oggetto dell'ordinanza n. 19956/2026, i contribuenti avevano contestato la stessa esistenza di una preventiva autorizzazione, evidenziando come il relativo provvedimento fosse stato rilasciato dall'Agenzia delle Entrate soltanto a distanza di circa due anni dalla notificazione dell'avviso di accertamento, impugnato dai contribuenti, che era stato fondato proprio sulle risultanze delle indagini finanziarie. Nell'ordinanza n. 19960/2026, invece, la censura ha investito principalmente il profilo della conoscibilità dell'atto autorizzativo: sebbene richiamato nell'avviso di accertamento, il provvedimento non era stato allegato né ne erano stati riprodotti gli elementi essenziali, con conseguente impossibilità per i contribuenti di verificarne contenuto, limiti e presupposti.
I giudici di merito, pur rideterminando in parte la pretesa fiscale, avevano respinto entrambe le doglianze, aderendo all'orientamento tradizionale della giurisprudenza di legittimità, secondo cui l'autorizzazione alle indagini bancarie costituirebbe un atto interno all'attività amministrativa, sottratto a specifici obblighi di comunicazione, allegazione o preventiva conoscibilità.
I contribuenti avevano proposto pertanto ricorso per Cassazione, deducendo la violazione dell'art. 32, comma 1, n. 7, del D.P.R. n. 600/1973. La questione sottoposta all'esame della Suprema Corte ha trasceso, tuttavia, il mero profilo dell'esistenza dell'autorizzazione, investendo più in generale la funzione che tale atto è chiamato a svolgere nel sistema delle garanzie del contribuente e la possibilità di sindacarne effettivamente la legittimità nell'ambito del processo tributario.
2 . Le motivazioni delle ordinanze
Le ordinanze in commento rappresentano uno dei più significativi tentativi di adeguamento della giurisprudenza tributaria nazionale agli standard sovranazionali elaborati in materia di tutela della vita privata e protezione dei dati personali.
L'interesse delle decisioni non risiede tanto nella soluzione delle specifiche controversie, quanto nella metodologia interpretativa adottata dalla Corte di Cassazione, che rilegge la disciplina delle indagini finanziarie alla luce del sistema multilivello di tutela dei diritti fondamentali.
La Corte muove da una premessa ormai acquisita: il potere dell'Amministrazione finanziaria di accedere ai dati bancari del contribuente non è, in sé, incompatibile con il quadro costituzionale, convenzionale ed eurounitario. Non trova infatti ostacolo nella protezione del segreto bancario, tenuto conto dei fini di utilità sociale e di giustizia sociale tutelati dagli art. 41 e 42 della Costituzione; né nel principio di uguaglianza di cui al precedente art. 3, perché tale potere è esercitabile nei confronti di tutti i contribuenti; né, infine, nell’art. 24, concernente il diritto di difesa, poiché il contribuente viene tempestivamente informato delle richieste che lo riguardano e dunque può tempestivamente esercitare il proprio diritto di difesa.
La questione centrale riguarda piuttosto le condizioni che ne legittimano l'esercizio e le garanzie necessarie, affinché l'ingerenza nella sfera privata dell'individuo risulti conforme ai principi di legalità, proporzionalità e controllabilità.
In tale prospettiva assume rilievo decisivo la qualificazione delle informazioni bancarie quali dati personali. Come ripetutamente affermato dalla Corte europea dei diritti dell'uomo, esse non costituiscono meri elementi contabili dell'attività istruttoria, ma informazioni idonee a rivelare aspetti significativi della vita privata dell'individuo, anche quando riferite all'esercizio di attività professionali o imprenditoriali. L'acquisizione di tali dati da parte dei pubblici poteri integra, pertanto, un'ingerenza nel diritto al rispetto della vita privata e alla protezione dei dati personali, garantiti dall'art. 8 CEDU e dagli artt. 7 e 8 della Carta dei diritti fondamentali dell'Unione europea.
La legittimità di tale ingerenza non è esclusa dalla rilevanza degli interessi coinvolti. Il contrasto all'evasione e alla frode fiscale costituisce infatti una finalità di interesse generale riconosciuta anche dall'art. 52 della medesima Carta. Tuttavia, secondo il consolidato orientamento della Corte EDU, l'esercizio di poteri investigativi incidenti sui diritti fondamentali deve essere assistito da garanzie idonee a prevenire arbitri e abusi, mediante la predeterminazione dei presupposti di esercizio di tali poteri, la delimitazione dell'ambito dell'intervento dell’Amministrazione finanziaria e la possibilità di un controllo effettivo, anche successivo, della sua legittimità.
È in questo quadro che si colloca la sentenza Ferrieri e Bonassisa c. Italia dell'8 gennaio 2026, con cui la Corte EDU ha stabilito che la protezione degli individui dalle ingerenze arbitrarie deve essere garantita dall’interpretazione e dall’applicazione pratica della legge da parte dei tribunali nazionali (si veda anche la sentenza Italgomme Pneumatici S.r.l. e altri c. Italia, n. 36617/18 e altri del 6 febbraio 2025).
Affinché soddisfi tali requisiti, il diritto interno deve prevedere una tutela giuridica dalle ingerenze arbitrarie delle autorità pubbliche nei diritti tutelati dalla Convenzione europea dei diritti dell’uomo, poiché in questioni che incidono su diritti fondamentali sarebbe contrario allo Stato di diritto che un potere discrezionale concesso all’esecutivo fosse espresso in termini di potere illimitato. Conseguentemente, la legge deve indicare con sufficiente chiarezza la portata dell’eventuale potere discrezionale conferito alle autorità competenti e le modalità del suo esercizio. Per questo motivo le misure che incidono sui diritti umani devono essere soggette a qualche forma di procedimento contraddittorio dinanzi a un organo indipendente, competente a riesaminare tempestivamente i motivi della decisione e le prove pertinenti.
È legittimo che le autorità statali accedano ai dati bancari al fine di valutare se un ricorrente abbia adempiuto ai propri obblighi fiscali, ma occorre che sussistano garanzie sufficienti e adeguate contro l’arbitrarietà, compresa la possibilità di un effettivo riesame della misura in questione.
Ai sensi dell’articolo 51, numero 7, del decreto n. 633/1972 e dell’articolo 32, numero 7) del decreto n. 600/1973, l’accesso ai dati bancari del contribuente può essere autorizzato al fine di verificare il rispetto degli obblighi fiscali del contribuente. Secondo la Corte europea, le condizioni indicate in tali disposizioni legislative non sono tuttavia sufficienti a delimitare l’ambito della discrezionalità conferita alle autorità nazionali. In particolare, il mero rinvio alla necessità di valutare l’adempimento da parte dei contribuenti dei loro obblighi fiscali conferisce all’Agenzia delle Entrate un potere discrezionale illimitato, in quanto essa possiede un’autorizzazione non regolamentata a valutare se attuare o meno le misure contestate e a definire l’ambito delle informazioni da richiedere, che, per definizione, è molto ampio.
Seppur considerando che la nozione di “legge”, ai sensi della suddetta Convenzione, comprende anche atti normativi di rango inferiore, la Corte europea ha ritenuto che in campo fiscale le condizioni stabilite nelle disposizioni legislative applicabili possono essere più ampie e generiche, a condizione che siano successivamente precisate e chiarite in altri strumenti di rango inferiore o nella giurisprudenza interna pertinente. Pertanto, nelle circolari amministrative adottate e pubblicate dall’Agenzia delle entrate possono essere stabiliti alcuni criteri aggiuntivi.
Tuttavia, in base all’attuale normativa l’autorizzazione non deve contenere una motivazione e le autorità non sono tenute a giustificare l’esercizio dei loro poteri motivando le loro decisioni e dimostrando in tal modo di seguire i criteri previsti dalle disposizioni interne pertinenti, il che conferisce loro un potere discrezionale illimitato.
La Corte europea ha quindi individuato nel modello italiano delle indagini bancarie un deficit di “qualità della legge” e di garanzie contro l’arbitrio, osservando che l’autorizzazione prevista per l’accesso ai dati non rende adeguatamente verificabili le ragioni concrete della misura, il suo oggetto e i suoi limiti, né è assistita da un controllo giurisdizionale o indipendente realmente efficace, neppure a posteriori.
La Corte di Cassazione con le due ordinanze in commento non recepisce le indicazioni provenienti dalla giurisprudenza europea in termini di discontinuità rispetto alle categorie tradizionali del diritto tributario, ma di evoluzione interpretativa, cioè perseguendo l'adeguamento agli standard convenzionali attraverso una rilettura evolutiva delle norme vigenti, lungo due direttrici complementari.
L'ordinanza n. 19956/2026 affronta il tema della legittimazione sostanziale dell'ingerenza.
Pur ribadendo la natura endoprocedimentale dell'autorizzazione, la Suprema Corte afferma che quest’ultima deve necessariamente precedere l'accesso ai dati bancari e contenere elementi sufficienti a rendere verificabili i presupposti, l'oggetto e i limiti dell'attività investigativa condotta.
L'autorizzazione non viene trasformata in un atto impositivo, poiché, assolvendo una funzione organizzativa e preparatoria, non è soggetta a un obbligo di motivazione secondo i moduli della Legge n. 241/1990 e della Legge n. 212/2000 (c.d. “Statuto del contribuente”). Tuttavia, essa non può più essere considerata giuridicamente irrilevante e, in quanto titolo legittimante l'accesso ai dati personali, deve consentire un controllo effettivo sulla conformità dell'ingerenza ai requisiti di legalità e proporzionalità. Ciò non significa che una qualsiasi irregolarità dell’autorizzazione si traduce necessariamente in un vizio dell’atto impositivo, ma la mancanza o l’inadeguatezza dell’autorizzazione mina il fondamento di tale atto. Come afferma la Corte, in tal caso il difetto del presupposto legittimante inficia l’intera sequenza procedimentale, rendendo illegittimo l’atto che la conclude.
Questo percorso argomentativo si salda con i principi già elaborati dalla giurisprudenza di legittimità in materia di accessi domiciliari, laddove l’assenza o l’illegittimità del presupposto autorizzatorio può riflettersi sull’utilizzabilità della documentazione acquisita e, di riflesso, sull’atto impositivo che su di essa si fonda. La trasposizione alle indagini bancarie non discende da un automatismo sanzionatorio, ma dall’esigenza di assicurare che l’ingerenza nei dati personali sia effettivamente delimitata, verificabile e sindacabile.
In tale prospettiva, ad assumere rilievo è, inoltre, la considerazione — valorizzata anche dalla giurisprudenza europea — secondo cui la valutazione della legittimità dell'acquisizione probatoria non può essere isolata dal giudizio complessivo sull'equità del procedimento.
Da tale impostazione deriva che il difetto originario dell'autorizzazione o la sua radicale inidoneità non integrano una mera irregolarità procedimentale. Il vizio investe direttamente il fondamento giuridico dell'acquisizione probatoria e può riflettersi sulla validità dell'avviso di accertamento fondato sulle risultanze così ottenute, secondo una logica analoga a quella già elaborata dalla giurisprudenza in materia di accessi domiciliari.
L'ordinanza n. 19960/2026 valorizza invece il profilo della conoscibilità dell'autorizzazione. Se la prima presidia il momento genetico dell'ingerenza, la seconda ne garantisce la trasparenza e la sindacabilità processuale. La mancata allegazione dell'atto autorizzativo o la mancata conoscibilità del suo contenuto essenziale impediscono infatti al contribuente di verificare se l'Amministrazione finanziaria abbia, o meno, operato entro il perimetro tracciato dalla legge ed eventualmente di contestarne efficacemente la legittimità.
Anche in questa prospettiva il vizio non assume rilievo in quanto mera omissione formale, ma in ragione della sua incidenza sull'effettività del diritto di difesa e sul controllo giurisdizionale dell'attività istruttoria. L'impossibilità di conoscere il titolo dell'accesso impedisce infatti di verificare la necessità e la proporzionalità dell'ingerenza e compromette la possibilità di sottoporla a un effettivo scrutinio giudiziale.
Le due pronunce convergono così verso una medesima conclusione sistematica: l'autorizzazione alle indagini bancarie conserva la propria natura di atto interno all'organizzazione amministrativa, ma assume una funzione garantistica che ne impone la verificabilità, la conoscibilità e l'idoneità a giustificare l'accesso ai dati personali. Proprio in ragione di tale funzione, i vizi che la riguardano possono riflettersi sull'utilizzabilità delle risultanze acquisite e, conseguentemente, sulla validità dell'atto impositivo che su di esse si fonda, purché tempestivamente dedotti dalla parte interessata, non essendo questa conclusione incompatibile con il nuovo regime delle invalidità introdotto dal D.Lgs. n. 219/2023, che continua a escludere il rilievo officioso delle ipotesi di annullabilità. Resta pertanto confermato che i vizi esaminati nelle ordinanze in commento devono essere fatti valere dalla parte e non possono essere rilevati d'ufficio dal giudice.
3 . Conclusioni
Le ordinanze in commento non incidono sulla legittimità delle indagini bancarie quale strumento di accertamento, ma ne ridefiniscono il quadro di garanzie alla luce degli standard convenzionali ed eurounitari in materia di tutela dei dati personali e del diritto al rispetto della vita privata.
L'autorizzazione, pur conservando natura endoprocedimentale, non è più configurabile come atto meramente interno, ma assume funzione di presupposto legittimante dell'ingerenza nella sfera del contribuente. Ne discende la necessità che essa sia anteriore all'acquisizione dei dati e idonea a rendere verificabili, anche ex post, presupposti e limiti dell'attività istruttoria.
Il punto di equilibrio tracciato dalle ordinanze è, in questo senso, particolarmente significativo.
Non si pretende una motivazione piena secondo gli schemi della legge n. 241 del 1990 o dell’art. 7 dello Statuto del contribuente; si richiede, però, che l’autorizzazione preesista all’acquisizione e renda riconoscibili, anche ex post, i suoi elementi essenziali: il contribuente interessato, le ragioni che giustificano l’attivazione del potere istruttorio, l’oggetto dell’accesso, l’ambito soggettivo e temporale dell’indagine, nonché la riferibilità dell’attività concretamente svolta al perimetro autorizzato, evitando che detta attività superi l’ambito per il quale è stata prevista.
La conseguenza è incisiva, ma non indiscriminata. Quando il contribuente deduca in modo specifico la mancanza, l’inidoneità o la non conoscibilità dell’autorizzazione, le risultanze bancarie acquisite in forza di quel titolo non possono essere utilizzate e l’avviso di accertamento è invalido nella parte in cui la pretesa impositiva si fondi su di esse. Non si afferma, dunque, una nullità automatica dell’atto, ma una invalidità derivata, totale o parziale, ancorata al nesso tra vizio del presupposto autorizzatorio e utilizzazione dei dati acquisiti.
Le ricadute operative delle due pronunce sono evidenti. L’Amministrazione finanziaria dovrà assicurarsi che l’autorizzazione non si esaurisca in una formula generica o puramente assertiva, ma consenta di ricostruire il fondamento, l’oggetto e l’estensione dell’accesso ai dati. Il contribuente, simmetricamente, non potrà limitarsi a un rilievo astratto o meramente formale: sarà suo onere introdurre tempestivamente una contestazione specifica, idonea a investire l’esistenza, la preesistenza, l’idoneità o la conoscibilità del titolo autorizzativo.
Ne esce rafforzato anche il ruolo del giudice tributario, chiamato a verificare non solo la consistenza sostanziale della pretesa, ma anche la regolarità del momento genetico dell’acquisizione probatoria. Il giudice di merito dovrà stabilire se e in quale misura la ripresa dipenda dalle risultanze bancarie inutilizzabili e se la pretesa possa eventualmente sopravvivere sulla base di ulteriori elementi ritualmente acquisiti.
In definitiva, le ordinanze non indeboliscono il potere di controllo dell’Amministrazione finanziaria, ma lo ricollocano entro una grammatica più rigorosa delle garanzie. L’autorizzazione resta atto preparatorio, ma deve essere esistente, anteriore, idonea e conoscibile nel suo nucleo essenziale. Il controllo fiscale rimane pienamente legittimo, purché fondato su un titolo trasparente, verificabile e proporzionato: non meno controlli, dunque, ma controlli meglio giustificati, verificabili e realmente sindacabili.