Autorizzazione alle indagini bancarie: la Cassazione ridisegna il regime delle garanzie per l’acquisizione dei dati bancari

La Corte di Cassazione, con le ordinanze nn. 19956 e 19960 del 15 giugno 2026, è intervenuta su una questione di particolare rilievo sistematico in materia di indagini finanziarie, concernente la funzione e i requisiti dell’autorizzazione prevista dall’art. 32, comma 1, n. 7), D.P.R. n. 600/1973 e dall’art. 51, comma 2, n. 7), D.P.R. n. 633/1972, per l’acquisizione dei dati bancari del contribuente.

Le pronunce in commento si collocano nel più ampio processo di adeguamento del diritto tributario interno ai principi convenzionali ed unionali in materia di tutela della vita privata e protezione dei dati personali.

In particolare, le ordinanze si confrontano con la recente sentenza della Corte EDU Ferrieri e Bonassisa c. Italia dell’8 gennaio 2026, che ha ravvisato la violazione dell’art. 8 CEDU da parte della normativa italiana in tema di  indagini bancarie, evidenziando l’insufficienza delle garanzie predisposte dall’ordinamento interno rispetto all’accesso ai dati bancari dei contribuenti.

Muovendo da tali premesse, la Suprema Corte ha effettuato una rilettura della disciplina interna delle indagini finanziarie alla luce del citato art. 8 della CEDU e degli artt. 7, 8 e 52 della Carta dei diritti fondamentali dell’Unione Europea, attribuendo all’autorizzazione preventiva una funzione che trascende la tradizionale qualificazione di atto meramente organizzativo e preparatorio.

Ed invero, pur confermando che l’autorizzazione alle indagini bancarie conserva, nell’ordinamento interno, natura endoprocedimentale e non costituisce un autonomo atto impositivo, i giudici di legittimità hanno chiarito che essa rappresenta il titolo legittimante dell’ingerenza nella sfera privata del contribuente e deve, pertanto, preesistere all’acquisizione dei dati finanziari, recando un contenuto minimo idoneo a rendere verificabili, anche ex post, i presupposti, l’oggetto e i limiti dell’accesso ai dati bancari.

Di particolare interesse sono le conseguenze che la Suprema Corte ricollega alla mancanza dell’autorizzazione ovvero alla sua inidoneità sotto il profilo motivazionale.

Secondo i giudici di legittimità, infatti, tali vizi incidono direttamente sul fondamento giuridico dell’acquisizione dei dati bancari, determinando l’inutilizzabilità delle relative risultanze e l’invalidità, totale o parziale, dell’avviso di accertamento fondato su di esse.

Le ordinanze in commento assumono, pertanto, un rilievo che trascende la specifica vicenda processuale, poiché introducono una significativa revisione dell’orientamento tradizionalmente seguito dalla giurisprudenza di legittimità in materia di indagini finanziarie.

In definitiva, la Corte valorizza il principio secondo cui l’accesso ai dati bancari del contribuente, pur costituendo uno strumento essenziale per il contrasto all’evasione fiscale, deve essere esercitato entro limiti predeterminati e verificabili, nel rispetto dei canoni di legalità, proporzionalità e controllabilità dell’ingerenza imposti dagli ordinamenti sovranazionali.

Le ordinanze in commento traggono origine da una serie di avvisi di accertamento emessi nei confronti di un’associazione professionale e dei relativi associati, con riferimento alle annualità d’imposta 2005 e 2006, fondati sulle risultanze di indagini finanziarie svolte ai sensi degli artt. 32 D.P.R. n. 600/1973 e 51 D.P.R. n. 633/1972.

In particolare, l’Amministrazione finanziaria procedeva alla ricostruzione di maggiori redditi imponibili attraverso l’analisi delle movimentazioni bancarie riferibili ai conti correnti intestati allo studio associato e ai singoli professionisti, ritenendo non giustificati numerosi flussi finanziari e applicando le presunzioni proprie del sistema delle indagini bancarie.

Ne conseguiva il recupero a tassazione di maggiori imponibili ai fini IRPEF, IVA e IRAP, con la ripartizione degli stessi anche in funzione delle quote di partecipazione all’associazione professionale e delle vicende relative alla posizione dei singoli associati.

Il nucleo comune delle controversie attiene al sistema delle indagini finanziarie e, nello specifico, alla funzione della relativa autorizzazione preventiva a procedere alle indagini bancarie prescritta dalla disciplina di riferimento quale presupposto per l’accesso dell’Amministrazione finanziaria ai dati detenuti dagli intermediari bancari.

Nello specifico:

• nella vicenda oggetto dell’ordinanza n. 19956/2026, i contribuenti avevano contestato l’esistenza di una valida autorizzazione preventiva, evidenziando come il relativo provvedimento fosse stato ottenuto dall’Amministrazione finanziaria solo a distanza di circa due anni rispetto alla notificazione dell’avviso di accertamento, il quale risultava, invece, fondato sulle risultanze delle indagini bancarie;
• nella vicenda esaminata con l’ordinanza n. 19960/2026, invece, la censura riguardava il profilo della conoscibilità dell’atto autorizzativo: pur essendo richiamato nell’avviso di accertamento, il provvedimento non era stato allegato né ne erano stati riportati gli elementi essenziali, con conseguente impossibilità per i contribuenti di verificarne il contenuto, i presupposti e i limiti di operatività.

II giudici di merito avevano respinto le suddette censure dei ricorrenti e confermato la legittimità degli accertamenti, aderendo all’orientamento secondo cui l’autorizzazione alle indagini bancarie avrebbe natura di atto interno al procedimento istruttorio e non sarebbe soggetto a specifici oneri di allegazione, comunicazione al contribuente o motivazione.

Avverso tali decisioni i contribuenti proponevano ricorso per Cassazione, deducendo, tra gli altri motivi, la violazione della disciplina sulle indagini finanziarie e censurando la mancata considerazione, da parte dei giudici di merito, dei vizi relativi alla sussistenza, alla tempestività e alla conoscibilità dell’autorizzazione all’accesso ai dati bancari.

L’Agenzia delle Entrate resisteva con controricorso, insistendo per il rigetto dei ricorsi e per la piena legittimità dell’operato dell’Ufficio.

Orbene, la Corte di Cassazione, con le ordinanze n. 19956 e n. 19960 del 15 giugno 2026, si è pronunciata sulle questioni controverse, accogliendo in parte le censure dei contribuenti e delineando i limiti di legittimità in tema di autorizzazione preventiva alle indagini finanziarie.

Le ordinanze in commento offrono una rilettura della disciplina interna in tema di autorizzazione alle indagini bancarie, alla luce dei principi elaborati dalla giurisprudenza europea in materia di tutela della vita privata e protezione dei dati personali.

Preliminarmente, la Suprema Corte ha effettuato una ricostruzione del consolidato quadro costituzionale interno in materia di poteri di indagine finanziaria, richiamando espressamente l’elaborazione della giurisprudenza costituzionale.

In particolare, la Corte ha evidenziato che la disciplina in materia di accesso ai dati bancari non si pone in contrasto con la Costituzione, essendo già stata scrutinata positivamente dalla Corte Costituzionale sotto tre profili fondamentali:

• in primo luogo, con riferimento al segreto bancario, i giudici di legittimità hanno osservato che il potere dell’Amministrazione finanziaria di accedere ai dati bancari del contribuente non trova ostacolo nella protezione di tale segreto, tenuto conto dei fini di utilità e di giustizia sociale tutelati dagli artt. 41 e 42 Cost. e dell’esigenza di assicurare l’adempimento del dovere di concorrere alle spese pubbliche in ragione della capacità contributiva;
• in secondo luogo, la Corte ha escluso qualsiasi contrasto con il principio di uguaglianza di cui all’art. 3 Cost., evidenziando che il potere di acquisizione dei dati bancari è previsto in termini sostanzialmente uniformi nei confronti di tutti i contribuenti;
• in terzo luogo, è stata ribadita la compatibilità della disciplina con il diritto di difesa sancito dall’art. 24 Cost., in quanto il contribuente è posto nelle condizioni di conoscere l’attività istruttoria svolta nei suoi confronti e di fornire chiarimenti, documenti e giustificazioni idonei a contrastare le presunzioni derivanti dalle movimentazioni bancarie.

Dopo aver ricostruito tale quadro di compatibilità costituzionale, i giudici di legittimità hanno, tuttavia, posto in rilievo come, in ambito convenzionale ed eurounitario, la disciplina interna in tema di indagini bancarie presenti evidenti profili di incompatibilità con l’art. 8 CEDU, in quanto le informazioni bancarie possono essere qualificate come dati personali e l’ingerenza nei conti correnti rappresenta un’interferenza nella vita privata dei contribuenti.

In altri termini, a parere della Corte, le informazioni bancarie costituiscono dati personali idonei a rivelare aspetti significativi della sfera privata dell’individuo e, pertanto, la loro acquisizione da parte dell’Amministrazione finanziaria integra una forma di ingerenza nei diritti fondamentali del contribuente.

Sul punto, nelle ordinanze in commento così si legge:

«Le informazioni che le autorità fiscali ottengono da documenti bancari costituiscono difatti indubbiamente dati personali, anche se riguardano attività di natura professionale o imprenditoriale. Al riguardo la giurisprudenza della CEDU ha chiarito che i dettagli del reddito imponibile da lavoro e da capitale, nonché del patrimonio netto imponibile, riguardano la "vita privata" degli individui in questione (si veda Samoylova c. Russia, n. 49108/11, par. 62, 14 dicembre 2021, e le cause ivi citate), e che dati quali il nome e il domicilio di un contribuente, elaborati e pubblicati dall'Autorità fiscale in relazione al fatto che egli non ha adempiuto i propri obblighi di pagamento delle imposte, riguardino chiaramente informazioni relative alla "vita privata", nonostante il fatto che, ai sensi del diritto interno, i dati siano stati classificati come informazioni di interesse pubblico (si veda L.B. c. Ungheria (GC), n. 36345/16, par. 104, 9 marzo 2023).

In definitiva, ha stabilito quella Corte, la consultazione del conto bancario di un individuo costituisce un'ingerenza nel suo diritto al rispetto della vita privata (si vedano, nel contesto della consultazione dei dati bancari di un avvocato, Brito Ferrinho Bexiga Villa-Nova, par. 44, e Sommer c. Germania, n. 73607/13, par. 48, 27 aprile 2017).».

A questo punto, la Corte di Cassazione ha richiamato i principi del diritto dell’Unione Europea in tema di tutela dei diritti fondamentali e, in particolare, gli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea, che tutelano rispettivamente il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali, nonché l’art. 52 della medesima Carta, che ammette limitazioni a tali diritti soltanto qualora esse siano previste dalla legge, rispettino il contenuto essenziale delle libertà garantite e, infine, risultino necessarie e proporzionate rispetto a finalità di interesse generale.

Nello specifico, i giudici di legittimità hanno ribadito che la lotta all’evasione fiscale costituisce certamente una finalità di interesse generale riconosciuta dall’ordinamento unionale, chiarendo, al contempo, che tale circostanza non esime gli Stati membri dall’obbligo di predisporre adeguati meccanismi di controllo e di limitazione dell’ingerenza.

In tale contesto, assume un ruolo centrale il richiamo al principio generale del diritto dell’Unione Europea che tutela le persone contro interventi arbitrari o sproporzionati dei pubblici poteri nella loro sfera privata.

Sul punto, nelle ordinanze in commento così si legge:

«Ne consegue che tali diritti, pur non avendo carattere assoluto, possono essere compressi solo entro un quadro normativo idoneo ad assicurare un giusto equilibrio tra i diversi diritti e interessi coinvolti (CGUE, Grande Sezione, Alassini, cause riunite C-317/08, C-318/08, C-319/08 e C-320/08; CGUE, Promusicae, C-275/06; CGUE, UPC Telekabel Wien, C-314/12; CGUE, Grande Sezione, Facebook Ireland e Schrems, C-311/18). In particolare, la lotta contro la frode e l'evasione fiscale rappresenta una finalità di interesse generale riconosciuta dall'Unione, ai sensi dell'articolo 52, paragrafo 1, della Carta (v., in tal senso, CGUE, Sabou, C-276/12, punto 32; WebMindLicenses, C-419/14, punto 76, X (Società intermedie stabilite in paesi terzi), C-135/17, punti 74 e 75), tale da consentire che sia apportata una limitazione all'esercizio dei diritti garantiti dagli articoli 7, 8 e 47 di quest'ultima, considerati individualmente o congiuntamente.

Su questo sfondo si colloca il principio generale del diritto dell'Unione che tutela le persone, fisiche e giuridiche, contro gli interventi dei pubblici poteri nella loro sfera privata che siano arbitrari o sproporzionati, principio valorizzato dalla Corte di giustizia dapprima in tema di poteri di accertamento e poi ribadito in contesti ulteriori, nei quali si è dato rilievo al nesso tra legalità del potere, delimitazione del suo oggetto e sindacato effettivo (CGUE, Hoechst, cause riunite 46/87 e 227/88; CGUE, UBS Europe e a., C-358/16; CGUE, Grande Sezione, État luxembourgeois, cause riunite C-245/19 e C-246/19).».

Ebbene, è proprio all’interno di questo quadro sistematico che la Suprema Corte colloca la recente sentenza della Corte EDU dell’8 gennaio 2026 Ferrieri e Bonassisa c. Italia, definita espressamente come una pronuncia di rilievo «dirimente».

Secondo i giudici di legittimità, infatti, la decisione di Strasburgo ha profondamente inciso sul tradizionale assetto interpretativo delle indagini bancarie, avendo accertato che il sistema tributario italiano, per quanto riguarda le indagini bancarie condotte dall’Agenzia delle Entrate e dalla Guardia di Finanza ai fini dell’accertamento fiscale, viola l’art. 8 della CEDU.

In particolare, secondo la Corte EDU, la normativa italiana (art. 32 D.P.R. n. 600/1973 e art. 51 D.P.R. n. 633/1972) attribuisce alle autorità fiscali un potere discrezionale sproporzionato, privo di garanzie procedurali effettive e di un controllo giurisdizionale preventivo, rendendo le misure adottate incompatibili con il diritto al rispetto della vita privata e del domicilio garantito dall’art. 8 CEDU.

Le ordinanze in commento riportano espressamente che:

«È proprio alla luce di tale convergenza di parametri che la sentenza della Corte EDU, Prima Sezione, dell'8 gennaio 2026, Ferrieri e Bonassisa c. Italia, assume rilievo dirimente, poiché ha ravvisato una violazione dell'art. 8 CEDU proprio in relazione all'accesso e all'esame dei dati bancari disposto ai sensi delle norme qui rilevanti, evidenziando la carenza di qualità della legge e di garanzie contro l'arbitrarietà, anche in ragione della lettura interna che esclude l'obbligo di motivazione dell'autorizzazione e non assicura un controllo giurisdizionale o indipendente effettivo, neppure ex post. In particolare, la Corte di Strasburgo ha ritenuto che il quadro normativo nazionale, pur integrato da circolari amministrative, lasci alle autorità una discrezionalità eccessivamente ampia quanto alle condizioni e alla portata della misura, proprio perché tali criteri non sono resi verificabili attraverso un atto autorizzativo motivato e non risultano presidiati da un rimedio effettivo e tempestivo.».

Come evidenziato dai giudici di legittimità, la Corte di Strasburgo ha qualificato la problematica come sistemica, rilevando l’assenza di norme sufficientemente dettagliate in grado di delimitare le condizioni di accesso ai dati bancari, di imporre un obbligo di motivazione dell’autorizzazione e di assicurare un controllo effettivo sull’esercizio del potere.

In particolare, viene evidenziato come la Corte EDU abbia ritenuto:

• inadeguata la possibilità di contestare l’autorizzazione soltanto in sede di impugnazione dell’avviso di accertamento;
• insufficiente l’eventuale ricorso al giudice civile;
• privo di effettività il rimedio rappresentato dal Garante del contribuente.

Sul punto, nella motivazione delle pronunce in commento, la Suprema Corte, qualificato il problema in termini sistemici, ha evidenziato come correttamente la sentenza della Corte EDU Ferrieri e Bonassisa c. Italia abbia rilevato che:

 «(…)  le disposizioni nazionali italiane (art. 32 D.P.R. n. 600 del 1973 e art. 51 D.P.R. n. 633 del 1972) - "considerate isolatamente" - "non sono sufficienti a delimitare la portata del potere discrezionale conferito alle autorità nazionali", poiché il riferimento alla verifica dell'adempimento degli obblighi fiscali "conferisce alle autorità fiscali un potere discrezionale illimitato" (ivi, parr. 77-78).».

In tal senso, la Corte di Cassazione ha rammentato che:

«Sotto il profilo delle garanzie procedurali, la ridetta decisione della Corte EDU, Ferrieri e Bonassisa c. Italia, dell'8 gennaio 2026, ha escluso che l'assetto dei rimedi interni, per come concretamente configurato, assicuri un controllo effettivo a posteriori. In particolare: (i) l'autorizzazione è un "mero atto preparatorio", non impugnabile autonomamente davanti ai giudici tributari (ivi, par. 88), e la possibilità di contestarla solo unitamente all'avviso di accertamento non integra un rimedio effettivo, poiché, tra l'altro, la giurisprudenza interna (espressa, tra le altre, da Cass. n. 8849/2015; Cass. n. 14026/2012; Cass. n. 19564/2018; Cass. n. 3242/2021; Cass. n. 10576/2022) ha chiarito che l'atto autorizzatorio "non deve necessariamente contenere una motivazione" e che la validità dell'accertamento non può essere compromessa "...o addirittura dalla mancanza di autorizzazione", sicché la Corte EDU "non ritiene che l'autorizzazione possa incidere sulla legittimità" dell'avviso (ivi, par. 91), oltre a essere un rimedio incerto e tardivo (ivi, parr. 92-93); (ii) quanto al preteso rimedio davanti al giudice civile, il Governo non ne ha dimostrato la reale praticabilità, omettendo di indicare esempi giurisprudenziali o altri riscontri idonei a provarne l'esistenza e l'accessibilità nella prassi (ivi, parr. 95-97); e, comunque, in mancanza di un'autorizzazione motivata che espliciti presupposti e perimetro della richiesta, il giudice non sarebbe posto nelle condizioni di svolgere un "esame approfondito" sulla necessità e proporzionalità dell'ingerenza (ivi, parr. 98-99); (iii) il Garante del contribuente - organo previsto dallo Statuto dei diritti del contribuente (l. n. 212 del 2000), istituito presso ciascuna direzione regionale dell'Amministrazione finanziaria e con funzioni di vigilanza e raccomandazione - non dispone di poteri decisori vincolanti e non impersona, pertanto, un rimedio efficace (ivi, parr. 100-102). La Corte ha quindi concluso che le misure "non sono state sottoposte a un riesame giudiziario o indipendente efficace a posteriori" (ivi, par. 103) e che "non si può affermare che le interferenze ... fossero "conformi alla legge"" (ivi, par. 105).».

Alla luce delle suesposte considerazioni, la Corte di Cassazione ha proceduto a valorizzare uno strumento già presente nell’ordinamento nazionale - ossia l’autorizzazione preventiva da parte dell’Amministrazione Finanziaria alle indagini bancarie – rileggendola alla luce della più recente interpretazione giurisprudenziale unionale.

La natura e la funzione dell’autorizzazione preventiva alle indagini finanziarie

Muovendo da tale ricostruzione, i giudici di legittimità hanno proceduto a una rilettura evolutiva della disciplina interna, affermando che l’autorizzazione prevista dalla normativa sulle indagini finanziarie, pur conservando nel diritto interno natura di atto meramente preparatorio e organizzativo, deve essere valorizzata come titolo giuridico dell’ingerenza nei dati bancari, alla luce del sopravvenuto quadro convenzionale ed eurounitario.

Nello specifico, chiarisce la Corte che l’autorizzazione non è soltanto un atto interno alla sequenza procedimentale, ma diviene elemento necessario di legittimazione dell’accesso, con la conseguenza che essa deve preesistere all’attività istruttoria ed avere un contenuto minimo idoneo a consentire una verifica successiva della correttezza e proporzionalità dell’intervento.

Sul punto, nelle ordinanze in commento così si legge:

«In tale contesto, la giurisprudenza di questa Corte di legittimità va interpretata in chiave evolutiva alla luce del sopravvenuto quadro convenzionale ed eurounitario. Deve, invero, restare fermo il già affermato principio a tenore del quale l'autorizzazione prevista dall'art. 32, comma 1, n. 7, del D.P.R. n. 600 del 1973 e dall'art. 51, comma 2, n. 7, del D.P.R. n. 633 del 1972 si configura, sul piano del diritto interno, come atto a funzione organizzativa e preparatoria, non assimilabile a un provvedimento impositivo e, pertanto, non soggetto, in via generale, a un autonomo obbligo di motivazione secondo i moduli della L. n. 241 del 1990 o dell'art. 7 della L. n. 212 del 2000 (Cass. n. 14026/2012; Cass. n. 19564/2018; Cass. n. 4853/2024).

(…)

 Quel che occorre, (…) è che (punto 115) la motivazione "sia sufficiente a dimostrare che le informazioni richieste non sono prive di qualsiasi prevedibile pertinenza, alla luce dell'identità del contribuente oggetto dell'indagine da cui trae origine tale richiesta, delle esigenze di una siffatta indagine e, nell'ipotesi in cui sia necessario ottenere le informazioni di cui trattasi presso una persona che le detiene, dell'identità di quest'ultima (v., in tal senso, sentenza 16 maggio 2017, Berlioz Investment Fund, C-682/15, EU:C:2017:373, punti 76, 78, 80 e 82)". Ne consegue che l'originaria incompletezza del quadro informativo non vale a emancipare la richiesta da un apprezzabile ancoraggio giustificativo quanto alla sua direttrice specifica, alla sua latitudine, al suo perimetro.

(…)

L’interpretazione evolutiva convenzionalmente e unionalmente orientata impone, dunque, di mantenere ferma la natura interna e preparatoria dell’autorizzazione, ma di esigere, anzitutto, che essa preesista alla richiesta di consultazione del conto bancario, essendo il titolo dell’ingerenza e, al contempo, che essa rechi un contenuto minimo idoneo a rendere verificabili, anche ex post, i presupposti, l'oggetto e i limiti dell'accesso, così che l’ingerenza risulti delimitata, controllabile e proporzionata.».

In tal modo l’autorizzazione viene elevata a strumento essenziale di controllo della legittimità dell’ingerenza nei dati bancari e diviene il principale presidio contro il rischio di richieste generiche, indiscriminate o sproporzionate.

Le conseguenze derivanti dalla mancanza o inadeguatezza della preventiva autorizzazione alle indagini bancarie

Una volta individuata tale funzione sostanziale dell’autorizzazione, la Corte di Cassazione ha affrontato il tema delle conseguenze derivanti dalla sua mancanza o inadeguatezza.

È proprio in questo passaggio che le ordinanze in commento si discostano più nettamente dal tradizionale orientamento giurisprudenziale che qualificava l’autorizzazione alle indagini finanziarie come atto meramente interno all’organizzazione amministrativa, privo di incidenza sulla validità dell’atto impositivo finale.

Secondo la Suprema Corte, infatti, una volta riconosciuto che l’autorizzazione costituisce il titolo legittimante dell’ingerenza nei dati bancari del contribuente, non è più possibile relegare la sua assenza o inidoneità nell’ambito delle mere irregolarità procedimentali prive di conseguenze sul piano dell’accertamento.

A sostegno di tale conclusione, i giudici di legittimità hanno richiamato la giurisprudenza formatasi in materia di accessi domiciliari, valorizzando il principio secondo cui l’illegittimità del provvedimento autorizzatorio si riflette necessariamente sulla validità dell’attività istruttoria compiuta in sua esecuzione e, conseguentemente, sull’atto impositivo fondato sugli elementi acquisiti mediante tale attività.

Sul punto, nelle ordinanze si legge che:

«Va, anzi, valorizzata e recepita nell'ambito in discussione la giurisprudenza di questa Corte in base alla quale gli effetti dell'illegittimità del provvedimento autorizzatorio all’accesso domiciliare (e, a maggior ragione, quelli della mancanza di esso) refluiscono sulla legittimità dell’atto impositivo scaturito dall'accesso che sia fondato sulla documentazione acquisita in quella sede (…)».

In altri termini, la Corte ha individuato un preciso parallelismo tra accesso domiciliare e accesso ai dati bancari: in entrambe le ipotesi, infatti, viene in rilievo un’attività istruttoria che si traduce in una compressione di diritti fondamentali della persona e che, proprio per tale ragione, è subordinata all’esistenza di una preventiva autorizzazione.

Ne consegue che l’assenza della suddetta autorizzazione non può essere considerata una mera irregolarità formale, ma determina un vizio che incide sulla legittimità stessa dell’acquisizione dei dati.

L’argomentazione viene ulteriormente rafforzata mediante il richiamo ai principi elaborati dalla giurisprudenza unionale in materia di tutela giurisdizionale effettiva.

La Corte ha osservato che il diritto di agire in giudizio per ottenere la tutela dei diritti garantiti dall’ordinamento europeo può considerarsi effettivo soltanto se il giudice sia concretamente posto nelle condizioni di esercitare un controllo sull’atto che costituisce il presupposto dell’ingerenza.

Da tale premessa deriva la necessità che l’autorizzazione presenti un contenuto minimo idoneo a consentire la verifica della sussistenza dei presupposti dell'intervento, del suo oggetto e dei suoi limiti.

In mancanza di tali elementi, il controllo giurisdizionale risulterebbe puramente apparente, poiché il giudice non sarebbe in grado di verificare se l’acquisizione dei dati bancari sia stata effettivamente necessaria, pertinente e proporzionata rispetto alle finalità perseguite.

Sul punto, nelle ordinanze in commento così si legge:

«Si tratta di un rimedio utile a presidiare il rischio d'ingerenza sproporzionata e a sanzionarla, qualora si verifichi. Si consideri che, ancora in base alla giurisprudenza unionale, la facoltà, per un determinato soggetto, di agire in giudizio al fine di far constatare la violazione dei diritti conferitigli dal diritto dell'Unione garantisce a quest'ultimo una tutela giurisdizionale effettiva, purché il giudice investito della controversia disponga della possibilità di esercitare il proprio controllo sull'atto o sulla misura da cui trae origine detta violazione (v., in tal senso, sentenza 13 marzo 2007, Unibet, C-432/05, punto 58, principio ripreso al punto 101 dalla Grande Sezione nella sentenza resa nelle cause riunite C-245/19 e C-246/19), il che esige che quell'atto o quella misura presentino un contenuto idoneo a renderne verificabili i presupposti, l'oggetto e i limiti.».

La Corte ha, successivamente, affrontato il tema dell’inutilizzabilità delle prove acquisite in assenza di un valido titolo autorizzativo.

I giudici di legittimità hanno evidenziato che la mancanza dell’autorizzazione non riguarda una fase successiva o accessoria del procedimento, ma investe direttamente il momento genetico dell’acquisizione della prova.

Ed invero, secondo la Corte, il vizio non si colloca «a valle» dell’attività istruttoria, ma «a monte», incidendo sul titolo giuridico che rende possibile l’acquisizione dei dati bancari. Le risultanze così ottenute risultano pertanto prive, sin dall’origine, della necessaria copertura legale.

Nelle pronunce in commento così si legge:

«L’illegittimità, in tale prospettiva, non si colloca a valle, sul piano degli effetti meramente procedimentali, bensì a monte, sul piano del fondamento giuridico dell'ingerenza: le risultanze acquisite in forza di un titolo autorizzativo mancante o inidoneo risultano pertanto ab origine prive di copertura legale.».

In altri termini, l’autorizzazione costituisce il presupposto stesso dell’acquisizione dei dati del contribuente; pertanto, la sua mancanza, ovvero la sua inidoneità per assenza o insufficienza della motivazione, determina l’inutilizzabilità delle risultanze bancarie acquisite e l’invalidità dell’avviso di accertamento nella misura in cui la pretesa tributaria trovi fondamento in tali risultanze.

Tuttavia, chiarisce la Corte, la mancanza o l'inadeguatezza del necessario titolo autorizzativo non comporta necessariamente l’invalidità totale dell’avviso di accertamento, potendo comportare anche un’invalidità parziale dello stesso.

Spetterà, infatti, al giudice del merito verificare se la pretesa tributaria trovi fondamento esclusivo nei dati acquisiti illegittimamente ovvero se residuino ulteriori elementi istruttori autonomamente idonei a sorreggerla.

L’invalidità potrà, pertanto, essere totale o parziale, a seconda dell’incidenza concretamente assunta dalle risultanze bancarie nel procedimento di accertamento.

Sul punto, nelle ordinanze in commento così si legge:

«Non si tratta, pertanto, di affermare un'indiscriminata propagazione di qualsivoglia irregolarità sull'atto impositivo, bensì di riconoscere che, nell'ambito in esame, la mancanza o l'inadeguatezza del necessario titolo autorizzativo mina ab imis la verifica, inserendosi nella fase preliminare del procedimento di formazione dell'atto impositivo, per cui necessariamente si riverbera sull'atto che la conclude determinando, come conseguenza, l'inutilizzabilità delle risultanze acquisite, secondo una logica già chiaramente affermata da questa Corte in materia di accessi domiciliari.

È il difetto del presupposto legittimante, in tale evenienza, a inficiare l'intera sequenza procedimentale: illegittimo è l'atto impositivo che la conclude.

La mancanza o l'inidoneità dell'autorizzazione, perché priva di motivazione o con motivazione reputata inadeguata secondo una valutazione da compiere caso per caso, pertanto, si risolve in una invalidità dell'avviso di accertamento, peraltro non necessariamente totale poiché limitata alla (parte della) pretesa impositiva che si fondi sulla documentazione acquisita in esito e in virtù dell'attività non previamente autorizzata.

Si tratta, quindi, di una causa di invalidità derivata, totale o parziale, dell'avviso che, in quanto tale, è onere della parte introdurre tempestivamente nel giudizio (in termini, Cass. n. 5971/2026, punto 5.3).».

La Corte ha affrontato, infine, il tema della rilevabilità processuale del vizio derivante dalla mancanza o dall’inidoneità dell’autorizzazione alle indagini finanziarie, precisando che tale invalidità non è rilevabile d’ufficio dal giudice tributario, ma deve essere tempestivamente dedotta dal contribuente.

I giudici di legittimità hanno ricondotto tale conclusione al principio dispositivo che governa il processo tributario e alla sua struttura essenzialmente impugnatoria.

Di conseguenza, l’invalidità derivata dell’avviso di accertamento fondata sull’illegittimità dell’attività istruttoria costituisce un motivo di impugnazione che deve essere specificamente introdotto nel giudizio dal contribuente, entro i limiti tracciati dall’atto introduttivo.

La soluzione viene ulteriormente confermata dalla recente riforma dello Statuto dei diritti del contribuente attuata con il D.Lgs. n. 219/2023, che ha introdotto gli artt. 7-bis, 7-ter e 7-quater nella Legge n. 212/2000.

In particolare, la Corte ha evidenziato come il nuovo sistema delle invalidità degli atti dell’Amministrazione finanziaria sia costruito sulla distinzione tra annullabilità e nullità: mentre la generalità dei vizi determina l’annullabilità dell’atto e richiede una specifica deduzione di parte, il rilievo d’ufficio resta confinato alle sole ipotesi di nullità tassativamente individuate dal legislatore.

Pertanto, poiché il vizio derivante dalla mancanza o dall’inadeguatezza dell’autorizzazione alle indagini bancarie non rientra tra le ipotesi di nullità espressamente previste dalla disciplina sopravvenuta, la Corte ha concluso che non è rilevabile d’ufficio.

Ne consegue che l’inutilizzabilità delle risultanze bancarie e la conseguente invalidità, totale o parziale, dell’avviso di accertamento potranno essere dichiarate soltanto a seguito di una specifica contestazione formulata dal contribuente.

Sul punto, nelle pronunce in commento così si legge:

«In materia è intervenuto il D.Lgs. n. 219 del 2023, che ha introdotto nella legge n. 212 del 2000 gli artt. 7-bis, 7-ter e 7-quater disciplinanti, rispettivamente, l'annullabilità, la nullità e l'irregolarità degli atti dell'amministrazione finanziaria.

Orbene, come correttamente osservato già da Cass. n. 2385/2025, la nuova disciplina è imperniata, quanto alle ipotesi di invalidità, sulla dicotomia tra atti annullabili (la generalità), per i quali è escluso il rilievo d'ufficio, e quelli nulli, espressamente individuati in quelli viziati per difetto assoluto di attribuzione, o adottati in violazione o elusione di giudicato, ovvero se affetti da altri vizi di nullità qualificati espressamente come tali ma da disposizioni entrate in vigore successivamente al predetto decreto, per i quali vale al contrario la regola del rilievo d'ufficio. In particolare, la disposizione detta la regola per cui solo le ipotesi di atti esplicitamente qualificati come nulli da una legge entrata in vigore successivamente al 18 gennaio 2024 sono soggetti al rilievo d'ufficio della relativa invalidità, così ulteriormente confermando le conclusioni qui tratte circa la non rilevabilità d'ufficio del profilo indicato d'invalidità (v., sulla medesima linea, Cass., n. 27053/2025, punto 4.5.; Cass. n. 5954/2026).

Il motivo va quindi accolto e la sentenza cassata per il profilo corrispondente.

Spetterà, dunque, al giudice di merito verificare in quale misura la ripresa trovi fondamento esclusivo o determinante nei dati inutilizzabili e in quale misura, invece, possa residuare sulla base di ulteriori elementi ritualmente acquisiti (…)».

Alla luce delle suesposte considerazioni, la Corte di Cassazione, nelle ordinanze n. 19956 e 19960 del 2026, ha enunciato il seguente principio di diritto:

«In tema di accertamento tributario fondato su indagini bancarie, l'autorizzazione prevista dall'art. 32, primo comma, n. 7, del D.P.R. n. 600 del 1973, in materia di imposte dirette, e dall'art. 51, secondo comma, n. 7, del D.P.R. n. 633 del 1972, in materia di IVA, pur conservando, nel diritto interno, natura di atto preparatorio e organizzativo, deve essere preesistente alle indagini e recare, alla luce dell'art. 8 CEDU, come interpretato dalla Corte europea dei diritti dell'Uomo, nonché degli artt. 7, 8 e 52 della Carta dei diritti fondamentali dell'Unione europea, un contenuto minimo idoneo a rendere verificabili, anche ex post, i presupposti, l'oggetto e i limiti dell'ingerenza nei dati bancari del contribuente. Ne consegue che, ove l'autorizzazione, a seguito di specifica contestazione del contribuente, risulti mancante o inidonea, la documentazione bancaria acquisita è inutilizzabile, in quanto l'avviso di accertamento è invalido per la parte in cui la pretesa impositiva si fondi su di essa.».

Pertanto, le pronunce in commento nell’individuare, di fatto, un nuovo assetto interpretativo in materia di indagini finanziarie, da un lato, rafforzano significativamente le garanzie sostanziali poste a tutela del contribuente, attribuendo all’autorizzazione una funzione essenziale di legittimazione dell’ingerenza nei dati bancari e, dall’altro, mantengono ferma la tradizionale impostazione del processo tributario, affidando alla parte interessata l’onere di far valere il relativo vizio mediante la tempestiva impugnazione.

Alla luce delle considerazioni svolte, emerge come, con le ordinanze nn. 19956 e 19960 del 15 giugno 2026, la Corte di Cassazione abbia inteso offrire una ricostruzione unitaria della funzione dell’autorizzazione alle indagini finanziarie e dei presupposti che legittimano l’ingerenza dell’Amministrazione finanziaria nei dati bancari del contribuente.

In sintesi, i principi affermati dalle pronunce in commento possono essere così riassunti:

• l’autorizzazione ex artt. 32 D.P.R. n. 600/1973 e 51 D.P.R. n. 633/1972, pur conservando nel diritto interno la natura di atto preparatorio e organizzativo dell’azione amministrativa, assume una valenza sostanzialmente garantista, in quanto strumento volto a rendere verificabili i presupposti, l’oggetto e i limiti dell’accesso ai dati bancari del contribuente. Dunque, la sua funzione non è meramente formale, ma incide sulla stessa legittimazione dell’attività istruttoria, la quale deve risultare preventivamente autorizzata e adeguatamente delimitata;
• conseguentemente, la mancanza o l’inadeguatezza dell’autorizzazione non si esaurisce in una mera irregolarità procedimentale, ma si riflette sulla validità dell’attività di acquisizione e, di conseguenza, sull’utilizzabilità delle risultanze istruttorie;
• l’inutilizzabilità dei dati bancari acquisiti in difetto di una valida autorizzazione può determinare l’invalidità, totale o parziale, dell’atto impositivo che su di essi si fonda;
• il suddetto vizio non è rilevabile d’ufficio e deve, pertanto, essere tempestivamente eccepito dal contribuente.

Le pronunce in esame si inseriscono, dunque, in un ampio processo di armonizzazione del diritto tributario interno ai principi convenzionali ed unionali in materia di tutela della vita privata e protezione dei dati personali, nell’ambito del quale l’autorizzazione alle indagini finanziarie, pur senza che ne risulti alterata la natura interna di atto meramente preparatorio e organizzativo, viene progressivamente riletta in chiave sostanziale, quale presidio di garanzia a tutela della riservatezza del contribuente e della proporzionalità dell’ingerenza pubblica.

In definitiva, i giudici di legittimità, con le ordinanze in commento, hanno effettuato un bilanciamento tra le esigenze di efficacia dell’azione accertativa e la tutela dei diritti fondamentali del contribuente, delineando un modello di controllo dell’attività istruttoria improntato a criteri di proporzionalità, verificabilità e sindacabilità dell’azione amministrativa.