Cass. nn. 19956, 19960, 20609 e 20694 del 2026, sulla scia della sentenza CEDU Ferrieri e Bonassisa: l’autorizzazione deve preesistere all’indagine e indicarne presupposti, oggetto e limiti; in difetto, i dati bancari sono inutilizzabili — anche per il passato, senza attendere l’art. 7-quinquies dello Statuto
Di Avv. Dott. Comm. Dario Carta — Carta & Partners · Agosto 2026
Con una serie di pronunce ravvicinate — nn. 19956, 19960, 20609 e 20694 del 2026 — la Sezione tributaria della Corte di cassazione ha riveduto il proprio consolidato orientamento in materia di indagini finanziarie, recependo i principi affermati dalla Corte europea dei diritti dell’uomo, da ultimo con la sentenza Ferrieri e Bonassisa dell’8 gennaio 2026. Il nuovo assetto è netto: l’accesso ai dati bancari del contribuente è legittimo solo se assistito da un’autorizzazione preesistente che ne indichi presupposti, oggetto e limiti, in modo da consentirne il controllo successivo da parte del giudice; in difetto, i dati acquisiti sono inutilizzabili. E poiché il principio viene ricavato dalla normativa preesistente — per equiparazione con gli accessi domiciliari non autorizzati — esso opera anche per il passato, senza attendere né l’art. 7-quinquies dello Statuto del contribuente né il responso delle Sezioni Unite sulla sua retroattività. Il contributo ricostruisce il percorso — dalla prassi storica dell’Amministrazione alla giurisprudenza CEDU — e ne trae le implicazioni difensive per i contenziosi in corso e futuri.
Indice
Le indagini finanziarie sono da decenni uno degli strumenti istruttori più penetranti — e più temuti — dell’ordinamento tributario: l’accesso ai rapporti bancari del contribuente alimenta accertamenti costruiti su presunzioni legali relative, con inversione dell’onere della prova sulle singole movimentazioni. A fronte di tale forza probatoria, il presidio di garanzia — l’autorizzazione gerarchica all’acquisizione dei dati — era stato progressivamente svuotato dalla giurisprudenza di legittimità, che lo qualificava come atto meramente interno, non bisognoso di motivazione e la cui stessa mancanza non inficiava l’utilizzabilità dei dati raccolti.
È questo l’assetto che le pronunce dell’estate 2026 hanno ribaltato. Sotto la spinta della Corte di Strasburgo, la Cassazione ha riconosciuto che l’accesso non autorizzato — o autorizzato senza l’indicazione di presupposti, oggetto e limiti — priva di fondamento giuridico l’intera attività istruttoria, con conseguente inutilizzabilità dei dati e dei documenti così appresi. Una conclusione che, per il modo in cui è costruita, è destinata a valere anche per i rapporti pregressi e a proiettarsi oltre il perimetro delle indagini bancarie.
Nel sistema del D.P.R. n. 600/1973 le risultanze delle indagini finanziarie non costituiscono una categoria autonoma di accertamento: la legge stabilisce che esse sono «poste a base» delle rettifiche e degli accertamenti previsti dagli artt. 38, 39, 40 e 41 — dunque un mezzo istruttorio al servizio delle ordinarie metodologie accertative. La prassi giurisprudenziale aveva tuttavia consolidato la figura dell’«accertamento bancario» quale tipologia a sé, fondata su presunzioni legali relative riferite a versamenti e prelevamenti, superabili solo con prova analitica, movimentazione per movimentazione.
Quanto ai presidi procedurali, l’orientamento pregresso era di massima chiusura su entrambi i fronti. Il contraddittorio preventivo sull’utilizzo dei dati bancari — pur ancorabile al dato letterale dell’art. 32 del D.P.R. n. 600/1973, che impone di documentare a verbale le richieste rivolte al contribuente e le risposte ricevute — era declinato come mera facoltà dell’Ufficio. L’autorizzazione dell’autorità gerarchica (per gli accessi presso gli istituti finanziari, del Direttore regionale dell’Agenzia delle entrate o del Comandante regionale della Guardia di Finanza, ex art. 33, comma 6, del D.P.R. n. 600/1973) era qualificata atto interno di organizzazione, privo di rilevanza esterna: non richiedeva motivazione e la sua stessa assenza non travolgeva l’accertamento, salva la prova — di fatto diabolica — di un pregiudizio concreto subito dal contribuente. Ne risultava un sistema in cui il contribuente si trovava esposto a una rettifica fondata su presunzioni legali, senza contraddittorio necessario e, al limite, senza alcuna autorizzazione: un equilibrio difficilmente compatibile con i principi del giusto procedimento.
È significativo — ed è un profilo valorizzato dalla stessa giurisprudenza europea — che l’impostazione originaria dell’Amministrazione finanziaria fosse ben più rigorosa dell’approdo giurisprudenziale. La prassi degli anni Novanta escludeva che l’indagine bancaria potesse essere attivata come fishing expedition, cioè come strumento esplorativo per reperire elementi a sostegno di una rettifica ancora tutta da costruire: la richiesta di autorizzazione presupponeva una posizione fiscale già selezionata — evasori totali, soggetti privi di contabilità, coinvolgimento in fatturazioni per operazioni inesistenti, manifesta sproporzione tra capacità finanziaria e redditi dichiarati — e doveva dare conto della proficuità attesa dell’indagine. Documenti successivi ribadivano che il controllo bancario presuppone un’indagine fiscale già avviata; le istruzioni della Guardia di Finanza imponevano la motivazione delle richieste di accesso e la verbalizzazione del contraddittorio con il contribuente.
In altri termini: lo strumento era nato come mezzo di approfondimento mirato, assistito da presupposti selettivi e da motivazione. La torsione in senso espansivo è venuta dall’interpretazione giurisprudenziale che, neutralizzando il valore dell’autorizzazione, aveva consegnato all’Ufficio una discrezionalità di fatto illimitata nell’accesso ai dati bancari.
Su questo assetto è intervenuta la Corte europea dei diritti dell’uomo. Nel solco tracciato dalla sentenza Italgomme Pneumatici del 6 febbraio 2025 in materia di accessi, ispezioni e verifiche — e proseguito con le pronunce Agrisud e Edilsud — la sentenza Ferrieri e Bonassisa, depositata l’8 gennaio 2026, ha esteso il ragionamento alle indagini bancarie, muovendo da una premessa ormai stabile: le informazioni bancarie sono dati personali e rientrano nella tutela della vita privata e del domicilio garantita dall’art. 8 della CEDU.
Ne discendono tre corollari. Primo: le deroghe alla tutela sono ammesse solo se chiaramente disciplinate dalla legge e prevedibili, da interpretarsi restrittivamente e da giustificarsi in modo convincente. Secondo: la riserva di legge va intesa in senso sostanziale — conta non solo la previsione normativa, ma il diritto vivente che ne risulta per effetto della prassi amministrativa e della giurisprudenza. Terzo: non è indispensabile un controllo giurisdizionale preventivo sull’accesso, purché sia disponibile un controllo successivo effettivo da parte di un’autorità indipendente, idoneo anche a inibire tempestivamente la prosecuzione di indagini non giustificate.
Misurato su questi parametri, l’ordinamento italiano — nella lettura datane dalla giurisprudenza interna — è risultato deficitario sotto un duplice profilo: da un lato, la discrezionalità pressoché illimitata dell’Amministrazione, atteso che l’autorizzazione non richiedeva motivazione e poteva perfino mancare senza conseguenze; dall’altro, l’assenza di qualunque rimedio giurisdizionale capace di arrestare in tempo utile un’indagine ingiustificata. Significativa la notazione della Corte per cui i criteri selettivi elaborati dalla prassi nazionale avrebbero potuto soddisfare la Convenzione, ove fossero stati vincolanti per gli Uffici.
Con le sentenze nn. 19956, 19960, 20609 e 20694 del 2026 la Suprema Corte ha rimeditato il proprio orientamento alla luce dei criteri di Strasburgo. Pur senza rinnegare formalmente la qualificazione dell’autorizzazione come atto a valenza interna, la Corte la eleva a unico provvedimento legittimante l’acquisizione dei dati bancari, con due conseguenze precise.
Le due regole del nuovo corso
Prima regola: l’autorizzazione deve preesistere all’indagine; la sua mancanza priva di fondamento giuridico le attività istruttorie compiute. Seconda regola: il provvedimento deve indicare «i presupposti, l’oggetto e i limiti dell’accesso», così da renderne verificabili ex post, da parte di un’autorità indipendente qual è il giudice, la pertinenza e l’adeguatezza rispetto al principio di proporzionalità. L’accertamento fondato su dati acquisiti in violazione di tali regole è illegittimo, perché i dati sono inutilizzabili.
Colpisce, nella tessitura argomentativa, la scelta di non evocare espressamente il concetto di «motivazione» dell’atto autorizzatorio — con ogni probabilità per non attrarlo nello statuto dei provvedimenti amministrativi a rilevanza esterna. È però una linea di confine destinata, a nostro avviso, a non reggere a lungo: le pronunce della Corte EDU pretendono espressamente che le autorità fiscali giustifichino la deroga alla sfera privata, e la distanza tra «indicazione di presupposti, oggetto e limiti» e «motivazione» è, nella sostanza, impalpabile.
Il passaggio sistematicamente più rilevante è però un altro: la Cassazione accosta le indagini finanziarie non autorizzate (o autorizzate senza idonea giustificazione) agli accessi domiciliari privi dell’autorizzazione prescritta dall’art. 52, comma 2, del D.P.R. n. 633/1972 — fattispecie per la quale la giurisprudenza di legittimità afferma da tempo l’inutilizzabilità dei dati acquisiti, in quanto ottenuti in deroga a diritti costituzionalmente garantiti (art. 14 Cost.). La violazione di diritti sanciti dalla CEDU viene così equiparata, quanto a effetti, alla violazione di diritti costituzionali: un ponte argomentativo che vale ben oltre il perimetro delle indagini bancarie.
La riforma fiscale ha introdotto nello Statuto del contribuente l’art. 7-quinquies (Legge n. 212/2000), che sancisce in via generale l’inutilizzabilità dei dati acquisiti in violazione di legge; sulla sua applicabilità ai rapporti anteriori pende la decisione delle Sezioni Unite. Il valore delle pronunce del 2026 sta esattamente qui: il principio di inutilizzabilità viene ricavato dalla normativa preesistente, per via dell’equiparazione agli accessi domiciliari non autorizzati — sicché esso opera anche per il passato, a prescindere dall’esito del giudizio sulla retroattività della nuova disposizione, che ne esce degradata a conferma legislativa di una regola già immanente al sistema.
La medesima logica è destinata a proiettarsi sugli accessi presso i locali dell’impresa effettuati con modalità non conformi ai canoni della giurisprudenza Italgomme. Né pare decisivo, in senso contrario, il fatto che l’integrazione dell’art. 12, comma 1, dello Statuto — che oggi impone di indicare e motivare espressamente, negli atti di autorizzazione e nei processi verbali, le circostanze che giustificano l’accesso (art. 13-bis del D.L. n. 84/2025) — disponga i propri effetti solo dal 1° agosto 2025: già nel testo previgente, l’art. 12 subordinava gli accessi a «esigenze effettive di indagine e controllo sul luogo» e riconosceva al contribuente il diritto di essere informato delle ragioni della verifica, con ciò imponendone l’esternazione e la sindacabilità. Quanto ai tributi armonizzati, infine, la tutela trova copertura diretta nell’art. 7 della Carta dei diritti fondamentali dell’Unione Europea, con la forza espansiva che al diritto unionale compete anche rispetto a eventuali disposizioni interne contrarie.
Resta aperto il secondo fronte segnalato da Strasburgo: la disponibilità di un rimedio capace di fermare in tempo utile un’indagine non giustificata, senza attendere l’eventuale avviso di accertamento. Un punto di partenza esiste già nell’ordinamento: le Sezioni Unite, con la sentenza n. 8587/2016, hanno riconosciuto che l’accesso illegittimo viola un diritto soggettivo del contribuente, tutelabile davanti al giudice ordinario — anche in via cautelare. Il limite sta nella condizione apposta a quell’azione: la sua esperibilità solo ove non sia instaurato (o instaurabile) un contenzioso tributario sull’atto impositivo conseguente — il che rinvia la tutela, di fatto, a violazione ormai consumata.
È precisamente questa condizione a confliggere con i principi convenzionali, che esigono un controllo effettivo e tempestivo. La sua rimozione non richiede un intervento legislativo: è sufficiente un’interpretazione evolutiva, coerente con il percorso che la stessa Cassazione ha ormai imboccato in punto di inutilizzabilità. È ragionevole attendersi che il tema della tutela immediata — anche cautelare — contro indagini finanziarie e accessi non giustificati costituisca il prossimo terreno di assestamento della giurisprudenza.
Per i contribuenti e per i difensori, il nuovo corso ha ricadute immediate e concrete. Prima: in ogni contenzioso — pendente o instaurando — fondato su accertamenti bancari, anche relativi ad annualità pregresse, va richiesta l’esibizione dell’autorizzazione e va verificato che essa preesista all’indagine e indichi presupposti, oggetto e limiti dell’accesso: il vizio si traduce in eccezione di inutilizzabilità dei dati, che travolge la base probatoria della rettifica — tanto più dirompente in un accertamento costruito interamente su presunzioni legali da movimentazioni bancarie. Seconda: l’eccezione va calibrata anche sul piano della proporzionalità: un’indagine bancaria attivata in funzione meramente esplorativa, senza anomalie già riscontrate in un’istruttoria avviata e senza che le informazioni fossero altrimenti acquisibili, si pone in tensione con i criteri convenzionali oggi recepiti. Terza: analoga verifica va condotta sugli accessi in azienda — autorizzazioni e processi verbali vanno esaminati alla luce dei canoni Italgomme, nella prospettiva dell’estensione del principio di inutilizzabilità. Quarta: nei casi più gravi, va considerata la via della tutela davanti al giudice ordinario, anche cautelare, nei limiti (per ora) segnati dalle Sezioni Unite del 2016.
Sul piano sistematico, la vicenda si inscrive in un movimento più ampio: il progressivo riallineamento dell’istruttoria tributaria ai diritti fondamentali, nel quale la trasparenza dei presupposti dell’azione amministrativa diventa condizione di utilizzabilità dei suoi esiti. È la stessa logica che presidia, sul versante degli obblighi dei contribuenti e degli intermediari, il corretto flusso informativo verso l’Archivio dei rapporti finanziari — la banca dati da cui le indagini in esame prendono le mosse — e che governa, più in generale, i confini del potere di rettifica rispetto alle scelte del contribuente, come si è visto di recente in tema di sindacato sull’inerenza degli interessi passivi. La direzione è tracciata; la partita, tra Sezioni Unite e rimedi cautelari, è ancora aperta — ma per la prima volta da anni si gioca sul terreno delle garanzie.
Carta & Partners — La competenza che conta
Lo Studio assiste imprese, professionisti e privati nella difesa da accertamenti fondati su indagini finanziarie e accessi ispettivi: verifica della legittimità delle autorizzazioni e dell’attività istruttoria, eccezioni di inutilizzabilità dei dati, gestione del contraddittorio, ricorsi avverso gli avvisi di accertamento e tutela d’urgenza. Per una valutazione del caso concreto è possibile contattare lo Studio all’indirizzo segreteria@cartaepartners.it — Tel. 06 23485903.
Avv. Dott. Comm. Dario Carta
Riferimenti normativi: artt. 32 e 33 del D.P.R. n. 600/1973; art. 52 del D.P.R. n. 633/1972; artt. 7-quinquies e 12 della L. n. 212/2000 (Statuto del contribuente); art. 13-bis del D.L. n. 84/2025; art. 8 CEDU; art. 7 della Carta dei diritti fondamentali dell’UE; art. 14 Cost.
Giurisprudenza: Cass. civ. nn. 19956, 19960, 20609 e 20694 del 2026; Cass., SS.UU., n. 8587/2016; Corte EDU, Ferrieri e Bonassisa, 8 gennaio 2026; Italgomme Pneumatici, 6 febbraio 2025; Agrisud, 11 dicembre 2025; Edilsud, 5 marzo 2026.
Il presente contributo ha finalità informativa e non costituisce parere professionale.
TELEFONO
+39 06 23485903
Developed by Dean&Vial