9 aprile 2026 – La Guardia di Finanza, su mandato della Procura di Roma, ha varcato giovedì le porte della sede di Ita Airways. I militari del nucleo di Polizia Economica Finanziaria non cercavano un singolo documento, ma l’architettura di un presunto patto illecito che lega la compagnia aerea ai vertici del Garante per la protezione dei dati personali. L’acquisizione documentale, disposta dai pubblici ministeri coordinati dal dottor Giuseppe De Falco, è l’ultimo atto di un’indagine che vede iscritto nel registro degli indagati Fabio Lazzerini, amministratore delegato della compagnia dal 2020 al 2023. Le ipotesi di reato sono pesanti: corruzione e omissione d’atti d’ufficio. Al centro della vicenda, la presunta concessione di benefici indebiti in cambio di un trattamento di favore in un procedimento per illecito trattamento di dati.
Il fascicolo d’indagine, che segue un decreto di perquisizione eseguito già a gennaio, mira a ricostruire la catena decisionale che ha portato all’emissione di tessere ‘Volare Classe Executive’, del valore commerciale di 6.000 euro ciascuna, a favore dei membri del collegio del Garante, composto da Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia e Guido Scorza. Queste tessere non sarebbero state un semplice omaggio di cortesia, ma, secondo l’ipotesi accusatoria, l’utilità corrisposta per ottenere un esito favorevole in una delicata controversia. Ita Airways era infatti sotto la lente dell’Autorità per violazioni nel trattamento dei dati personali di manager e dipendenti, emerse a seguito di un reclamo di un ex dirigente. Il procedimento si è concluso con un semplice ammonimento formale, senza alcuna sanzione economica, una decisione che ora appare sotto una luce diversa. La mancata irrogazione di una sanzione pecuniaria, potenzialmente milionaria data la natura delle violazioni e il perimetro aziendale, costituisce il presunto vantaggio per la compagnia e il nucleo dell’ipotesi di omissione d’atti d’ufficio a carico dei pubblici ufficiali.
L’intera vicenda espone l’ente a una diretta responsabilità ai sensi del Decreto Legislativo 231/2001. La corruzione è uno dei reati presupposto cardine, e qualora venisse provato che l’azione è stata commessa nell’interesse o a vantaggio della società da parte di un soggetto in posizione apicale come l’amministratore delegato, le conseguenze per Ita Airways sarebbero devastanti. Si va da sanzioni pecuniarie calcolate in quote, il cui valore può arrivare a centinaia di migliaia di euro, fino alle sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione, e, soprattutto, la confisca del profitto del reato. In questo caso, il profitto non sarebbe solo il valore delle tessere, ma l’intero importo della sanzione amministrativa che l’azienda ha illecitamente evitato di pagare.
Un’analisi forense dei fatti rivela una serie di falle procedurali e di controllo che hanno reso possibile l’evento. Il primo anello debole è stata la gestione della richiesta delle tessere. Dalle carte emerge una mail datata 30 novembre 2022, inviata da Ada Fiaschi, attuale Data Protection Officer di Ita Airways, con la quale si richiedeva l’emissione delle tessere. La mail specificava che la richiesta proveniva da un’indicazione di Stefano Aterno. Questo passaggio è cruciale. Una richiesta di omaggi di valore significativo destinati a pubblici ufficiali, per di più membri di un’autorità di vigilanza con un procedimento aperto sulla società, rappresenta un’area a rischio reato elevatissimo. In un’organizzazione dotata di un ecosistema di controllo come Scudo231, una simile richiesta non sarebbe mai stata processata come una normale pratica amministrativa. Il sistema, attraverso i suoi motori di analisi semantica e contestuale, avrebbe intercettato la richiesta nel flusso di comunicazione interna, riconoscendo i destinatari come Persone Politicamente Esposte (PEP) e membri di un’autorità di vigilanza. Questo avrebbe attivato un protocollo di blocco automatico, generando un alert in tempo reale e una segnalazione vincolante all’Organismo di Vigilanza 231 e alla funzione Compliance, che avrebbero dovuto autorizzare esplicitamente la procedura dopo un’analisi di rischio documentata. L’assenza di tale flusso tracciato e controllato ha invece lasciato la decisione a una catena di comando informale e priva di presidi.
Il secondo, e forse più grave, punto di rottura riguarda il palese conflitto di interessi che legava la compagnia al Garante. Stefano Aterno, indicato come il mandante della richiesta delle tessere e responsabile del trattamento dati per Ita nel biennio 2022-2023, era socio dello studio legale fondato da Guido Scorza, uno dei quattro membri del collegio del Garante. A rendere il quadro ancora più critico, la moglie di Scorza è partner dello stesso studio. Questa rete di relazioni professionali e personali tra il controllore (Scorza) e il consulente del controllato (Aterno per Ita) avrebbe dovuto far scattare più di un campanello d’allarme. La mancata identificazione e gestione di questo conflitto di interessi è una grave omissione di due diligence. Un modello di prevenzione efficace non si limita a procedure cartacee, ma esegue un monitoraggio attivo e continuo sulle terze parti. L’ecosistema Scudo231, ad esempio, integra database esterni per la verifica continua dei fornitori e dei consulenti chiave, mappando le relazioni societarie e personali con funzionari pubblici e PEP. L’incrocio tra i dati di Aterno e Scorza avrebbe generato un’anomalia ad alto rischio, segnalando il conflitto di interessi all’atto del conferimento dell’incarico a Aterno o al suo studio. Questa segnalazione avrebbe imposto all’azienda di adottare misure di mitigazione, come la nomina di un DPO diverso e indipendente, o la formalizzazione di protocolli di astensione, documentando ogni interazione e prevenendo la creazione di canali di comunicazione privilegiati e opachi.
La stessa gestione del procedimento per illecito trattamento dei dati presenta profili di criticità che un modello organizzativo robusto avrebbe intercettato. Le contestazioni del Garante riguardavano irregolarità nel monitoraggio delle comunicazioni e nella tenuta dei registri di trattamento. Si tratta di attività operative che devono essere costantemente tracciate e registrate. La debolezza dei controlli interni su questi processi non solo ha esposto l’azienda alla sanzione del Garante, ma ha anche creato il presupposto per la presunta corruzione, ovvero la necessità di “risolvere” il problema per via extra-procedurale. Se fosse stato implementato un sistema di Governance, Risk and Compliance (GRC) digitale e integrato, ogni attività di trattamento dati sarebbe stata registrata in un log immutabile. Qualsiasi anomalia rispetto alle policy definite o ai requisiti del GDPR, come un accesso non autorizzato o una mancata registrazione, avrebbe generato un “weak signal” rilevato dai sistemi di analisi predittiva. L’azienda avrebbe avuto evidenza interna e immediata della non conformità, potendo avviare azioni correttive prima ancora dell’avvio di un’ispezione esterna. Questo non solo avrebbe mitigato il rischio di una sanzione, ma avrebbe eliminato alla radice il “vantaggio” ricercato attraverso il presunto atto corruttivo, rendendolo inutile.
Ora, con l’acquisizione documentale da parte della Guardia di Finanza, Ita Airways si trova in una posizione difensiva difficile. La società ha dichiarato di aver fornito la massima collaborazione e ha riaffermato la sua disponibilità a cooperare con gli inquirenti. Tuttavia, in un procedimento 231, la collaborazione post-fatto ha un’efficacia limitata se non si può dimostrare di aver adottato ed efficacemente attuato, prima della commissione del reato, un modello organizzativo idoneo a prevenirlo. La difesa dell’ente si giocherà sulla capacità di provare che l’azione di Lazzerini, se accertata, sia stata un’iniziativa personale posta in essere eludendo fraudolentemente i modelli e le procedure aziendali. Sarà un compito arduo se le procedure stesse, come la gestione degli omaggi o la due diligence sui consulenti, si riveleranno deboli, generiche o meramente formali.
L’indagine della Procura di Roma dovrà ora analizzare le comunicazioni interne, i verbali, le delibere e i flussi finanziari per cristallizzare le responsabilità individuali e, di riflesso, quelle dell’ente. Il materiale sequestrato sarà fondamentale per stabilire se la richiesta delle tessere sia stata un’iniziativa isolata o il risultato di una cultura aziendale tollerante verso pratiche opache per la gestione dei rapporti istituzionali. La prova regina sarà la connessione causale tra l’erogazione delle tessere e la decisione “morbida” del Garante. In uno scenario alternativo, l’azienda avrebbe potuto affrontare l’ispezione della Guardia di Finanza non subendola, ma fornendo proattivamente la documentazione generata dai propri sistemi di controllo. Avrebbe potuto esibire il log della richiesta di omaggio bloccata dal sistema, il report sul conflitto di interessi identificato e gestito, e i registri digitali delle attività di trattamento dati. Questo tipo di prova tecnologica, che l’architettura di Scudo231 è progettata per generare, costituisce la più solida linea di difesa per un’azienda, trasformando un’accusa di colpa di organizzazione in una dimostrazione di integrità e controllo effettivo. Invece, ora, il destino della società è legato alla ricostruzione che gli inquirenti faranno di documenti frammentati e testimonianze, un percorso incerto e potenzialmente molto oneroso.