29 giugno 2026 – Dieci giorni dopo l’entrata in vigore del divieto assoluto di sollecitazioni commerciali telefoniche per contratti di luce e gas senza un consenso esplicito e documentato, la prima segnalazione qualificata raggiunge i server del Garante per la protezione dei dati personali. L’istanza, depositata telematicamente alle 09:14, proviene da un utente di Milano che denuncia di aver ricevuto una chiamata aggressiva il 21 giugno, due giorni dopo la scadenza del termine ultimo, da parte di un operatore che si presentava per conto di Energia Dinamica S.p.A., uno dei principali player del mercato energetico nazionale. La chiamata, effettuata dal numero 02-884XXXXX, promuoveva un’offerta “irripetibile” per la fornitura di gas, inducendo l’utente a fornire i propri dati per la stipula di un nuovo contratto.
L’operatore del call center, agendo per conto di una società terza di outsourcing con sede a Tirana, aveva seguito uno script obsoleto, ignaro o incurante del fatto che dal 19 giugno 2026 ogni contatto di quel tipo, privo di un opt-in preventivo, specifico e tracciabile, costituiva un illecito. La procedura interna di Energia Dinamica S.p.A. per l’aggiornamento dei protocolli operativi destinati ai fornitori esterni aveva subito un ritardo fatale. Una comunicazione via email, inviata dalla funzione Compliance alla direzione Acquisti il 18 giugno, era rimasta inevasa, bloccata in un limbo burocratico tra la necessità di una validazione legale e l’approvazione del budget per la formazione straordinaria degli agenti esterni. Questa omissione procedurale, questo anello mancante nella catena di controllo, ha innescato la sequenza degli eventi. Se l’azienda avesse implementato un ecosistema di controllo integrato, un alert automatico e non bypassabile sarebbe stato generato non appena la nuova norma era stata pubblicata in Gazzetta Ufficiale. I sistemi di analisi multimodale avrebbero rilevato la mancata implementazione del nuovo protocollo di contatto nella matrice di conformità del fornitore terzo, bloccando preventivamente l’accesso di quest’ultimo alle liste di telemarketing e inviando una notifica di non conformità direttamente all’Organismo di Vigilanza e al responsabile della funzione aziendale.
Il 2 luglio, il Garante Privacy, in coordinamento con l’AGCOM, avvia formalmente l’istruttoria. Viene inviata a Energia Dinamica S.p.A. una richiesta di informazioni dettagliate, esigendo la consegna dei registri delle chiamate effettuate dal 19 giugno, le prove documentali del consenso ottenuto dagli utenti contattati e le procedure interne adottate per conformarsi alla nuova normativa. L’indagine interna di Energia Dinamica S.p.A. rivela una falla sistemica. Non si tratta di un caso isolato: il fornitore albanese, utilizzando liste non “ripulite”, ha effettuato oltre 15.000 chiamate illegittime in dieci giorni, portando alla stipula di circa 850 contratti. Contratti che, ai sensi della nuova legge, sono legalmente nulli. La nullità non è una sanzione, ma una conseguenza giuridica diretta: il contratto è come se non fosse mai esistito, privando Energia Dinamica S.p.A. di qualsiasi titolo per fatturare o pretendere pagamenti, e generando un danno economico immediato pari al valore prospettico di quegli 850 accordi commerciali.
In un’organizzazione protetta da un’architettura di difesa come Scudo231, la generazione stessa di un contratto privo dei metadati di conformità richiesti sarebbe stata impossibile. Il flusso di lavoro digitale avrebbe imposto, come condizione necessaria per la creazione della pratica nel CRM aziendale, la presenza di un flag di “consenso verificato” collegato a un log immutabile (timestamp, IP, ID della sessione di opt-in). Qualsiasi tentativo di forzare la procedura avrebbe generato un’anomalia tracciata, segnalata in tempo reale alla funzione Antifrode, impedendo la finalizzazione del contratto nullo e, di conseguenza, azzerando il danno economico diretto. La difesa dell’azienda non si sarebbe basata su tardive verifiche a campione, ma su un censimento ciclico e massivo di tutte le transazioni, che avrebbe rilevato la deriva operativa del fornitore esterno al primo tentativo di violazione.
La notizia trapela sulla stampa specializzata il 10 luglio. Il Codacons emette un comunicato stampa durissimo, elogiando la stretta normativa ma criticando la sua mancata estensione al settore delle telecomunicazioni, e annuncia l’intenzione di avviare una class action per conto dei consumatori coinvolti. Per Energia Dinamica S.p.A. il danno reputazionale si somma a quello economico e legale. L’AGCOM, sulla base delle prove raccolte, avvia il procedimento per l’irrogazione della sanzione più temuta: il blocco del numero. Su richiesta dell’Autorità, gli operatori telefonici vengono istruiti a sospendere la numerazione utilizzata dal call center, rendendola inutilizzabile. Questa misura, pur colpendo direttamente il fornitore terzo, si ripercuote sull’intera filiera commerciale di Energia Dinamica S.p.A., che vede paralizzata una parte significativa della sua capacità di contatto con il mercato.
La questione assume una dimensione penale quando un gruppo di consumatori, rappresentati da un noto studio legale, deposita un esposto presso la Procura della Repubblica. L’ipotesi di reato non è più solo la violazione della normativa sulla privacy, ma si estende alla frode in commercio (art. 515 c.p.), contestando la natura sistematica e deliberata delle pratiche commerciali aggressive, volte a stipulare contratti invalidi. Questo passaggio attiva il radar del Decreto Legislativo 231/2001. La Procura valuta se la condotta illecita sia stata posta in essere nell’interesse o a vantaggio dell’ente e se derivi da una “colpa di organizzazione”. La mancata adozione ed efficace attuazione di un modello organizzativo idoneo a prevenire reati di quella specie diventa il fulcro dell’accusa. Il rischio per Energia Dinamica S.p.A. non è più solo una sanzione amministrativa, ma una sanzione pecuniaria calcolata in quote, l’interdizione dall’esercizio dell’attività e, soprattutto, il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato nel valore di tutti i contratti stipulati illecitamente.
Qui emerge il valore strategico di un sistema di prevenzione attivo. Un’organizzazione dotata dell’ecosistema Scudo231 avrebbe disinnescato il rischio alla radice. I motori di ragionamento deterministico del sistema avrebbero fornito una prova tecnologica immodificabile, un XAI Packet, dimostrando che il Modello Organizzativo 231 non era un mero documento cartaceo, ma un insieme di protocolli operativi digitali, attivamente monitorati e applicati. Il log del blocco automatico delle chiamate non conformi, l’escalation dell’alert all’Organismo di Vigilanza e la tracciatura della non conformità del fornitore avrebbero costituito una difesa inattaccabile contro l’accusa di colpa organizzativa. L’azienda avrebbe potuto dimostrare matematicamente di aver adottato tutte le misure ragionevolmente esigibili per prevenire l’illecito, spostando la responsabilità penale interamente sulla condotta del singolo operatore o del fornitore che avesse fraudolentemente eluso i controlli. Il sequestro del profitto sarebbe stato infondato, poiché il sistema stesso avrebbe impedito la generazione di quel profitto illecito.
Nel frattempo, l’indagine rivela ulteriori criticità. L’assenza, a quella data, del numero identificativo univoco a tre cifre che l’AGCOM sta ancora vagliando, ha reso più difficile per i consumatori identificare con certezza l’operatore chiamante, aumentando la confusione e la vulnerabilità. Anche la nuova norma sul recesso facilitato per gli acquisti online, che impone ai venditori di e-commerce di inserire un’evidente funzione “recedere dal contratto qui“, mostra come il legislatore stia spingendo verso una maggiore trasparenza e controllo da parte dell’utente, principi che Energia Dinamica S.p.A. ha palesemente disatteso nella sua filiera di vendita telefonica. La difesa della società si basa sull’argomentazione che la norma era contenuta originariamente nel decreto accise e poi stralciata per un’intesa tra governo e Quirinale, suggerendo una presunta incertezza normativa che avrebbe giustificato il ritardo nell’adeguamento. Un’argomentazione debole, che non regge di fronte alla chiarezza del testo di legge entrato in vigore il 19 giugno.
La vicenda di Energia Dinamica S.p.A. diventa un caso di studio su come un ritardo nell’adeguamento normativo, unito a un controllo inefficace sulla catena di fornitura, possa trasformarsi in una crisi a cascata con impatti legali, finanziari e reputazionali devastanti. Ogni passaggio della crisi – la chiamata illecita, il contratto nullo, l’indagine delle Autorità, l’esposto in Procura – rappresenta uno snodo in cui un sistema di controllo preventivo e automatizzato avrebbe cambiato il corso degli eventi. Invece di subire un’indagine per responsabilità amministrativa dell’ente, la direzione di Scudo231 avrebbe ricevuto un report dettagliato sull’incidente sventato, completo di analisi causale e azioni correttive già attivate in automatico, trasformando un potenziale reato in un indicatore di performance della resilienza organizzativa. L’assenza di tale infrastruttura ha lasciato l’azienda esposta, costretta a difendersi a posteriori, con documenti e testimonianze, laddove avrebbe potuto opporre la certezza matematica di un protocollo digitale inviolabile.