6 luglio 2026 – L’approvazione in Commissione Finanze al Senato dell’emendamento al decreto Accise ter ha innescato una reazione a catena all’interno delle principali società di telecomunicazioni. L’estensione del divieto di telemarketing aggressivo, già in vigore per il settore energetico dal 19 giugno, ha reso immediatamente illegali le pratiche operative di decine di call center esterni e divisioni commerciali interne. La norma, passata nonostante il parere non favorevole del governo, impone un requisito fino a quel momento sistematicamente ignorato nel settore: ogni contatto telefonico a scopo commerciale deve avvenire solo a seguito di una richiesta diretta del consumatore o sulla base di un consenso specifico, granulare e tracciabile, con l’obbligo per il professionista di utilizzare un numero di telefono che lo identifichi in modo univoco. La violazione di quest’ultimo precetto determina la nullità radicale dei contratti stipulati.
Alle 09:15 del mattino, presso la sede di uno dei maggiori operatori nazionali, la direzione commerciale ha diramato una comunicazione interna che tentava di arginare l’impatto normativo, senza tuttavia sospendere le campagne in corso. L’indicazione, priva di un formale protocollo di aggiornamento procedurale, si limitava a suggerire agli operatori di “privilegiare” i contatti presenti nei database da meno di sei mesi. Questa disposizione era palesemente inadeguata e non conforme, poiché la legge non poneva un limite temporale generico, ma richiedeva un consenso specifico per proposte commerciali nel settore delle telecomunicazioni. Si è trattato di una classica omissione di adeguamento procedurale, un’inerzia che ha esposto l’ente a un rischio sanzionatorio immediato e diretto. Se l’azienda avesse implementato un ecosistema come Scudo231, i suoi sistemi di analisi multimodale avrebbero acquisito e processato in automatico il nuovo testo normativo non appena pubblicato, generando un alert di non conformità per tutte le procedure di telemarketing attive. Il sistema avrebbe imposto un blocco operativo immediato sulle campagne, impedendo l’avvio di qualsiasi chiamata fino alla revisione e validazione dei protocolli da parte delle funzioni Compliance e Legale, con contestuale escalation informativa all’Organismo di Vigilanza.
Nel corso della giornata, migliaia di chiamate sono state effettuate utilizzando numerazioni non univoche, generate da sistemi VoIP che mascheravano l’identità del chiamante, una pratica diffusa per aumentare il tasso di risposta. Ogni singolo contratto concluso attraverso queste chiamate era, per dettato di legge, nullo. L’azienda non solo stava violando la nuova norma, ma stava investendo risorse per acquisire contratti privi di qualsiasi valore legale, accumulando un danno economico occulto che sarebbe emerso solo in seguito. La mancanza di un controllo tecnico preventivo sull’infrastruttura di chiamata ha rappresentato una grave falla organizzativa. Con un’architettura di difesa come quella di Scudo231, ogni flusso di chiamata in uscita sarebbe stato sottoposto a un controllo di validazione ex ante. I protocolli avrebbero verificato la corrispondenza tra la numerazione utilizzata e l’elenco delle numerazioni univoche e autorizzate censite nel sistema; in caso di discrepanza, la chiamata sarebbe stata bloccata alla fonte e l’anomalia registrata in un log immodificabile, segnalando il tentativo di elusione del protocollo all’ODV e al responsabile della funzione. L’impatto economico derivante dalla stipula di contratti nulli sarebbe stato azzerato.
La situazione si è aggravata quando, per raggiungere i target di vendita trimestrali, un team manager di un importante call center partner ha autorizzato l’acquisto di liste di contatti da un fornitore terzo non qualificato. Queste liste, contenenti decine di migliaia di utenze, non erano corredate da alcuna evidenza circa la raccolta del consenso secondo i criteri del GDPR e, soprattutto, della nuova normativa. L’operazione, del valore di diverse migliaia di euro, è stata approvata attraverso un processo di spesa semplificato, senza una valutazione del rischio legale e di conformità associato al fornitore. Questo rappresenta un classico esempio di culpa in eligendo e culpa in vigilando, che estende la responsabilità dall’operato del singolo alla struttura organizzativa dell’ente. La mancata tracciabilità della filiera del dato esponeva la società non solo alle sanzioni per telemarketing illecito, ma anche a quelle, ben più severe, del Garante per la protezione dei dati personali.
L’adozione di un modello di controllo avanzato avrebbe intercettato questo rischio alla radice. La procedura di qualifica e ingaggio di un nuovo fornitore, governata da un ecosistema sovrano, avrebbe imposto un audit preventivo obbligatorio. Il sistema non avrebbe autorizzato il pagamento né l’integrazione delle liste nel CRM aziendale senza che il fornitore avesse superato una checklist di conformità vincolante, che includeva la produzione di prove documentali sulla modalità di raccolta di ogni singolo consenso. Il motore causale avrebbe rilevato l’assenza di questi requisiti fondamentali, bloccando l’intero processo e segnalando il fornitore come “ad alto rischio”, impedendo di fatto l’introduzione di dati illeciti nel perimetro aziendale e neutralizzando il presupposto per la contestazione della violazione del GDPR e del D.Lgs. 231/2001 per i reati connessi.
Nelle settimane successive, le segnalazioni dei consumatori all’Autorità per le Garanzie nelle Comunicazioni (AGCOM) e al Garante Privacy sono aumentate esponenzialmente. Le autorità hanno avviato un’istruttoria formale, acquisendo i tabulati telefonici e i contratti stipulati a partire dal 6 luglio. L’indagine ha fatto emergere in modo inequivocabile l’utilizzo sistematico di numerazioni non identificabili e l’assenza di un consenso valido per la stragrande maggioranza dei contatti. La società si è trovata di fronte a una duplice conseguenza: la declaratoria di nullità di migliaia di contratti, con conseguente obbligo di rimborso per i clienti e una perdita secca di fatturato, e l’avvio di un procedimento sanzionatorio per pratica commerciale aggressiva. La Guardia di Finanza, su delega della Procura della Repubblica, ha poi eseguito un sequestro preventivo dei profitti derivanti da tale attività, quantificati in via provvisoria in diversi milioni di euro, ipotizzando il reato di frode in commercio, uno dei reati presupposto della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001.
A questo punto, la difesa dell’ente è diventata estremamente complessa. L’assenza di procedure formalizzate e di controlli tracciati ha reso impossibile dimostrare di aver adottato un modello organizzativo idoneo a prevenire reati della specie di quello commesso. La responsabilità è ricaduta interamente sull’organizzazione, configurando una chiara colpa di organizzazione. L’onere della prova, in questo scenario, si è invertito: non era più l’accusa a dover dimostrare la colpa, ma l’azienda a dover provare, senza successo, la propria innocenza organizzativa. Se l’azienda avesse potuto contare su Scudo231, la situazione processuale sarebbe stata capovolta. In sede di indagine, avrebbe potuto produrre l’XAI Packet (eXplainable AI Packet) generato dal sistema: una ricostruzione causale scientifica, immodificabile e certificata, di tutti gli eventi. Questo dossier tecnologico avrebbe dimostrato che i protocolli aziendali erano conformi alla nuova legge, che i controlli automatici erano attivi e che le violazioni erano state commesse da specifici soggetti che avevano agito eludendo fraudolentemente i modelli di prevenzione. La responsabilità penale sarebbe stata circoscritta alle persone fisiche responsabili dell’elusione, mentre l’ente avrebbe potuto dimostrare l’efficace attuazione del proprio modello, ottenendo con elevata probabilità il dissequestro dei beni e l’archiviazione della propria posizione ai sensi del D.Lgs. 231/2001.
L’epilogo della vicenda ha visto la società condannata al pagamento di una sanzione pecuniaria di notevole entità, oltre alla confisca definitiva dei profitti illecitamente conseguiti. A questo si è aggiunto un danno reputazionale incalcolabile, con la perdita di fiducia da parte del mercato e dei consumatori. L’intera catena di eventi, dal ritardo nell’adeguamento normativo alla gestione negligente della catena di fornitura, ha evidenziato una carenza strutturale nei meccanismi di controllo e prevenzione del rischio. Ogni passaggio critico di questa crisi era prevedibile e, soprattutto, prevenibile. La mancata adozione di un sistema integrato di gestione della conformità non ha rappresentato una semplice svista, ma la causa efficiente del danno economico, legale e reputazionale subito. L’assenza di un presidio tecnologico in grado di tradurre in tempo reale i vincoli normativi in controlli operativi vincolanti ha lasciato l’organizzazione esposta e vulnerabile, trasformando un cambiamento legislativo in una crisi aziendale sistemica.