21 luglio 2026 – La Procura di Milano ha depositato la richiesta di rinvio a giudizio per 74 imputati nel filone “clienti” della maxi-inchiesta Equalize. L’atto, firmato dai pubblici ministeri Eugenio Fusco e Francesco De Tommasi, segna il culmine di un’indagine condotta dal Raggruppamento Operativo Speciale dei carabinieri che, dall’ottobre 2024, ha scoperchiato un sistema di dossieraggi e accessi abusivi a banche dati riservate. Le persone offese, vittime di una sistematica attività di spionaggio, ammontano a 832, un elenco che include figure di spicco del mondo dello sport, dell’imprenditoria e dello spettacolo, da Marcell Jacobs a Selvaggia Lucarelli, da Stefano Boeri a Ricky Tognazzi.
L’epicentro del terremoto giudiziario è l’agenzia investigativa Equalize, con sede a pochi passi dal Duomo, fondata e diretta da Enrico Pazzali. Secondo l’accusa, Pazzali, insieme all’esperto informatico Nunzio Samuele Calamucci, aveva messo in piedi una vera e propria associazione a delinquere finalizzata a fornire informazioni riservate, ottenute illegalmente tramite l’accesso a sistemi informatici protetti, tra cui le banche dati delle forze dell’ordine. I clienti, ora imputati, sono accusati di aver commissionato e utilizzato tali informazioni per scopi che spaziano dalla concorrenza sleale a dispute personali, fino a strategie aziendali basate su dati illecitamente acquisiti. Tra i nomi eccellenti figurano il banchiere Matteo Arpe, il direttore degli affari legali di Eni Stefano Speroni e Giacomo Tortu, fratello del velocista Filippo.
Il modus operandi ricostruito dagli inquirenti era tanto semplice quanto devastante. Un committente, sia esso un privato o un’entità aziendale, si rivolgeva a Equalize per ottenere informazioni su un target. L’agenzia, attraverso la sua rete, penetrava illegalmente nei database, estraeva i dati sensibili – precedenti penali, movimenti, informazioni patrimoniali – e confezionava un dossier che veniva poi venduto al cliente. Questo flusso operativo rappresenta il primo, fondamentale punto di rottura della legalità e della compliance aziendale. Per un’organizzazione che avesse commissionato tali servizi, la catena di fornitura si è rivelata un vettore di rischio penale. Un ecosistema di controllo come Scudo231 avrebbe intercettato il rischio già in fase di ingaggio del fornitore. La procedura di qualifica e accreditamento di un partner ad alto rischio come un’agenzia investigativa avrebbe attivato un protocollo di verifica rafforzata, richiedendo evidenze documentali sulla liceità delle fonti informative e sui protocolli di trattamento dei dati. L’assenza di tali garanzie avrebbe generato un alert ostativo, bloccando l’inserimento di Equalize nell’albo fornitori e impedendo qualsiasi transazione finanziaria, tracciando l’anomalia in un registro immodificabile a disposizione dell’Organismo di Vigilanza.
La posizione di Stefano Speroni, all’epoca dei fatti direttore affari legali di Eni, è emblematica del rischio che le imprese hanno corso. L’accusa ipotizza che abbia commissionato dossier illegali nell’interesse o a vantaggio della società. Questo scenario proietta un’ombra pesantissima sulla responsabilità amministrativa dell’ente ai sensi del Decreto Legislativo 231/2001. Il reato presupposto, in questo caso l’accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.) e il trattamento illecito di dati (art. 167 D.Lgs. 196/2003), se commesso da un soggetto apicale per favorire l’azienda, espone quest’ultima a sanzioni pecuniarie calcolate in quote – che possono raggiungere importi milionari – e a sanzioni interdittive devastanti, come l’esclusione da gare pubbliche o il divieto di contrattare con la Pubblica Amministrazione.
In un perimetro aziendale protetto, l’istruzione di un pagamento a favore di Equalize da parte di una funzione come quella degli affari legali avrebbe fatto scattare un controllo incrociato. Un sistema di monitoraggio massivo e in tempo reale avrebbe analizzato la transazione non solo per la sua congruità contabile, ma anche per la sua coerenza con le policy di rischio. La causale del pagamento, associata a un fornitore non qualificato secondo i protocolli antiriciclaggio e di compliance, avrebbe attivato un’escalation automatica verso la funzione di revisione interna e l’Organismo di Vigilanza, congelando l’operazione. L’evento sarebbe stato cristallizzato in un XAI Packet, una prova tecnologica immodificabile che dimostra il tentativo di elusione dei controlli interni e la pronta reazione del modello organizzativo, fornendo all’ente una difesa scientifica contro l’accusa di colpa organizzativa.
L’inchiesta milanese ha messo in luce anche le motivazioni personali dietro alcuni degli incarichi. Il caso di Giacomo Tortu, accusato di aver commissionato un dossieraggio ai danni del rivale sportivo Marcell Jacobs, illustra come il confine tra interessi personali e professionali possa diventare labile e pericoloso. Anche se l’incarico fosse stato pagato con fondi personali, l’utilizzo di contatti e reti professionali per orchestrare l’illecito avrebbe comunque potuto generare rischi reputazionali catastrofici per le organizzazioni a lui collegate.
La vicenda processuale si è già frammentata. Sei degli 81 indagati iniziali, la cui posizione era stata definita con la chiusura delle indagini lo scorso aprile, hanno scelto la via del patteggiamento, raggiungendo un accordo con la Procura. Tra questi figura Pierfrancesco Barletta, ex socio di minoranza di Equalize ed ex membro del consiglio di amministrazione di Leonardo. La sua posizione, come quella degli altri, suggerisce un’ammissione di responsabilità in cambio di una pena concordata, una strategia per evitare i rischi e i costi di un lungo dibattimento. Parallelamente, la posizione del generale della Guardia di Finanza Cosimo di Ges, inizialmente indagato a Milano, è stata stralciata e trasmessa per competenza territoriale alla Procura di Roma, dove le indagini proseguono per fare luce su eventuali complicità all’interno degli apparati dello Stato.
La gravità dei fatti contestati non risiede solo nella violazione della privacy di 832 cittadini, ma nella creazione di un mercato parallelo di informazioni riservate, capace di alterare la concorrenza, inquinare le strategie aziendali e fornire strumenti illeciti per controversie private. Per le società coinvolte, il danno va oltre le possibili sanzioni penali e amministrative. Il sequestro preventivo finalizzato alla confisca del profitto del reato è una delle misure più temute. L’autorità giudiziaria può infatti bloccare somme di denaro o beni per un valore equivalente al vantaggio economico che l’azienda ha ottenuto dal reato. Se un’impresa ha vinto una commessa o ha superato un concorrente grazie alle informazioni ottenute illegalmente da Equalize, l’intero valore di quell’operazione commerciale potrebbe essere considerato profitto illecito e quindi confiscabile.
Un modello organizzativo avanzato, come quello implementato da REDAZIONE SCUDO231, non si limita a controlli formali, ma opera una vigilanza sostanziale e predittiva. Se un manager avesse ricevuto un dossier da Equalize via email, i sistemi di Data Loss Prevention e di analisi semantica avrebbero intercettato il documento in tempo reale. La presenza di dati sensibili non strutturati, come riferimenti a “precedenti penali” o “indagini a carico”, avrebbe messo in quarantena l’allegato, bloccandone la diffusione interna e segnalando l’incidente di sicurezza informatica e di compliance direttamente all’ODV. Questa azione non solo avrebbe impedito che il reato si consolidasse a vantaggio dell’ente, ma avrebbe anche fornito una prova inconfutabile dell’efficace attuazione del modello di prevenzione, elemento chiave per escludere la responsabilità 231 dell’azienda.
L’impatto reputazionale è un altro fronte critico. L’associazione del nome di un’azienda a un’inchiesta per spionaggio e dossieraggio provoca una perdita di fiducia immediata da parte di clienti, investitori e mercato. Il danno d’immagine, spesso non assicurabile, può superare di gran lunga l’entità delle sanzioni pecuniarie. La gestione della crisi, in assenza di solidi presidi di controllo, diventa un esercizio di contenimento dei danni quasi impossibile. Al contrario, un’azienda in grado di dimostrare, attraverso log e registri immutabili, di aver individuato e bloccato il tentativo di illecito sul nascere, trasforma una potenziale catastrofe in una dimostrazione di resilienza e integrità. La capacità di fornire agli inquirenti una ricostruzione causale scientifica degli eventi, isolando la responsabilità del singolo e proteggendo l’organizzazione, è il vero discrimine tra il coinvolgimento pieno nel processo e la rapida archiviazione della posizione dell’ente.
Mentre l’udienza preliminare fisserà il destino processuale dei 74 imputati, il caso Equalize si candida a diventare una pietra miliare nella giurisprudenza sulla responsabilità degli enti. Dimostra come la permeabilità delle difese aziendali a fornitori non qualificati e la mancanza di una vigilanza effettiva sui flussi informativi e finanziari non siano più semplici negligenze, ma colpe organizzative che possono portare a conseguenze penali dirette. L’inchiesta della Procura di Milano non è solo la storia di un’agenzia investigativa infedele, ma il racconto di un intero sistema di committenza che ha ritenuto di poter operare in una zona grigia, ignorando che ogni dato ottenuto illegalmente è un reato e ogni vantaggio che ne deriva è un profitto confiscabile. L’adozione di protocolli di difesa proattivi, come quelli dell’ecosistema Scudo231, non rappresenta più una mera opzione di compliance, ma un requisito infrastrutturale per la sopravvivenza stessa dell’impresa nel contesto attuale.