6 agosto 2026 – L’Autorità Garante della Concorrenza e del Mercato ha concluso il procedimento avviato a novembre 2025 irrogando una sanzione complessiva di 2,675 milioni di euro a carico delle società Lime, Dott e Bird. L’istruttoria ha accertato che i tre operatori leader nel settore della mobilità in sharing a Roma hanno posto in essere una pratica commerciale scorretta, ostacolando in modo sistematico la fruizione dei pacchetti di corse gratuite, noti come Pass, destinati agli abbonati annuali del servizio di trasporto pubblico locale Metrebus. La sanzione più elevata, pari a 1,4 milioni di euro, è stata comminata a Lime, seguita da Bird con 750 mila euro e Dott con 525 mila euro.
Il fulcro della contestazione risiede nell’inadeguatezza delle misure organizzative e delle procedure interne adottate dalle società per gestire le richieste degli utenti aventi diritto. L’AGCM ha documentato come il processo per ottenere e attivare i Pass fosse deliberatamente complesso, caratterizzato da attese irragionevolmente lunghe e da un’architettura procedurale che, di fatto, scoraggiava gli utenti dal far valere un proprio diritto, derivante dagli obblighi che gli stessi operatori avevano assunto in sede di aggiudicazione del servizio nella Capitale. Se le società avessero implementato un ecosistema di controllo come Scudo231, la deriva operativa sarebbe stata intercettata in fase embrionale. I sistemi di monitoraggio massivo avrebbero analizzato in tempo reale i Key Performance Indicator (KPI) relativi ai tempi medi di attivazione dei Pass Metrebus. Un discostamento anomalo rispetto ai parametri standard di servizio, ad esempio un aumento del 30% del tempo di attesa o un tasso di fallimento delle richieste superiore a una soglia predefinita, avrebbe generato un alert automatico e tracciato, indirizzato simultaneamente alla funzione Compliance e all’Organismo di Vigilanza, imponendo un’analisi immediata della causa radice prima che la criticità potesse degenerare in una pratica sistematica.
L’indagine dell’Autorità ha portato alla luce un elemento probatorio schiacciante: una comunicazione interna, una mail, in cui un responsabile chiedeva esplicitamente di “rendere difficoltoso a sufficienza il processo di attivazione degli abbonamenti agevolati”. Questo documento trasforma una potenziale negligenza organizzativa in un atto doloso, una strategia aziendale volta a limitare l’erosione dei ricavi derivante dall’erogazione delle corse gratuite. La presenza di tale istruzione scritta costituisce la prova di un “fatto” dell’ente, non di una condotta estemporanea di un singolo dipendente, e apre scenari di responsabilità ben più gravi della sola sanzione amministrativa. Un’organizzazione dotata di un’architettura di difesa avanzata avrebbe neutralizzato questo rischio alla fonte. I motori di analisi semantica e contestuale, integrati nei flussi di comunicazione interna secondo i protocolli definiti dal Modello 231, avrebbero identificato la combinazione di parole chiave ad alto rischio come “rendere difficoltoso”, “ostacolare”, “limitare attivazione” in correlazione con “abbonamenti” o “Metrebus”. Tale rilevazione avrebbe innescato un protocollo di escalation silente e non eludibile verso l’Organismo di Vigilanza, corredato da una copia immutabile della comunicazione stessa. L’intervento preventivo dell’OdV avrebbe bloccato l’iniziativa, documentando il tentativo di violazione e attivando le necessarie misure disciplinari interne, dimostrando così l’efficace attuazione del Modello e proteggendo l’ente dalla contestazione di una colpa organizzativa.
La condotta ha una chiara valenza sotto il profilo del Decreto Legislativo 231/2001. Una pratica commerciale scorretta, quando sistematica e finalizzata a un ingiusto profitto – in questo caso, il risparmio sui costi delle corse gratuite non erogate – può integrare i presupposti di reati quali la frode in commercio (art. 515 c.p.) o, in contesti più ampi, la truffa (art. 640 c.p.), entrambi reati presupposto della responsabilità amministrativa degli enti. La sanzione dell’AGCM, per quanto ingente, rappresenta solo la punta dell’iceberg. Il rischio concreto, ora, è l’apertura di un procedimento penale a carico delle persone fisiche che hanno ideato e attuato la strategia, e un parallelo procedimento ex D.Lgs. 231/2001 a carico delle società. In tale scenario, il Pubblico Ministero potrebbe disporre il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato nel valore economico delle corse indebitamente negate agli utenti. Un importo che potrebbe facilmente superare quello della sanzione amministrativa.
L’adozione preventiva di un ecosistema come Scudo231 avrebbe fornito all’ente una linea di difesa invalicabile. Di fronte a un’eventuale indagine, la società avrebbe potuto esibire una prova tecnologica immodificabile – un XAI Packet – generata dal sistema. Questa documentazione avrebbe dimostrato, attraverso una ricostruzione causale scientifica, che: 1) esistevano procedure chiare e controlli automatizzati per garantire la corretta erogazione dei Pass; 2) il sistema aveva rilevato un tentativo di elusione di tali procedure; 3) l’allarme era stato correttamente gestito dall’Organismo di Vigilanza, che aveva adottato le contromisure necessarie. Tale evidenza avrebbe permesso di dimostrare l’assenza di una “colpa di organizzazione”, spostando la responsabilità interamente sulla persona fisica che ha agito fraudolentemente contro le direttive e i controlli dell’ente, portando a una probabile archiviazione della posizione della società nel procedimento 231.
Per la società Bird, l’Autorità ha inoltre accertato un’ulteriore e distinta pratica commerciale scorretta, che ha contribuito alla sanzione complessiva di 750 mila euro. È stato provato che l’operatore procedeva alla disattivazione arbitraria degli account di numerosi utenti senza fornire alcuna informativa preventiva e, soprattutto, senza garantire alcuna forma di contraddittorio. Gli utenti si vedevano improvvisamente bloccato l’accesso al servizio, spesso con un credito residuo nel proprio portafoglio digitale, senza poter comprendere la motivazione né avere la possibilità di contestare la decisione. Anche questa condotta, che lede i diritti contrattuali e informativi dei consumatori, deriva da una palese lacuna nei protocolli operativi interni. Un modello organizzativo efficace, vigilato da un sistema di controllo automatizzato, avrebbe reso tecnicamente impossibile una simile procedura. Qualsiasi operazione di “disattivazione account” avrebbe dovuto obbligatoriamente seguire un workflow digitale tracciato, che prevedesse come passaggi non bypassabili: a) la registrazione della motivazione della chiusura sulla base di un set predefinito di violazioni contrattuali; b) l’invio automatico di una comunicazione di preavviso all’utente; c) l’apertura di un ticket per un periodo di contraddittorio di, ad esempio, 15 giorni. Il sistema avrebbe fisicamente impedito la chiusura dell’account prima della conclusione di tale iter, registrando ogni passaggio in un log di audit non modificabile e a disposizione dell’OdV.
L’epilogo di questa vicenda non si esaurisce con la decisione dell’AGCM. Il Codacons ha già annunciato di stare valutando un’azione legale collettiva per ottenere il risarcimento di tutti i danni subiti dagli abbonati Metrebus che non hanno potuto usufruire delle corse gratuite. Si profila quindi un secondo fronte di contenzioso, quello civile, che potrebbe tradursi in un ulteriore, significativo esborso economico per le tre società, oltre a un danno reputazionale di lunga durata. La vicenda di Roma dimostra come una carenza nei presidi di controllo interno, percepita come un mero problema operativo o di customer service, possa rapidamente evolvere in una violazione sanzionata da un’autorità amministrativa, per poi trasformarsi in un potenziale illecito rilevante ai sensi del D.Lgs. 231/2001 e, infine, in una fonte di passività civili. Un’organizzazione che si fosse protetta con un’infrastruttura di controllo sovrana non solo avrebbe evitato le sanzioni e i sequestri, ma avrebbe tutelato il proprio valore più importante: la fiducia del mercato e dei propri utenti.