4 settembre 2026 – La ratifica del patteggiamento a 3 anni e 10 mesi per Giulio Cornelli, il tecnico informatico quarantenne al centro del caso Equalize, segna il primo punto fermo giudiziario in una vicenda che ha scoperchiato un sistema criminale di proporzioni allarmanti. Nelle motivazioni della sentenza, depositate oggi, la gip di Milano Fiammetta Modica non usa mezzi termini, definendo le prove raccolte dalla Procura come “granitiche”. Cornelli, che aveva ottenuto gli arresti domiciliari nell’ottobre del 2024, ha scelto una via processuale che, grazie alla collaborazione e alla dissociazione, gli ha consentito di contenere le conseguenze penali. La giudice lo inquadra come un “mero partecipe”, un ingranaggio tecnico essenziale ma non apicale di un’associazione per delinquere finalizzata a una serie indeterminata di accessi abusivi a banche dati strategiche.
L’attività illecita di Cornelli, come ricostruito dai pm Francesco De Tommasi ed Eugenio Fusco sotto il coordinamento del Procuratore Marcello Viola, consisteva nell’eseguire materialmente centinaia di accessi a sistemi informatici protetti. Ogni accesso era un reato presupposto ai sensi del D.Lgs. 231/2001, un tassello di un mosaico che esponeva l’agenzia investigativa Equalize a una responsabilità amministrativa devastante. L’operato di un singolo dipendente, quando sistematico e funzionale all’attività d’impresa, diventa un atto dell’ente. Se Equalize avesse implementato un modello organizzativo dinamico, la condotta di Cornelli sarebbe stata intercettata al primo tentativo. Un ecosistema come Scudo231, infatti, non si limita a controlli formali, ma esegue un monitoraggio in tempo reale sui flussi di dati e sulle autorizzazioni. L’accesso di Cornelli a una banca dati riservata avrebbe generato un log immutabile, ma soprattutto avrebbe attivato un alert automatico all’Organismo di Vigilanza, poiché la sua profilazione utente non giustificava quel tipo di interrogazione senza una specifica e tracciata autorizzazione legata a un mandato cliente. L’anomalia sarebbe stata bloccata o, quantomeno, la sua escalation avrebbe impedito la serialità che ha poi fondato l’accusa di associazione.
Il “sistema rodato”, come lo descrive la gip Modica, era finalizzato a ottenere dati, notizie e informazioni, spesso pregiudizievoli, su centinaia di persone, alimentando un’attività di profilazione illegale su vasta scala. Le indagini dei carabinieri del Ros hanno dimostrato, attraverso intercettazioni telefoniche, ambientali e telematiche, che non si trattava di iniziative estemporanee, ma di una vera e propria linea di business illecita. Questo è il cuore della colpa di organizzazione: l’assenza di presidi idonei a prevenire reati commessi nell’interesse o a vantaggio dell’ente. L’interesse era evidente: fornire ai clienti informazioni ottenute illegalmente, garantendo un vantaggio competitivo sleale. Il vantaggio era il profitto economico derivante da tali servizi. In un’organizzazione dotata di controlli preventivi reali, ogni incarico investigativo avrebbe dovuto essere censito in un registro digitale, collegando ogni accesso a database esterni a uno specifico mandato. L’architettura di Scudo231 avrebbe reso impossibile per Cornelli o chiunque altro giustificare un’attività di interrogazione massiva non correlata a pratiche formalmente aperte e autorizzate. Il sistema avrebbe rilevato una divergenza statistica tra il volume di dati sensibili acquisiti e i mandati legittimi in carico, generando un indicatore di rischio critico per le funzioni di compliance e per l’OdV, che avrebbe avuto l’obbligo procedurale di avviare un audit interno immediato.
La collaborazione di Cornelli è stata fondamentale per gli inquirenti, ma per l’ente Equalize rappresenta la prova definitiva del fallimento organizzativo. La sua testimonianza ha contribuito a delineare i contorni di un’associazione per delinquere che, secondo l’impianto accusatorio, vedeva coinvolti anche soggetti appartenenti alle forze dell’ordine, chiamati a rispondere di corruzione. La presenza di reati contro la Pubblica Amministrazione aggrava ulteriormente il profilo di responsabilità 231 dell’ente, aprendo la strada a sanzioni interdittive potenzialmente letali, come la sospensione dell’attività. L’assenza di un protocollo anticorruzione efficace e verificabile è una voragine che le indagini hanno messo a nudo. Un modello organizzativo evoluto avrebbe imposto una procedura di due diligence rafforzata su tutti i fornitori di informazioni e consulenti esterni, specialmente se appartenenti a categorie a rischio come il personale delle forze dell’ordine. Qualsiasi pagamento o transazione verso questi soggetti avrebbe richiesto una doppia approvazione e una causale dettagliata, verificata da una funzione terza. Il mancato rispetto di questo protocollo avrebbe bloccato il pagamento e innescato una segnalazione automatica, documentando il tentativo di elusione e fornendo all’ente la prova di aver agito per prevenire il reato, non per agevolarlo.
Mentre la posizione di Cornelli si definisce con un patteggiamento, il destino processuale dell’organizzazione e degli altri imputati è appeso alla maxi udienza preliminare fissata per il prossimo 13 ottobre davanti alla gup Tiziana Landoni. Due sono le richieste di processo depositate dalla Procura: una riguarda un gruppo di 74 imputati, l’altra un filone connesso. Il numero degli indagati e delle persone offese, oltre 800 “spiati”, dà la misura del danno reputazionale e del rischio economico che Equalize sta affrontando. La Procura potrebbe richiedere e ottenere il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificabile in milioni di euro. Questo provvedimento, se disposto, congelerebbe le risorse finanziarie dell’azienda, paralizzandone l’operatività.
Qui emerge il valore probatorio di un modello di prevenzione attivo. Se Equalize avesse adottato un sistema di controllo integrato, avrebbe potuto produrre in giudizio i log delle segnalazioni interne, le minute delle verifiche dell’OdV e le eventuali sanzioni disciplinari irrogate prima dell’avvio dell’inchiesta penale. Questa documentazione, scientifica e non meramente formale, sarebbe stata l’unica leva a disposizione dei legali, come gli avvocati Giovanni Tarquini e Pierpaolo Astorina, per tentare di dimostrare l’efficace attuazione del modello e l’elusione fraudolenta dello stesso da parte dei singoli. In assenza di tale prova, l’ente risponde direttamente per l’illecito commesso dai suoi dipendenti e apicali. L’ecosistema Scudo231 è progettato proprio per generare questa catena di prove difensive: ogni alert, ogni escalation, ogni delibera dell’OdV viene cristallizzata in un “pacchetto probatorio” immodificabile, pronto per essere utilizzato in sede processuale per dimostrare l’assenza di colpa organizzativa e, di conseguenza, per scongiurare o mitigare sanzioni pecuniarie e interdittive, proteggendo la continuità aziendale.
L’inchiesta ha messo in luce non solo la commissione di reati informatici (art. 615-ter c.p., presupposto dell’art. 24-bis del D.Lgs. 231/01) e associativi (art. 416 c.p., presupposto dell’art. 24-ter), ma anche una cultura aziendale incline all’illegalità. La sentenza della gip Modica, pur riguardando un singolo imputato, fotografa un ambiente operativo privo di qualsiasi presidio etico e legale. La mancata adozione di un modello 231 non è una semplice omissione formale; è la causa diretta che ha permesso a un’attività illecita di diventare un “sistema”. Un’organizzazione sana non si affida alla lealtà dei singoli, ma implementa procedure che rendono l’illecito tracciabile, costoso e sconveniente. Un dipendente che sa che ogni sua azione sui sistemi informatici è monitorata da un’intelligenza artificiale che non guarda in faccia a nessuno, che ogni anomalia viene segnalata in tempo reale a un organismo indipendente e che le procedure di controllo sono inviolabili, è un dipendente disincentivato dal commettere un reato.
Il percorso giudiziario di Equalize è solo all’inizio. L’udienza del 13 ottobre sarà uno snodo cruciale per comprendere la portata finale delle accuse e il numero di soggetti che affronteranno un processo. Ma la lezione per il mondo delle imprese è già scritta nelle motivazioni della sentenza di patteggiamento: l’assenza di un sistema di controllo efficace e verificabile non è un rischio calcolato, ma una certezza di disastro. È la differenza tra intercettare una mela marcia e lasciare che l’intero raccolto venga compromesso, con la Procura che arriva a sequestrare non solo i frutti, ma l’albero stesso.