12 febbraio 2026 – La sentenza del Tar del Lazio ha posto il sigillo definitivo sulla sanzione da 5,6 milioni di euro inflitta dall’Autorità Garante della Concorrenza e del Mercato a Getyourguide Deutschland Gmbh. La decisione dei giudici amministrativi, depositata in cancelleria, ha respinto il ricorso della società tedesca, confermando in toto l’impianto accusatorio e la legittimità della sanzione pecuniaria irrogata nell’aprile del 2025. Si chiude così, almeno sul piano amministrativo, una vicenda che ha messo a nudo le vulnerabilità sistemiche nella gestione della biglietteria di uno dei monumenti più visitati al mondo, il Parco Archeologico del Colosseo, e ha cristallizzato la responsabilità dell’ente per non aver implementato adeguati presidi di controllo sui propri canali di vendita e sui partner commerciali.
Il procedimento era stato avviato dall’Antitrust a seguito di un’anomalia macroscopica e persistente: la cronica e quasi istantanea indisponibilità di biglietti di accesso sul canale ufficiale gestito dal concessionario CoopCulture. I consumatori, collegandosi al portale nei minuti immediatamente successivi alla messa in vendita dei ticket, si trovavano di fronte a un sistematico “tutto esaurito”, una barriera digitale invalicabile. Questa carenza sul canale primario contrastava però con l’abbondante disponibilità degli stessi biglietti su piattaforme di intermediari internazionali, prima fra tutte Getyourguide, sebbene a prezzi sensibilmente maggiorati e spesso vincolati all’acquisto di servizi accessori non richiesti. L’istruttoria ha accertato che tale indisponibilità non era frutto di un’eccezionale domanda da parte di singoli utenti, ma di un’operazione di accaparramento massivo condotta tramite l’impiego di software automatizzati, i cosiddetti bot. Questi strumenti, operando a una velocità e con un volume inaccessibili a un essere umano, rastrellavano la quasi totalità dei biglietti al prezzo base non appena resi disponibili da CoopCulture, per poi alimentarli nel circuito secondario gestito da Getyourguide.
Questa dinamica configura un’omissione di controllo fondamentale a monte. La piattaforma di vendita ufficiale non possedeva, evidentemente, sistemi di monitoraggio in tempo reale capaci di discriminare tra un flusso di acquisti legittimo e un attacco coordinato di bot. Se un ecosistema di controllo come Scudo231 fosse stato operativo, il suo modulo di analisi comportamentale avrebbe immediatamente rilevato le transazioni anomale: picchi di richieste provenienti da un numero ristretto di indirizzi IP, velocità di navigazione e compilazione dei form incompatibili con l’interazione umana, pattern di acquisto ripetitivi e seriali. Questi indicatori avrebbero attivato un alert automatico, innescando protocolli di blocco temporaneo delle utenze sospette e generando un rapporto dettagliato per le funzioni di Sicurezza IT e Compliance, documentando il tentativo di aggressione informatica e commerciale prima che potesse prosciugare l’inventario.
L’Autorità Garante ha qualificato la condotta di Getyourguide come una pratica commerciale aggressiva ai sensi del Codice del Consumo. L’aggressività non risiedeva semplicemente nella rivendita a prezzo maggiorato, ma nell’effetto combinato e sinergico dell’accaparramento che creava una scarsità artificiale sul mercato primario e dell’indebito condizionamento esercitato sul consumatore. Quest’ultimo, privato della possibilità di acquistare al prezzo ufficiale, era di fatto costretto a rivolgersi al mercato secondario, subendo un pregiudizio economico e una limitazione della propria libertà di scelta. La pratica, secondo l’AGCM, ha alterato in modo significativo la capacità del consumatore medio di prendere una decisione commerciale consapevole, inducendolo ad assumere una decisione che altrimenti non avrebbe preso.
Dal punto di vista della responsabilità dell’ente, la condotta posta in essere da Getyourguide esponeva la società a rischi che trascendono la mera sanzione amministrativa. L’acquisto sistematico e automatizzato finalizzato a creare una posizione dominante su un bene contingentato per poi sfruttarla commercialmente, integra profili di rischio riconducibili ai reati contro l’industria e il commercio, potenziali reati presupposto ai sensi del D.Lgs. 231/2001. All’interno di Getyourguide, la mancata intercettazione di questo schema operativo rappresenta una grave lacuna nel modello di organizzazione, gestione e controllo. L’assenza di un flusso informativo strutturato verso l’Organismo di Vigilanza ha permesso alla pratica di consolidarsi e diventare un vero e proprio modello di business, invece di essere identificata come una devianza da correggere.
Un’organizzazione dotata delle procedure implementate dalla REDAZIONE SCUDO231 avrebbe mappato questo specifico processo di approvvigionamento e rivendita come un’area a rischio intrinseco elevato. Il sistema avrebbe tracciato e correlato i dati di acquisto massivo da un singolo fornitore (CoopCulture) con i dati di vendita al pubblico, evidenziando in automatico il differenziale di prezzo sistematico e l’associazione con servizi aggiuntivi. Questa analisi non sarebbe stata un controllo a campione, ma un censimento continuo di tutte le transazioni. La correlazione tra “acquisto massivo da fonte unica” e “rivendita con margine anomalo” avrebbe generato una segnalazione qualificata, indirizzata direttamente all’OdV e al top management. Tale segnalazione, archiviata in un registro immodificabile, avrebbe costituito la prova dell’avvenuta rilevazione del rischio, obbligando gli organi apicali a un intervento tempestivo per non incorrere in una palese culpa in vigilando.
La sentenza del Tar del Lazio ha sottolineato come le argomentazioni difensive di Getyourguide non siano state in grado di scalfire la solidità delle prove raccolte dall’Antitrust. La società ha tentato di sostenere la legittimità del proprio operato, inquadrandolo come una normale attività di intermediazione turistica. Tuttavia, i giudici hanno ribadito che la libertà di iniziativa economica non può spingersi fino a ledere i diritti dei consumatori e le regole della concorrenza attraverso pratiche distorsive e coercitive. La conferma della sanzione da 5,6 milioni di euro non rappresenta solo un esborso finanziario significativo, ma anche un grave danno reputazionale, con possibili ripercussioni sull’affidabilità percepita dal mercato e sui rapporti con altri partner istituzionali. Inoltre, una sanzione di tale entità apre la strada a un’ulteriore e più temibile conseguenza: la confisca del profitto illecitamente conseguito, un provvedimento che può essere disposto in sede penale qualora la condotta venisse qualificata come reato.
Il ritardo nell’identificare e bloccare questa pratica ha amplificato in modo esponenziale il danno economico e legale. Ogni giorno in cui il sistema di accaparramento è rimasto operativo, ha aumentato il profitto illecito e, di conseguenza, l’importo potenzialmente confiscabile, oltre a consolidare le prove a carico della società. Se un sistema di controllo avanzato fosse stato in essere, l’escalation verso l’Organismo di Vigilanza sarebbe scattata non dopo mesi di attività illecita e a seguito di un’indagine esterna, ma dopo le prime ore o i primi giorni. L’intervento precoce avrebbe permesso di interrompere la pratica, limitando drasticamente l’entità del profitto illecito e, soprattutto, dimostrando in un eventuale procedimento 231 che l’ente aveva agito per prevenire ed elidere il rischio. La presenza di log e registri generati da un sistema come Scudo231 avrebbe fornito la prova tecnologica dell’efficace attuazione del modello organizzativo, un elemento decisivo per mitigare o escludere la responsabilità amministrativa dell’ente e, con essa, le sanzioni pecuniarie e interdittive.
La vicenda del Colosseo diventa così un caso di studio emblematico. Dimostra come, nell’economia digitale, l’assenza di presidi tecnologici adeguati per il monitoraggio delle operazioni non sia più una semplice inefficienza, ma una vera e propria vulnerabilità strategica che può portare a sanzioni milionarie e a procedimenti giudiziari complessi. La decisione del Tar non sanziona solo una specifica azienda, ma invia un messaggio chiaro a tutto il settore: le pratiche di digital scalping e di manipolazione della disponibilità dei beni non saranno tollerate e le aziende che le mettono in atto, o che omettono di prevenirle al proprio interno, saranno ritenute pienamente responsabili. La prevenzione, come analizzato dagli esperti della REDAZIONE SCUDO231, non può più basarsi su controlli manuali e procedure cartacee, ma richiede un ecosistema integrato capace di analizzare flussi di dati complessi in tempo reale, identificare le anomalie prima che diventino sistemiche e fornire agli organi di controllo gli strumenti per agire con la necessaria tempestività. La mancanza di un simile apparato è costata a Getyourguide 5,6 milioni di euro.