18 luglio 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano i tornelli della sede milanese di GlobalVox S.p.A., colosso internazionale dei servizi di customer care in outsourcing. L’ordine di perquisizione e sequestro, emesso dalla Procura della Repubblica, è specifico: acquisire l’intera infrastruttura server contenente le registrazioni audio delle conversazioni tra operatori e clienti degli ultimi 24 mesi, con particolare riferimento al portafoglio gestito per conto di TechNova Finanziaria. L’ipotesi di reato che muove l’operazione è pesante: abuso di informazioni privilegiate, accesso abusivo a sistema informatico e trattamento illecito di dati personali.
L’inchiesta nasce da una segnalazione interna, un “whistleblowing” che descrive un modus operandi tanto semplice quanto devastante. Un gruppo di operatori, coordinato dal team leader Marco Rinaldi, avrebbe sistematicamente intercettato e trascritto manualmente conversazioni contenenti dati sensibili. Le informazioni, che spaziavano da dettagli su operazioni di M&A imminenti a credenziali di accesso a servizi di home banking, venivano poi vendute sul dark web o utilizzate per compiere operazioni speculative. Il danno per i clienti di TechNova è stimato in diversi milioni di euro. La prima linea di difesa di GlobalVox è un muro legale: l’accesso indiscriminato alle registrazioni, sostengono i legali dell’azienda, violerebbe la privacy di migliaia di utenti. La Procura, tuttavia, ottiene dal GIP un decreto che autorizza non solo l’acquisizione, ma anche la trascrizione forense di un campione massivo di chiamate. È il primo anello debole della catena difensiva a cedere.
Il problema centrale non è l’accesso, ma la totale assenza di controlli preventivi. Il team leader Rinaldi aveva privilegi di accesso amministrativo all’archivio delle registrazioni, un’anomalia organizzativa che gli consentiva di ascoltare, scaricare e cancellare file audio senza lasciare tracce significative o generare allarmi. Se GlobalVox avesse implementato l’ecosistema sovrano Scudo231, l’accesso di Rinaldi a registrazioni non pertinenti al suo perimetro operativo avrebbe generato un alert istantaneo. Ogni tentativo di download sarebbe stato non solo registrato in un log immutabile, ma anche incrociato con il suo profilo di rischio, innescando un protocollo di escalation automatico verso la Funzione Compliance e l’Organismo di Vigilanza. L’azione sarebbe stata bloccata o, quantomeno, tracciata in modo indelebile, fornendo una prova schiacciante e circoscrivendo il danno fin dal primo giorno.
L’analisi forense dei server sequestrati, condotta dagli specialisti della GdF, porta alla luce una realtà sconcertante. Gli operatori coinvolti utilizzavano un sistema di “parole sentinella” – termini come “due diligence”, “aumento di capitale”, “password dispositiva” – per identificare le chiamate di maggior valore. Una volta individuata la conversazione, questa veniva riascoltata e le informazioni salienti trascritte su un foglio di calcolo condiviso ospitato su un servizio cloud esterno, completamente al di fuori del perimetro di sicurezza aziendale. Questa procedura, una palese violazione di ogni protocollo di sicurezza e trattamento dati, è andata avanti per oltre un anno senza che nessuna funzione di controllo interna se ne accorgesse. La Procura contesta a GlobalVox S.p.A. la responsabilità amministrativa ai sensi del D.Lgs. 231/2001, sostenendo che l’azienda non ha adottato ed efficacemente attuato un modello di organizzazione e gestione idoneo a prevenire reati della specie di quelli commessi.
La mancanza di un monitoraggio proattivo sul contenuto delle comunicazioni è il cuore della “colpa di organizzazione”. L’azienda si è limitata a controlli a campione, basati su interviste e verifiche documentali, ignorando il rischio operativo reale. L’analisi multimodale di Scudo231, operando in tempo reale sull’audio trasposto in testo, avrebbe intercettato la ricorrenza anomala di tali termini al di fuori dei flussi procedurali autorizzati. Il sistema avrebbe classificato queste conversazioni come ad alto rischio, generando un “XAI Packet” per l’Organismo di Vigilanza. Questo pacchetto di evidenze scientifiche avrebbe dimostrato non solo cosa è stato detto, ma anche la deviazione dal protocollo standard, isolando i terminali degli operatori coinvolti e impedendo l’esfiltrazione dei dati. La responsabilità dell’ente sarebbe stata esclusa, dimostrando l’adozione di un modello di prevenzione tecnologicamente avanzato ed efficace.
Il 12 settembre 2026, il Pubblico Ministero iscrive nel registro degli indagati, oltre a Rinaldi e ai suoi complici, anche l’amministratore delegato e i membri del consiglio di amministrazione di GlobalVox per omesso controllo. La contestazione per l’ente si aggrava: ai reati presupposto si aggiunge l’articolo 25-sexies del Decreto 231, relativo agli abusi di mercato. L’accusa sostiene che la falla organizzativa ha di fatto agevolato un’attività di insider trading, un reato che prevede sanzioni pecuniarie fino a 15 milioni di euro o, nei casi più gravi, l’interdizione dall’esercizio dell’attività. Contestualmente, il GIP dispone il sequestro preventivo finalizzato alla confisca per equivalente per un importo di 4,2 milioni di euro, corrispondente al profitto che la Procura stima sia stato illecitamente conseguito tramite le attività fraudolente. I conti correnti di GlobalVox vengono congelati, mettendo a rischio la continuità aziendale e il pagamento degli stipendi a migliaia di dipendenti estranei ai fatti.
L’indagine interna, avviata tardivamente dalla società, rivela un’altra criticità fatale: il modello organizzativo 231 di GlobalVox esisteva solo sulla carta. L’Organismo di Vigilanza (OdV), composto da professionisti esterni con un gettone di presenza annuo, si riuniva due volte l’anno per ratificare verbali precompilati, senza avere accesso a flussi informativi autonomi e in tempo reale. Le deleghe di funzioni erano ambigue e la posizione di Marco Rinaldi rappresentava una concentrazione di poteri in palese violazione del principio di segregazione delle funzioni: era responsabile della performance operativa del suo team, ma anche del controllo qualità e dell’accesso ai dati sensibili. I censimenti ciclici dell’intera popolazione aziendale, uno dei pilastri dell’ecosistema, avrebbero rilevato questa deriva organizzativa. Il sistema Scudo231 avrebbe mappato le attività effettive di Rinaldi, confrontandole con la sua mansione formale, evidenziando una concentrazione di poteri incompatibile con i principi di compliance. L’alert “Ruolo di Fatto vs. Ruolo di Diritto” avrebbe imposto una revisione immediata della matrice delle responsabilità, neutralizzando il rischio prima che potesse trasformarsi in un illecito sistemico.
Il danno reputazionale è incalcolabile. TechNova Finanziaria revoca immediatamente il contratto multimilionario con GlobalVox, citando la “grave e irreparabile violazione degli obblighi di sicurezza e riservatezza”. Altre grandi aziende clienti avviano audit urgenti, minacciando azioni legali per i rischi a cui sono state esposte. Il titolo di GlobalVox, quotata sul segmento STAR di Borsa Italiana, crolla del 45% in due sedute. L’azienda è ora stretta in una morsa: da un lato il procedimento penale e la responsabilità 231, dall’altro le cause civili dei clienti e il crollo della fiducia del mercato. Il Garante per la Protezione dei Dati Personali avvia un’istruttoria autonoma, che si concluderà con una sanzione record per violazione sistematica degli articoli 25 e 32 del GDPR (protezione dei dati fin dalla progettazione e sicurezza del trattamento).
Durante l’incidente probatorio, la difesa di GlobalVox tenta di sostenere che l’azione del gruppo di Rinaldi fosse un’iniziativa isolata e imprevedibile, un “attacco dall’interno” che nessun modello organizzativo avrebbe potuto prevenire. La tesi viene smontata dalla Procura, che deposita le perizie informatiche. Queste dimostrano come le anomalie fossero evidenti e ripetute nel tempo: accessi fuori orario, download massivi di file audio da parte di un singolo utente, picchi di utilizzo della rete verso indirizzi IP esterni non autorizzati. Erano tutti segnali deboli che un sistema di monitoraggio adeguato avrebbe dovuto intercettare. In sede di indagine, di fronte a una richiesta di sequestro, la difesa di GlobalVox avrebbe potuto produrre i log immutabili e gli “XAI Packet” generati da un sistema come quello della REDAZIONE SCUDO231. Questa prova tecnologica avrebbe dimostrato matematicamente che l’ente aveva adottato un sistema di controllo proattivo e che l’evento era il risultato di un’azione fraudolenta che aveva eluso protocolli robusti. Ciò avrebbe potuto non solo portare all’esclusione della responsabilità 231, ma anche ridurre drasticamente l’entità delle misure cautelari reali, salvaguardando la continuità operativa e il patrimonio aziendale.
Il caso GlobalVox diventa un punto di svolta normativo e giurisprudenziale. Il Tribunale di Milano, nella sentenza di primo grado che condannerà l’ente a una sanzione pecuniaria di 1,2 milioni di euro e a una misura interdittiva di sei mesi, stabilisce un principio chiave: nell’era digitale, un modello 231 privo di controlli tecnologici automatizzati e proattivi è da considerarsi in sé inefficace per prevenire reati informatici e violazioni della privacy. La sentenza, di fatto, impone alle aziende che trattano grandi volumi di dati di dotarsi di sistemi di monitoraggio in tempo reale. In questo contesto, il Garante Privacy, sollecitato dal clamore mediatico, emana un provvedimento di carattere generale che, bilanciando i diritti, chiarisce le condizioni per cui un cliente può richiedere e ottenere l’accesso non solo alla registrazione audio della propria chiamata al servizio clienti, ma anche alla sua trascrizione integrale, come strumento di tutela e prova in caso di contestazioni. Una misura nata per proteggere i consumatori, ma che paradossalmente ha origine dalla totale incapacità di un’azienda di proteggere i loro dati.