Compliance Radar

Le regole evolvono. Anche le conseguenze della non conformità.

Nelle ultime settimane, le autorità messicane, statunitensi ed europee hanno adottato decisioni che stanno ridefinendo il panorama della compliance in materia di protezione dei dati personali, prevenzione del riciclaggio di denaro, intelligenza artificiale e diritto della concorrenza.

Sanzioni economiche, indagini, blocco delle operazioni e responsabilità personali dimostrano che la mancata conformità comporta conseguenze concrete per le aziende.

Gli Stati Uniti designano il Cartello di Juárez e Los Viagras come organizzazioni terroristiche

Il Dipartimento di Stato degli Stati Uniti (Department of State – DOS) ha designato il Cartello di Juárez e Los Viagras come Foreign Terrorist Organizations (FTO) e Specially Designated Global Terrorists (SDGT). Con questa decisione salgono a otto le organizzazioni criminali messicane inserite in tali elenchi.

Perché questa decisione riguarda anche le aziende che non operano negli Stati Uniti?

La designazione comporta, tra l’altro:

• il divieto di fornire material support (assistenza finanziaria o materiale) alle organizzazioni così designate (18 U.S.C. § 2339B);
• il congelamento dei beni qualora intervenga una designazione complementare da parte dell’Office of Foreign Assets Control (OFAC);
• un incremento delle indagini e delle misure di confisca connesse al finanziamento del terrorismo.

Cosa raccomandiamo di verificare?

È opportuno riesaminare i processi di due diligence, il monitoraggio delle sanzioni e i protocolli per la gestione di richieste estorsive, dei pagamenti effettuati sotto coercizione o dei rapporti contrattuali imposti mediante minacce.

Un aspetto particolarmente rilevante riguarda le aziende che operano in aree controllate dalla criminalità organizzata, dove possono verificarsi pagamenti di somme estorsive, “diritti di passaggio” o l’acquisto di determinati servizi imposto con la forza.

Dal punto di vista del diritto messicano tali situazioni possono configurare condotte poste in essere sotto coercizione oppure qualificare l’azienda stessa come vittima di estorsione. Tuttavia, secondo la normativa statunitense, la valutazione potrebbe essere diversa qualora tali pagamenti finissero per avvantaggiare una FTO. È pertanto fondamentale documentare accuratamente le circostanze, richiedere consulenza specialistica e, ove possibile, adottare adeguate misure di mitigazione del rischio.

Sanzione di 42,8 milioni di pesos alla Federazione Messicana di Calcio per l’uso del sistema FAN ID

La Secretaría Anticorrupción y Buen Gobierno (SABG) ha inflitto una sanzione di 42,8 milioni di pesos alla Federazione Messicana di Calcio (FMF) per violazioni relative al trattamento dei dati personali attraverso il sistema FAN ID.

Il caso assume particolare rilievo poiché riguarda fotografie, sistemi di identificazione e possibili dati biometrici utilizzati per controllare l’accesso agli stadi.

La questione di fondo non riguarda il calcio, ma la responsabilità del titolare del trattamento.

La FMF aveva affidato il servizio a una piattaforma tecnologica esterna, ma la responsabilità relativa ai dati raccolti e alle modalità di trattamento è rimasta in capo alla Federazione. L’esternalizzazione di un servizio non trasferisce automaticamente la responsabilità giuridica.

Cosa raccomandiamo di verificare in tali situazioni?

• L’utilizzo di sistemi di riconoscimento facciale;
• Le impronte digitali;
• I sistemi di videosorveglianza intelligente;
• I sistemi di controllo degli accessi;
• Gli strumenti di verifica dell’identità;
• L’informativa privacy;
• La raccolta dei consensi;
• Le misure di sicurezza;
• I contratti con i fornitori di servizi tecnologici.

L’Europa rafforza gli obblighi di trasparenza in materia di Intelligenza Artificiale

Dal 2 agosto 2026 entreranno in vigore gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act europeo.

Le imprese saranno tenute a informare gli utenti quando questi interagiscono con determinati sistemi di intelligenza artificiale e a identificare chiaramente i contenuti generati o manipolati mediante Intelligenza Artificiale.

Questi obblighi possono interessare anche società messicane appartenenti a gruppi europei oppure che sviluppano tecnologie destinate a clienti nell’Unione Europea.

Cosa raccomandiamo di verificare?

• quali strumenti di Intelligenza Artificiale vengono utilizzati;
• per quali finalità;
• quali informazioni vengono inserite nei relativi sistemi;
• l’esistenza di appositi controlli inerenti alla trasparenza, alla supervisione umana e alla tutela della riservatezza.

L’Autorità Nazionale Antitrust messicana sanziona pratiche collusive negli appalti pubblici

La Commissione Nazionale Antitrust messicana (CNA) ha irrogato sanzioni per 59,6 milioni di pesos nei confronti di quattro aziende e sei persone fisiche per aver coordinato le proprie iniziative e scambiato informazioni sensibili nell’ambito di gare pubbliche relative alla fornitura di materiali radiografici.

Il caso conferma che le pratiche anticoncorrenziali non richiedono necessariamente un accordo scritto. Anche semplici conversazioni riguardanti prezzi, sconti, clienti, territori di riferimento o decisioni relative alla presentazione di offerte possono essere sufficienti ad avviare un’indagine.

La responsabilità può inoltre ricadere direttamente sugli amministratori, dirigenti, dipendenti o rappresentanti coinvolti nelle condotte contestate.

Cosa raccomandiamo di verificare?

• le procedure di preparazione delle offerte;
• i contatti intercorsi con concorrenti nell’ambito di associazioni di categoria o consorzi;
• la consapevolezza del personale commerciale circa i limiti imposti dalla normativa antitrust.

Questi recenti casi dimostrano che i rischi a cui è esposta un’azienda possono cambiare anche quando il modello di business utilizzato rimane invariato. Una designazione internazionale, una nuova tecnologia o un diverso orientamento delle autorità possono trasformare una prassi consolidata in una significativa fonte di responsabilità.

Un programma di compliance realmente efficace non è quello definito una volta per tutte, ma quello che viene periodicamente aggiornato, testato e supportato da riscontri concreti dell’efficacia della sua applicazione.

Non aspettate che una controversia o un’indagine facciano emergere le lacune del vostro programma di compliance.

La presente newsletter ha finalità esclusivamente informative e non costituisce un parere legale con riferimento a casi specifici.

Restiamo a disposizione per analizzare l’impatto specifico sulle vostre operazioni e per assistervi nell’implementazione delle misure necessarie.

Cordiali saluti.

Cannizzo