Violazione dell’accordo di riservatezza (NDA): quando avviene e cosa comporta

La violazione di un accordo di riservatezza (o NDA, Non-Disclosure Agreement) si verifica quando una parte divulga a terzi, utilizza per scopi non consentiti o non custodisce adeguatamente le informazioni confidenziali protette dal contratto. Le conseguenze possono essere civili (inibitoria, risarcimento del danno, clausola penale), penali (artt. 622 e 623 del codice penale) e, quando sono coinvolti dati personali, anche sanzionatorie in materia di protezione dei dati (GDPR). In questa guida vediamo quando si configura la violazione, cosa rischia chi la commette e come tutelarsi in modo efficace.

Che cos’è l’accordo di riservatezza (NDA)?

L’accordo di riservatezza, noto anche con l’acronimo inglese NDA (Non-Disclosure Agreement), è il contratto con cui due o più parti si impegnano a non divulgare a terzi e a non utilizzare in modo improprio determinate informazioni qualificate come confidenziali. È uno strumento fondamentale nel mondo degli affari e delle collaborazioni, perché consente di condividere dati sensibili senza perderne il controllo.

Può essere unilaterale, quando solo una parte comunica informazioni riservate e l’altra si impegna a proteggerle, oppure bilaterale (o multilaterale), quando vi è uno scambio reciproco di dati sensibili. La sua stipula è cruciale per proteggere il patrimonio informativo aziendale, che può includere segreti commerciali, know-how, dati finanziari, piani strategici, liste clienti, progetti di ricerca e sviluppo e altre informazioni sensibili.

L’accordo di riservatezza trova il suo fondamento nei principi generali del diritto dei contratti, in particolare nell’art. 1321 del codice civile sull’accordo contrattuale e nell’art. 1322 c.c., che riconosce l’autonomia delle parti di concludere contratti atipici purché diretti a realizzare interessi meritevoli di tutela. La sua validità ed efficacia sono altresì sostenute dai principi di correttezza e buona fede (artt. 1175 e 1375 c.c.) che devono caratterizzare le trattative e l’esecuzione del contratto.

Quando avviene la violazione di un accordo di riservatezza?

La violazione di un accordo di riservatezza si concretizza quando una delle parti non rispetta gli obblighi di segretezza e di uso limitato delle informazioni protette. Nella pratica, le condotte rilevanti si presentano in cinque forme ricorrenti.

1. Divulgazione non autorizzata di informazioni riservate a terzi

È la forma più diretta di violazione e consiste nella comunicazione delle informazioni protette a soggetti non autorizzati dalla parte divulgante. Tale divulgazione può essere intenzionale oppure colposa, cioè derivante da negligenza o imprudenza. La gravità dipende dalla natura delle informazioni, dall’ampiezza della diffusione e dal danno potenziale.

2. Utilizzo delle informazioni per scopi difformi da quelli previsti

Si verifica quando la parte ricevente, pur non divulgando le informazioni a terzi, le utilizza per finalità diverse da quelle esplicitamente consentite dall’accordo. Un esempio tipico è lo sviluppo di prodotti o servizi concorrenti basati sul know-how riservato acquisito durante una trattativa poi non andata a buon fine.

3. Mancata adozione di adeguate misure di sicurezza

L’obbligo di riservatezza implica anche un facere (letteralmente fare in latino), ovvero adottare cautele ragionevoli — fisiche, logiche e organizzative — per prevenire accessi non autorizzati, perdite o furti delle informazioni. La negligenza in tal senso configura di per sé una violazione. Se le informazioni includono dati personali, la mancata adozione di misure di sicurezza può integrare anche una violazione del GDPR (Regolamento UE 2016/679).

4. Violazioni compiute da dipendenti, ex-dipendenti, consulenti o subappaltatori

La parte ricevente è generalmente responsabile anche per le violazioni commesse dai propri ausiliari che hanno avuto accesso legittimo alle informazioni. Un NDA ben redatto dovrebbe imporre alla parte ricevente di garantire il rispetto degli obblighi anche da parte di questi soggetti, ad esempio tramite NDA interni o clausole specifiche nei contratti di lavoro. Nei rapporti di lavoro subordinato, del resto, opera già l’obbligo di fedeltà previsto dall’art. 2105 c.c., che vieta al lavoratore di divulgare notizie attinenti all’organizzazione e ai metodi di produzione dell’impresa.

5. Ritenzione indebita delle informazioni oltre i termini pattuiti

Gli accordi di riservatezza prevedono solitamente un termine di durata o l’obbligo di restituire o distruggere le informazioni (e le relative copie) alla scadenza dell’accordo, alla cessazione del rapporto o su richiesta. La mancata restituzione o distruzione, oppure la divulgazione successiva alla scadenza del termine per informazioni che dovrebbero ancora essere protette (come i segreti commerciali), costituisce una violazione, definita “ritenzione indebita”.

NDA e segreti commerciali: il doppio binario di tutela

Un aspetto spesso sottovalutato è che, quando le informazioni protette costituiscono segreti commerciali, l’NDA non è l’unica fonte di tutela. Si affianca la protezione, ben più forte, prevista dagli artt. 98 e 99 del Codice della Proprietà Industriale (CPI), come rafforzati dal D.Lgs. 63/2018, che ha recepito la Direttiva (UE) 2016/943 in materia di segreti commerciali.

L’art. 98 CPI protegge le informazioni aziendali segrete a tre condizioni cumulative:

• devono essere segrete, cioè non generalmente note né facilmente accessibili agli esperti del settore;
• devono avere valore economico proprio in quanto segrete;
• devono essere sottoposte a misure ragionevolmente adeguate a mantenerle segrete.

È qui che l’NDA gioca un ruolo decisivo: la sua stipula è una delle “misure ragionevoli” che dimostrano la volontà dell’azienda di proteggere il segreto. In altre parole, l’accordo di riservatezza non solo obbliga la controparte, ma contribuisce a fondare la stessa tutelabilità dell’informazione come segreto commerciale.

L’art. 99 CPI, dal canto suo, attribuisce al legittimo detentore il diritto di vietare a terzi di acquisire, rivelare o utilizzare abusivamente i segreti. Il D.Lgs. 63/2018 ha esteso la responsabilità anche all’acquisizione colposa: risponde anche chi utilizza informazioni segrete sapendo — o dovendo sapere secondo l’ordinaria diligenza — che erano state ottenute illecitamente da un terzo.

Cosa comporta la violazione di un accordo di riservatezza?

Le conseguenze della violazione di un accordo di riservatezza sono molteplici e dipendono dalla gravità dell’inadempimento, dalla natura delle informazioni e dalle clausole specifiche del contratto. Oltre alle implicazioni legali, è fondamentale considerare il potenziale danno reputazionale per la parte inadempiente.

Interventi preliminari e stragiudiziali

Prima di adire le vie legali, un primo passo comune è l’invio di una lettera di diffida. Questo atto serve a contestare formalmente la violazione, richiedere la cessazione della condotta illecita, l’adozione di misure correttive e l’eventuale risarcimento dei danni subiti. Può inoltre interrompere i termini di prescrizione e fungere da avvertimento prima di un’azione giudiziaria, aprendo talvolta la strada a una soluzione transattiva.

Le tutele in sede civile

Se la diffida non sortisce effetti, la parte lesa può ricorrere all’autorità giudiziaria civile con una pluralità di strumenti.

Azione inibitoria. È lo strumento cruciale per ottenere un provvedimento che imponga la cessazione immediata della condotta lesiva (ad esempio il divieto di ulteriore divulgazione o utilizzo). È spesso richiesta in via d’urgenza, tramite ricorso cautelare (art. 700 c.p.c. o, per i segreti commerciali, art. 131 CPI), quando sussistono la verosimile esistenza del diritto (fumus boni iuris) e il pregiudizio imminente e irreparabile (periculum in mora).

Risarcimento del danno. La violazione configura un inadempimento contrattuale (art. 1218 c.c.) e può integrare anche un illecito extracontrattuale, in particolare la concorrenza sleale (art. 2598 c.c.). La parte lesa ha diritto al risarcimento del danno, che comprende:

• Danno emergente: le perdite patrimoniali dirette e immediate (ad esempio i costi di investigazione, la perdita di valore dell’informazione, le spese per il ripristino della posizione di mercato);
• Lucro cessante: il mancato guadagno che si sarebbe ragionevolmente conseguito senza la violazione (perdita di profitti, di quote o di opportunità di mercato). La sua quantificazione è spesso complessa. Per i segreti commerciali, l’art. 125 CPI consente di ricorrere in via equitativa al criterio della “royalty ragionevole”, ossia il corrispettivo che il contraffattore avrebbe dovuto pagare per ottenere una licenza d’uso: costituisce una soglia minima, che il giudice può incrementare;
• Retroversione degli utili: in alternativa al lucro cessante, il titolare può chiedere la restituzione degli utili realizzati dall’autore della violazione, quando essi siano superiori al lucro cessante (art. 125, comma 3, CPI);
• Danno non patrimoniale: incluso il danno reputazionale, qualora dimostrabile come conseguenza diretta della violazione.

Clausola penale. Molti accordi di riservatezza includono una clausola (art. 1382 c.c.) che predetermina una somma dovuta in caso di inadempimento, indipendentemente dalla prova del danno effettivo. Ha funzione di liquidazione anticipata del danno e di deterrenza. Attenzione: una penale manifestamente eccessiva può essere ridotta dal giudice ai sensi dell’art. 1384 c.c., anche d’ufficio. Per questo la penale va calibrata con attenzione, evitando importi sproporzionati che rischiano il ridimensionamento.

Obbligo di restituzione o distruzione dei materiali riservati. È un rimedio volto a recuperare il controllo sulle informazioni e prevenire future violazioni. L’obbligo si estende non solo alle informazioni originali ma anche a tutte le relative copie. La mancata restituzione o distruzione nei tempi pattuiti integra di per sé una violazione contrattuale.

Sequestro. In alcuni casi possono essere richieste misure cautelari reali, come il sequestro conservativo (art. 671 c.p.c., a garanzia del credito risarcitorio), il sequestro giudiziario (art. 670 c.p.c., sui materiali contenenti le informazioni) o, per i segreti commerciali, la descrizione e il sequestro previsti dall’art. 129 CPI.

I profili di rilevanza penale

La violazione di un accordo di riservatezza, specialmente se riguarda segreti commerciali, può integrare anche fattispecie di reato. È un profilo che accresce sensibilmente la forza della tutela.

Rivelazione di segreti scientifici o commerciali: art. 623 c.p.

L’art. 623 del codice penale punisce chi, venuto a conoscenza di segreti commerciali per ragioni professionali o avendoli acquisiti abusivamente, li rivela o li impiega a proprio o altrui profitto. Il D.Lgs. 63/2018 ha aggiornato e rafforzato questa tutela: la norma parla ora espressamente di “segreti commerciali” e prevede un aggravamento di pena quando il fatto è commesso tramite strumenti informatici — circostanza frequente nell’era digitale.

Rivelazione di segreto professionale: art. 622 c.p.

L’art. 622 c.p. incrimina chi rivela, senza giusta causa, un segreto appreso in ragione del proprio stato, ufficio, professione o arte, oppure lo impiega a proprio o altrui profitto, se dal fatto può derivare nocumento. È una norma rilevante, ad esempio, per consulenti e professionisti che abbiano avuto accesso a informazioni riservate.

Reati informatici

A seconda delle modalità della condotta, possono configurarsi ulteriori reati, come l’accesso abusivo a un sistema informatico (art. 615-ter c.p.) o la frode informatica (art. 640-ter c.p.), specie quando la sottrazione delle informazioni avviene forzando credenziali o sistemi di protezione.

La violazione degli obblighi privacy (GDPR)

Quando le informazioni riservate comprendono dati personali, la violazione dell’NDA può intrecciarsi con la disciplina europea sulla protezione dei dati. Il Regolamento UE 2016/679 (GDPR) impone al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate a garantire la sicurezza dei dati (art. 32). La mancata protezione che porti a una divulgazione può comportare:

• l’obbligo di notifica della violazione (data breach) al Garante e, nei casi più gravi, agli interessati;
• il risarcimento del danno agli interessati (art. 82 GDPR);
• l’applicazione di sanzioni amministrative particolarmente elevate (art. 83 GDPR).

Si tratta di un profilo autonomo rispetto all’inadempimento contrattuale: la stessa condotta può quindi generare responsabilità su più piani, con un aggravamento complessivo delle conseguenze per la parte inadempiente.

L’importanza della prova della violazione

Uno degli aspetti più critici è l’onere della prova, che grava sulla parte che lamenta la violazione. È necessario dimostrare l’esistenza dell’accordo di riservatezza, la natura confidenziale delle informazioni, l’avvenuta violazione, il nesso causale e l’entità del danno. Le difficoltà pratiche più frequenti riguardano la dimostrazione della provenienza dell’informazione, la quantificazione del danno (soprattutto il lucro cessante) e la tracciabilità dell’uso non autorizzato.

Alcune strategie consentono di predisporre in anticipo la prova e di rafforzare la propria posizione:

• marcare i documenti come “riservato” o “confidenziale”;
• tenere un registro delle informazioni condivise e con chi;
• mantenere log di accesso e sistemi di tracciabilità (audit log, watermarking digitale, filigrane personalizzate);
• inserire clausole penali e obblighi di rendicontazione;
• conservare le prove della “storicità” del segreto (data certa, depositi, versioning).

Eccezioni alla riservatezza e possibili linee difensive

Un accordo di riservatezza ben scritto prevede solitamente delle eccezioni all’obbligo di confidenzialità. Non costituisce violazione la divulgazione o l’uso di informazioni che:

• siano già di pubblico dominio o lo diventino senza colpa del ricevente;
• fossero già legittimamente in possesso del ricevente prima della comunicazione;
• siano state sviluppate autonomamente dal ricevente, senza utilizzare le informazioni riservate;
• siano ricevute legittimamente da terzi non vincolati alla riservatezza;
• debbano essere divulgate per obbligo di legge o su ordine di un’autorità.

A queste si è aggiunta una fattispecie di crescente importanza: la segnalazione di illeciti (whistleblowing). Il D.Lgs. 24/2023, di recepimento della Direttiva (UE) 2019/1937, tutela chi segnala violazioni di cui è venuto a conoscenza nel contesto lavorativo: in presenza dei presupposti di legge, la segnalazione effettuata nei canali previsti non costituisce violazione degli obblighi di riservatezza né fonte di responsabilità. Una clausola NDA non può quindi essere usata per soffocare segnalazioni legittime.

Sul piano difensivo, una linea frequente consiste nel contestare la validità o la portata dell’accordo per indeterminatezza o eccessiva genericità della definizione di “informazione riservata”. È la ragione per cui, come vedremo, la precisione redazionale è tanto importante.

Prevenzione: redigere un NDA efficace e adottare misure interne

La prevenzione è, senza dubbio, la migliore strategia di protezione del patrimonio informativo. Si attua su due livelli complementari: la qualità del contratto e la solidità delle misure organizzative interne.

Due diligence preliminare

Prima di condividere informazioni sensibili, è opportuno valutare l’affidabilità della controparte, la sua struttura e la reale necessità di accedere a determinati dati.

Redazione accurata e personalizzata dell’accordo

Un NDA efficace è “cucito su misura”. In particolare, dovrebbe curare:

• Chiarezza e specificità: evitare ambiguità, soprattutto nella definizione delle informazioni riservate e degli scopi consentiti, elencando dettagliatamente le categorie di informazioni protette;
• Obblighi dettagliati del ricevente: divieto di divulgazione e uso improprio, obbligo di custodia diligente e di adozione di misure di sicurezza, estensione degli obblighi ad ausiliari e collaboratori;
• Durata definita: commisurata alla natura delle informazioni (per i segreti commerciali la protezione può durare finché permane la segretezza);
• Conseguenze della violazione: clausole penali calibrate, diritto al risarcimento del danno ulteriore e all’inibitoria;
• Legge applicabile e foro competente: scelta ponderata, in particolare nei contesti internazionali;
• Personalizzazione: evitare modelli generici scaricati online, che raramente reggono al vaglio giudiziario.

Misure di sicurezza interne

Le clausole non bastano se non sono accompagnate da misure concrete: tecniche (cyber security, crittografia, controllo degli accessi), organizzative (policy chiare, principio del need-to-know, gestione degli ex dipendenti) e formative (sensibilizzazione periodica del personale per creare una cultura della riservatezza). Queste misure sono anche essenziali per dimostrare l’adozione delle “misure ragionevoli” richieste dall’art. 98 CPI ai fini della tutela dei segreti commerciali.

Revisione periodica

Gli NDA esistenti vanno rivalutati periodicamente, specialmente in caso di cambiamenti nel contesto di business, nelle tecnologie utilizzate o nelle relazioni con le controparti.

Come agire in modo strategico

La tutela offerta da un accordo di riservatezza è massimizzata quando viene integrata in una strategia complessiva di gestione del rischio e protezione del patrimonio informativo. Un NDA non è semplicemente un documento legale, ma uno strumento proattivo per la salvaguardia degli asset intangibili più preziosi di un’impresa.

La redazione meticolosa e personalizzata del contratto, l’adozione di solide misure di sicurezza interne, la corretta qualificazione delle informazioni come segreti commerciali e la piena consapevolezza delle conseguenze legali e reputazionali di una violazione sono, insieme, gli elementi che fanno la differenza tra una protezione apparente e una tutela realmente efficace.

Che tu debba redigere un NDA, reagire a una violazione già avvenuta o difenderti da una contestazione, affrontare la questione con un metodo rigoroso e un’assistenza qualificata può cambiare radicalmente l’esito.

Avvertenza: il presente contributo ha finalità informativa e non costituisce parere o consulenza legale. Le norme e la giurisprudenza citate sono aggiornate alla data di revisione dell’articolo. Per una valutazione del caso concreto è necessaria un’analisi professionale individuale.