L’accordo di riservatezza NDA è uno degli strumenti contrattuali più usati, e più sottovalutati, dalle imprese digitali. La startup che presenta il prodotto a un investitore, la web agency che condivide un brief con un freelance, l’azienda tech che apre il gestionale a un fornitore: in ognuno di questi casi circolano informazioni che valgono finché restano riservate.

La legge tutela quelle informazioni anche senza contratto, ma a condizioni precise e difficili da provare. Un NDA scritto bene rende la tutela chiara prima della lite, invece di doverla dimostrare dopo. Per questo conta sapere cosa deve contenere, quando serve e quali errori lo rendono inutile.

1. Cos’è l’NDA e perché serve

L’NDA (Non Disclosure Agreement, in italiano accordo di non divulgazione o patto di segretezza) è il contratto con cui una o più parti si impegnano a mantenere riservate le informazioni che ricevono durante una trattativa, una collaborazione o un rapporto contrattuale. Delimita ciò che è confidenziale e stabilisce le conseguenze della violazione.

Il nostro ordinamento tutela l’informazione aziendale come segreto commerciale solo se ricorrono tre requisiti, previsti dall’art. 98 del Codice della proprietà industriale (D.Lgs. 30/2005).

• Segretezza – l’informazione, nel suo insieme o nella combinazione dei suoi elementi, non deve essere nota o facilmente accessibile agli esperti e agli operatori del settore.
• Valore economico – deve valere proprio perché è segreta.
• Misure adeguate – chi la controlla deve averla protetta con misure ragionevolmente adeguate.

Qui l’NDA diventa decisivo. Farlo firmare a chi accede alle informazioni è una delle misure più efficaci per dimostrare di averle protette. Senza misure dimostrabili, l’impresa rischia di scoprire troppo tardi che il proprio know-how non era tutelato come segreto.

1.1 Cosa succede senza NDA

Chi riceve informazioni in una trattativa che poi salta non è libero di usarle come vuole. Il detentore di un segreto commerciale può vietare a chiunque di acquisirlo, rivelarlo o usarlo in modo abusivo (art. 99 del Codice della proprietà industriale). Chi tratta deve comportarsi secondo buona fede (art. 1337 del Codice civile), e restano le regole sulla concorrenza sleale.

Sono però strumenti che richiedono di provare in giudizio i requisiti del segreto e l’abuso. L’NDA affianca queste tutele e rende la protezione prevedibile e provabile, soprattutto nella fase delle trattative.

A livello europeo il quadro è completato dalla Direttiva UE 2016/943, sulla protezione del know-how riservato e delle informazioni commerciali riservate, che ha armonizzato la tutela civile contro l’acquisizione, l’utilizzo e la divulgazione illeciti.

2. Quando serve davvero

L’NDA non va firmato per abitudine. Ha senso in cinque situazioni ricorrenti nel digitale.

• Pitch a investitori o partner – la startup che presenta un prodotto in fase prototipale o un modello basato su algoritmi proprietari condivide informazioni che, una volta uscite dalla stanza, non si recuperano.
• Fornitori tecnici – la software house o il consulente IT che accede al sistema del cliente vede banche dati, transazioni e logiche operative. L’accordo definisce perimetro di accesso, divieti di copia e obblighi a fine incarico.
• Freelance e collaboratori esterni – designer, sviluppatori e copywriter che lavorano su prodotti non ancora lanciati sono spesso l’anello debole. Un NDA integrato nel contratto di servizio riduce il rischio.
• Acquisizioni e due diligence – l’accesso a bilanci, contratti e dati tecnologici richiede un accordo di riservatezza preventivo, spesso bilaterale.
• Fase pre-brevettuale – chi condivide un’invenzione prima del deposito rischia di perderne la novità, perché ciò che è divulgato entra nello stato della tecnica (art. 46 del Codice della proprietà industriale). Se l’NDA viene violato, serve anche a provare l’abuso evidente che rende non opponibile la divulgazione avvenuta nei sei mesi prima del deposito, come prevede l’articolo successivo.

3. Le clausole essenziali

Un NDA è un contratto su misura, e regge solo se alcune clausole sono scritte con precisione.

3.1 Definizione di “Informazioni Riservate”

È la clausola più importante, e la più trascurata. Una definizione del tipo “ogni informazione comunicata dalla Società” è vaga e difficile da far valere. Una buona definizione indica categorie specifiche: dati tecnici e progettuali, codice sorgente, documentazione di prodotto, business plan, proiezioni finanziarie, banche dati clienti e fornitori, condizioni economiche, know-how organizzativo.

Aiuta anche segnalare la natura riservata dei documenti quando li si consegna, per esempio con la dicitura “RISERVATO”. Per lo Studio è una delle prove più semplici delle misure adeguate richieste dall’art. 98.

3.2 Obblighi del ricevente

La clausola dice cosa il ricevente non può fare. Di solito non può usare le informazioni per scopi diversi da quello dell’accordo, comunicarle a terzi (società del gruppo comprese), copiarle o manipolarle. Deve proteggerle con la stessa cura che usa per le proprie informazioni riservate, e vincolare con impegni analoghi dipendenti, collaboratori e consulenti che vi accedono.

3.3 Eccezioni

Sono escluse di norma le informazioni già pubbliche, quelle diventate pubbliche senza colpa del ricevente, quelle ricevute legittimamente da terzi non vincolati e quelle da comunicare per legge o per ordine dell’autorità. Senza queste eccezioni l’accordo rischia un’interpretazione restrittiva o una contestazione per indeterminatezza dell’oggetto.

C’è poi un’eccezione che vale anche se il contratto non la prevede. Chi segnala una violazione nei modi previsti dalla disciplina sul whistleblowing non risponde della rivelazione di informazioni coperte da segreto (art. 20 del D.Lgs. 24/2023), e le rinunce a questa tutela non sono valide, salvo quelle fatte in una sede protetta come la conciliazione sindacale. Anche la direttiva europea esclude la tutela del segreto, per esempio, quando la rivelazione serve a denunciare un illecito nell’interesse pubblico (art. 5 della Direttiva 2016/943). Negli NDA con dipendenti e collaboratori conviene scriverlo espressamente.

3.4 Durata

Le opzioni sono tre.

• Senza scadenza – l’obbligo dura finché le informazioni non diventano pubbliche. È la formula più protettiva per chi divulga, ma può sembrare sproporzionata.
• Durata fissa – nella prassi da 3 a 10 anni, pratica ed equilibrata.
• Formula combinata – durata fissa per gli obblighi contrattuali, ferma la tutela di legge dei segreti commerciali, che dura finché le informazioni restano segrete.

I limiti di legge del patto di non concorrenza non si applicano a un obbligo che riguarda solo la riservatezza. Quei limiti sono diversi a seconda del rapporto: tre anni, o cinque per i dirigenti, per i dipendenti (art. 2125 del Codice civile), cinque anni tra imprese (art. 2596), due anni per gli agenti (art. 1751-bis).

La durata libera, però, non è un dato pacifico in ogni caso. Un vincolo di riservatezza così ampio da impedire di fatto a un ex dipendente di lavorare nel settore rischia di essere trattato come un patto di non concorrenza, che senza corrispettivo è nullo.

3.5 Restituzione e distruzione

Al termine del rapporto o della trattativa il ricevente deve restituire o distruggere ogni copia delle informazioni, cartacea e digitale, su semplice richiesta di chi le ha comunicate.

3.6 Clausola penale

La penale fissa in anticipo la somma dovuta in caso di violazione, senza bisogno di provare il danno (art. 1382 del Codice civile). In una materia in cui il danno è difficile da quantificare, è utile e ha effetto deterrente. Se il contratto lo prevede espressamente, resta possibile chiedere anche il danno ulteriore.

Va calibrata. Una penale manifestamente eccessiva può essere ridotta dal giudice secondo equità (art. 1384 del Codice civile).

3.7 Legge applicabile e foro competente

Con controparti estere, frequenti nel digitale, legge applicabile e foro incidono sull’effettiva possibilità di far valere l’accordo. Con due parti in Italia, legge italiana e foro italiano sono la scelta più semplice.

Un errore frequente riguarda i modelli standard, cioè le condizioni generali predisposte da una parte o i moduli prestampati. In quel caso la clausola che deroga al foro competente non ha effetto se non è approvata specificamente per iscritto (artt. 1341, comma 2, e 1342 del Codice civile).

4. NDA con dipendenti e collaboratori

Il lavoratore subordinato ha già un obbligo di legge. Non può divulgare notizie sull’organizzazione e sui metodi di produzione dell’impresa, né usarle in modo da recarle pregiudizio (art. 2105 del Codice civile). È un obbligo distinto dal divieto di concorrenza previsto dallo stesso articolo.

Quell’obbligo ha due limiti. Secondo l’orientamento prevalente vale solo durante il rapporto, e dopo la cessazione la tutela passa soprattutto per la concorrenza sleale e per i segreti commerciali. Inoltre è formulato in modo generico.

Il patto di riservatezza con il dipendente colma entrambi i vuoti. Estende l’obbligo dopo la fine del rapporto e specifica le categorie di informazioni protette, purché non diventi un divieto di concorrenza mascherato.

Per lavoratori autonomi, agenti e collaboratori valgono i principi di correttezza e buona fede (artt. 1175 e 1375 del Codice civile), oltre alle norme sui segreti commerciali e sulla concorrenza sleale. Per lo Studio l’NDA resta lo strumento più efficace, perché trasforma principi generali in obblighi precisi.

Esistono anche profili penali. La rivelazione di segreti può integrare due reati. L’art. 622 del Codice penale riguarda chi conosce un segreto per il proprio stato, ufficio, professione o arte. L’art. 623 riguarda i segreti commerciali, e colpisce anche chi li ha acquisiti in modo abusivo. Entrambi sono punibili solo su querela della persona offesa.

5. NDA e intelligenza artificiale

Quando un dipendente o un fornitore carica documenti riservati su un assistente generativo o su una piattaforma di automazione, le informazioni entrano in flussi che l’impresa non controlla. Possono essere usate dal fornitore del servizio per addestrare il modello, salvo diversa configurazione, oppure restare in log e archivi.

Il rischio più immediato riguarda il terzo requisito dell’art. 98. L’impresa che tollera questi usi fatica a dimostrare di aver adottato misure ragionevolmente adeguate, e nei casi peggiori perde la segretezza stessa.

Per questo un NDA aggiornato dovrebbe prevedere:

• il divieto di inserire Informazioni Riservate in sistemi di IA di terzi privi di garanzie contrattuali adeguate (nessun addestramento, luogo di conservazione dei dati, tempi di conservazione dei log);
• l’obbligo di usare solo strumenti approvati dall’impresa;
• l’estensione degli obblighi di riservatezza a output, prompt e dataset derivati;
• il coordinamento con le politiche aziendali sull’IA, compresa l’alfabetizzazione del personale che l’art. 4 dell’AI Act chiede di sostenere a chi usa sistemi di IA.

I modelli di NDA vanno rivisti periodicamente, perché gli strumenti cambiano più in fretta dei contratti.

6. Gli errori che rendono inutile l’accordo

• Definizione generica delle Informazioni Riservate – formule come “tutte le informazioni scambiate tra le parti” rischiano di non proteggere nulla in concreto.
• Nessuna eccezione – né quelle standard né quella per il whistleblowing.
• Penale sproporzionata – può essere ridotta dal giudice e perde il suo effetto deterrente.
• Durata indeterminata per tutto – per informazioni con una vita commerciale breve appare sproporzionata.
• Privacy dimenticata – quando chi riceve le informazioni tratta dati personali per conto dell’impresa, l’NDA va affiancato da un accordo ai sensi dell’art. 28 GDPR. Un NDA da solo non basta.
• Nessun obbligo di restituzione – le copie restano al ricevente senza limiti di tempo.
• Sub-collaboratori non vincolati – la catena di riservatezza si interrompe.
• Foro scelto male – estero o in una giurisdizione di difficile esecuzione, oppure non approvato specificamente per iscritto.

7. Casi pratici

Sono ipotesi tipiche, non riferite a casi reali.

Caso 1 – La startup SaaS che cerca un investitore. Prima del pitch con un fondo seed, la startup firma un NDA bilaterale che elenca le informazioni protette (metriche di utilizzo, architettura tecnica, roadmap, modello di prezzo), vieta l’uso per scopi diversi dalla decisione di investimento, dura cinque anni e prevede una penale congrua. Senza accordo, dimostrare l’abuso se il fondo condividesse la roadmap con una società concorrente in portafoglio sarebbe molto più difficile.

Caso 2 – La web agency che esternalizza lo sviluppo. L’agenzia affida a freelance un progetto per un cliente e-commerce, con accesso al codice e ai dati di vendita. La soluzione è un NDA back-to-back, in cui i freelance assumono verso l’agenzia gli stessi impegni che l’agenzia ha verso il cliente.

Caso 3 – L’azienda che apre il gestionale a un fornitore. Il fornitore IT vede banche dati clienti e saldi contabili. Tratta dati per conto della PMI, quindi è responsabile del trattamento, e all’NDA si affianca la nomina ai sensi dell’art. 28 GDPR, con istruzioni puntuali.

Caso 4 – Il content creator sotto embargo. Il creator conosce in anticipo strategia, prezzi e tempi di un lancio. Un NDA mirato, che copra anche i canali social e il fatto stesso della collaborazione, è la misura minima.

Caso 5 – L’acquisizione di partecipazioni. Prima di entrare nella data room le parti firmano un NDA reciproco, che copre anche l’esistenza della trattativa. Qui chi riceve i documenti li usa per una propria valutazione, e di regola non tratta dati per conto della società target.

Conclusioni

L’NDA è la misura più semplice, e spesso la più decisiva, per trasformare il know-how in un segreto tutelato. La legge offre protezioni anche senza contratto, ma lasciano all’impresa l’onere di provare tutto dopo.

Un accordo efficace è su misura. Definisce con precisione le informazioni, prevede le eccezioni che la legge impone, sceglie una durata sostenibile e una penale credibile, e si coordina con la privacy quando circolano dati personali.

Con l’IA generativa i modelli scritti anche solo due anni fa non bastano più. Per lo Studio aggiornarli è una forma di manutenzione del proprio patrimonio.

Punti chiave

Fonti e risorse utili