Accordo di Riservatezza (NDA) per Know-How e Segreti Industriali

L'Accordo di Riservatezza (NDA) per Know-How e Segreti Industriali in Italia è l'atto disciplinato da D.Lgs. 30/2005 (CPI) artt. 98–99; Dir. UE 2016/943; art. 2105 c.c.

La protezione dei segreti industriali in Italia non richiede la registrazione presso un ufficio brevetti — come avviene per marchi (UIBM, EUIPO) e brevetti (UIBM, EPO) — ma si fonda su tre requisiti cumulativi stabiliti dall'art. 98, comma 1, CPI: (1) le informazioni non devono essere generalmente note alle persone che normalmente trattano il tipo di informazioni in questione (requisito della segretezza); (2) le informazioni devono avere valore economico derivante dalla loro segretezza (requisito del valore commerciale); (3) il loro legittimo detentore deve adottare misure ragionevoli di mantenimento della segretezza (requisito delle misure di protezione). L'NDA scritto costituisce proprio quella «misura ragionevole» di protezione che consolida la posizione giuridica del titolare del segreto in caso di controversia davanti al Tribunale delle Imprese (Sezione Specializzata in materia di Impresa istituita ex D.Lgs. 168/2003, L. 27/2012).

Nel settore tecnologico italiano, l'NDA è indispensabile nelle trattative preliminari tra startup e investitori (nei round seed e Series A), nei rapporti tra committente e software house durante lo sviluppo di software personalizzato, nelle collaborazioni di ricerca e sviluppo tra aziende, nelle operazioni di fusione e acquisizione (M&A) durante la fase di due diligence, e nel coinvolgimento di consulenti tecnici esterni (solution architect, CTO as a Service, data scientist, auditor di sicurezza informatica). Senza NDA scritto, il titolare delle informazioni rischia di non poter provare in giudizio l'adozione delle «misure ragionevoli di protezione» richieste dall'art. 98 CPI, perdendo la tutela legale dei propri segreti industriali.

L'art. 99 CPI prevede le sanzioni civili per la violazione: il titolare del segreto industriale leso ha diritto a chiedere l'inibitoria della condotta lesiva, il risarcimento del danno (danno emergente e lucro cessante, con possibilità di chiedere la retroversione degli utili realizzati dall'autore della violazione ai sensi dell'art. 125 CPI), la distruzione dei prodotti e dei materiali realizzati con le informazioni riservate, e la pubblicazione della sentenza. Sul piano penale, la divulgazione abusiva di segreti industriali configura il reato di cui all'art. 623 del Codice Penale (rivelazione di segreti scientifici e industriali, reclusione fino a due anni), con aggravante se commessa da un dipendente o collaboratore.

L'obbligo di riservatezza in costanza di rapporto di lavoro subordinato è già previsto dall'art. 2105 c.c. (obbligo di fedeltà), ma cessa con la fine del rapporto. L'NDA estende questo obbligo nel tempo e lo estende ai collaboratori autonomi (consulenti, agenti, professionisti con partita IVA) che non sono soggetti all'art. 2105 c.c. Il modello di forms-legal.com è redatto in conformità alle norme italiane vigenti e alla Direttiva UE 2016/943, con clausole adattabili per NDA unilaterale (monodirezionale) e bilaterale (bidirezionale).

L'Accordo di Riservatezza (NDA) per Know-How e Segreti Industriali in Italia è necessario in una serie di situazioni pratiche tipiche del settore tecnologico, industriale e dei servizi professionali. La prima situazione è la condivisione di informazioni con un potenziale partner commerciale prima della firma di un accordo definitivo: presentazione di un algoritmo proprietario, di un prototipo, di dati di performance interni o di una lista clienti nel corso di trattative per una partnership, una licenza tecnologica o un'acquisizione. In questi contesti, il soggetto che condivide le informazioni ha tutto l'interesse a formalizzare per iscritto l'obbligo di riservatezza prima di rivelare qualsiasi dato sensibile.

La seconda situazione è l'engagement di fornitori di servizi IT — software house, agenzie di testing, consulenti di sicurezza informatica, auditor di codice sorgente — che devono accedere a sistemi o a codice proprietario per svolgere il loro incarico. Senza NDA firmato prima dell'accesso, la divulgazione del codice sorgente a un fornitore non vincolato da obblighi contrattuali di riservatezza può privare il titolare della tutela ex art. 98 CPI per mancanza del requisito delle «misure ragionevoli».

La terza situazione è la collaborazione con freelance o consulenti tecnici esterni — CTO on demand, solution architect, data scientist, pen tester — coinvolti su progetti coperti da brevetto non ancora depositato o su processi industriali segreti. Per i lavoratori autonomi, l'art. 2105 c.c. non si applica: l'NDA è l'unico strumento contrattuale per tutelare le informazioni riservate nel corso e dopo la collaborazione, poiché il patto di non concorrenza ex art. 2125 c.c. (forma scritta ad substantiam, corrispettivo obbligatorio, limite di durata massima tre anni) ha un ambito di applicazione diverso.

La quarta situazione è la due diligence tecnica in una M&A transaction: il target condivide con l'acquirente codice sorgente, architetture di sistema, contratti con fornitori chiave, piani industriali, dati finanziari non pubblici e informazioni sui clienti — tutte informazioni per cui l'NDA è la prima misura di protezione da porre in essere, spesso prima di qualsiasi altra negoziazione (Letter of Intent, accordo di esclusiva). La quinta situazione è la partecipazione a bandi di gara o a procedure di selezione in cui è richiesta la disclosure di know-how tecnico nella fase di offerta: il partecipante ha interesse a vincolare la stazione appaltante o il committente all'obbligo di riservatezza prima di rivelare dettagli tecnici proprietari.

La sesta situazione è la creazione di joint venture o consorzi di imprese per la partecipazione a commesse complesse (appalti pubblici di grande valore, commesse internazionali), in cui ciascun partner porta know-how specifico che non vuole sia accessibile agli altri partner oltre i limiti strettamente necessari. In questo caso l'NDA bilaterale tra i futuri partecipanti alla joint venture è lo strumento appropriato per regolare la condivisione delle informazioni riservate nella fase di costituzione e operatività del consorzio.

L'Accordo di Riservatezza (NDA) per Know-How e Segreti Industriali in Italia deve contenere elementi essenziali per essere efficace ai sensi del Codice della Proprietà Industriale (D.Lgs. 30/2005) e del Codice Civile. L'assenza di ciascuno di questi elementi può compromettere la tutela legale delle informazioni riservate o rendere l'NDA impugnabile in giudizio.

Primo elemento: l'identificazione precisa delle parti, con denominazione sociale completa, sede legale, partita IVA, numero REA della Camera di Commercio, PEC e nome del legale rappresentante. Indicare anche la qualità delle parti nel rapporto (parte divulgante/disclosing party; parte ricevente/receiving party; o entrambi se bilaterale).

Secondo elemento: la definizione precisa delle informazioni riservate, con elenco delle categorie coperte dall'NDA (codice sorgente, algoritmi, know-how manifatturiero, dati di clienti, prezzi interni, strategie commerciali, risultati R&S, disegni tecnici, formule, processi produttivi) e, altrettanto importante, l'elenco delle esclusioni — informazioni già di pubblico dominio indipendentemente dalla volontà delle parti; informazioni già in possesso documentato della parte ricevente prima della divulgazione; informazioni ricevute legittimamente da terzi non vincolati da obblighi di riservatezza; informazioni sviluppate autonomamente dalla parte ricevente senza utilizzo di informazioni riservate. Questa definizione è cruciale: un NDA con definizione troppo ampia rischia la nullità per indeterminatezza dell'oggetto (art. 1346 c.c.).

Terzo elemento: la tipologia dell'NDA (unilaterale o bilaterale) e le obbligazioni specifiche: divieto di divulgazione a terzi non autorizzati; divieto di uso per fini diversi dalla finalità convenuta; obbligo di protezione con lo stesso standard di sicurezza usato per le proprie informazioni riservate (standard «same care» o «reasonable care»); obbligo di comunicare immediatamente l'eventuale violazione o smarrimento delle informazioni riservate; obbligo di limitare l'accesso alle informazioni riservate ai soli dipendenti o collaboratori che ne abbiano strettamente bisogno per la finalità convenuta (need to know), con adozione di misure organizzative interne adeguate (registro degli accessi, formazione del personale, accordi di riservatezza interni ex art. 2105 c.c. per i dipendenti).

Quarto elemento: la durata dell'obbligo di riservatezza — termine definito (es. cinque anni dalla divulgazione) per informazioni con valenza commerciale temporanea; durata indeterminata (fino a quando le informazioni restano segrete) per know-how strutturale, algoritmi, codice sorgente e processi industriali che mantengono il loro valore economico nel tempo. La durata deve essere indicata con riferimento a un evento certo (data di firma, data di cessazione della collaborazione) e non può essere indefinitamente proroga automatica senza limite alcuno, perché una clausola di riservatezza perpetua su qualsiasi informazione è suscettibile di essere valutata come contraria all'ordine pubblico economico se di fatto impedisce la libera circolazione di informazioni ormai pubbliche.

Quinto elemento: la clausola penale (art. 1382 c.c.) con importo determinato o determinabile, ragionevole e proporzionato al valore delle informazioni protette e al danno prevedibile in caso di violazione; importi manifestamente eccessivi possono essere ridotti dal Tribunale ex art. 1384 c.c. La penale non deve essere cumulata con il risarcimento del danno maggiore senza una specifica previsione contrattuale. Per NDA su operazioni di elevato valore economico (M&A, partnership su brevetti, contratti di licenza tecnologica su know-how industriale di valore milionario) è opportuno prevedere sia una clausola penale per il danno minimo presunto sia il diritto del divulgante di chiedere il risarcimento del maggior danno effettivamente subito.

Sesto elemento: la previsione della restituzione o distruzione documentata dei materiali riservati alla cessazione del rapporto, con dichiarazione scritta che attesti l'avvenuta restituzione/distruzione di tutti i supporti (anche digitali — copie su cloud, email, dispositivi personali), entro un termine definito dalla cessazione (es. sette giorni lavorativi).

Settimo elemento: il foro competente — Sezione Specializzata in materia di Impresa del Tribunale (D.Lgs. 168/2003, L. 27/2012) — o la clausola compromissoria arbitrale (Camera Arbitrale di Milano, ICC). Le clausole di deroga alla competenza ex art. 1341, comma 2, c.c. richiedono la doppia sottoscrizione tra imprenditori. Ottavo elemento: la clausola di riservatezza sull'esistenza stessa dell'NDA (meta-riservatezza), frequente nelle operazioni M&A e nei rapporti startup-investitore, che vieta alla parte ricevente di rivelare anche solo l'esistenza delle trattative o della collaborazione. Su forms-legal.com il modello include tutti questi elementi in forma bilanciata per NDA sia unilaterali sia bilaterali.

Per compilare l'Accordo di Riservatezza (NDA) per Know-How e Segreti Industriali in Italia con il modello di forms-legal.com, seguire questi passaggi metodici per ogni sezione.

Sezione 1 — Tipo di NDA. Scegliere tra NDA unilaterale (solo la parte ricevente si obbliga alla riservatezza) e NDA bilaterale (entrambe le parti si scambiano informazioni riservate e si obbligano reciprocamente). La scelta dipende dall'equilibrio commerciale del rapporto: nelle trattative startup-investitore l'NDA è tipicamente unilaterale a vantaggio della startup; nelle partnership tecnologiche tra pari è bilaterale. L'NDA bilaterale richiede che entrambe le parti abbiano effettivamente informazioni riservate da tutelare: un NDA formalmente bilaterale in cui solo una parte divulga informazioni rilevanti è assimilato a un NDA unilaterale.

Sezione 2 — Definizione delle informazioni riservate. Personalizzare l'elenco delle categorie in base alla specifica operazione: per uno sviluppo software includere codice sorgente, specifiche tecniche, architettura di sistema, credenziali di accesso, documentazione API; per un processo industriale includere formule, parametri di processo, disegni tecnici, know-how di produzione; per una M&A includere dati finanziari non pubblici, contratti con clienti chiave, dati sui dipendenti. Definire anche le esclusioni con precisione, evitando formulazioni che potrebbero essere interpretate come esclusioni eccessive che svuotano l'NDA di contenuto.

Sezione 3 — Finalità ammessa. Specificare l'unica finalità per cui la parte ricevente è autorizzata a utilizzare le informazioni (es. «esclusivamente per valutare la possibilità di una collaborazione commerciale per lo sviluppo congiunto del prodotto X»). Una finalità troppo generica (es. «per scopi commerciali») non delimita sufficientemente l'uso consentito e può generare controversie.

Sezione 4 — Durata. Optare per un termine definito (tre-cinque anni) per informazioni con valenza temporanea — prezzi, strategie di marketing, promozioni, pipeline commerciale; per il know-how strutturale o il codice sorgente preferire la durata «finché le informazioni restano segrete e soddisfano i requisiti dell'art. 98 CPI», aggiungendo un termine minimo garantito (es. «e comunque non prima di sette anni dalla firma»).

Sezione 5 — Clausola penale. Indicare un importo ragionevole e proporzionato, es. «€ 50.000 per ogni singola violazione accertata, fermo restando il diritto al risarcimento del maggior danno». Evitare importi simbolici (rendono la clausola inefficace) o eccessivamente elevati (rischio di riduzione giudiziale ex art. 1384 c.c.).

Sezione 6 — Firma. Firmare in duplice originale con firma autografa; inviare copia via PEC per garantire la data certa. Applicare la marca da bollo (€ 16 ogni 4 facciate/100 righe) sull'originale del contratto non soggetto a IVA, ai sensi del D.P.R. 26 ottobre 1972, n. 642. Per la firma digitale, utilizzare una firma digitale qualificata ai sensi dell'art. 24 CAD.

L'Accordo di Riservatezza (NDA) per Know-How e Segreti Industriali in Italia si inserisce in un quadro normativo articolato che il professionista deve padroneggiare per redigere un NDA efficace e tutelare adeguatamente gli interessi del cliente.

L'art. 98 del D.Lgs. 30/2005 (CPI) definisce le informazioni aziendali riservate tutelabili (non generalmente note, con valore economico, soggette a misure ragionevoli di protezione) e il campo di applicazione della tutela. L'art. 99 CPI prevede le sanzioni civili per l'indebita acquisizione, rivelazione o utilizzo delle informazioni riservate — inibitoria, risarcimento, distruzione dei prodotti illeciti — rinviando agli artt. 124-131 CPI per le misure di tutela in giudizio, inclusa la tutela cautelare ex art. 125 CPI anche ante causam.

La Direttiva UE 2016/943, recepita in Italia con D.Lgs. 63/2018 e integrata nel CPI, ha armonizzato la disciplina europea dei segreti commerciali, rafforzando le possibilità di tutela cautelare (sequestro, inibitoria urgente) e ampliando le categorie di informazioni protette, estendendo la tutela alle informazioni «economicamente rilevanti» anche se non tecnicamente «industriali».

L'art. 2105 c.c. (Codice Civile) estende l'obbligo di riservatezza ai lavoratori subordinati in costanza di rapporto, ma l'obbligo cessa con la cessazione del rapporto di lavoro: l'NDA è l'unico strumento per estendere la tutela nel tempo e verso i collaboratori non subordinati.

L'art. 1382 c.c. disciplina la clausola penale (liquidazione anticipata del danno); l'art. 1384 c.c. consente al giudice di ridurla se manifestamente eccessiva rispetto al pregiudizio effettivo o al valore del rapporto.

L'art. 1341, comma 2, c.c. impone la doppia sottoscrizione delle clausole vessatorie tra imprenditori — foro esclusivo, clausola penale elevata, limitazioni di responsabilità del divulgante. La mancanza della doppia firma rende queste clausole inefficaci.

Il D.P.R. 642/1972 impone la marca da bollo (€ 16/4 facciate) sulle scritture private non soggette a IVA. Il Reg. UE 2016/679 (GDPR) e il D.Lgs. 196/2003 si applicano alle informazioni riservate che contengono dati personali: in questo caso l'NDA deve coordinarsi con un Data Processing Agreement (DPA) ex art. 28 GDPR se la parte ricevente tratta dati personali per conto della parte divulgante. Il D.Lgs. 168/2003 (L. 27/2012) attribuisce la competenza per le controversie in materia di proprietà industriale, inclusi i segreti commerciali, alle Sezioni Specializzate in materia di Impresa.

Nella redazione dell'Accordo di Riservatezza (NDA) per Know-How e Segreti Industriali in Italia si commettono errori frequenti che ne compromettono l'efficacia in giudizio o nella gestione pratica del rapporto. Identificare questi errori preventivamente è fondamentale per redigere un NDA che regga a un esame legale approfondito.

1. Definizione generica delle informazioni riservate. Descrivere le informazioni come «tutte le informazioni scambiate tra le parti» viola il requisito di determinatezza dell'oggetto (art. 1346 c.c.) e rende difficile provare in giudizio che una specifica informazione era coperta dall'NDA. L'elenco delle categorie deve essere specifico e contestualizzato all'operazione concreta.

2. Omissione delle esclusioni dalla riservatezza. Informazioni già pubblicamente disponibili, già note alla parte ricevente prima della firma con prova documentale, o ricevute legittimamente da terzi non vincolati da obblighi di riservatezza non possono essere coperte dall'NDA; l'assenza di tali esclusioni genera contenziosi inutili e indebolisce l'NDA in giudizio.

3. Mancata specificazione della finalità d'uso. Senza indicare l'unica finalità per cui la parte ricevente è autorizzata a usare le informazioni, la parte ricevente potrebbe sostenere di averle usate in modo conforme all'NDA per uno scopo diverso da quello del divulgante.

4. Clausola penale manifestamente eccessiva. Un importo sproporzionato al valore delle informazioni o al danno prevedibile (es. «€ 10 milioni per qualsiasi violazione, anche minima») verrà ridotto dal Tribunale ex art. 1384 c.c. a un valore proporzionato, vanificando la funzione deterrente della clausola. La riduzione giudiziale è quasi automatica quando la penale è dieci o più volte superiore al danno prevedibile.

5. Assenza di obblighi di restituzione/distruzione. La mancanza di una clausola che imponga alla parte ricevente di restituire o distruggere documentalmente tutte le copie delle informazioni riservate alla fine del rapporto rende impossibile verificare che la parte ricevente abbia cessato di utilizzare le informazioni.

6. Mancata doppia sottoscrizione delle clausole ex art. 1341, comma 2, c.c. Le clausole di foro esclusivo, penale elevata e limitazioni di responsabilità richiedono specifica approvazione per iscritto tra imprenditori; la mancanza della doppia firma le rende inefficaci.

7. NDA non coordinato con il GDPR. Se le informazioni riservate contengono dati personali di clienti, dipendenti o terzi, è necessario predisporre anche un DPA ex art. 28 GDPR, nominando la parte ricevente responsabile del trattamento. Senza DPA, il titolare si espone alle sanzioni del Garante per la protezione dei dati personali (fino a € 20 milioni o 4% del fatturato mondiale).

8. NDA non firmato prima della divulgazione. Questa sembra un'ovvietà ma è l'errore più grave: condividere informazioni riservate prima della firma dell'NDA priva il titolare della prova delle «misure ragionevoli di protezione» richieste dall'art. 98 CPI e può compromettere irrimediabilmente la tutela del segreto industriale.