Condividere un listino riservato con un potenziale distributore, mostrare un prototipo a un fornitore o aprire una data room a un possibile acquirente può essere necessario per far avanzare un progetto. Il rischio nasce quando le informazioni escono dall'azienda senza che siano chiari lo scopo della condivisione, le persone autorizzate ad accedervi e ciò che dovrà accadere se la trattativa si interrompe.
Un accordo di riservatezza, spesso indicato con la sigla inglese NDA, serve a regolare questo passaggio. Non rende automaticamente segreto qualunque documento e non sostituisce le misure organizzative e tecniche necessarie per proteggere il know-how. Può però definire con precisione che cosa viene consegnato, perché può essere usato e quali obblighi assume chi lo riceve.
Questa guida, verificata l'8 agosto 2026, spiega che cosa controllare prima della firma e prima della prima divulgazione. Le indicazioni sono generali: contenuto, durata, rimedi e legge applicabile devono essere valutati sul rapporto concreto con un professionista legale.
Che cos'è un accordo di riservatezza e quando serve
L'accordo di riservatezza è un contratto con cui una o più parti regolano la comunicazione e l'uso di informazioni confidenziali. Può essere autonomo, firmato prima dell'avvio di una trattativa, oppure inserito come clausola in un contratto più ampio.
È particolarmente rilevante quando una PMI deve rivelare informazioni che hanno valore proprio perché non sono pubbliche: procedure produttive, specifiche tecniche, codice o architetture software, strategie commerciali, condizioni economiche, elenchi qualificati di clienti e fornitori, piani di sviluppo, risultati di ricerca o documenti preparatori di un'operazione societaria. Non ogni informazione interna è però un segreto commerciale in senso giuridico.
La Direttiva (UE) 2016/943 definisce segreto commerciale un'informazione che non è generalmente nota o facilmente accessibile agli operatori del settore, ha valore commerciale in quanto segreta ed è sottoposta a misure ragionevoli per mantenerla tale. In Italia la disciplina è stata attuata dal decreto legislativo 11 maggio 2018, n. 63, che ha modificato il Codice della proprietà industriale. L'NDA può far parte di quelle misure, ma la protezione concreta dipende anche da come l'impresa classifica, limita e documenta gli accessi.
Il momento conta. L'accordo dovrebbe essere definito prima di comunicare le informazioni che si vogliono proteggere. Se una prima riunione può restare su dati pubblici o descrizioni ad alto livello, l'impresa può rinviare la condivisione dei dettagli sensibili alla fase successiva. Questo approccio riduce la quantità di informazioni esposte e rende più chiaro il perimetro dell'accordo.
Prima clausola decisiva: informazioni riservate e scopo consentito
La definizione delle informazioni riservate è il cuore dell'NDA. Una formula che dichiara segreto tutto ciò che riguarda l'azienda può sembrare prudente, ma rischia di essere difficile da applicare nella pratica. Una definizione utile collega categorie riconoscibili al progetto: documenti tecnici, dati economici, condizioni commerciali, dimostrazioni, credenziali temporanee, materiali presenti in una data room o informazioni comunicate durante incontri identificati.
Va deciso anche come riconoscere ciò che è riservato. In alcuni rapporti può essere sostenibile contrassegnare documenti e cartelle; in altri, soprattutto quando le informazioni vengono comunicate oralmente, può servire una conferma scritta successiva. Il metodo deve essere realistico: una regola che nessuno applica rende più difficile ricostruire che cosa sia stato effettivamente condiviso.
Accanto all'oggetto serve lo scopo consentito. Il destinatario può valutare una possibile fornitura, preparare un'offerta, verificare una tecnologia o svolgere una due diligence, ma non dovrebbe poter usare le stesse informazioni per finalità estranee. Limitare l'uso è diverso dal vietare la sola divulgazione: un'informazione potrebbe non essere comunicata a terzi e tuttavia essere sfruttata internamente per un progetto non autorizzato.
Prima della firma conviene quindi rispondere a tre domande operative: quali categorie di informazioni devono uscire dall'azienda, quale decisione deve prendere il destinatario e quali attività non sono necessarie a quella decisione. Le risposte rendono più semplice scrivere un perimetro proporzionato.
NDA unilaterale o reciproco e persone autorizzate
Un NDA è unilaterale quando una sola parte comunica informazioni riservate e l'altra le riceve. È reciproco quando entrambe le parti condividono materiale da proteggere. La scelta non dovrebbe dipendere da una preferenza formale, ma dal flusso informativo previsto.
In una richiesta di preventivo tecnico, per esempio, il cliente può essere l'unica parte che rivela specifiche sensibili. In una partnership di sviluppo o in una joint venture preliminare, entrambe le imprese possono condividere tecnologia, dati economici e piani commerciali. In tal caso un accordo reciproco può evitare obblighi sbilanciati, purché distingua con chiarezza i ruoli che ciascuna parte assume di volta in volta.
Occorre poi identificare correttamente le parti. Se la trattativa coinvolge società di un gruppo, consulenti, advisor o subfornitori, l'accordo deve chiarire chi può ricevere le informazioni e chi risponde del loro trattamento. Estendere l'accesso in modo indistinto a qualunque soggetto collegato aumenta l'esposizione e rende meno controllabile la catena di condivisione.
Un obbligo contrattuale funziona meglio quando è accompagnato da regole operative. Il destinatario dovrebbe poter comunicare le informazioni solo alle persone che ne hanno effettiva necessità per lo scopo concordato, assicurando che siano vincolate da obblighi coerenti. Per dati particolarmente sensibili possono essere pertinenti autorizzazioni nominative, accessi separati, registri della data room, divieti di copia o download e procedure per segnalare incidenti.
Anche la parte che divulga deve organizzarsi. È utile separare i materiali pubblici da quelli riservati, assegnare un responsabile alla condivisione, conservare l'elenco dei documenti messi a disposizione e rimuovere gli accessi quando non sono più necessari. Condividere l'intero archivio perché è più rapido contraddice il principio pratico di limitare le informazioni a ciò che serve.
L'NDA non coincide con un accordo sul trattamento dei dati personali. Se i materiali comprendono dati riferiti a persone fisiche, possono essere necessari ruoli, istruzioni e garanzie ulteriori previsti dalla normativa privacy. La riservatezza commerciale e la protezione dei dati possono sovrapporsi, ma rispondono a presupposti differenti e vanno analizzate entrambe.
Durata, esclusioni e divulgazioni obbligatorie
La durata deve essere coerente con la natura delle informazioni e del rapporto. Il periodo durante il quale avvengono le comunicazioni può essere diverso dalla durata dell'obbligo di non divulgazione. Un progetto breve può riguardare un know-how che conserva valore più a lungo; altre informazioni, come una previsione economica legata a una specifica trattativa, possono perdere sensibilità prima.
Evitare durate scelte per abitudine aiuta a non imporre obblighi inutilmente ampi o, al contrario, troppo brevi. Per i segreti commerciali la valutazione deve considerare per quanto tempo restano soddisfatti i requisiti di legge e quali misure l'impresa continua ad adottare per proteggerli. Non esiste una durata standard adatta a ogni NDA.
L'accordo dovrebbe inoltre disciplinare le esclusioni. In genere meritano una verifica le informazioni già legittimamente conosciute dal destinatario, quelle divenute pubbliche senza violazione dell'accordo, quelle ricevute lecitamente da un terzo e quelle sviluppate in modo indipendente. È importante stabilire come tali circostanze possano essere documentate.
Serve infine una procedura per le divulgazioni richieste dalla legge o da un'autorità competente. Nei limiti consentiti, la parte destinataria può essere tenuta a informare tempestivamente l'altra parte e a limitare la comunicazione a quanto necessario. Le eccezioni previste dall'ordinamento e la tutela di interessi pubblici non possono essere cancellate con una formula contrattuale generica.
Fine della trattativa: restituzione, distruzione e copie residue
Molti rischi emergono quando il progetto non prosegue. L'NDA dovrebbe indicare che cosa accade, su richiesta o alla chiusura della trattativa, ai file scaricati, alle copie di lavoro, alle credenziali, ai supporti e ai documenti cartacei. Restituzione e distruzione non sono sempre equivalenti e devono essere compatibili con i sistemi effettivamente utilizzati.
Backup automatici, archivi di posta e obblighi legali di conservazione possono rendere irrealistica una cancellazione assoluta e immediata. È preferibile affrontare il problema espressamente: individuare le copie che possono essere eliminate, regolare quelle tecnicamente non accessibili nel normale corso delle attività e mantenere su eventuali residui gli obblighi di riservatezza applicabili.
La chiusura dovrebbe comprendere anche la revoca degli accessi e una conferma interna delle attività svolte. In una data room, per esempio, disabilitare l'utente è solo un passaggio; occorre sapere se erano consentiti download, quali documenti sono stati consultati e se esistono copie autorizzate da gestire.
Violazione dell'NDA: rimedi, prova e gestione dell'incidente
L'accordo deve descrivere che cosa costituisce violazione e come le parti devono reagire. Un obbligo di avviso tempestivo può consentire alla parte interessata di bloccare accessi, proteggere altri materiali e valutare le misure necessarie. La previsione di rimedi contrattuali, risarcimento o clausole penali richiede un esame sul caso concreto: formule automatiche o sproporzionate possono non produrre il risultato atteso.
La prova resta centrale. Per ricostruire un evento servono versioni firmate dell'accordo, elenco dei documenti, date di condivisione, autorizzazioni e log disponibili. Se l'impresa non distingue le informazioni riservate o lascia accessi aperti senza controllo, il solo testo dell'NDA può essere insufficiente a dimostrare il perimetro della violazione e il danno subito.
Va scelta con attenzione anche la legge applicabile e, quando opportuno, la modalità di gestione delle controversie. Nei rapporti internazionali, tradurre un modello italiano o accettare senza verifica il testo della controparte può creare incoerenze su definizioni, rimedi e foro competente. Questi aspetti richiedono una revisione professionale specifica.
Gli errori che rendono debole un accordo di riservatezza
Il primo errore è firmare dopo aver già rivelato il contenuto più sensibile. Il secondo è usare una definizione tanto generica da non permettere a chi riceve le informazioni di capire che cosa deve proteggere. Il terzo è dimenticare il limite di utilizzo e concentrarsi soltanto sul divieto di comunicazione a terzi.
È rischioso anche lasciare indefinita la platea dei destinatari, ignorare subfornitori e consulenti, oppure prevedere una distruzione totale incompatibile con backup e obblighi di conservazione. Un'altra criticità frequente è confondere riservatezza, proprietà intellettuale, non concorrenza e privacy: possono comparire nello stesso rapporto, ma non sono clausole intercambiabili.
Infine, un modello standard non conosce il progetto, i sistemi usati, il valore delle informazioni o il potere negoziale delle parti. Può essere una base di lettura, non una garanzia di adeguatezza. La qualità dell'accordo dipende dalla corrispondenza tra testo, flusso informativo e misure concretamente adottate.
Una checklist prima di condividere informazioni aziendali
Prima della firma, identifica il titolare delle informazioni, il destinatario e l'obiettivo preciso della condivisione. Elenca le categorie davvero necessarie, separa ciò che può essere comunicato subito da ciò che richiede maggiori cautele e scegli se l'accordo deve essere unilaterale o reciproco.
Nel testo controlla almeno definizione, scopo consentito, persone autorizzate, standard di protezione, esclusioni, durata, gestione delle richieste obbligatorie, restituzione o distruzione, segnalazione delle violazioni, rimedi, legge applicabile e gestione delle controversie. Verifica inoltre se sono coinvolti dati personali, diritti di proprietà intellettuale o informazioni destinate a una futura domanda di brevetto.
Dopo la firma, registra ciò che viene condiviso, limita gli accessi e aggiorna il perimetro se la trattativa cambia. Un NDA ben scritto ma scollegato dai comportamenti quotidiani offre una protezione incompleta.
Zanettistudios presenta i propri servizi legali come supporto alle PMI nella redazione di contratti, nella negoziazione degli accordi e nella tutela della proprietà intellettuale. L'analisi può quindi partire dal flusso reale delle informazioni e collegare il testo contrattuale alle esigenze operative dell'impresa. Per inquadrare il progetto sono utili anche la panoramica dei servizi, l'approfondimento sulla proprietà intellettuale e la pagina Contatti.
FAQ
NDA e accordo di riservatezza sono la stessa cosa? Nel linguaggio d'impresa i termini vengono normalmente usati come equivalenti. Ciò che conta è il contenuto effettivo dell'accordo, non il titolo scelto.
L'NDA deve essere firmato prima della prima riunione? Non necessariamente se l'incontro resta su informazioni pubbliche o ad alto livello. Deve però essere definito prima di comunicare il materiale che l'impresa intende proteggere.
È meglio un NDA unilaterale o reciproco? Dipende dal flusso delle informazioni. Se divulga una sola parte, l'accordo può essere unilaterale; se entrambe condividono contenuti riservati, un testo reciproco è spesso più coerente.
Un NDA protegge automaticamente qualsiasi idea? No. L'accordo deve descrivere le informazioni e gli usi vietati in modo adeguato. Inoltre, la tutela di brevetti, copyright, marchi, know-how e segreti commerciali segue regole specifiche che non vengono sostituite dal solo NDA.
Quanto deve durare un accordo di riservatezza? Non esiste una durata valida per ogni rapporto. Bisogna distinguere il periodo di scambio delle informazioni dalla durata dell'obbligo e considerare per quanto tempo quelle informazioni mantengono valore e carattere riservato.
L'NDA sostituisce gli obblighi previsti dal GDPR? No. Se vengono trattati dati personali, occorre valutare separatamente ruoli, basi giuridiche, istruzioni, misure e accordi richiesti dalla normativa privacy.
Un modello trovato online è sufficiente? Può aiutare a individuare le clausole tipiche, ma deve essere adattato a informazioni, finalità, destinatari, sistemi e rischi del rapporto concreto. Per un documento destinato alla firma è opportuna una revisione legale.
Fonti
- Zanettistudios - Servizi legali
- Zanettistudios - Servizi
- EUR-Lex - Direttiva (UE) 2016/943
- Gazzetta Ufficiale - Decreto legislativo 11 maggio 2018, n. 63
- Gazzetta Ufficiale - Codice della proprietà industriale, articolo 98
- UIBM - Requisiti di brevettabilità e divulgazione anticipata
- WIPO - I segreti della proprietà intellettuale, sezioni sugli NDA