daRedazione|Ott 8, 2026|Diritto civile
Con l’espressione indebito pensionistico si fa riferimento, in termini generali, alla situazione nella quale l’INPS accerti che somme corrisposte a titolo pensionistico o previdenziale non erano, in tutto o in parte, dovute al beneficiario e ne richieda conseguentemente la restituzione. L’indebito può emergere a seguito di una successiva verifica della posizione dell’interessato, di una riliquidazione della prestazione, dell’accertamento di redditi o di circostanze incompatibili con il trattamento riconosciuto, oppure ancora in conseguenza di errori intervenuti nella fase di liquidazione o di pagamento.
La constatazione dell’avvenuta corresponsione di somme non spettanti, tuttavia, non determina automaticamente il diritto dell’Istituto alla loro integrale ripetizione. La materia dell’indebito pensionistico è infatti sottoposta a una disciplina speciale, che si affianca ai principi generali civilistici in tema di pagamento dell’indebito e che impone di verificare, caso per caso, la natura della prestazione, la causa dell’erronea erogazione, la condotta del percettore, e le informazioni già conosciute o conoscibili dall’INPS.
La questione diviene ancora più delicata quando la richiesta di restituzione intervenga a distanza di molti anni oppure venga indirizzata, dopo la morte del beneficiario, ai suoi successori.
L’obiettivo del presente articolo è di ricostruire i principali strumenti di tutela a disposizione del pensionato o, dopo il suo decesso, degli eredi.
La disciplina dell’indebito pensionistico e la differenza con l’indebito assistenziale
La disciplina dell’indebito pensionistico presenta caratteri peculiari rispetto alla regola generale dettata dall’art. 2033 c.c., secondo cui chi abbia eseguito un pagamento non dovuto ha diritto di ripetere quanto corrisposto. Nel settore previdenziale, infatti, l’esigenza di recuperare le somme oggettivamente non spettanti deve essere contemperata con la particolare natura delle prestazioni pensionistiche, normalmente destinate al soddisfacimento di esigenze primarie del beneficiario, nonché con la tutela dell’affidamento maturato dal pensionato sulla legittimità delle somme ricevute.
Per le prestazioni pensionistiche rientranti nel suo ambito di applicazione, un ruolo centrale è assunto dall’art. 52 della legge 9 marzo 1989, n. 88. La disposizione consente all’ente previdenziale di rettificare la pensione in caso di errore commesso nella fase di attribuzione, erogazione o riliquidazione della prestazione, ma stabilisce, al contempo, che le rate di pensione risultate successivamente non dovute non siano recuperate quando ricorrano i presupposti previsti dalla disciplina speciale, facendo comunque salva l’ipotesi in cui l’indebita percezione sia riconducibile al dolo dell’interessato.
La portata di tale disposizione è stata precisata dall’art. 13 della legge 30 dicembre 1991, n. 412. In particolare, il legislatore ha attribuito rilievo alla circostanza che l’erronea erogazione dipenda da un errore imputabile all’ente e ha previsto che l’omessa o incompleta segnalazione, da parte del pensionato, di fatti incidenti sul diritto o sulla misura della pensione possa consentire il recupero quando si tratti di circostanze non già conosciute dall’Istituto.
Assume pertanto particolare importanza stabilire, nel singolo caso, quali informazioni fossero nella disponibilità dell’INPS e quale condotta possa essere concretamente imputata al beneficiario.
L’indebito pensionistico previdenziale deve essere distinto dall’indebito relativo a prestazioni di natura assistenziale, come l’assegno sociale. La più recente giurisprudenza di legittimità ha ribadito che gli artt. 52 della legge n. 88/1989 e 13 della legge n. 412/1991 riguardano propriamente l’indebito previdenziale e non possono essere automaticamente estesi alle prestazioni assistenziali, per le quali assumono rilievo principi parzialmente differenti, soprattutto sotto il profilo del legittimo affidamento del percettore.
Quando l’INPS può richiedere la restituzione dell’indebito pensionistico?
L’accertamento di un indebito pensionistico può derivare da circostanze profondamente diverse e, proprio per tale ragione, la legittimità della richiesta di restituzione formulata dall’INPS deve essere valutata alla luce della specifica causa che ha determinato l’erogazione non dovuta.
Ai fini della ripetibilità delle somme assume particolare rilievo stabilire se l’errore sia imputabile all’Istituto oppure dipenda dalla condotta dell’interessato. La stessa disciplina amministrativa dell’INPS distingue, infatti, gli errori commessi dall’ente in sede di liquidazione o ricostituzione della pensione dalle ipotesi nelle quali il pagamento non dovuto sia conseguenza dell’omessa o incompleta comunicazione, da parte del pensionato, di circostanze rilevanti che l’Istituto non conosceva. Nel primo caso possono operare i limiti alla ripetibilità previsti dalla normativa speciale; nel secondo, invece, la mancata comunicazione può rendere recuperabili le somme indebitamente percepite.
Per questa ragione, di fronte a una richiesta di recupero di un indebito pensionistico, con l’assistenza di un legale, si può ricostruire analiticamente il rapporto previdenziale e verificare l’origine dell’errore, le comunicazioni effettuate dal pensionato e le informazioni già presenti negli archivi dell’Istituto.
La prescrizione del credito dell’INPS
Un ulteriore profilo che deve essere attentamente verificato quando l’INPS richiede la restituzione di un indebito pensionistico riguarda la prescrizione del credito. Anche qualora sussistano, in astratto, i presupposti per la ripetizione delle somme non dovute, infatti, il diritto dell’Istituto non può essere esercitato indefinitamente nel tempo.
Il credito derivante dalla ripetizione dell’indebito pensionistico è assoggettato, in linea generale, al termine ordinario di prescrizione decennale previsto dall’art. 2946 c.c. La determinazione del momento iniziale del termine richiede, tuttavia, un esame della concreta causa dell’indebito.
Esso può decorrere dal pagamento della prestazione non dovuta oppure, quando l’indebito dipenda da circostanze che dovevano essere comunicate all’Istituto, dal momento in cui l’INPS abbia acquisito la conoscenza degli elementi necessari per esercitare la propria pretesa.
La stessa prassi dell’Istituto precisa, inoltre, che la comunicazione con la quale viene formalmente richiesto il recupero dell’indebito è idonea, ricorrendone i presupposti, a interrompere la prescrizione, determinando l’inizio di un nuovo periodo prescrizionale.
Alla prescrizione ordinaria non devono, tuttavia, essere sovrapposti i diversi termini previsti per specifiche categorie di indebiti. Particolare importanza assumono gli indebiti pensionistici collegati alla situazione reddituale del beneficiario. L’art. 13, comma 2, della legge n. 412/1991 impone all’INPS di procedere annualmente alla verifica delle situazioni reddituali incidenti sul diritto o sulla misura della prestazione e di provvedere al recupero delle somme eventualmente corrisposte in eccedenza entro l’anno successivo, ferme le eventuali proroghe consentite dalla legge.
Sul punto, la Corte di cassazione, con ordinanza 19 novembre 2024, n. 29689, ha precisato che l’Istituto deve effettuare la verifica nell’anno civile in cui abbia avuto la possibilità di conoscere i redditi del percettore e deve procedere, entro l’anno civile successivo a quello destinato alla verifica, al recupero dell’indebito, qualificando tale termine come decadenziale.
Indebito pensionistico dopo il decesso: responsabilità degli eredi e posizione dei legatari
La morte del beneficiario non determina, di per sé, l’estinzione di un eventuale debito derivante da indebito pensionistico. Qualora la pretesa restitutoria dell’INPS sia validamente sorta e non sia prescritta o altrimenti inesigibile, essa può rientrare tra i debiti trasmissibili con la successione. Ciò non significa, tuttavia, che l’Istituto possa richiedere il pagamento a qualsiasi soggetto indicato nella dichiarazione di successione o destinatario di disposizioni testamentarie: occorre preliminarmente accertare chi abbia effettivamente assunto la qualità di erede e a quale titolo.
Ai sensi dell’art. 752 c.c., i coeredi contribuiscono tra loro al pagamento dei debiti e dei pesi ereditari in proporzione delle rispettive quote, salvo diversa disposizione del testatore. La giurisprudenza di legittimità conferma che, diversamente dai crediti ereditari, i debiti del defunto si ripartiscono di regolapro quotatra gli eredi.
Presupposto essenziale è, però, l’acquisto dell’eredità: il semplice chiamato non diviene erede sino all’accettazione, espressa o tacita. Deve inoltre essere considerata l’eventuale accettazione con beneficio d’inventario, che, attraverso la separazione tra patrimonio del defunto e patrimonio dell’erede, impedisce che quest’ultimo sia tenuto oltre i limiti dell’attivo ereditario secondo le regole proprie dell’istituto.
Particolarmente importante, ai fini delle richieste di restituzione di un indebito pensionistico, è poi la distinzione tra erede e legatario. Il primo succede nella generalità o in una quota del patrimonio del defunto e subentra, nei limiti stabiliti dalla legge, anche nelle relative passività. Il legatario, invece, è successore a titolo particolare e, ai sensi dell’art. 756 c.c., non è in quanto tale tenuto al pagamento dei debiti ereditari, ferme le specifiche eccezioni previste dalla legge.
Indebito pensionistico INPS: i più recenti orientamenti della giurisprudenza
La disciplina dell’indebito pensionistico è stata oggetto, negli ultimi anni, di numerosi interventi della giurisprudenza di legittimità, che hanno contribuito a precisare tanto i presupposti della ripetibilità quanto i limiti temporali entro i quali l’INPS può esercitare la propria pretesa restitutoria.
Particolarmente significativa è la recente Cass., Sez. lav., 18 giugno 2026, n. 20585, intervenuta in materia di assegno sociale. La Corte ha ribadito che tale prestazione ha natura assistenziale e che, pertanto, non trova diretta applicazione il regime dell’indebito pensionistico previdenziale previsto dagli artt. 52 della legge n. 88/1989 e 13 della legge n. 412/1991.
Nell’ambito delle prestazioni assistenziali, il diritto dell’INPS alla ripetizione delle somme riferite al periodo antecedente all’accertamento della perdita dei requisiti è, in linea di principio, escluso quando il beneficiario abbia fatto legittimo affidamento sulla spettanza della prestazione. Tale tutela viene tuttavia meno quando l’erronea erogazione sia imputabile allo stesso percettore, come nelle ipotesi di dolo o di omessa comunicazione dei dati reddituali rilevanti.
La giurisprudenza conferma, dunque, che non esiste una disciplina uniforme applicabile a qualsiasi richiesta di restituzione proveniente dall’INPS. Prima di valutare la fondatezza di un indebito pensionistico è indispensabile individuare la natura della prestazione, verificare quando e perché sia sorto l’indebito e accertare se l’errore sia imputabile al beneficiario o, invece, all’Istituto.
Il ricorso amministrativo al Comitato provinciale
Il destinatario di un provvedimento con il quale l’INPS richieda la restituzione di un indebito pensionistico dispone, ricorrendone i presupposti, di specifici strumenti di tutela in sede amministrativa.
Ilricorso al Comitato provincialecostituisce lo strumento attraverso il quale l’interessato può chiedere una nuova valutazione della pretesa restitutoria prima dell’eventuale instaurazione del giudizio. In linea generale, il ricorso deve essere presentato entro novanta giorni dalla ricezione del provvedimento impugnato, secondo le modalità telematiche messe a disposizione dall’Istituto.
L’atto deve individuare il provvedimento contestato, ricostruire la vicenda amministrativa, esporre specificamente le ragioni di illegittimità o infondatezza della pretesa e produrre la documentazione necessaria alla decisione.
Particolare attenzione deve essere prestata agli effetti del ricorso sull’attività di recupero. La proposizione dell’impugnazione amministrativa non comporta, di per sé, l’automatica sospensione dell’efficacia del provvedimento. Per tale ragione, quando vi sia il rischio dell’avvio di trattenute, compensazioni o altre iniziative di riscossione, può essere opportuno formulare contestualmente una specificarichiesta di sospensionee rappresentare le ragioni che rendono necessario evitare il recupero nelle more della decisione.
La tutela giudiziale contro l’INPS
Qualora il ricorso amministrativo non conduca all’annullamento o alla rideterminazione dell’indebito pensionistico, l’interessato può rivolgersi all’autorità giudiziaria per ottenere l’accertamento dell’insussistenza, totale o parziale, dell’obbligo restitutorio.
Le controversie in materia di previdenza e assistenza obbligatorie appartengono alla cognizione del giudice ordinario e sono trattate secondo il rito del lavoro, dinanzi al Tribunale competente in funzione di giudice del lavoro.
Il rapporto tra fase amministrativa e tutela giurisdizionale è disciplinato dall’art. 443 c.p.c., secondo cui la domanda giudiziale in materia previdenziale e assistenziale non è procedibile sino a quando siano stati esauriti i procedimenti amministrativi previsti dalla disciplina speciale, siano decorsi i termini stabiliti per la loro definizione oppure siano comunque trascorsi centottanta giorni dalla proposizione del ricorso amministrativo. La preventiva attivazione dei rimedi amministrativi assume quindi rilievo anche ai fini del successivo accesso alla tutela giurisdizionale.
Anche nella fase giudiziale assume particolare importanza la documentazione acquisita nel procedimento amministrativo. Comunicazioni dell’INPS, provvedimenti di riliquidazione, dichiarazioni reddituali, attestazioni delle precedenti comunicazioni del pensionato e, nel caso di decesso, documentazione successoria possono risultare decisive per ricostruire l’origine dell’indebito pensionistico e verificare se la pretesa dell’Istituto sia effettivamente fondata.
Assistenza legale in materia di indebito pensionistico
Il nostro Studio Legale assiste i cittadini nella contestazione delle pretese restitutorie avanzate dall’INPS, con particolare attenzione ai profili didiritto civile,successorio e previdenziale. L’attività comprende l’esame della documentazione, la verifica della prescrizione e della posizione successoria dei destinatari, la predisposizione del ricorso amministrativo e, ove necessario, la successiva tutela giudiziale dei diritti dell’interessato.
Contattaci per un confronto.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Set 22, 2026|Diritto d'Impresa
Qual è il momento migliore per effettuare il conferimento di software? Quando si costituisce una start up il programma informatico può già costituire un asset economicamente significativo, talvolta essenziale per l’attuazione stessa del progetto imprenditoriale.
La circostanza che il software venga utilizzato dal suo autore – sia anche socio, amministratore o fondatore della stessa – non determina di per sé, il trasferimento alla società dei relativi diritti di utilizzazione economica. Occorre, quindi, verificare quale soggetto ne sia effettivamente titolare e individuare il titolo giuridico attraverso il quale la start-up acquisisce il diritto di utilizzare e sfruttare economicamente il programma.
Il problema assume particolare importanza quando l’attività d’impresa è esercitata prevalentemente attraverso internet, un’applicazione o una piattaforma digitale. In simili modelli di business, il software rappresenta ilcoredel patrimonio aziendale.
In tale prospettiva, il conferimento di software è la modalità eletta attraverso cui il programma e i relativi diritti possono essere attribuiti alla società sin dalla sua costituzione. Il trasferimento può, tuttavia, avvenire anche in un momento successivo, mediante cessione, licenza o altro titolo idoneo a garantire alla società la disponibilità giuridica dell’asset.
L’obiettivo del presente contributo è, pertanto, esaminare la disciplina del conferimento di software nelle società di capitali, con particolare attenzione alla costituzione di una start-up innovativa, distinguendo il conferimento effettuatoab initiodal successivo trasferimento dei diritti sul programma.
Il conferimento in natura e il trasferimento dei diritti sul software. I riferimenti normativi
Nelle società di capitali il conferimento rappresenta l’apporto mediante il quale il socio contribuisce alla formazione del patrimonio sociale, ricevendo in contropartita la partecipazione nella società. Accanto al conferimento in denaro, l’ordinamento ammette il conferimento di beni e diritti suscettibili di una valutazione economica. Nellesocietà a responsabilità limitata,in particolare, l’art. 2464 c.c. stabilisce espressamente che possono essere conferiti «tutti gli elementi dell’attivo suscettibili di valutazione economica»,mentre l’art. 2465 c.c. assoggetta i conferimenti di beni in natura e di crediti a una specifica relazione di stima. Per le società per azioni, gli artt. 2342 e 2343 c.c. contemplano analogamente il conferimento di beni in natura e crediti, secondo una disciplina valutativa parzialmente differente.
Il conferimento di software deve essere ricondotto a tale categoria, avuto riguardo non tanto al supporto materiale sul quale il programma è eventualmente memorizzato, quanto ai diritti di utilizzazione economica che ne consentono lo sfruttamento. Il software costituisce infatti un bene immateriale protetto dalla disciplina sul diritto d’autore. L’art. 1 della legge 22 aprile 1941, n. 633 include espressamente i programmi per elaboratore tra le opere protette, qualificandoli come opere letterarie, in conformità alla disciplina europea oggi contenuta nella direttiva 2009/24/CE.
La protezione riguarda, in particolare, i diritti patrimoniali che consentono al titolare di autorizzare o vietare la riproduzione del programma, la sua modificazione, adattamento, trasformazione e distribuzione, secondo quanto previsto dall’art. 64-bis della legge sul diritto d’autore. Tali diritti, in quanto dotati di autonoma rilevanza economica, possono essere trasferiti alla società. L’art. 107 della medesima legge stabilisce infatti che i diritti di utilizzazione economica possono essere acquistati, alienati o trasmessi nelle forme consentite dalla legge, mentre l’art. 110 richiede che la loro trasmissione sia provata per iscritto.
La verifica preventiva della titolarità dei diritti
Prima di procedere al conferimento di software è necessario accertare con precisione chi sia titolare dei diritti di utilizzazione economica sul programma. Tale verifica assume particolare rilievo nelle start-up, nelle quali lo sviluppo tecnologico precede frequentemente la costituzione della società e può coinvolgere, oltre ai fondatori, programmatori, dipendenti, collaboratori o software house esterne.
Quando il programma è stato realizzato personalmente da uno dei fondatori, occorrerà anzitutto verificare che questi ne sia effettivamente l’autore e che non abbia precedentemente ceduto o vincolato i diritti di sfruttamento economico.
Qualora, invece, il software sia stato creato congiuntamente da più soggetti, la ricostruzione della titolarità diviene necessariamente più articolata: la direttiva 2009/24/CE prevede che, in caso di creazione congiunta da parte di più persone fisiche, i diritti esclusivi appartengano congiuntamente agli autori.
Una specifica disciplina riguarda il software realizzato nell’ambito di un rapporto di lavoro subordinato. Ai sensi dell’art. 12-bisdella legge n. 633/1941, salvo patto contrario, il datore di lavoro è titolare del diritto esclusivo di utilizzazione economica del programma creato dal lavoratore dipendente nell’esecuzione delle proprie mansioni o su istruzioni impartite dal datore di lavoro. La medesima regola trova corrispondenza nell’art. 2, par. 3, della direttiva 2009/24/CE.
Particolare attenzione deve essere riservata al software commissionato a professionisti o società esterne. In questi casi è indispensabile esaminare ilcontratto di sviluppoper stabilire quali diritti siano stati attribuiti al committente e con quale estensione. Il contratto dovrebbe chiarire espressamente se siano previste una cessione dei diritti, una licenza e i relativi limiti di utilizzo. La stessa prassi contrattuale istituzionale evidenzia l’importanza di disciplinare separatamente consegna del codice sorgente e titolarità dei diritti sul software.
Conferimento di softwareab initio: la costituzione della società
Il conferimento di software può essere realizzato direttamente in sede di costituzione della società, quando uno dei soci attribuisce alla società i diritti patrimoniali sul programma ricevendo, in contropartita, la partecipazione sociale corrispondente al valore dell’apporto. In tale ipotesi il software entra sin dall’origine nel patrimonio della società e costituisce uno degli elementi sulla base dei quali viene determinato il capitale sociale e, ove previsto, l’eventuale soprapprezzo.
Con particolare riferimento alla società a responsabilità limitata, l’art. 2464 c.c. consente di conferire tutti gli elementi dell’attivo suscettibili di valutazione economica e stabilisce che le quote corrispondenti ai conferimenti di beni in natura devono essere integralmente liberate al momento della sottoscrizione. Il conferimento di software effettuatoab initiodeve pertanto essere eseguito contestualmente alla costituzione, attraverso l’effettiva attribuzione alla società dei diritti che ne costituiscono l’oggetto.
Sotto il profilo documentale, assume particolare importanza l’esatta individuazione del bene conferito. L’atto costitutivo deve indicare i conferimenti di ciascun socio e il valore attribuito ai beni conferiti in natura; nel caso del software sarà quindi opportuno identificare con sufficiente precisione il programma, la versione oggetto del conferimento e, soprattutto, l’estensione dei diritti patrimoniali trasferiti.
A seconda delle caratteristiche del progetto, potranno assumere rilievo anche il codice sorgente, la documentazione tecnica e gli ulteriori elementi necessari per consentire alla società di utilizzare, modificare e sviluppare autonomamente il programma.
Il conferimento richiede inoltre la relazione giurata prevista dall’art. 2465 c.c., redatta da un revisore legale o da una società di revisione legale iscritti nell’apposito registro. La relazione deve descrivere il bene conferito, indicare i criteri adottati per la sua valutazione e attestare che il valore riconosciuto al software sia almeno pari a quello attribuitogli ai fini della determinazione del capitale sociale e dell’eventuale soprapprezzo.
L’aspetto più critico riguarda indubbiamente la determinazione del valore economico da attribuire al programma e ai relativi diritti di utilizzazione. A differenza del conferimento in denaro, infatti, il conferimento di software, quale bene immateriale, impone di individuare criteri idonei a tradurre in termini economici un asset la cui consistenza non è immediatamente desumibile da un valore nominale o da un prezzo di mercato univoco.
Occorre considerare, in concreto, le caratteristiche del programma, il suo grado di sviluppo e di maturità, le funzionalità effettivamente implementate, la possibilità di sfruttamento economico, la capacità di generare ricavi e, ove già esistenti, i dati relativi all’utilizzo commerciale. Possono inoltre assumere rilievo la documentazione tecnica disponibile, l’architettura del software, la possibilità di aggiornamento ed evoluzione del prodotto e l’esistenza di diritti di terzi o di componenti soggette a specifiche licenze.
Per le società per azioni la disciplina è differente, poiché l’art. 2343 c.c. prevede, in via ordinaria, una relazione giurata redatta da un esperto designato dal Tribunale, ferme restando le specifiche procedure alternative contemplate dagli artt. 2343-tere seguenti.
Il trasferimento del software dopo la costituzione: cessione, licenza e altri titoli di disponibilità
Il software può entrare nella disponibilità giuridica della società anche in un momento successivo alla sua costituzione.
Una prima possibilità è rappresentata dalla cessione dei diritti patrimoniali sul software. Ai sensi dell’art. 107 della legge n. 633/1941, i diritti di utilizzazione economica possono essere acquistati, alienati o trasmessi secondo le forme consentite dalla legge; l’art. 110 richiede inoltre che la loro trasmissione sia provata per iscritto. La cessione consente quindi di trasferire alla società, nei limiti previsti dall’accordo, la titolarità dei diritti di sfruttamento economico del programma.
Diversa dakl conferimento di software è lalicenza, mediante la quale il titolare conserva la proprietà dei diritti sul software ma attribuisce alla società la facoltà di utilizzarlo secondo le condizioni pattuite. Il contratto dovrà quindi definire con precisione durata, ambito territoriale, eventuale esclusiva, facoltà di modifica, riproduzione, distribuzione o sublicenza e, più in generale, le modalità di sfruttamento consentite. Per una start-up il ricorso alla licenza può risultare sufficiente sotto il profilo operativo, ma non equivale all’acquisizione della titolarità dell’asset.
Il trasferimento successivo può inoltre essere realizzato mediante un vero e proprio conferimento di software nell’ambito di un aumento di capitale. In tal caso il titolare dei diritti apporta il software alla società ricevendo in contropartita nuove partecipazioni e trovano applicazione le regole previste per i conferimenti in natura, compresi gli obblighi di valutazione già esaminati.
Quando il programma sia registrato presso il Pubblico Registro Software tenuto dalla SIAE, possono essere trascritti anche gli atti che trasferiscono, integralmente o parzialmente, i relativi diritti di utilizzazione economica.
La scelta tra cessione, licenza e conferimento di software deve pertanto essere effettuata in funzione dell’assetto che i soci intendono attribuire alla proprietà intellettuale della start-up.
Start-up innovativa e software: la titolarità della privativa quale requisito per l’iscrizione nella sezione speciale
Il conferimento di software può assumere una rilevanza ulteriore quando la società intenda acquisire la qualifica di start-up innovativa. L’art. 25 del D.L. 18 ottobre 2012, n. 179richiede, infatti, oltre ai requisiti generali previsti dalla norma, il possesso di almeno uno dei requisiti qualificanti relativi al contenuto innovativo dell’impresa. Tra questi rientra la titolarità, anche quale depositaria o licenziataria, di determinate privative industriali oppure, alternativamente, la titolarità dei diritti relativi a un programma per elaboratore originarioregistrato presso il Registro pubblico speciale per i programmi per elaboratore, purché direttamente afferente all’oggetto sociale e all’attività d’impresa.
Mentre per le privative industriali la legge contempla espressamente anche la posizione del depositario e del licenziatario, con riferimento al software richiede la titolarità dei relativi diritti. Secondo l’interpretazione fornita dal Ministero e richiamata dalla prassi camerale, tale nozione comprende non soltanto l’autore del programma, ma anche la persona fisica o giuridica alla quale siano stati validamente trasferiti i diritti esclusivi di sfruttamento economico. Ne consegue che il conferimento di software, o una precedente cessione dei relativi diritti patrimoniali, può assumere un ruolo determinante qualora la società intenda utilizzare proprio questo requisito per ottenere la qualifica di start-up innovativa.
Sul piano pratico, non è sufficiente che la società utilizzi il programma nell’esercizio della propria attività. Il software deve essere registrato presso ilPubblico Registro Softwaretenuto dalla SIAE, nel quale possono essere iscritti i programmi già pubblicati dotati dei requisiti di originalità e creatività. All’esito della procedura viene rilasciata un’attestazione recante, tra l’altro, la data e il numero progressivo della registrazione. Qualora i diritti siano stati successivamente trasferiti, il Registro consente inoltre la trascrizione degli atti relativi alla loro cessione.
In sede di iscrizione nella sezione speciale del Registro delle imprese, il possesso del requisito è attestato mediante dichiarazione del legale rappresentante. La modulistica ufficiale aggiornata nel 2026 identifica il requisito relativo alla proprietà industriale e al software con il codice 068; la prassi delle Camere di commercio richiede inoltre che la domanda sia corredata dalla dichiarazione di possesso dei requisiti e, con riferimento al software registrato, alcune Camere indicano espressamente l’allegazione dell’attestato di registrazione rilasciato dalla SIAE.
Assistenza legale in materia di diritto dell’innovazione.Start-up e digital business.
Il conferimento di software è una scelta destinata a incidere sulla struttura patrimoniale e sull’assetto giuridico della start-up.
Una corretta pianificazione della proprietà intellettuale postula una verifica preventiva sulla provenienza del codice, i rapporti con sviluppatori e collaboratori, l’eventuale presenza di componenti di terzi e la documentazione necessaria a ricostruire la titolarità dei diritti.
Il nostro Studio Legale presta assistenza in materia di diritto d’impresa e diritto dell’innovazione, affiancando start-up e imprese tecnologiche nella fase di costituzione, nella regolamentazione dei rapporti tra soci e nella predisposizione degli strumenti contrattuali necessari alla tutela e al trasferimento degli asset digitali (conferimento di software, cessione di programma informatico e contratti di licenza).
Contattaci per un confronto.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Set 17, 2026|Diritto d'Impresa,Diritto civile
L’espressione “contratto di servizi” è frequentemente utilizzata nella prassi commerciale per indicare accordi aventi ad oggetto lo svolgimento, in favore di un cliente, di una o più attività organizzate. Si tratta, tuttavia, di una denominazione assai ampia, che non identifica necessariamente un autonomo tipo contrattuale dotato di una disciplina unitaria nel codice civile. Sotto la medesima espressione possono infatti ricadere rapporti profondamente differenti per struttura, contenuto e funzione economica.
La disciplina applicabile a un contratto di servizi non può essere individuata soltanto leggendo il titolo attribuito dalle parti al documento. Occorre verificare quali prestazioni siano effettivamente dedotte in contratto, quale interesse economico il rapporto sia destinato a soddisfare e, soprattutto, se l’accordo possa essere ricondotto integralmente o prevalentemente a uno dei tipi disciplinati dal codice civile.
La questione assume particolare rilevanza nella vita concreta del rapporto. Dalla qualificazione giuridica del contratto di servizi possono dipendere, infatti, il regime della responsabilità, le modalità di determinazione del corrispettivo, la disciplina dell’inadempimento, la durata del rapporto e, soprattutto, la possibilità di sciogliersi anticipatamente dal vincolo.
L’obiettivo di questo articolo è quindi esaminare i principali criteri attraverso i quali deve essere qualificato un contratto di servizi, distinguendo tra contratti tipici, atipici e a causa mista, per comprendere quali norme trovino applicazione e, in particolare, in quali ipotesi possa operare il recesso del committente previsto dall’art. 1671 c.c.
La qualificazione giuridica del contratto di servizi
Per individuare la disciplina applicabile a un contratto di servizi non è sufficiente fare riferimento alla denominazione utilizzata dalle parti. Espressioni qualiservice agreement, contratto di assistenza, contratto di gestione, contratto di consulenza o, più genericamente, “contratto di servizi” descrivono l’operazione economica soltanto in termini generali, ma non ne determinano necessariamente la qualificazione giuridica.
Sul piano civilistico occorre distinguere, infatti, l’attività di interpretazione del contratto da quella successiva di qualificazione. Mediante l’interpretazione, condotta secondo i criteri degli artt. 1362 e ss. c.c., si ricostruisce la comune intenzione delle parti e si individuano gli effetti che esse hanno concretamente inteso perseguire. Solo successivamente il rapporto così ricostruito viene qualificato, verificando se esso sia riconducibile a uno dei tipi contrattuali disciplinati dalla legge oppure debba essere considerato atipico o misto. La Corte di cassazione ha più volte ribadito questa distinzione, precisando che la qualificazione consiste proprio nell’attribuzione del correttonomen iurisall’assetto di interessi risultante dall’accordo.
Ne deriva che ilnomen iurisscelto dai contraenti rappresenta certamente un elemento da considerare, ma non assume carattere decisivo. Ai fini della qualificazione rilevano soprattutto il contenuto effettivo delle obbligazioni, le modalità di esecuzione del rapporto e la funzione economico-giuridica concretamente perseguita. La giurisprudenza di legittimità valorizza, in questa prospettiva, la causa concreta, intesa come interesse che lo specifico accordo è diretto a realizzare, da ricostruire attraverso una lettura complessiva e funzionale del contratto.
Contratto di servizi atipico e contratto a causa mista
La difficoltà di ricondurre il contratto di servizi a un unico schema legale deriva anche dall’ampiezza riconosciuta dall’ordinamento all’autonomia negoziale. L’art. 1322 c.c. consente infatti alle parti non soltanto di determinare liberamente il contenuto dei contratti tipici, nei limiti imposti dalla legge, ma anche di concludere contratti che non appartengono ai tipi espressamente disciplinati, purché siano diretti a realizzare interessi meritevoli di tutela. Il contratto di servizi può quindi presentarsi come contratto atipico oppure come contratto misto, nel quale confluiscono elementi propri di più figure negoziali.
Nelcontratto atipicole parti costruiscono un regolamento di interessi che non trova una corrispondenza completa in uno specifico tipo legale. Nelcontratto misto, invece, all’interno di un’unica operazione economica vengono combinati elementi riconducibili a differenti contratti tipici. La giurisprudenza di legittimità individua normalmente la disciplina del contratto misto attraverso ilcriterio dell’assorbimento o della prevalenza: trovano applicazione, in primo luogo, le norme del tipo contrattuale cui appartengono gli elementi prevalenti, senza tuttavia escludere la rilevanza delle disposizioni proprie delle componenti secondarie, purché compatibili con la disciplina del contratto prevalente.
Un esempio significativo è rappresentato dai contratti di service per spazi ad uso ufficio o di coworking. In tali rapporti la disponibilità di un locale può accompagnarsi alla fornitura di arredi, reception, connessione internet, pulizia, manutenzione, gestione della corrispondenza, sale riunioni e ulteriori servizi organizzativi. L’interesse del cliente può pertanto non esaurirsi nel semplice godimento di un immobile, tipico della locazione, ma consistere nell’ottenimento di uno spazio di lavoro immediatamente operativo e corredato da un complesso coordinato di prestazioni.
Proprio con riferimento a una fattispecie di questo genere, la giurisprudenza di merito ha recentemente qualificato un contratto diserviceavente ad oggetto un ufficio “chiavi in mano” come contratto a causa mista, caratterizzato da elementi della locazione e dell’appalto di servizi, valorizzando l’insieme delle prestazioni necessarie a rendere lo spazio efficiente e utilizzabile.
Considerazioni analoghe possono riguardare uncontratto di servizi informaticiche comprenda assistenza, manutenzione e licenza software, oppure un accordo di gestione immobiliare che cumuli attività materiali, amministrative e negoziali. Oppure ilcontratto di sponsorizzazioneo promozione di determinati beni o servizi.
A quali contratti tipici può essere ricondotto un contratto di servizi?
La corretta qualificazione del contratto di servizi richiede di verificare, caso per caso, quale sia la prestazione caratterizzante e quale funzione economica il rapporto sia destinato a realizzare. Il codice civile contempla, infatti, diverse figure contrattuali che possono avere ad oggetto lo svolgimento di un’attività o la fornitura di un servizio, ma ciascuna di esse presenta presupposti e disciplina differenti.
La figura più rilevante è quella dell’appalto, definito dall’art. 1655 c.c. come il contratto con il quale una parte assume, con organizzazione dei mezzi necessari e gestione a proprio rischio, il compimento di un’opera o di un servizio verso un corrispettivo. L’elemento distintivo è quindi rappresentato dall’organizzazione imprenditoriale dell’attività e dall’assunzione del rischio da parte dell’appaltatore.
Diversa è laprestazione d’operadisciplinata dall’art. 2222 c.c., che ricorre quando una persona si obbliga a compiere un’opera o un servizio con lavoro prevalentemente proprio e senza vincolo di subordinazione. In questo caso assume particolare rilievo l’attività personale del prestatore, mentre nell’appalto prevale l’organizzazione dei mezzi necessari all’esecuzione del servizio. Quando la prestazione abbia natura propriamente intellettuale, vengono invece in rilievo gli artt. 2229 e ss. c.c. e, in particolare, l’art. 2230 c.c.
Un contratto di servizi può altresì presentare elementi delmandato, qualora l’attività principale consista nel compimento di uno o più atti giuridici per conto del cliente, secondo la definizione contenuta nell’art. 1703 c.c. Se, invece, la prestazione centrale consiste nel consentire il godimento di un bene per un determinato periodo, può assumere rilievo la disciplina della locazione di cui all’art. 1571 c.c.
Particolare attenzione meritano infine i servizi eseguiti in maniera continuativa o periodica. Lasomministrazione, ai sensi dell’art. 1559 c.c., riguarda propriamente prestazioni periodiche o continuative di cose; tuttavia, quando l’appalto ha ad oggetto prestazioni continuative o periodiche di servizi, l’art. 1677 c.c. dispone l’applicazione, in quanto compatibili, tanto delle norme sull’appalto quanto di quelle sulla somministrazione.
Occorre esaminare la prestazione concretamente dedotta in contratto, il ruolo dell’organizzazione imprenditoriale, l’eventuale carattere personale dell’attività, la presenza di atti giuridici da compiere per conto del cliente e, più in generale, l’interesse economico prevalente perseguito dalle parti.
Contratto di servizi: norme suppletive e norme imperative
Una volta individuata la corretta qualificazione del contratto di servizi, occorre stabilire in quale rapporto si pongano le clausole concordate dalle parti e la disciplina prevista dalla legge.
Le norme civilistiche possono infatti avere carattere dispositivo oppure imperativo. Le prime operano, di regola, quando le parti non abbiano regolato diversamente una determinata questione e possono essere derogate mediante una specifica previsione contrattuale. In questa prospettiva assume particolare rilievo l’art. 1374 c.c., secondo cui il contratto obbliga le parti non soltanto a quanto espressamente previsto, ma anche alle conseguenze che ne derivano secondo la legge e, in mancanza, secondo gli usi e l’equità.
La qualificazione giuridica del rapporto svolge quindi una funzione essenziale proprio sul piano dell’integrazione del contratto. Se, ad esempio, un contratto di servizi viene ricondotto alla disciplina dell’appalto, le disposizioni codicistiche proprie di tale figura possono trovare applicazione per tutti gli aspetti non diversamente regolati dalle parti, nei limiti in cui si tratti di norme derogabili.
Diverso è il rapporto con le norme imperative. L’autonomia contrattuale incontra infatti il limite delle disposizioni inderogabili poste dall’ordinamento: l’art. 1418 c.c. stabilisce, in via generale, la nullità del contratto contrario a norme imperative, salvo che la legge disponga diversamente. In determinati casi, inoltre, la legge può intervenire direttamente sul contenuto negoziale, sostituendo le clausole difformi mediante il meccanismo previsto dall’art. 1339 c.c.
Durata del contratto: disdetta, recesso e risoluzione
Nel contratto di servizi – come in qualsiasi altro contratto – occorre distinguere tra scadenza, disdetta, recesso e risoluzione, poiché si tratta di istituti differenti, che producono effetti diversi e trovano fondamento in presupposti non coincidenti.
La scadenza determina la cessazione naturale di un contratto a tempo determinato al termine pattuito. La disdetta, invece, opera normalmente nei rapporti destinati a rinnovarsi automaticamente e consiste nella dichiarazione con cui una parte impedisce il rinnovo per un ulteriore periodo.
Diverso è il recesso, ossia il potere riconosciuto a una parte di sciogliere unilateralmente il rapporto prima della sua naturale cessazione, quando tale facoltà sia prevista dal contratto o dalla legge. L’art. 1373 c.c. contiene la disciplina generale del recesso unilaterale, ferma restando l’applicazione delle disposizioni speciali previste per singoli tipi contrattuali.
La disposizione prevede che:«Se a una delle parti è attribuita la facoltà di recedere dal contratto, tale facoltà può essere esercitata finché il contratto non abbia avuto un principio di esecuzione. Nei contratti a esecuzione continuata o periodica, tale facoltà può essere esercitata anche successivamente, ma il recesso non ha effetto per le prestazioni già eseguite o in corso di esecuzione. Qualora sia stata stipulata la prestazione di un corrispettivo per il recesso, questo ha effetto quando la prestazione è eseguita. È salvo in ogni caso il patto contrario».
Ancora differente è la risoluzione per inadempimento, disciplinata dagli artt. 1453 e ss. c.c. Essa presuppone, nei contratti a prestazioni corrispettive, l’inadempimento di una delle parti e, ai sensi dell’art. 1455 c.c., richiede che tale inadempimento non sia di scarsa importanza avuto riguardo all’interesse dell’altra parte. Il codice civile contempla inoltre ulteriori cause di risoluzione, quali l’impossibilità sopravvenuta e l’eccessiva onerosità sopravvenuta.
La distinzione assume particolare rilievo anche nell’accordo qui in esame, il contratto di servizi. Una clausola che stabilisca, ad esempio, una durata annuale con rinnovo automatico e preveda un termine entro il quale comunicare la disdetta disciplina anzitutto la durata e il rinnovo del rapporto. Essa non comporta necessariamente, per ciò solo, l’esclusione di un diverso diritto di recesso riconosciuto dalla disciplina legale applicabile.
Il recesso dal contratto di servizi qualificabile come appalto: l’art. 1671 c.c.
Quando il contratto di servizi sia qualificabile come appalto, assume particolare rilievo l’art. 1671 c.c., secondo cui il committente può recedere dal contratto anche dopo l’inizio dell’esecuzione dell’opera o della prestazione del servizio, purché tenga indenne l’appaltatore delle spese sostenute, dei lavori eseguiti e del mancato guadagno.
Si tratta di un diritto potestativo di recesso che, secondo la giurisprudenza, può essere esercitatoad nutum, senza necessità di dimostrare una giusta causa o un inadempimento dell’appaltatore.
Laratiodella disposizione risiede nel fatto che l’opera o il servizio sono destinati a soddisfare l’interesse del committente: quando tale interesse viene meno, l’ordinamento non impone necessariamente la prosecuzione del rapporto, ma tutela l’appaltatore sul piano economico mediante l’indennizzo previsto dalla legge. Il recessoexart. 1671 c.c. si distingue pertanto dalla risoluzione per inadempimento, poiché non richiede l’accertamento della gravità della condotta dell’altra parte. Anche un contratto di servizi correttamente eseguito può, in linea di principio, essere sciolto mediante tale facoltà, quando ne ricorrano i presupposti.
Il recesso non è del tutto privo di conseguenze economiche. Il committente deve ristorare l’appaltatore per le spese già sostenute, per le prestazioni eseguite e per il mancato guadagno relativo alla parte di rapporto non eseguita. Quest’ultima voce non coincide necessariamente con l’intero ammontare dei corrispettivi che sarebbero maturati sino alla scadenza: ciò che rileva è il guadagno effettivamente perduto, tenendo conto dei costi non più sostenuti e delle concrete conseguenze economiche determinate dalla cessazione anticipata.
Contratto di servizi e recesso nella giurisprudenza più recente
La giurisprudenza più recente conferma quanto sia decisiva, nella disciplina del contratto di servizi, la corretta qualificazione del rapporto. In particolare, la Corte di cassazione ha chiarito che, quando un contratto di servizi presenti i caratteri dell’appalto, la previsione di una durata determinata e di un meccanismo di rinnovo automatico non esclude, di per sé, l’applicazione dell’art. 1671 c.c.
Con l’ordinanza n. 15335 del 31 maggio 2024, la Suprema Corte ha affermato che l’accordo relativo alla durata e alla rinnovazione del rapporto non costituisce automaticamente una deroga al diritto di recesso del committente. Il rinnovo automatico opera, infatti, sul diverso piano della durata del contratto, mentre resta distinta la facoltà del committente di recedere anche durante l’esecuzione, con il correlato obbligo di indennizzare l’appaltatore secondo quanto previsto dall’art. 1671 c.c.
Il principio è stato ulteriormente precisato dalla Cassazione nel 2025. Con l’ordinanza n. 6487 dell’11 marzo 2025, la Corte ha distinto il regime applicabile ai contratti di servizi continuativi o periodici a seconda della loro durata: se il rapporto è a tempo determinato, trova applicazione l’art. 1671 c.c.; se, invece, la durata non è stabilita né determinabile, viene in rilievo l’art. 1569 c.c., che consente il recesso dal rapporto di somministrazione a tempo indeterminato mediante congruo preavviso.
La giurisprudenza di merito offre indicazioni altrettanto significative sul problema della qualificazione. Il Tribunale di Santa Maria Capua Vetere, con sentenza n. 809 del 10 marzo 2025, ha esaminato un contratto diservicerelativo a uno spazio ad uso ufficio, valorizzando non soltanto la concessione in godimento del locale, ma anche il complesso delle prestazioni di equipaggiamento, cura e manutenzione. Il rapporto è stato ricondotto a un contratto a causa mista, con elementi della locazione e dell’appalto di servizi.
Assistenza legale nella contrattualistica d’impresa
Il nostro Studio Legale presta assistenza in materia didiritto d’impresae contrattualistica civile e commerciale, occupandosi della predisposizione, revisione e interpretazione dei contratti, e scioglimento dei relativi rapporti negoziali.
Contattaci per un confronto.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Set 7, 2026|Diritto d'Impresa
Lo studio di fattibilità consiste nell’attività di analisi preventiva finalizzata a individuare il quadro normativo applicabile a un progetto e a verificare la compatibilità delle soluzioni ipotizzate con le vigenti disposizioni di legge.
Invero, la realizzazione di un progetto digitale richiede, normalmente, una pluralità di valutazioni preliminari che non si esauriscono nell’analisi della sostenibilità economica o della fattibilità tecnica. Un software, una piattaforma online, un’applicazione mobile o un prodotto fondato sull’impiego di sistemi di intelligenza artificiale possono risultare tecnicamente realizzabili e commercialmente sostenibili, ma essere al contempo soggetti a vincoli normativi idonei a incidere in misura significativa sulla struttura del progetto.
In altre parole, lo studio di fattibilità consente di verificare, in un momento in cui l’architettura del progetto è ancora suscettibile di modifiche, la conformità normativa della soluzione imprenditoriale, evitando che emergano problematiche giuridiche dopo lo sviluppo del prodotto o l’avvio dell’attività.
L’obiettivo del presente articolo è esaminare la funzione dello studio di fattibilità legale, illustrando i principali ambiti nei quali una valutazione giuridica preventiva può incidere sulle scelte progettuali e chiarendo per quali ragioni l’analisi della conformità normativa dovrebbe accompagnare, sin dalle fasi iniziali, la progettazione e lo sviluppo di un nuovo prodotto o servizio digitale.
Cos’è uno studio di fattibilità legale e quale funzione svolge
Lo studio di fattibilità legale può essere definito come un’attività di analisi preventiva diretta a verificare se un determinato progetto, nella configurazione concretamente ipotizzata, sia compatibile con il quadro normativo applicabile e a individuare gli eventuali adempimenti, limiti o condizioni necessari per la sualegittima realizzazione.
Esso si distingue, pertanto, sia dallo studio di fattibilità tecnica, che riguarda la concreta possibilità di sviluppare e implementare una determinata soluzione, sia dalla valutazione economico-finanziaria, normalmente volta ad accertarne la sostenibilità e le prospettive di mercato.
L’analisi giuridica dovrebbe precedere la redazione di contratti, informative, condizioni generali o altri documenti dicompliance,poiché richiede anzitutto di qualificare correttamente l’attività che si intende svolgere. È dalla qualificazione giuridica del prodotto o del servizio che discende l’individuazione delle norme applicabili e, conseguentemente, degli obblighi che devono essere osservati.
Tale passaggio assume particolare rilevanza nei progetti digitali, nei quali funzionalità apparentemente simili possono determinare conseguenze giuridiche profondamente differenti. Un software destinato esclusivamente alla gestione amministrativa di uno studio professionale, ad esempio, pone questioni diverse rispetto a un’applicazione che elabora informazioni sanitarie per fornire indicazioni funzionali a una decisione clinica.
Allo stesso modo, una piattaforma che si limita a pubblicare contenuti propri non è necessariamente soggetta alle medesime regole di un servizio che consente l’interazione o l’intermediazione tra utenti.
Studio di fattibilità: qualificazione giuridica del progetto e mappatura dei rischi
Una volta ricostruite le caratteristiche essenziali del progetto, lo studio di fattibilità deve procedere all’individuazione degli aspetti suscettibili di incidere sulla sua realizzazione. Tale attività presuppone una conoscenza sufficientemente dettagliata non soltanto del prodotto o del servizio che si intende offrire, ma anche delle modalità concrete attraverso le quali esso sarà sviluppato, distribuito e utilizzato.
L’analisi deve pertanto considerare l’eventuale ricorso a fornitori tecnologici esterni, l’impiego di infrastrutturecloud, software, API o modelli sviluppati da terzi, le categorie di utenti cui il servizio è destinato e i territori nei quali esso sarà commercializzato.
Lo studio di fattibilità fa una sorta di mappatura dei rischi normativi del progetto. Alcune criticità possono riguardare la necessità di ottenere autorizzazioni o rispettare requisiti di accesso al mercato; altre possono interessare il trattamento dei dati personali, la tutela dei consumatori, la disciplina della proprietà intellettuale, l’utilizzo di tecnologie di terzi, la sicurezza informatica o la ripartizione delle responsabilità contrattuali.
Lo studio di fattibilità nei settori regolamentati
Lo studio di fattibilità assume particolare rilievo quando il progetto digitale si inserisce in un settore regolamentato, nel quale la disciplina applicabile può subordinare l’esercizio dell’attività, la commercializzazione di un prodotto o l’erogazione di un servizio al rispetto di specifici requisiti sostanziali, organizzativi o autorizzativi.
Un esempio particolarmente significativo è rappresentato daisoftware impiegati in ambito sanitario. Non qualsiasi applicazione che abbia attinenza con la salute costituisce, per ciò solo, un dispositivo medico. Occorre invece esaminarne la destinazione d’uso e le specifiche funzioni svolte, verificando se ricorrano i presupposti previsti dal Regolamento (UE) 2017/745 e, in caso positivo, quale classificazione debba essere attribuita al software.
Considerazioni analoghe valgono per altri mercati sottoposti a discipline speciali. Un progettofintech, ad esempio, deve essere analizzato tenendo conto delle concrete attività svolte, distinguendo il mero sviluppo di una soluzione tecnologica dall’eventuale prestazione di servizi finanziari o di pagamento soggetti a specifiche regole.
Una piattaforma digitale che consenta l’intermediazione, la pubblicazione o la diffusione di contenuti di terzi può, invece, richiedere la verifica della disciplina prevista dal Digital Services Act e degli obblighi che essa ricollega alle diverse categorie di intermediari e piattaforme online.
In simili ipotesi, lo studio di fattibilità consente di accertare preventivamente se il modello progettato possa essere realizzato nella forma originariamente prevista e di individuare, prima dell’accesso al mercato, gli eventuali requisiti regolatori che devono essere incorporati nello sviluppo del prodotto o nell’organizzazione dell’attività.
Conformità al GDPR: la protezione dei dati personali fin dalla progettazione
Lo studio di fattibilità deve necessariamente comprendere una valutazione preliminare delle modalità con cui saranno trattati idati personali degli utenti, dei clienti o di altri soggetti interessati.
Questa impostazione trova un preciso fondamento nell’art. 25 del Regolamento (UE) 2016/679, che consacra i principi della protezione dei dati fin dalla progettazione e per impostazione predefinita. Le Linee guida 4/2019 dell’European Data Protection Board chiariscono, in particolare, che le misure dirette ad attuare efficacemente i principi di protezione dei dati devono essere considerate già al momento della determinazione dei mezzi del trattamento e, dunque, nella fase in cui vengono compiute le principali scelte progettuali.
Nell’ambito dello studio di fattibilità, occorrerà quindi ricostruire quali categorie di dati saranno trattate, per quali finalità e sulla base di quale presupposto di liceità, verificando altresì i tempi di conservazione, i soggetti che potranno accedervi, il ricorso a responsabili esterni, l’eventuale trasferimento dei dati verso Paesi terzi e l’adeguatezza delle misure tecniche e organizzative previste.
Particolare attenzione deve essere riservata ai progetti che comportino profilazione, monitoraggio sistematico degli utenti, trattamento su larga scala di categorie particolari di dati o comunque operazioni suscettibili di determinare un rischio elevato per i diritti e le libertà delle persone fisiche.
In tali ipotesi può rendersi necessaria una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR, da svolgersi prima dell’inizio del trattamento. IlGarante per la protezione dei dati personalievidenzia espressamente il carattere preventivo della DPIA e la sua funzione nell’ambito del principio di responsabilizzazione del titolare.
Studio di fattibilità e Intelligenza Artificiale
Quando il progetto prevede l’impiego di soluzioni basate sull’intelligenza artificiale, lo studio di fattibilità dovrebbe comprendere una specifica verifica della disciplina applicabile. La mera circostanza che un software utilizzi algoritmi, modelli di intelligenza artificiale o servizi forniti da terzi non è infatti sufficiente a determinare il relativo regime giuridico: occorre esaminare le caratteristiche del sistema, le finalità per le quali viene utilizzato, il contesto nel quale opera e il ruolo assunto dai diversi soggetti coinvolti.
Il principale riferimento normativo è oggi rappresentato dalRegolamento (UE) 2024/1689, c.d. AI Act, che disciplina lo sviluppo, l’immissione sul mercato, la messa in servizio e l’utilizzo dei sistemi di intelligenza artificiale secondo un modello fondato sulla graduazione del rischio. Il Regolamento trova applicazione, in via generale, dal 2 agosto 2026, sebbene alcune disposizioni siano divenute applicabili anticipatamente e altre siano assoggettate a specifici regimi transitori.
Nell’ambito dello studio di fattibilità, occorre pertanto verificare anzitutto se la soluzione rientri nella nozione normativa di sistema di IA e quale posizione assuma l’impresa rispetto ad essa, distinguendo, a seconda dei casi, tra fornitore,deployer, importatore o distributore.
Deve quindi essere accertata l’eventuale riconducibilità del sistema alle pratiche vietate, ai sistemi soggetti a particolari obblighi di trasparenza o alle categorie ad alto rischio. Dal 2 agosto 2026 trovano, ad esempio, applicazione gli obblighi di trasparenza previsti dall’art. 50 dell’AI Actper determinate forme di interazione con sistemi di IA e per taluni contenuti generati o manipolati artificialmente.
La verifica assume particolare rilievo anche quando l’impresa non sviluppi autonomamente il modello, ma integri nel proprio prodotto API, modelli o servizi di intelligenza artificiale forniti da soggetti terzi. Tale circostanza non esclude, di per sé, l’insorgenza di autonomi obblighi normativi in capo al soggetto che incorpora o utilizza la tecnologia all’interno del proprio servizio.
In Italia, il quadro europeo deve inoltre essere coordinato con la legge 23 settembre 2025, n. 132, le cui disposizioni sono espressamente destinate a operare conformemente all’AI Act.
Contratti, proprietà intellettuale e dipendenza dai fornitori tecnologici
Lo studio di fattibilità di un progetto digitale deve estendersi anche ai rapporti contrattuali e ai diritti di proprietà intellettuale sui quali si fonda l’architettura tecnologica del prodotto o del servizio. Nella pratica, infatti, anche progetti sviluppati internamente possono dipendere in misura significativa da componenti appartenenti a terzi, quali librerie software, API, infrastrutturecloud, database, modelli di intelligenza artificiale, piattaforme di pagamento o altri servizi tecnologici integrati.
La verifica assume rilievo, anzitutto, sotto il profilo della titolarità e delle condizioni di utilizzazione del software. Nell’ordinamento europeo, i programmi per elaboratore sono oggetto di una specifica tutela autorale ai sensi della Direttiva 2009/24/CE. Ne consegue che l’utilizzo, la modifica, la distribuzione o l’integrazione di componenti software e database devono essere valutati alla luce dei diritti effettivamente acquisiti e delle condizioni previste dalle relative licenze.
Lo studio di fattibilità deve pertanto accertare se l’impresa disponga dei diritti necessari sul codice sviluppato internamente o da collaboratori esterni e se le licenze relative alle componenti di terzi consentano l’impiego concretamente programmato. La medesima attenzione deve essere riservata al softwareopen source: l’assenza di un corrispettivo economico non implica, infatti, l’assenza di condizioni giuridiche di utilizzo, essendo ogni componente disciplinata dalla specifica licenza applicabile.
Ulteriori verifiche riguardano i contratti con i fornitori tecnologici, che possono disciplinare limiti di utilizzo delle API, disponibilità del servizio, responsabilità, trattamento dei dati, possibilità di recesso e continuità operativa. Uno studio di fattibilità adeguatamente svolto consente quindi di accertare se l’impresa possieda effettivamente i diritti e le autorizzazioni contrattuali necessari per sviluppare e commercializzare il progetto secondo il modello previsto.
Assistenza legale per start up e imprese digitali. Rivolgiti al nostro Studio Legale
Il parere di un avvocato consente di ricondurre le caratteristiche tecniche del prodotto o del servizio entro le corrette categorie giuridiche, coordinando discipline che, nei progetti digitali, tendono frequentemente a sovrapporsi.
Lo studio di fattibilità non sostituisce le successive attività di compliance, ma ne rappresenta il presupposto logico. Per le startup e, più in generale, per le imprese che sviluppano nuovi servizi o prodotti digitali, la valutazione legale presentiva è uno step assolutamente consigliabile.
Il nostroStudio Legalesupporta imprese e startup nell’avvio di progetti tecnologici in conformità alla normativa di legge.
Contattaci per un confronto.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Ago 21, 2026|Diritto d'Impresa
Si sente spesso nominare ilData Processing Agreement(DPA): ma quando è necessario? E perché?
Accade di frequente che l’esecuzione di un contratto comporti l’accesso, anche continuativo, a informazioni riferibili a clienti, dipendenti o utenti. Si pensi ai servizi cloud, alle piattaforme SaaS, alla gestione delle infrastrutture IT alle attività di marketing,siti webetc.
In simili rapporti, la disciplina della protezione dei dati personali dovrebbe essere integrata nella regolamentazione complessiva dei rapporti tra le parti. È in questo contesto che assume particolare rilievo il Data Processing Agreement, comunemente indicato con l’acronimo DPA.
Con tale espressione si identifica, in particolare, l’accordo attraverso il quale il titolare del trattamento disciplina il trattamento di dati personali effettuato, per proprio conto, da un soggetto esterno qualificabile come responsabile del trattamento.
Il Data Processing Agreement è, in altre parole, l’atto con cui si definiscono le condizioni, i limiti e le garanzie che devono accompagnare l’affidamento a terzi di attività comportanti il trattamento di dati personali.
L’obiettivo del presente articolo è chiarire quando un Data Processing Agreement sia giuridicamente necessario, in quali situazioni sia opportuno adottare una regolamentazione contrattuale specifica, e quali siano i contenuti essenziali che una DPA dovrebbe possedere in conformità con il GDPR e con i principi diaccountability.
Data Processing Agreement e ruoli privacy
Prima di stabilire se sia necessario predisporre unData Processing Agreement, occorre individuare correttamente il ruolo assunto dalle parti nel trattamento dei dati personali. La semplice circostanza che due soggetti si scambino o condividano dati, infatti, non determina automaticamente l’obbligo di stipulare una DPA.
Il GDPR distingue anzitutto tra titolare del trattamento e responsabile del trattamento. Il titolare è il soggetto che determina le finalità e i mezzi del trattamento, ossia decide, in sostanza, perché e secondo quali modalità essenziali i dati personali devono essere trattati. Ilresponsabile, invece, tratta i dati personali per conto del titolare, nell’ambito delle istruzioni ricevute e per consentire l’esecuzione del servizio affidatogli.
È proprio quest’ultima relazione a costituire il presupposto tipico delData Processing Agreement. Non rileva, a tal fine, il nome attribuito dalle parti al contratto o la qualificazione formalmente utilizzata: secondo l’impostazione del GDPR e dell’European Data Protection Board, la posizione di titolare o responsabile deve essere individuata sulla base delle attività concretamente svolte e dell’effettivo potere decisionale esercitato sul trattamento.
Occorre inoltre distinguere tale ipotesi dai casi in cui due soggetti trattino i medesimi dati perseguendo finalità proprie e autonome. In tale situazione, ciascuno potrà operare come titolare autonomo del trattamento e l’eventuale comunicazione dei dati dovrà essere valutata sotto il profilo della relativa base giuridica, senza che trovi necessariamente applicazionel’art. 28 GDPR.
Ancora diversa è l’ipotesi della contitolarità, che ricorre quando due o più soggetti determinano congiuntamente finalità e mezzi del trattamento. In questo caso trova applicazione l’art. 26 GDPR e le parti devono disciplinare mediante un accordo le rispettive responsabilità, con particolare riferimento all’esercizio dei diritti degli interessati e agli obblighi informativi.
Solo dopo aver accertato che un soggetto tratta effettivamente dati personali per conto dell’altro è possibile affermare che ricorrono i presupposti per la stipulazione di unData Processing Agreementai sensi dell’art. 28 GDPR.
Quando è obbligatorio il Data Processing Agreement?
L’art. 28 GDPR disciplina il trattamento di dati personali effettuato da unresponsabile per conto del titolare. Quando ricorre tale rapporto, la predisposizione di unData Processing Agreementrisponde a un preciso obbligo del Regolamento.
In particolare, l’art. 28 stabilisce che il trattamento effettuato dal responsabile debba essere disciplinato da un contratto o da altro atto giuridico vincolante nei confronti del titolare. Tale accordo deve individuare, tra l’altro, l’oggetto e la durata del trattamento, la sua natura e le sue finalità, le tipologie di dati personali trattati, le categorie di interessati, nonché gli obblighi e i diritti del titolare. Il GDPR richiede inoltre che l’accordo sia stipulato in forma scritta, anche elettronica.
Non è necessario che il documento sia formalmente denominatoData Processing Agreementné che costituisca necessariamente un contratto autonomo. Gli obblighi previsti dall’art. 28 possono essere inseriti, ad esempio, all’interno del contratto principale oppure in un apposito allegato. Ciò che rileva è che il rapporto tra titolare e responsabile sia regolato mediante un atto giuridicamente vincolante e contenente gli elementi prescritti dal GDPR.
L’obbligo sorge, dunque, ogniqualvolta un’impresa affidi a un soggetto esterno un’attività che comporti il trattamento di dati personali per proprio conto. È quanto può accadere, ad esempio, quando un provider gestisce infrastrutture informatiche o servizi cloud contenenti dati personali, quando un fornitore svolge attività di assistenza avendo accesso alle banche dati del cliente oppure quando un’agenzia gestisce campagne di marketing utilizzando i dati messi a disposizione dall’impresa committente.
Casi in cui è opportuno redigere un Data Processing Agreement (come atto separato e specifico)
Nei rapporti caratterizzati da un accesso continuativo o sistematico ai dati personali, può risultare insufficiente limitarsi a poche clausole generali inserite nel contratto commerciale. È preferibile, in questi casi, predisporre una DPA autonoma o un allegato contrattuale specificamente dedicato al trattamento dei dati, nel quale siano definite con precisione le attività consentite al responsabile, le misure di sicurezza applicabili, le modalità di gestione degli incidenti e le condizioni per l’eventuale coinvolgimento di ulteriori fornitori.
Una regolamentazione particolarmente accurata appare opportuna, ad esempio, quando il servizio comporti l’accesso a quantità rilevanti di dati, l’utilizzo di infrastrutture cloud, l’integrazione tra differenti sistemi informatici oppure il ricorso a una articolata catena di sub-responsabili. Analoga attenzione dovrebbe essere riservata ai trattamenti aventi ad oggetto categorie particolari di dati o, più in generale, informazioni la cui perdita, alterazione o divulgazione potrebbe determinare conseguenze significative per gli interessati.
In questa prospettiva, ilData Processing Agreementassume anche una funzione di prevenzione e gestione del rischio contrattuale. Una puntuale distribuzione degli obblighi consente infatti alle parti di conoscere preventivamente le rispettive responsabilità e di stabilire procedure condivise per affrontare eventuali criticità durante l’esecuzione del rapporto.
Il contenuto del Data Processing Agreement: oggetto, finalità e istruzioni del titolare
IlData Processing Agreementdeve descrivere in maniera sufficientemente precisa il trattamento affidato al responsabile. Il Regolamento e laprassi del Garanterichiedono, infatti, che l’accordo individui almeno l’oggetto e la durata del trattamento, la natura e le finalità delle operazioni svolte, le tipologie di dati personali interessati e le categorie di soggetti cui tali dati si riferiscono, oltre ai diritti e agli obblighi del titolare.
Un contratto relativo, ad esempio, alla gestione di una piattaforma informatica dovrebbe chiarire se il fornitore possa limitarsi alla conservazione dei dati oppure possa anche consultarli, organizzarli, modificarli, estrarli o utilizzarli nell’ambito di attività di assistenza tecnica.
Particolare importanza assume, inoltre, il principio secondo cui il responsabile può trattare i dati personali soltanto sulla base delle istruzioni documentate del titolare, salvo che il trattamento sia imposto da una disposizione del diritto dell’Unione europea o nazionale applicabile al responsabile stesso. Le istruzioni rappresentano quindi il perimetro giuridico entro il quale il fornitore può operare.
IlData Processing Agreementdovrebbe pertanto definire con chiarezza quali trattamenti siano consentiti e per quali finalità, evitando che il responsabile possa utilizzare autonomamente i dati ricevuti per scopi ulteriori rispetto a quelli concordati.
Sicurezza, sub-responsabili e gestione degli incidenti
Accanto alla descrizione del trattamento e alle istruzioni impartite dal titolare, ilData Processing Agreementdeve disciplinare una serie di obblighi ulteriori destinati a garantire che i dati personali siano trattati in condizioni di adeguata sicurezza e sotto il controllo del titolare.
Un primo profilo riguarda le misure tecniche e organizzative adottate dal responsabile. La DPA dovrebbe richiamare gli obblighi previsti dall’art. 32 GDPR e individuare, con un livello di dettaglio proporzionato al rischio, le misure poste a tutela della riservatezza, integrità e disponibilità dei dati.
Analoga attenzione deve essere riservata al ricorso a eventuali sub-responsabili del trattamento. Il responsabile non può affidare liberamente a terzi parte delle attività ricevute dal titolare: l’art. 28 GDPR richiede infatti una preventiva autorizzazione, specifica o generale, e impone che il sub-responsabile sia assoggettato a obblighi sostanzialmente equivalenti a quelli previsti nel rapporto principale. Il Data Processing Agreement dovrebbe quindi chiarire le modalità attraverso cui il titolare viene informato dell’ingresso di nuovi sub-responsabili e può, ove previsto, formulare eventuali obiezioni.
Particolarmente rilevante è anche la disciplina degli incidenti di sicurezza e deidata breach. Il responsabile deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali e deve metterlo nelle condizioni di adempiere agli eventuali obblighi di notifica all’Autorità di controllo e di comunicazione agli interessati.
IlData Processing Agreementdovrebbe infine regolare l’assistenza prestata dal responsabile nell’esercizio dei diritti degli interessati, nelle valutazioni d’impatto, negli audit e nelle attività necessarie a dimostrare la conformità al GDPR.
Trasferimenti di dati fuori dallo Spazio Economico Europeo
Un ulteriore profilo che assume particolare rilievo nella predisposizione di unData Processing Agreementriguarda l’eventuale trasferimento di dati personali verso Paesi situati al di fuori dello Spazio Economico Europeo. La questione si presenta con frequenza nei rapporti con provider cloud, piattaforme SaaS o agenzie di marketing che utilizzano infrastrutture o subfornitori localizzati in Paesi terzi.
In questi casi, è necessario distinguere il piano relativo alla nomina del responsabile da quello concernente la liceità del trasferimento internazionale. La stipulazione di una DPA conforme all’art. 28 GDPR, infatti, non costituisce di per sé una base sufficiente per trasferire dati personali verso un Paese terzo. Quando il trattamento comporta un trasferimento internazionale, devono essere rispettate anche le condizioni previste dal Capo V del GDPR e, in particolare, dagli artt. 44 e seguenti.
IlData Processing Agreementdovrebbe pertanto chiarire se il responsabile o i suoi eventuali sub-responsabili possano trattare dati al di fuori dello Spazio Economico Europeo e subordinare tali operazioni al rispetto delle condizioni previste dalla normativa applicabile. In assenza di una decisione di adeguatezza della Commissione europea, il trasferimento può richiedere l’adozione di garanzie appropriate, tra le quali assumono particolare rilevanza le Standard Contractual Clauses adottate dalla Commissione europea ai sensi dell’art. 46 GDPR.
Si tratta di strumenti distinti, destinati ad assolvere funzioni differenti: le prime riguardano la disciplina del rapporto titolare-responsabile, mentre le seconde forniscono, ricorrendone i presupposti, una delle garanzie utilizzabili per legittimare il trasferimento internazionale dei dati.
Considerazioni finali.La DPA nella gestione concreta dei rapporti con fornitori e partner commerciali
In definitiva, la verifica circa la necessità della DPA dovrebbe essere effettuata già nella fase di selezione e contrattualizzazione del provider. È infatti in tale momento che il titolare può accertare quali dati personali saranno messi a disposizione del fornitore, per quali finalità, attraverso quali infrastrutture e con l’eventuale coinvolgimento di ulteriori soggetti.
IlData Processing Agreementdeve risultare coerente con il contratto principale quanto alla durata del trattamento, ai livelli di servizio, alla modalità di accesso ai sistemi, agli obblighi di riservatezza, etc.
Particolare attenzione dovrebbe essere dedicata ai rapporti caratterizzati da una pluralità di fornitori o sub-responsabili. In questi casi, il titolare deve avere una visione sufficientemente chiara della catena di trattamento e delle modalità attraverso cui i dati vengono trasferiti, conservati o resi accessibili.
Assistenza legale in materia di data protection & digital privacy
Il nostro Studio Legale assisteimprese, start up e professionistinella gestione degli aspetti giuridici connessi alla protezione dei dati personali e, più in generale, alla compliance aziendale. L’attività comprende, tra l’altro, la qualificazione dei ruoli privacy nei rapporti contrattuali, la predisposizione e revisione diData Processing Agreement, la disciplina dei rapporti con fornitori e partner commerciali e l’adeguamento della contrattualistica alle prescrizioni del GDPR.
Contattaci per un confronto!
Fac simile di Data Processing Agreement ai sensi dell’art. 28 GDPR
Il seguente modello costituisce un fac simile diData Processing Agreemente deve essere inteso come semplice guida orientativa, senza alcuna pretesa di correttezza o completezza.
DATA PROCESSING AGREEMENT
Accordo sul trattamento dei dati personali ai sensi dell’art. 28 del Regolamento (UE) 2016/679
Tra:
[DENOMINAZIONE DEL TITOLARE], con sede in [●], C.F./P. IVA [●], in persona del legale rappresentante pro tempore, di seguito denominato anche il“Titolare”
e
[DENOMINAZIONE DEL RESPONSABILE], con sede in [●], C.F./P. IVA [●], in persona del legale rappresentante pro tempore, di seguito denominato anche il“Responsabile”
congiuntamente denominate le“Parti”.
Art. 1 – Premesse e oggetto dell’Accordo
Le premesse costituiscono parte integrante e sostanziale del presente accordo.
Tra le Parti è in essere un rapporto contrattuale avente ad oggetto [descrivere sinteticamente il servizio], la cui esecuzione comporta il trattamento, da parte del Responsabile, di dati personali per conto del Titolare.
Con il presenteData Processing Agreement, le Parti intendono disciplinare tale trattamento in conformità all’art. 28 del Regolamento (UE) 2016/679 (“GDPR”) e alla normativa applicabile in materia di protezione dei dati personali.
Il Responsabile si impegna a trattare i dati personali esclusivamente nei limiti necessari all’esecuzione dei servizi affidati e nel rispetto delle istruzioni documentate impartite dal Titolare.
Art. 2 – Durata del trattamento
Il presente Data Processing Agreement ha efficacia per tutta la durata del rapporto contrattuale intercorrente tra le Parti e, in ogni caso, sino a quando il Responsabile continuerà a trattare dati personali per conto del Titolare.
Alla cessazione del rapporto trovano applicazione le disposizioni previste dal successivo art. 13 in materia di restituzione e cancellazione dei dati personali.
Art. 3 – Natura e finalità del trattamento
Il Responsabile è autorizzato a trattare i dati personali esclusivamente per le finalità connesse all’esecuzione dei servizi oggetto del contratto principale e secondo quanto specificato nel presente Data Processing Agreement.
Il trattamento potrà comprendere, nei limiti strettamente necessari allo svolgimento dei servizi, operazioni quali [raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, estrazione, comunicazione, cancellazione o altre operazioni effettivamente pertinenti].
Le categorie di interessati coinvolte comprendono [clienti, utenti, dipendenti, collaboratori, fornitori o altre categorie].
Le categorie di dati personali oggetto del trattamento comprendono [dati identificativi, dati di contatto, dati contrattuali, dati economici, dati relativi all’utilizzo dei servizi o altre categorie]. Qualora siano trattate categorie particolari di dati ai sensi dell’art. 9 GDPR o dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR, tale circostanza dovrà essere espressamente indicata e specificamente disciplinata.
Art. 4 – Istruzioni del Titolare
Il Responsabile tratta i dati personali esclusivamente sulla base delle istruzioni documentate del Titolare, incluse quelle relative agli eventuali trasferimenti di dati personali verso Paesi terzi o organizzazioni internazionali, salvo che il trattamento sia imposto dal diritto dell’Unione europea o dalla normativa nazionale applicabile.
Qualora il Responsabile ritenga che un’istruzione impartita dal Titolare violi il GDPR o altra disposizione applicabile in materia di protezione dei dati personali, ne informa tempestivamente il Titolare.
Il Responsabile non potrà utilizzare i dati personali per finalità proprie, incompatibili o comunque ulteriori rispetto a quelle derivanti dalle istruzioni ricevute.
Art. 5 – Riservatezza e persone autorizzate al trattamento
Il Responsabile garantisce che le persone autorizzate a trattare i dati personali siano vincolate da adeguati obblighi di riservatezza oppure siano soggette a un pertinente obbligo legale di segretezza.
Il Responsabile assicura inoltre che l’accesso ai dati sia consentito esclusivamente ai soggetti che ne abbiano effettiva necessità in relazione alle mansioni svolte e che tali soggetti ricevano adeguate istruzioni in materia di trattamento e protezione dei dati personali.
Art. 6 – Misure tecniche e organizzative di sicurezza
Il Responsabile adotta e mantiene misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche.
Le misure adottate dovranno essere idonee a garantire un livello di sicurezza proporzionato al rischio e dovranno, ove pertinente, riguardare la tutela della riservatezza, dell’integrità, della disponibilità e della resilienza dei sistemi e dei servizi di trattamento.
Le specifiche misure tecniche e organizzative applicabili al rapporto potranno essere descritte in un apposito allegato al presente Accordo.
Art. 7 – Ricorso a sub-responsabili
Il Responsabile non può ricorrere ad altro responsabile del trattamento senza preventiva autorizzazione scritta, specifica o generale, del Titolare.
In caso di autorizzazione generale, il Responsabile informa preventivamente il Titolare di qualsiasi modifica prevista riguardante l’aggiunta o la sostituzione di sub-responsabili, consentendogli di formulare eventuali obiezioni secondo le modalità concordate tra le Parti.
Il Responsabile assicura che ogni sub-responsabile sia vincolato, mediante contratto o altro atto giuridico, a obblighi in materia di protezione dei dati personali sostanzialmente equivalenti a quelli previsti dal presenteData Processing Agreement.
Art. 8 – Assistenza nell’esercizio dei diritti degli interessati
Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare, mediante misure tecniche e organizzative adeguate e nella misura in cui ciò sia possibile, nell’adempimento degli obblighi relativi alle richieste di esercizio dei diritti riconosciuti agli interessati dagli artt. 12 e seguenti GDPR.
Qualora una richiesta proveniente da un interessato sia ricevuta direttamente dal Responsabile e riguardi dati trattati per conto del Titolare, il Responsabile la trasmette tempestivamente al Titolare e non vi dà autonomamente seguito, salvo diversa istruzione o obbligo derivante dalla normativa applicabile.
Art. 9 – Violazioni dei dati personali
Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali relativa ai trattamenti oggetto del presente Accordo.
La comunicazione dovrà contenere, per quanto disponibile, tutte le informazioni utili a consentire al Titolare di valutare la violazione e adempiere agli obblighi previsti dagli artt. 33 e 34 GDPR.
Il Responsabile collabora con il Titolare nell’attività di analisi, contenimento, mitigazione e gestione dell’incidente, adottando senza ritardo le misure ragionevolmente necessarie per limitarne le conseguenze.
Art. 10 – Assistenza al Titolare e valutazione d’impatto
Tenuto conto della natura del trattamento e delle informazioni a propria disposizione, il Responsabile presta al Titolare l’assistenza necessaria per garantire il rispetto degli obblighi previsti dagli artt. 32-36 GDPR.
In particolare, ove necessario, il Responsabile fornisce le informazioni ragionevolmente richieste dal Titolare ai fini della predisposizione o dell’aggiornamento di una valutazione d’impatto sulla protezione dei dati e collabora nell’eventuale procedura di consultazione preventiva dell’Autorità di controllo.
Art. 11 – Restituzione e cancellazione dei dati
Alla cessazione della prestazione dei servizi relativi al trattamento, il Responsabile, secondo le istruzioni del Titolare, cancella o restituisce tutti i dati personali trattati per conto di quest’ultimo e provvede alla cancellazione delle eventuali copie esistenti, salvo che il diritto dell’Unione europea o nazionale imponga la conservazione dei dati.
Qualora sussista un obbligo legale di conservazione, il Responsabile assicura che i dati siano mantenuti esclusivamente per il periodo e per le finalità previste dalla normativa applicabile e che non siano sottoposti a ulteriori operazioni incompatibili con tale obbligo.
Art. 12 – Responsabilità e conformità normativa
Ciascuna Parte è tenuta al rispetto degli obblighi direttamente posti a proprio carico dal GDPR e dalla normativa applicabile in materia di protezione dei dati personali.
Il Responsabile informa tempestivamente il Titolare di qualsiasi circostanza che possa incidere in maniera significativa sulla propria capacità di adempiere agli obblighi derivanti dal presente Data Processing Agreement.
Resta ferma l’applicazione delle disposizioni del GDPR in materia di responsabilità e diritto al risarcimento, nonché delle eventuali ulteriori previsioni sulla responsabilità contenute nel contratto principale, purché compatibili con la normativa inderogabile applicabile.
Art. 13 – Rapporti con il contratto principale e disposizioni finali
Il presenteData Processing Agreementcostituisce parte integrante del contratto intercorrente tra le Parti avente ad oggetto [●].
In caso di contrasto tra le disposizioni del presente Accordo relative alla protezione dei dati personali e quelle contenute nel contratto principale, prevalgono le disposizioni del presente Accordo per quanto concerne gli aspetti specificamente relativi al trattamento dei dati personali, salvo che sia espressamente previsto diversamente e purché la diversa disciplina sia compatibile con il GDPR.
Qualsiasi modifica del presente Data Processing Agreement dovrà risultare da atto scritto, anche in formato elettronico.
Per quanto non espressamente previsto trovano applicazione il Regolamento (UE) 2016/679, la normativa nazionale applicabile e gli altri atti normativi pertinenti in materia di protezione dei dati personali.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
