daRedazione|Lug 2, 2026|Diritto civile
La procedura di mediazione è conosciuta come lo strumento per eccellenza di risoluzione alternativa delle controversie, destinato a favorire la composizione bonaria dei conflitti in materia civile e commerciale senza la necessità di instaurare un giudizio dinanzi al Tribunale.
La mediazione, disciplinata dalD. Lgs. 4 marzo 2010, n. 28, consiste in un procedimento strutturato nel quale due o più parti, assistite ove previsto dai rispettivi avvocati, tentano di raggiungere un accordo con l’ausilio di un soggetto terzo, imparziale e professionalmente qualificato: il mediatore.
Quest’ultimo non decide la controversia, non emette una sentenza e non attribuisce torti o ragioni, ma agevola il confronto tra le parti, favorendo l’emersione degli interessi sostanziali sottesi al conflitto e la ricerca di una soluzione condivisa.
L’importanza della procedura di mediazione risiede proprio nella sua diversa logica rispetto al processo civile. Mentre il giudizio ordinario è finalizzato all’accertamento autoritativo di una pretesa e si conclude con una decisione imposta dal giudice, la mediazione mira alla costruzione di un accordo negoziale, potenzialmente più rapido, meno oneroso e più aderente alle concrete esigenze delle parti.
In questo articolo illustreremo in cosa consiste la procedura di mediazione, quando deve essere obbligatoriamente esperita, come si svolge, quali effetti produce e per quali ragioni può costituire, in molti casi, una soluzione preferibile rispetto al contenzioso giudiziario.
La disciplina normativa della procedura di mediazione nel D. Lgs. 28/2010
La procedura di mediazione è disciplinata dal D. Lgs. 4 marzo 2010, n. 28. Essa si applica alle controversie aventi ad oggetto diritti disponibili, ossia situazioni giuridiche soggettive rispetto alle quali le parti possono validamente disporre mediante accordo negoziale.
Tale caratteristica segna il confine naturale della mediazione civile: essa non è destinata a sostituire l’intervento giurisdizionale nei settori sottratti alla disponibilità privata, ma opera nei rapporti patrimoniali e personali nei quali l’autonomia negoziale delle parti può legittimamente comporre il conflitto.
Nel corso degli anni, la disciplina della procedura di mediazione è stata oggetto di numerosi interventi normativi, fino alle modifiche introdotte dalla Riforma Cartabia e dal successivo correttivo in materia di mediazione civile e commerciale.
La procedura di mediazione si svolge dinanzi a organismi di mediazione iscritti nell’apposito registro tenuto dal Ministero della Giustizia, secondo regole di imparzialità, riservatezza, competenza professionale e corretto svolgimento del procedimento.
Procedura di mediazione obbligatoria, facoltativa e demandata dal giudice
La procedura di mediazione può assumere forme diverse a seconda della fonte da cui deriva l’accesso al procedimento. In primo luogo, vi è la mediazione volontaria o facoltativa, che trova fondamento nell’autonomia delle parti e può essere attivata ogniqualvolta la controversia riguardi diritti disponibili.
In tale ipotesi, la scelta di ricorrere alla mediazione non discende da un obbligo di legge, ma da una valutazione di opportunità: le parti (anche su iniziativa di una sola di esse) decidono di ricercare una soluzione concordata, evitando l’instaurazione di una causa.
Diversa è la procedura di mediazione obbligatoria, prevista dall’art. 5 del D. Lgs. 28/2010 per determinate categorie di controversie. In tali casi, l’esperimento del procedimento costituisce condizione di procedibilità della domanda giudiziale, con la conseguenza che la parte che intenda agire in giudizio deve previamente promuovere il tentativo di mediazione.
La mediazione obbligatoria non elimina il diritto di rivolgersi al giudice, ma introduce un passaggio preliminare necessario, volto a verificare se la lite possa essere definita in modo conciliativo prima dell’apertura del contenzioso.
Accanto a tali ipotesi si colloca la procedura di mediazione demandata dal giudice, disciplinata dall’art. 5-quaterdel D. Lgs. 28/2010. In questo caso, è il giudice, anche nel corso del processo, a disporre l’esperimento della mediazione, avuto riguardo alla natura della causa, allo stato dell’istruzione, al comportamento delle parti e a ogni altra circostanza utile.
Materie in cui la procedura di mediazione è condizione di procedibilità
In alcune controversie civili e commerciali, la procedura di mediazione rappresenta un passaggio preliminare necessario per poter validamente introdurre il giudizio. L’art. 5 del D. Lgs. 28/2010 stabilisce, infatti, che chi intende esercitare in giudizio un’azione relativa a determinate materie è tenuto, preliminarmente, a esperire il procedimento di mediazione, il quale assume in tali casi la funzione di condizione di procedibilità della domanda giudiziale.
Rientrano in tale ambito numerose controversie di frequente applicazione pratica, quali quelle in materia di condominio, diritti reali, divisione,successioni ereditarie, patti di famiglia, locazione,comodato, affitto di aziende, risarcimento del danno derivante da responsabilità medica e sanitaria,diffamazionecon il mezzo della stampa o con altro mezzo di pubblicità, contratti assicurativi, bancari e finanziari.
A seguito degli interventi di riforma, l’ambito della procedura di mediazione obbligatoria è stato ulteriormente ampliato, includendo anche controversie relative a contratti di associazione in partecipazione, consorzio, franchising, opera, rete, somministrazione, società di persone e subfornitura.
Qualora la procedura di mediazione non sia stata previamente esperita, il giudice può rilevare l’improcedibilità della domanda, ovvero la parte convenuta può eccepirla nei termini previsti dalla legge.
Come si avvia la procedura di mediazione
La procedura di mediazione si avvia mediante il deposito di una domanda presso un organismo di mediazione territorialmente competente, individuato, secondo la regola generale prevista dall’art. 4 del D. Lgs. 28/2010, nel luogo del giudice competente per la controversia.
L’atto introduttivo del procedimento deve indicare l’organismo adito, le parti, l’oggetto della lite e le ragioni della pretesa. Pur non essendo assimilabile a un atto processuale in senso stretto, la domanda di mediazione delimita il perimetro della controversia e consente alla parte chiamata di comprendere con chiarezza la natura delle questioni sottoposte al tentativo conciliativo.
Dopo il deposito della domanda, il responsabile dell’organismo designa il mediatore e fissa il primo incontro, comunicando alle parti la data, la sede e le modalità di svolgimento.
Lo svolgimento della procedura di mediazione e il ruolo del mediatore
Una volta depositata la domanda e instaurato il contraddittorio, la procedura di mediazione entra nella sua fase centrale.
Il primo incontro è il momento nel quale il mediatore chiarisce alle parti la funzione, le modalità e le possibili utilità del procedimento, verificando se vi siano le condizioni per avviare un effettivo confronto conciliativo.
La procedura di mediazione richiede, di regola, la partecipazione personale delle parti, le quali possono farsi rappresentare solo in presenza di giustificati motivi e mediante un soggetto a conoscenza dei fatti, munito dei poteri necessari per definire la controversia.
Durata della procedura di mediazione e vantaggi in termini di celerità
Uno dei principali elementi di interesse della procedura di mediazione è rappresentato dalla sua naturale vocazione alla rapidità. Il procedimento, secondo l’attuale disciplina dell’art. 6 del D. Lgs. 28/2010, ha una durata (massima) di sei mesi, prorogabile dopo la sua instaurazione e prima della sua scadenza secondo le modalità previste dalla legge.
Anche nella formulazione più recente, la previsione di un termine conferma laratiodell’istituto: offrire alle parti uno strumento di composizione della lite concentrato nel tempo, incompatibile con le fisiologiche dilatazioni temporali che spesso caratterizzano il giudizio ordinario.
La celerità della procedura di mediazione va valutata anche in termini funzionali. In mediazione, infatti, la controversia viene affrontata sin dalle prime battute nella sua dimensione sostanziale, economica e relazionale, senza attendere lo sviluppo delle fasi processuali tipiche del giudizio civile.
Le parti possono confrontarsi immediatamente sulle rispettive pretese, valutare i punti di forza e di debolezza delle proprie posizioni, considerare il rischio del contenzioso e verificare la possibilità di una soluzione negoziale. Tale impostazione consente, in molti casi, di definire controversie complesse in tempi sensibilmente inferiori rispetto a quelli necessari per ottenere una sentenza.
I benefici fiscali della mediazione
Uno dei profili di maggiore interesse della procedura di mediazione è rappresentato dal suo regime economico e fiscale, che il legislatore ha progressivamente rafforzato al fine di incentivare il ricorso agli strumenti alternativi di risoluzione delle controversie.
La mediazione civile si caratterizza per un sistema di costi generalmente più contenuto e maggiormente prevedibile. Nel giudizio civile, la parte deve normalmente sostenere il contributo unificato, le spese vive, i compensi professionali, gli eventuali costi di consulenze tecniche e gli oneri derivanti dalla durata del processo.
Nella procedura di mediazione, invece, il costo è parametrato al valore della controversia e allo svolgimento effettivo del procedimento, secondo criteri predeterminati, con la possibilità di beneficiare di specifici vantaggi fiscali.
Il primo beneficio riguarda il regime degli atti del procedimento. Ai sensi dell’art. 17 del D. Lgs. 28/2010, tutti gli atti, i documenti e i provvedimenti relativi alla procedura di mediazione sono esenti dall’imposta di bollo e da ogni spesa, tassa o diritto di qualsiasi specie e natura.
Si tratta di una previsione di particolare rilievo, perché consente alle parti di affrontare il percorso conciliativo senza l’aggravio fiscale normalmente connesso alla formalizzazione di atti aventi rilevanza giuridica.
Inoltre, il verbale contenente l’accordo di conciliazione è esente dall’imposta di registro entro il limite di valore previsto dalla legge, con applicazione dell’imposta soltanto sull’eventuale eccedenza.
Il beneficio più significativo è tuttavia rappresentato dalcredito d’impostaprevisto dall’art. 20 del D. Lgs. 28/2010. La norma riconosce alle parti che abbiano partecipato a una procedura di mediazione un credito d’imposta commisurato all’indennità corrisposta all’organismo di mediazione.
Quando la mediazione si conclude con il raggiungimento dell’accordo conciliativo, tale credito è riconosciuto fino a concorrenza di euro 600,00. In caso di insuccesso della mediazione, il credito d’imposta è ridotto della metà. Laratiodell’agevolazione è evidente: il legislatore intende premiare la partecipazione effettiva al procedimento e, in misura maggiore, l’esito conciliativo, che consente di evitare o definire il contenzioso giudiziario.
Un ulteriorecredito d’impostaè previsto, nelle ipotesi di procedura di mediazione obbligatoria o demandata dal giudice, in relazione al compenso corrisposto all’avvocato per l’assistenza prestata nel procedimento. Anche in questo caso, quando viene raggiunto l’accordo, il credito è riconosciuto entro il limite di euro 600,00, nei limiti dei parametri forensi. Se, invece, la mediazione non si conclude positivamente, il beneficio è ridotto della metà.
Occorre tuttavia precisare che i crediti d’imposta relativi all’indennità versata all’organismo e al compenso dell’avvocato sono utilizzabili dalla parte entro il limite complessivo di euro 600,00 per ciascuna procedura, fino a un importo massimo annuale di euro 2.400,00 per le persone fisiche e di euro 24.000,00 per le persone giuridiche.
La disciplina prevede, inoltre, un ulteriore credito d’imposta nel caso in cui la procedura di mediazione consenta di definire una controversia già pendente in giudizio. In tale ipotesi, se il processo si estingue a seguito della conclusione di un accordo conciliativo, alla parte è riconosciuto un credito d’imposta commisurato al contributo unificato versato nel giudizio estinto, nel limite dell’importo effettivamente corrisposto e fino a concorrenza di euro 518,00.
Per il 2026 il credito d’imposta per la procedura di mediazione deve essere considerato alla luce delle modalità operative stabilite dal decreto interministeriale 1° agosto 2023 e dalle indicazioni del Ministero della Giustizia.
La domanda di attribuzione del credito deve essere presentata esclusivamente online, tramite l’apposita piattaforma ministeriale, con accesso mediante identità digitale. La richiesta deve essere proposta, a pena di inammissibilità, entro il 31 marzo dell’anno successivo a quello di conclusione della procedura.
Pertanto, le domande relative alle mediazioni concluse entro il 31 dicembre 2025 dovevano essere presentate entro il 31 marzo 2026; per le procedure concluse nel corso del 2026, il termine ordinario di presentazione della domanda sarà il 31 marzo 2027, salvo eventuali modifiche normative o indicazioni ministeriali sopravvenute.
L’accordo raggiunto in mediazione e la sua efficacia esecutiva
Uno degli aspetti più rilevanti della procedura di mediazione riguarda gli effetti giuridici dell’accordo eventualmente raggiunto dalle parti. Quando il procedimento si conclude positivamente, l’accordo di conciliazione può assumere una particolare efficacia, idonea a renderlo direttamente utilizzabile anche sul piano esecutivo.
Tale profilo costituisce uno dei principali elementi di differenziazione rispetto alle ordinarie trattative stragiudiziali, nelle quali l’eventuale accordo, pur vincolante tra le parti, non sempre possiede immediata forza esecutiva.
Ai sensi dell’art. 12 del D. Lgs. 28/2010, ove tutte le parti aderenti alla procedura di mediazione siano assistite dagli avvocati, l’accordo sottoscritto dalle parti e dai medesimi difensori costituisce titolo esecutivo, a condizione che gli avvocati attestino e certifichino la conformità dell’accordo alle norme imperative e all’ordine pubblico.
In tale ipotesi, il verbale di conciliazione può essere utilizzato per procedere all’espropriazione forzata, all’esecuzione per consegna e rilascio, all’esecuzione degli obblighi di fare e di non fare, nonché per l’iscrizione di ipoteca giudiziale. Qualora, invece, manchi l’assistenza di tutti gli avvocati, l’accordo può acquistare efficacia esecutiva attraverso l’omologazione del Presidente del Tribunale, previo accertamento della sua regolarità formale e del rispetto dei limiti di legge.
La procedura di mediazione, pertanto, consente alle parti di ottenere un risultato che, pur nascendo da un accordo negoziale e non da una decisione autoritativa del giudice, può produrre effetti analoghi a quelli di un provvedimento giurisdizionale sotto il profilo dell’esecuzione.
Ciò significa che l’eventuale inadempimento dell’accordo non costringe necessariamente la parte ad avviare un nuovo giudizio di cognizione per accertare il proprio diritto, potendo essa, nei casi previsti dalla legge, procedere direttamente in via esecutiva. In questa prospettiva, la mediazione si rivela uno strumento particolarmente efficace: permette di comporre la controversia in tempi ridotti, ma al tempo stesso offre alla soluzione raggiunta una stabilità giuridica e una forza coercitiva che la avvicinano, sul piano pratico, agli effetti di una sentenza.
Procedura di mediazione e assistenza dell’avvocato
Ci si chiede spesso che ruolo abbia l’avvocato nella procedura di mediazione. Occorre al tal fine distinguere tra assistenza dell’avvocato e rappresentanza della parte.
Nel sistema vigente, le parti devono partecipare personalmente alla procedura di mediazione. La partecipazione diretta della parte risponde alla logica stessa dell’istituto, poiché la mediazione mira a far emergere gli interessi concreti, economici e relazionali che possono favorire una composizione effettiva della lite.
La rappresentanza tramite avvocato, dunque, non coincide automaticamente con l’assistenza tecnica. L’avvocato assiste la parte nella procedura di mediazione, ma può anche rappresentarla in sua assenza soltanto se riceve una delega idonea, avente natura sostanziale e contenente i poteri necessari per partecipare al procedimento e, se del caso, concludere l’accordo.
Quanto all’obbligatorietà dell’assistenza legale, il D. Lgs. 28/2010 stabilisce che, nelle ipotesi di procedura di mediazione obbligatoria previste dall’art. 5, comma 1, nonché nei casi di mediazione demandata dal giudice, le parti devono essere assistite dai rispettivi avvocati.
In tali casi, la presenza del difensore è un requisito funzionale al corretto svolgimento della procedura e alla tutela consapevole degli interessi della parte. Diversamente, nelle ipotesi di mediazione volontaria, non soggetta a condizione di procedibilità e non disposta dal giudice, l’assistenza dell’avvocato non è imposta in via generale dalla legge, pur restando altamente opportuna ogniqualvolta la controversia presenti profili giuridici, patrimoniali o negoziali di rilievo.
Il nostro Studio Legale assiste privati, professionisti e imprese in materia di diritto civile estrumenti ADR. Valorizziamo la procedura di mediazione come strumento effettivo di tutela, capace di prevenire o definire il contenzioso mediante soluzioni rapide, giuridicamente sicure e coerenti con gli interessi sostanziali del nostro assistito. Proponiamo una strategia che tieni in primaria considerazione gli strumenti di risoluzione alternativa delle controversie.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Giu 23, 2026|Diritto Penale
Si sente spesso parlare di trattamento illecito di dati, alcune volte anche in modo improprio. Con l’emanazione del Regolamento (UE) 2016/679, comunemente noto come GDPR, e il successivo adeguamento del Codice della privacy, è mutato funditus il sistema delle responsabilità connesse al trattamento dei dati. Ne è uscito rafforzato il ruolo delle sanzioni amministrative, con significtiva contrazione dell’area di rilevanza penale.
La violazione della disciplina privacy può determinare conseguenze diverse a seconda della natura della condotta, della tipologia di dati trattati, del ruolo assunto dal soggetto agente. In alcuni casi il trattamento illecito di dati integra un illecito amministrativo, suscettibile di essere sanzionato dal Garante per la protezione dei dati personali; in altri, quando ricorrono specifici presupposti di offensività, può assumere rilevanza penale ai sensi del Codice privacy.
L’obiettivo del presente articolo è offrire una ricostruzione giuridica chiara delle responsabilità derivanti daltrattamento illecito di dati, distinguendo il piano amministrativo da quello penale e soffermandosi, in particolare, sul delitto previsto dall’art. 167 del D. Lgs. 196/2003, nonché sulle ulteriori fattispecie incriminatrici introdotte in materia privacy.
Le sanzioni amministrative per trattamento illecito di dati
Nel sistema delineato dal Regolamento (UE) 2016/679, il trattamento illecito di dati trova anzitutto risposta nell’apparato sanzionatorio amministrativo. Il GDPR, superando l’impostazione della precedente direttiva 95/46/CE, non si limita infatti a demandare agli Stati membri la previsione di sanzioni effettive e dissuasive, ma introduce direttamente un articolato sistema di sanzioni pecuniarie, destinato a presidiare l’osservanza dei principi fondamentali e degli obblighi gravanti su titolari e responsabili del trattamento.
La disposizione centrale è l’art. 83 GDPR, che prevede sanzioni amministrative pecuniarie di importo particolarmente elevato, differenziate in relazione alla tipologia di violazione. Alcune inosservanze possono essere sanzionate fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo; altre, considerate più gravi, possono condurre a sanzioni fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo.
Rientrano in quest’ultima categoria, tra le altre, le violazioni dei principi di base del trattamento, comprese le condizioni di liceità, le regole sul consenso, i diritti degli interessati e le disposizioni sul trasferimento di dati personali verso Paesi terzi o organizzazioni internazionali.
Il trattamento illecito di dati, sul piano amministrativo, può dunque derivare dalla mancanza di una valida base giuridica, dall’assenza o invalidità del consenso, dall’utilizzo dei dati per finalità incompatibili con quelle originarie, dall’omessa informativa, dalla violazione dei diritti dell’interessato o dalla mancata adozione di misure tecniche e organizzative adeguate.
La sanzione non è tuttavia automatica nella sua misura massima, poiché l’autorità di controllo è chiamata a valutare, caso per caso, la natura, la gravità e la durata della violazione, il carattere doloso o colposo della condotta, le categorie di dati personali coinvolti, le misure adottate per attenuare il danno e il grado di cooperazione con il Garante.
L’art. 166 del Codice privacy
Il coordinamento tra la disciplina europea e quella nazionale è svolto dall’art. 166 del D. Lgs. 196/2003, come modificato dal D. Lgs. 101/2018. La norma individua il Garante per la protezione dei dati personali quale autorità competente ad applicare le sanzioni amministrative previste dalGDPRe dalCodice privacy,costruendo un sistema sanzionatorio integrato, nel quale il precetto deriva spesso dalla combinazione tra disposizioni del Regolamento europeo e norme interne di dettaglio.
Questa tecnica normativa rende la valutazione del trattamento illecito di dati particolarmente complessa. L’interprete non può infatti limitarsi a verificare in modo astratto la violazione di una regola privacy, ma deve individuare con precisione quale obbligo sia stato disatteso, quale disposizione lo preveda, quale categoria di dati sia coinvolta e quale regime sanzionatorio sia applicabile.
L’art. 166 richiama, in relazione a specifiche violazioni del Codice privacy, le sanzioni di cui all’art. 83, paragrafi 4 e 5, del GDPR, confermando che la risposta amministrativa può essere particolarmente afflittiva anche quando non ricorrono i presupposti della responsabilità penale.
Il quadro che ne deriva è quello di un apparato sanzionatorio articolato, nel quale il trattamento illecito di dati può essere accertato dall’Autorità garante attraverso un procedimento amministrativo autonomo, distinto dal processo penale e finalizzato alla verifica della conformità del trattamento ai principi di liceità, correttezza, trasparenza, minimizzazione, sicurezza e accountability.
Il trattamento illecito di dati: l’art. 167 del Codice privacy
Il trattamento illecito di dati assumerilevanza penaleai sensi dell’art. 167 del D. Lgs. 196/2003. Si tratta della fattispecie centrale dell’apparato penalistico in materia di protezione dei dati personali, ma anche di una norma la cui portata applicativa è stata profondamente modificata dal D. Lgs. 101/2018, adottato per adeguare il Codice privacy al Regolamento (UE) 2016/679.
La riforma ha segnato un passaggio importante: il reato di trattamento illecito di dati non è più costruito come clausola penale generale posta a presidio di qualunque violazione della disciplina privacy, ma come fattispecie selettiva, destinata a operare soltanto in presenza di condotte qualificate da un più intenso grado di offensività.
Nel sistema previgente, l’art. 167 puniva il trattamento di dati personali compiuto in violazione di un ampio numero di disposizioni del Codice privacy, tra cui anche quelle relative al consenso dell’interessato. La formulazione attuale ha invece ristretto il campo del penalmente rilevante.
La mancata acquisizione del consenso, che in passato poteva assumere rilievo anche penale se accompagnata dagli ulteriori presupposti richiesti dalla norma, è oggi tendenzialmente attratta nell’area dell’illecito amministrativo, in particolare nell’ambito delle violazioni dei principi di liceità del trattamento sanzionate dal GDPR.
Questa scelta esprime un mutamento di prospettiva: non ogni violazione delle regole sul trattamento dei dati personali integra un reato, poiché l’intervento penale è riservato alle ipotesi in cui l’offesa alla sfera dell’interessato risulti concretamente apprezzabile.
La disposizione vigente contempla tre diverse ipotesi di trattamento illecito di dati penalmente rilevante.
Il primo comma punisce chi, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, operando in violazione degli artt. 123, 126 e 130 del Codice privacy, oppure del provvedimento di cui all’art. 129, arreca nocumento all’interessato.
Il riferimento è, dunque, a specifiche violazioni in materia di comunicazioni elettroniche, dati relativi al traffico, dati relativi all’ubicazione, elenchi dei contraenti e comunicazioni indesiderate. La pena prevista è la reclusione da sei mesi a un anno e sei mesi. La fattispecie non riguarda quindi genericamente qualsiasi dato personale, ma un’area determinata di trattamenti, connessa soprattutto all’utilizzo di dati nell’ambito dei servizi di comunicazione elettronica e delle comunicazioni promozionali o indesiderate.
Il secondo comma dell’art. 167 disciplina un’ipotesi più grave di trattamento illecito di dati, punita con la reclusione da uno a tre anni. La norma riguarda il trattamento delle categorie particolari di dati personali di cui all’art. 9 GDPR e dei dati relativi a condanne penali e reati di cui all’art. 10 GDPR, quando il trattamento avvenga in violazione degli artt. 2-sexies e 2-octies del Codice privacy, delle misure di garanzia previste dall’art. 2-septies, oppure delle misure adottate ai sensi dell’art. 2-quinquiesdecies per i trattamenti che presentano rischi elevati nell’esecuzione di un compito di interesse pubblico.
La maggiore severità della pena si giustifica in ragione della particolare delicatezza dei dati coinvolti: dati sulla salute, dati biometrici, dati genetici, dati idonei a rivelare convinzioni religiose, opinioni politiche, appartenenza sindacale, orientamento sessuale, nonché informazioni relative a condanne penali e reati. In queste ipotesi, il trattamento illecito di dati può incidere in modo particolarmente penetrante sulla dignità, sull’identità personale e sulla libertà dell’interessato.
Il terzo comma estende la medesima pena prevista dal secondo comma al trasferimento illecito di dati personali verso un Paese terzo o un’organizzazione internazionale, quando il trasferimento avvenga al di fuori dei casi consentiti dagli artt. 45, 46 o 49 GDPR e arrechi nocumento all’interessato.
Anche in questo caso il legislatore non sanziona penalmente qualunque irregolarità formale nel trasferimento internazionale dei dati, ma soltanto la condotta sorretta dal dolo specifico di profitto o di danno e produttiva di un effettivo pregiudizio. La norma riflette l’importanza che il GDPR attribuisce alla circolazione transfrontaliera dei dati personali, ammissibile soltanto quando siano assicurate adeguate garanzie di protezione, mediante decisioni di adeguatezza, garanzie appropriate o specifiche deroghe.
Sotto il profilo strutturale, l’art. 167 configura il trattamento illecito di dati come reato di evento. La causazione del nocumento all’interessato non è un elemento esterno o meramente accessorio della fattispecie, ma costituisce parte integrante del fatto tipico. La riforma ha così superato le incertezze interpretative che avevano caratterizzato la precedente formulazione della norma, nella quale il nocumento era descritto con l’inciso “se dal fatto deriva nocumento”, alimentando il dibattito sulla sua qualificazione come elemento costitutivo del reato oppure come condizione obiettiva di punibilità.
Nella formulazione vigente, invece, il reato si perfeziona soltanto quando la condotta illecita determini una concreta lesione o compromissione della sfera giuridica dell’interessato. Il nocumento può consistere in un pregiudizio patrimoniale, in un danno alla reputazione, in una lesione della riservatezza, in una indebita esposizione della vita privata o in altra conseguenza apprezzabile derivante dalla gestione illecita dei dati personali.
Accanto all’evento di nocumento, la norma richiede il dolo specifico. L’agente deve operare al fine di trarre profitto per sé o per altri, oppure al fine di arrecare danno all’interessato. Anche questo elemento svolge una funzione selettiva essenziale.
Il trattamento illecito di dati penalmente rilevante non coincide con la mera negligenza organizzativa, con l’errore procedurale o con l’inadempimento formale agli obblighi privacy, ma presuppone una condotta consapevolmente orientata a un risultato ulteriore di profitto o di danno.
Il profitto non deve essere necessariamente patrimoniale in senso stretto, potendo consistere anche in un’utilità diversa, purché apprezzabile; la finalità di danno, invece, richiama la volontà di incidere negativamente sulla sfera dell’interessato. La presenza di tale elemento soggettivo impedisce di trasformare l’art. 167 in una norma penale di chiusura per ogni violazione del GDPR.
La fattispecie è inoltre aperta da una clausola di riserva, “salvo che il fatto costituisca più grave reato”, che impone di verificare, caso per caso, se la condotta integri un diverso delitto punito più severamente. Il trattamento illecito di dati può infatti intrecciarsi con altri reati, soprattutto quando la gestione abusiva delle informazioni personali avvenga attraverso accessi indebiti a sistemi informatici, sottrazione di archivi, frodi, minacce, diffamazione, interferenze illecite nella vita privata o condotte estorsive. La corretta qualificazione giuridica del fatto richiede quindi un esame puntuale non soltanto della normativa privacy, ma anche dell’intero contesto fattuale in cui il trattamento è stato realizzato.
Il nocumento all’interessato e il dolo specifico nel trattamento illecito di dati
Tra gli elementi che consentono di distinguere il trattamento illecito di dati penalmente rilevante dalla mera violazione amministrativa della normativa privacy, un ruolo decisivo è svolto dal nocumento arrecato all’interessato.
Nella formulazione vigente dell’art. 167 del D. Lgs. 196/2003, il nocumento non è più collocato in una posizione ambigua, come elemento eventualmente esterno alla struttura del reato, ma costituisce l’evento della fattispecie. Ciò significa che la condotta illecita deve produrre una conseguenza pregiudizievole concreta, idonea a incidere sulla sfera personale, patrimoniale, reputazionale o relazionale dell’interessato.
Il nocumento non deve essere necessariamente identificato con un danno patrimoniale in senso stretto. Nel contesto della protezione dei dati personali, esso può consistere anche nella perdita di controllo sulle proprie informazioni, nell’indebita esposizione di dati riservati, nella lesione dell’identità personale, nel turbamento della vita privata, nella compromissione della reputazione o nella sottoposizione dell’interessato a comunicazioni indesiderate, discriminazioni, pressioni commerciali o altre conseguenze sfavorevoli.
La sua funzione è quella di selezionare le condotte realmente offensive, impedendo che ogni irregolarità nella gestione dei dati personali venga automaticamente attratta nell’area del penalmente rilevante.
Accanto all’evento di nocumento, l’art. 167 richiede il dolo specifico. La condotta deve essere consapevolmente orientata verso un’utilità, anche non strettamente economica, oppure verso la produzione di un pregiudizio nella sfera dell’interessato.
La compresenza di dolo specifico ed evento di nocumento attribuisce alla fattispecie una struttura particolarmente selettiva. Da un lato, il fine di profitto o di danno consente di valutare l’atteggiamento soggettivo dell’autore; dall’altro, il nocumento impone di verificare l’effettiva incidenza della condotta sulla persona cui i dati si riferiscono. Il trattamento illecito di dati, dunque, diventa reato solo quando l’offesa non rimane confinata alla violazione astratta della regola privacy, ma si traduce in una concreta aggressione alla riservatezza, alla dignità o all’autodeterminazione informativa dell’interessato.
Comunicazione e diffusione illecita di dati personali su larga scala
Accanto al delitto di trattamento illecito di dati previsto dall’art. 167, il D. Lgs. 101/2018 ha introdotto nel Codice privacy l’art. 167-bis, dedicato alla comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala.
La disposizione risponde all’esigenza di reprimere condotte caratterizzate da una particolare capacità offensiva, perché aventi ad oggetto non il singolo dato personale isolatamente considerato, ma un archivio automatizzato, o una parte sostanziale di esso, contenente dati personali riferibili a una pluralità significativa di interessati.
La norma punisce, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre profitto per sé o per altri, comunichi o diffonda un archivio automatizzato o una parte sostanziale di esso contenente dati personali oggetto di trattamento su larga scala, quando la condotta avvenga in violazione degli artt. 2-ter, 2-sexies e 2-octies del Codice privacy.
La medesima pena si applica anche a chi, nei casi in cui il consenso dell’interessato sia richiesto per le operazioni di comunicazione o diffusione, proceda senza acquisirlo. In entrambi i casi, la pena prevista è la reclusione da uno a sei anni, a conferma della maggiore gravità attribuita dal legislatore a condotte di circolazione abusiva massiva dei dati personali.
La fattispecie presenta una sua autonomia rispetto al trattamento illecito di dati di cui all’art. 167, perché concentra la risposta penale sulle attività di comunicazione e diffusione di archivi automatizzati. La comunicazione presuppone la trasmissione dei dati a uno o più soggetti determinati; la diffusione, invece, consiste nella messa a disposizione delle informazioni a una pluralità indeterminata di destinatari. In entrambi i casi, il disvalore della condotta risiede nella perdita di controllo sui dati personali e nella loro circolazione abusiva oltre la sfera consentita dall’ordinamento.
Particolarmente rilevante è il riferimento al trattamento “su larga scala”, espressione utilizzata dal GDPR ma non definita in termini numerici rigidi. Essa impone una valutazione concreta dell’ampiezza dell’archivio, del numero degli interessati coinvolti, del volume dei dati, della durata del trattamento e dell’estensione geografica o organizzativa dell’operazione.
L’art. 167-bis è dunque destinato a operare nei casi in cui la comunicazione o diffusione illecita non riguardi un episodio marginale, ma investa un patrimonio informativo strutturato e suscettibile di incidere significativamente sulla riservatezza e sull’autodeterminazione informativa di una pluralità di persone.
Acquisizione fraudolenta di dati personali e archivi automatizzati
Tra le nuove fattispecie introdotte dal D. Lgs. 101/2018 assume particolare rilievo anche l’art. 167-ter del Codice privacy, che punisce l’acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala. La norma si colloca accanto al delitto di trattamento illecito di dati e alla comunicazione o diffusione illecita di cui all’art. 167-bis, completando il presidio penale rispetto alle condotte che riguardano archivi automatizzati contenenti dati personali riferibili a una pluralità significativa di interessati.
L’art. 167-ter punisce, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre profitto per sé o per altri ovvero di arrecare danno, acquisisca con mezzi fraudolenti un archivio automatizzato, o una parte sostanziale di esso, contenente dati personali oggetto di trattamento su larga scala. La pena prevista è la reclusione da uno a quattro anni.
La fattispecie è costruita come reato commissivo a dolo specifico alternativo: l’agente deve procurarsi la disponibilità dell’archivio mediante una condotta fraudolenta e deve agire perseguendo una finalità di profitto, anche non necessariamente patrimoniale, oppure una finalità di danno.
Il riferimento ai “mezzi fraudolenti” consente di ricomprendere artifici, raggiri, simulazioni, falsi pretesti, espedienti ingannatori o condotte comunque idonee a eludere la vigilanza del soggetto che detiene legittimamente l’archivio. Non è sufficiente, invece, una mera allegazione non veritiera priva di reale capacità decettiva. La fraudolenza deve costituire lo strumento attraverso cui l’autore riesce ad acquisire l’archivio o una sua parte sostanziale, sottraendolo alla disponibilità lecita del titolare o comunque ottenendone un indebito controllo.
La fattispecie tutela certamente la riservatezza e l’autodeterminazione informativa degli interessati, ma presenta anche una dimensione patrimoniale. L’archivio automatizzato di dati personali, infatti, può costituire un bene economicamente apprezzabile, soprattutto quando sia organizzato, aggiornato e utilizzato nell’ambito dell’attività di impresa, di enti pubblici, di piattaforme digitali o di servizi professionali.
Per questa ragione, l’art. 167-ter può essere letto come reato plurioffensivo: accanto alla tutela degli interessati, viene in rilievo anche la protezione del soggetto che detiene legittimamente l’archivio e lo gestisce in conformità alla normativa.
Il rapporto con il trattamento illecito di dati è particolarmente significativo. L’art. 167-ter non punisce la generica irregolarità del trattamento, ma una condotta di apprensione fraudolenta di un patrimonio informativo strutturato. Quando, dopo l’acquisizione fraudolenta, l’agente proceda anche alla comunicazione o diffusione dell’archivio, potrà porsi un problema di concorso con l’art. 167-bis.
In tali ipotesi, la successiva divulgazione dei dati non appare sempre assorbita nell’acquisizione, poiché determina un’offesa ulteriore e più intensa alla riservatezza degli interessati, esponendo le informazioni personali a una circolazione incontrollata.
Trattamento illecito di dati, responsabilità dell’ente e modelli organizzativi
Il rapporto tra trattamento illecito di dati e responsabilità degli enti ai sensi del D. Lgs. 231/2001 costituisce un profilo di particolare interesse per imprese e società che gestiscono, in modo sistematico, dati personali di clienti, utenti, dipendenti, fornitori o altri soggetti interessati.
Nonostante il tema sia da tempo discusso, i delitti in materia di privacy non sono oggi stabilmente inseriti nel catalogo dei reati-presupposto della responsabilità amministrativa degli enti..
Tale dato non deve tuttavia indurre a sottovalutare la rilevanza organizzativa della prevenzione del trattamento illecito di dati. La gestione dei dati personali costituisce infatti un’area centrale dellacomplianceaziendale, non soltanto per il rischio di sanzioni amministrative pecuniarie da parte del Garante, ma anche per le possibili conseguenze risarcitorie, reputazionali e operative derivanti da una violazione della normativa privacy.
In molte realtà imprenditoriali, il trattamento dei dati personali è parte essenziale del modello di business: si pensi alle piattaforme digitali, ai servizi online, alle società tecnologiche, agli operatori sanitari, agli enti di formazione, alle imprese che svolgono attività di marketing o profilazione, nonché a tutte le organizzazioni che trattano dati su larga scala.
In questa prospettiva, pur in assenza di una diretta inclusione dei reati privacy nel catalogo del D. Lgs. 231/2001, i modelli organizzativi e le procedure aziendali assumono un valore dirimente, anche al fine di evitare di incorrere nelle onerose sanzioni amministrative dell’art. 83 GDPR.
Assistenza legale in materia privacy
Il nostro Studio Legale assiste imprese, professionisti, enti e start-up in materia didata protection e privacy. Curiamo la redazione e revisione di informative, policy, accordi per il trattamento dei dati, contratti con responsabili esterni, procedure interne e modelli organizzativi. Lo Studio presta inoltre assistenza nella valutazione dei profili di responsabilità connessi al trattamento illecito di dati, nei rapporti con il Garante per la protezione dei dati personali e nell’analisi dei possibili risvolti penali derivanti da condotte illecite in materia privacy.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Giu 18, 2026|Diritto d'Impresa
La privacy policy è fondamentale per qualunque sito web o servizio online che raccolga, anche soltanto in forma minima, dati personali degli utenti. Basta che l’utente compili un modulo di contatto, si iscriva a una newsletter, o crei un account affinché si abbia un trattamento di dati personali in base alla normativa vigente.
Nel sistema delineato dalRegolamento (UE) 2016/679, la privacy policy descrive l’atto (o l’insieme di atti) con cui il titolare del trattamento rende conoscibili agli interessati le modalità con cui i dati vengono raccolti e utilizzati. La funzione è quindi duplice: da un lato, consente all’utente di comprendere come vengono gestite le informazioni che lo riguardano; dall’altro, permette al titolare di dimostrare l’adozione di un assetto documentale coerente con i principi di liceità, correttezza, trasparenza e responsabilizzazione previsti dal GDPR.
Con il presente contributo intendiamo illustrare la struttura comune di unaprivacy policy per un sito web. Verranno esaminati gli elementi che, di regola, sono essenziali e la struttura delle clausole più ricorrenti.
Privacy policy e GDPR
La privacy policy trova il proprio fondamento nel sistema europeo di protezione dei dati personali delineato dal Regolamento (UE) 2016/679, comunemente noto come GDPR. Il documento che viene pubblicato su un sito web o su una piattaforma digitale costituisce, in particolare, lo strumento attraverso il quale il titolare del trattamento adempie agli obblighi informativi previsti dagli articoli 13 e 14 del Regolamento, a seconda che i dati siano raccolti direttamente presso l’interessato oppure acquisiti da fonti diverse.
Tali disposizioni impongono di comunicare agli utenti, in forma accessibile e comprensibile, le informazioni essenziali relative al trattamento dei dati personali.
La privacy policy deve essere letta in stretta connessione con l’articolo 12 del GDPR, che richiede al titolare di fornire le informazioni in modo conciso, trasparente, intelligibile e facilmente accessibile, utilizzando un linguaggio chiaro e semplice.
Nel diritto interno, il quadro europeo si coordina con il d.lgs. 30 giugno 2003, n. 196, ossia il Codice in materia di protezione dei dati personali, come modificato dal d.lgs. 10 agosto 2018, n. 101. Il Codice Privacy integra la disciplina del GDPR, regolando profili specifici dell’ordinamento nazionale e confermando il ruolo del Garante per la protezione dei dati personali quale autorità di controllo.
Il titolare del trattamento nei siti web
La privacy policy individua il titolare del trattamento, ossia del soggetto che determina le finalità e i mezzi del trattamento dei dati personali. Ai sensi dell’articolo 4, n. 7, del GDPR, il titolare può essere una persona fisica, una società, un ente, un’associazione o qualunque altro organismo che decida perché e come i dati degli utenti debbano essere raccolti e utilizzati.
Nel contesto di un sito web, tale ruolo coincide normalmente con il soggetto che gestisce il sito, offre il servizio digitale e stabilisce le modalità operative del trattamento.
La privacy policy deve pertanto indicare in modo chiaro la denominazione del titolare, i suoi dati identificativi e i recapiti attraverso i quali l’interessato può instaurare un contatto diretto. Questa indicazione consente all’utente di sapere a chi rivolgersi per ottenere chiarimenti, esercitare i propri diritti o formulare eventuali richieste relative al trattamento dei dati personali.
Nei casi in cui sia stato nominato un responsabile della protezione dei dati, la privacy policy dovrà riportare anche i dati di contatto del DPO, conformemente a quanto previsto dagli articoli 13 e 14 del GDPR.
Particolare attenzione deve essere riservata ai siti web e alle piattaforme che operano attraverso modelli organizzativi complessi. Si pensi, ad esempio, a marketplace, portali SaaS, piattaforme di prenotazione, servizi online erogati per conto di clienti terzi o sistemi digitali integrati con fornitori esterni. In tali ipotesi, la privacy policy deve chiarire se il gestore del sito agisca come titolare autonomo, come contitolare del trattamento ai sensi dell’articolo 26 del GDPR, oppure come responsabile del trattamento per conto di un altro soggetto, secondo lo schema dell’articolo 28 del Regolamento. Si rinvia al riguardo a un nostroprecedente articolo.
Quali dati personali devono essere descritti nella privacy policy
Il documento deve consentire poi all’utente di comprendere, con sufficiente precisione, quali categorie didati personalivengono raccolte e trattate attraverso il sito web. L’interessato deve poter sapere se il sito raccoglie semplici dati di contatto, informazioni relative alla navigazione, dati di registrazione, dati di pagamento, preferenze espresse durante l’utilizzo del servizio o ulteriori informazioni connesse alle funzionalità offerte.
Nel contesto dei siti web più comuni, la privacy policy dovrà normalmente menzionare i dati identificativi e di contatto conferiti dall’utente mediante moduli online, quali nome, cognome, indirizzo e-mail, numero di telefono o contenuto del messaggio inviato.
A tali informazioni possono aggiungersi i dati di navigazione, come indirizzi IP, identificativi tecnici, log di accesso, dati relativi al browser utilizzato, al dispositivo impiegato e alle pagine consultate. Qualora il sito consenta la creazione di un account personale, sarà necessario descrivere anche i dati collegati alla registrazione, alle credenziali di accesso, alle impostazioni del profilo e alle attività compiute all’interno dell’area riservata.
La privacy policy assume un contenuto ancora più articolato nei casi in cui il sito web integri funzionalità di e-commerce, servizi SaaS, strumenti di pagamento, sistemi di newsletter, aree clienti o piattaforme di caricamento di contenuti. In tali ipotesi, potranno essere trattati dati di fatturazione, indirizzi di spedizione, informazioni contrattuali, dati relativi agli ordini, preferenze commerciali, documenti caricati dall’utente o informazioni riferibili a soggetti terzi.
È essenziale che la privacy policy non utilizzi formule eccessivamente ampie o indeterminate. Dichiarare genericamente che il sito tratta “dati personali dell’utente” non è sufficiente, poiché non consente di comprendere la reale estensione del trattamento. Il documento deve invece descrivere le categorie di dati in modo coerente con le concrete funzionalità del sito, evitando sia omissioni rilevanti sia indicazioni sovrabbondanti non corrispondenti all’attività effettivamente svolta.
Privacy policy e finalità del trattamento: perché il sito web raccoglie dati personali
Nella privacy policy si suole indicare con precisione le finalità per le quali il sito web raccoglie e utilizza i dati personali degli utenti. Questo profilo assume particolare rilievo nel sistema del GDPR, poiché il trattamento dei dati personali è lecito soltanto quando risponde a scopi determinati, espliciti e legittimi.
Il principio di limitazione delle finalità, sancito dall’articolo 5, paragrafo 1, lettera b), del Regolamento, impone al titolare di chiarire sin dall’inizio le ragioni per cui i dati vengono acquisiti e di non utilizzarli successivamente per scopi incompatibili con quelli originariamente comunicati.
In una privacy policy destinata a un sito web, le finalità del trattamento possono variare sensibilmente in base alla natura del servizio offerto. Un sito vetrina potrà trattare dati personali per rispondere alle richieste inviate mediante il modulo di contatto, gestire comunicazioni informative o consentire l’iscrizione a una newsletter.
Un sito di e-commerce dovrà descrivere le finalità connesse alla gestione degli ordini, all’esecuzione dei pagamenti, alla fatturazione, alla spedizione dei prodotti e all’assistenza post-vendita. Una piattaforma digitale più complessa potrà trattare dati per la registrazione degli account, la gestione dell’area riservata, l’erogazione di servizi online, la sicurezza informatica, la prevenzione di abusi e la produzione di statistiche sull’utilizzo del servizio.
La privacy policy deve inoltre distinguere le finalità necessarie al funzionamento del sito da quelle ulteriori, eventuali o facoltative. Le comunicazioni promozionali, la profilazione degli utenti, l’invio di newsletter commerciali o l’utilizzo di strumenti di marketing comportamentale non possono essere confusi con i trattamenti indispensabili all’esecuzione del servizio richiesto. Tali attività richiedono un’autonoma valutazione giuridica e, in molti casi, un consenso libero, specifico e documentabile.
Basi giuridiche nella privacy policy: quando il trattamento dei dati è lecito
Nella privacy policy non può mancare un riferimento alla base giuridica di ciascuna attività di trattamento. Ricordiamo che, nel sistema del GDPR, il trattamento dei dati personali è lecito soltanto se ricorre almeno una delle condizioni previste dall’articolo 6 del Regolamento.
Per un sito web, le basi giuridiche più frequenti sono l’esecuzione di un contratto o di misure precontrattuali, l’adempimento di obblighi di legge, il consenso dell’interessato e il legittimo interesse del titolare. I dati raccolti attraverso un modulo di richiesta informazioni possono essere trattati per rispondere alla domanda dell’utente e, dunque, sulla base di una misura precontrattuale.
I dati relativi a ordini, fatture e pagamenti possono essere conservati per adempiere obblighi fiscali e contabili. L’invio di comunicazioni promozionali, invece, richiede spesso il consenso dell’interessato, salvo specifiche ipotesi in cui possa operare un diverso fondamento giuridico.
La privacy policy deve poi prestare particolare attenzione ai trattamenti fondati sul legittimo interesse. Tale base giuridica può assumere rilievo, ad esempio, per esigenze di sicurezza informatica, prevenzione di abusi, difesa in giudizio o gestione tecnica del sito. Tuttavia, il legittimo interesse non può essere invocato in modo generico, ma richiede una valutazione concreta di bilanciamento tra l’interesse perseguito dal titolare e i diritti e le libertà fondamentali degli interessati.
Modalità del trattamento e tempi di conservazione dei dati
L’informativa privacy spiega anche attraverso quali modalità i dati personali vengono trattati e per quanto tempo vengono conservati. In altre parole, la privacy policy deve rendere immediatamente comprensibile all’utente il modo in cui le informazioni che lo riguardano vengono concretamente amministrate dal titolare.
Nel contesto di un sito web, il trattamento avviene normalmente mediante strumenti elettronici e telematici, attraverso sistemi informatici, database, piattaforme cloud, software gestionali, strumenti di comunicazione digitale e infrastrutture tecniche messe a disposizione da fornitori specializzati.
In alcuni casi, soprattutto quando il sito è collegato a rapporti contrattuali, consulenziali o commerciali, il trattamento può essere integrato anche da attività manuali, come l’archiviazione di documenti, la gestione di pratiche amministrative o la conservazione di corrispondenza con l’utente.
Una privacy policy conforme dovrebbe inoltre chiarire che il titolare adotta misure tecniche e organizzative adeguate al rischio, ai sensi dell’articolo 32 del GDPR. Senza entrare necessariamente in dettagli tecnici che potrebbero compromettere la sicurezza del sistema, il documento può richiamare, ove pertinenti, l’utilizzo di protocolli sicuri, credenziali di accesso, sistemi di autenticazione, procedure di backup, limitazioni degli accessi interni e misure volte a prevenire perdita, alterazione, divulgazione non autorizzata o accesso illecito ai dati personali.
Particolare attenzione deve essere dedicata ai tempi di conservazione. La privacy policy dovrebbe indicare, ove possibile, il periodo per il quale i dati saranno conservati oppure i criteri utilizzati per determinarlo. Ad esempio: i dati raccolti per rispondere a una richiesta di contatto potranno essere conservati per il tempo necessario alla gestione della comunicazione; i dati contrattuali e fiscali potranno essere mantenuti per i termini previsti dalla normativa civilistica e tributaria; idati trattati per finalità di marketingdovranno essere conservati per un periodo coerente con il consenso prestato e con le indicazioni dell’autorità di controllo.
Fornitori, responsabili del trattamento e trasferimenti extra UE
Nella privacy policy figura poi un riferimento chiaro alla comunicazione a soggetti terzi dei dati trattati. Nella prassi digitale, infatti, raramente un sito opera in modo del tutto isolato: ci sono gli hosting provider, le piattaforme di pagamento, i servizi di newsletter, gli strumenti di analytics, etc.
La privacy policy dovrebbe quindi precisare almeno le categorie di destinatari dei dati personali, distinguendo tra soggetti che agiscono per conto del titolare e soggetti che trattano i dati in autonomia.
I primi devono essere normalmente qualificati come responsabili del trattamento ai sensi dell’articolo 28 del GDPR, poiché effettuano attività di trattamento sulla base delle istruzioni ricevute dal titolare. È il caso, ad esempio, del fornitore che ospita il sito su propri server, del gestore tecnico che cura la manutenzione della piattaforma o del servizio di invio newsletter utilizzato per comunicazioni richieste dall’utente.
Diversa è la posizione dei soggetti che determinano autonomamente finalità e mezzi del trattamento, come talune piattaforme di pagamento, marketplace esterni o servizi digitali che operano secondo proprie condizioni privacy.
Particolare rilievo assume il tema dei trasferimenti di dati personali verso Paesi situati al di fuori dello Spazio Economico Europeo. Se il sito web utilizza fornitori o infrastrutture che comportano un trasferimento extra UE, la privacy policy deve darne conto e indicare le garanzie adottate ai sensi del Capo V del GDPR, quali decisioni di adeguatezza della Commissione europea, clausole contrattuali standard o altri strumenti previsti dal Regolamento.
Dove pubblicare la privacy policy e come renderla accessibile sul sito web?
Laprivacy policydovrebbe essere consultabile in ogni momento, mediante un collegamento stabile inserito nel footer di tutte le pagine. Tale accorgimento consente all’utente di accedere agevolmente al documento anche dopo la prima navigazione, senza dover ricercare informazioni disperse in sezioni non immediatamente riconoscibili.
Tuttavia, la sola presenza del link nel footer potrebbe non essere sufficiente quando il sito raccoglie dati personali mediante specifiche funzionalità interattive.
La privacy policy dovrebbe infatti essere richiamata nei punti in cui l’utente conferisce concretamente i propri dati: moduli di contatto, form di richiesta preventivo, iscrizione alla newsletter, creazione di account, procedure di checkout, aree riservate e sistemi di prenotazione online.
In tali contesti, il rinvio al documento deve essere collocato prima dell’invio dei dati, affinché l’interessato possa prendere conoscenza delle informazioni rilevanti prima che il trattamento abbia inizio.
Particolare attenzione deve essere riservata ai trattamenti che richiedono il consenso, come l’invio di comunicazioni promozionali o l’utilizzo di strumenti di profilazione. In questi casi, la privacy policy deve essere coordinata con meccanismi di consenso chiari, separati e documentabili, evitando caselle preselezionate o formule cumulative che non consentano all’utente di esprimere una scelta libera e specifica. Allo stesso modo, quando il sito utilizza cookie o tecnologie analoghe, la privacy policy dovrà dialogare coerentemente con la cookie policy e con il sistema di gestione delle preferenze.
Assistenza legale nell’elaborazione della documentazione privacy
Il nostro Studio assiste imprese, start-up e gestori di piattaforme digitali nella predisposizione della documentazione privacy e nella costruzione di assetti conformi al GDPR. L’attività di consulenza in materia di data protection & privacy comprende la redazione di privacy policy, informative, cookie policy, accordi con fornitori, nomine a responsabile del trattamento e documenti interni necessari per assicurare la conformità al GDPR.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Giu 15, 2026|Notizie e Aggiornamenti Legislativi
“Ripensamento della governance societaria” è l’espressione che descrive il senso più profondo delD. Lgs. 27 marzo 2026, n. 47. Il decreto interviene sulla disciplina dei mercati dei capitali, sul Testo Unico della Finanza e su plurime disposizioni del Codice civile in materia di società di capitali, con l’obiettivo di rendere più moderno, competitivo e coerente l’ordinamento societario italiano.
Si tratta di un intervento che incide sul modo stesso di concepire l’organizzazione dell’impresa. La riforma conferma il trend – chiaro agli esperti del settore – per cui la governance societaria è misura dell’affidabilità dell’impresa e della capacità della società di attrarre capitale.
In questa prospettiva, l’articolo vuole illustrare – secondo l’esperienza dellegale d’impresa– i principali aspetti dellariforma, spiegando che cosa cambia per amministratori, soci e organi di controllo.
Governance societaria e modelli di amministrazione e controllo nelle S.p.A.
Per comprendere la portata del D. Lgs. 47/2026 occorre muovere dalla finalità economico-giuridica della riforma. Il legislatore è intervenuto in un settore, quello dei mercati dei capitali, storicamente segnato dalla difficoltà delle imprese italiane di accedere stabilmente al capitale di rischio e dalla tendenza del sistema produttivo a dipendere in misura prevalente dal credito bancario.
In questo senso, il D. Lgs. 47/2026 si colloca in una più ampia evoluzione del diritto societario contemporaneo, nel quale l’organizzazione dell’impresa non è più considerata un profilo meramente interno, rimesso alla libera autodeterminazione dei soci, ma uno strumento di protezione degli interessi coinvolti nell’attività sociale. La riforma valorizza, dunque, una concezione moderna della governance societaria, intesa come equilibrio tra autonomia statutaria, efficienza gestionale, e tutela del capitale investito.
Uno degli aspetti più significativi del D. Lgs. 47/2026 riguarda la disciplina dei modelli di amministrazione e controllo nelle società per azioni. La riforma interviene su un terreno tradizionalmente dominato dal sistema classico, fondato sulla compresenza del consiglio di amministrazione e del collegio sindacale, rispetto al quale i modelli alternativi — dualistico e monistico — sono stati spesso percepiti come soluzioni eccezionali, marginali o comunque meno radicate nella prassi societaria italiana. Il nuovo assetto normativo tende, invece, a riconoscere maggiore autonomia e pari dignità ai diversi sistemi di governo societario.
La riforma conferma una concezione più matura della governance societaria: non esiste un modello astrattamente migliore in ogni contesto, ma esiste un modello più coerente con la struttura dell’impresa, con il grado di complessità dell’attività esercitata e con gli interessi che la società è chiamata a comporre.
Il D. Lgs. 47/2026 sollecita quindi soci, amministratori e professionisti a superare un approccio meramente notarile alla redazione dello statuto, valorizzando la funzione ordinatrice delle regole societarie.
Amministratori e adeguati assetti organizzativi
Una delle novità più rilevanti del D. Lgs. 47/2026 riguarda la riformulazione dell’art. 2380-bis c.c., dedicato all’amministrazione della società per azioni. La disposizione, nella sua nuova formulazione, chiarisce che l’istituzione degli assetti di cui all’art. 2086, secondo comma, c.c. spetta esclusivamente agli amministratori.
Il rilievo non è, tuttavia, meramente terminologico. Prima della riforma, l’art. 2380-bis c.c. affermava il principio della competenza esclusiva degli amministratori nella gestione dell’impresa; dopo il D. Lgs. 47/2026, tale competenza viene espressamente collegata anche all’organizzazione dell’impresa e, in particolare, alla predisposizione degli assetti organizzativi, amministrativi e contabili adeguati.
Gli adeguati assetti non restano confinati nell’art. 2086 c.c. e nella disciplina della crisi d’impresa, ma vengono ora ricondotti direttamente al cuore della governance societaria delle S.p.A. L’amministratore non è responsabile soltanto delle singole operazioni gestorie, ma anche della costruzione dell’apparato organizzativo mediante il quale la società assume decisioni, rileva tempestivamente eventuali squilibri, presidia i flussi informativi e controlla l’andamento dell’attività. Questo è, peraltro, un tema che inalcune discipline di settore(ad esempio quella del D. Lgs. 138/2024 in materia di cybersicurezza) ha trovato espressa codificazione.
In altre parole: la mancata predisposizione di assetti adeguati costituisce una violazione del dovere che compete alla funzione amministrativa in senso stretto. La riforma ha così rafforzato il nesso tra governance societaria e responsabilità degli amministratori, imponendo una verifica concreta di statuti, deleghe, procedure interne, sistemi contabili e flussi informativi.
Deleghe gestorie, presidente del consiglio e flussi informativi
Ulteriore aspetto degno di nota riguarda il funzionamento interno del consiglio di amministrazione. Il D. Lgs. 47/2026 interviene sulla materia prima disciplinata unitariamente dall’art. 2381 c.c., scomponendola in tre distinte disposizioni: l’art. 2381 c.c., oggi dedicato al presidente; l’art. 2381-bis c.c., relativo al comitato esecutivo e agli organi delegati; e l’art. 2381-ter c.c., dedicato all’informazione consiliare.
La riforma chiarisce, anzitutto, il ruolo del presidente, cui spetta convocare il consiglio, fissarne l’ordine del giorno, coordinarne i lavori e provvedere affinché adeguate informazioni sulle materie iscritte all’ordine del giorno siano fornite a tutti i consiglieri.
Parallelamente, il nuovo art. 2381-bis c.c. disciplina in modo autonomo le deleghe gestorie, precisando che il consiglio determina il contenuto, i limiti e le modalità di esercizio della delega, potendo impartire direttive agli organi delegati e avocare a sé operazioni rientranti nella delega.
Particolarmente significativa è poi l’introduzione dell’art. 2381-ter c.c., rubricato “Informazione consiliare”. La disposizione ribadisce che gli amministratori sono tenuti ad agire in modo informato, riconosce a ciascun amministratore il potere di chiedere agli organi delegati che in consiglio siano fornite informazioni sulla gestione e introduce il principio secondo cui gli amministratori possono fare ragionevole affidamento sulle informazioni ricevute, anche in relazione alle loro competenze.
Crisi d’impresa e decisioni non delegabili
Il D. Lgs. 47/2026 incide anche sul rapporto tra governance societaria e gestione della crisi d’impresa, intervenendo sul nuovo art. 2381-bis c.c., dedicato al comitato esecutivo e agli organi delegati. La disposizione conserva la possibilità per il consiglio di amministrazione di delegare proprie attribuzioni a un comitato esecutivo o a uno o più amministratori, ma chiarisce con maggiore nettezza quali materie restano sottratte alla delega e devono essere necessariamente deliberate dall’organo amministrativo nella sua collegialità.
Tra queste assumono particolare rilievo le decisioni concernenti l’accesso agli strumenti di regolazione della crisi e dell’insolvenza, che non possono essere rimesse alla sola iniziativa dell’amministratore delegato o di singoli componenti dell’organo gestorio.
L’eventuale ricorso alla composizione negoziata, agli accordi di ristrutturazione, al piano attestato, al concordato preventivo o ad altri strumenti previsti dal Codice della crisi incide, infatti, sulla continuità aziendale, sui diritti dei creditori, sulle aspettative dei soci e sulla stessa conservazione del valore dell’impresa. Per tale ragione, la scelta non può essere assunta in modo isolato, né può essere relegata a una decisione tecnica o esecutiva.
La riforma rafforza così il collegamento tra adeguati assetti, flussi informativi e responsabilità consiliare. Gli amministratori devono essere posti in condizione di conoscere tempestivamente gli squilibri economici, patrimoniali o finanziari e di valutare, con piena cognizione, quale strumento sia più idoneo alla tutela dell’impresa e degli interessi coinvolti.
Conflitti di interesse e corporate opportunity nella governance societaria
Tra le innovazioni più significative del D. Lgs. 47/2026 vi è il rafforzamento dei doveri di lealtà degli amministratori, mediante una più netta distinzione tra il conflitto di interessi, il divieto di concorrenza e l’utilizzazione abusiva delle informazioni acquisite nell’esercizio dell’incarico.
La riforma introduce, in particolare, il nuovo art. 2390-bis c.c., dedicato all’“utilizzazione delle informazioni”, secondo cui gli amministratori non possono utilizzare, a vantaggio proprio o di terzi, dati, notizie o opportunità di affari appresi nell’esercizio del loro incarico; in caso di violazione, l’amministratore può essere revocato ed è tenuto al risarcimento dei danni.
La novità è particolarmente rilevante perché porta nel Codice civile il tema delle cosiddettecorporate opportunities, ossia delle occasioni di affari conosciute dall’amministratore in ragione della funzione gestoria. La governance societaria viene così arricchita da un presidio ulteriore: l’amministratore non deve soltanto evitare di assumere decisioni in conflitto con l’interesse sociale, ma deve anche astenersi dal trasformare in vantaggio personale ciò che appartiene, per natura e provenienza, alla sfera informativa e imprenditoriale della società.
La riforma interviene anche sull’art. 2391 c.c., relativo agli interessi degli amministratori, confermando la responsabilità dell’amministratore per i danni derivati alla società dalla sua azione od omissione e dai vantaggi indebitamente conseguiti mediante l’utilizzo di dati, notizie o opportunità di affari appresi nell’esercizio dell’incarico.
Organi di controllo, vigilanza interna e responsabilità
Il D. Lgs. 47/2026 interviene anche sulla disciplina degli organi di controllo, introducendo una sistemazione più organica delle relative funzioni all’interno della governance societaria. La riforma costruisce un quadro comune della vigilanza societaria, applicabile, con i necessari adattamenti, ai diversi modelli di amministrazione e controllo.
In questa prospettiva, assumono rilievo le nuove disposizioni collocate dopo l’art. 2409 c.c., tra cui gli artt. 2409-bis.1 e seguenti, diretti a disciplinare in modo più uniforme composizione, funzionamento, doveri e poteri degli organi di controllo.
La novità più importante consiste nel superamento di una disciplina frammentata, tradizionalmente costruita intorno al collegio sindacale del sistema ordinario e poi estesa, mediante rinvii, agli altri modelli di governance.
Con la riforma, invece, la funzione di controllo viene valorizzata in sé, quale componente essenziale dell’organizzazione societaria. L’organo deve vigilare sull’osservanza della legge e dello statuto, sul rispetto dei principi di corretta amministrazione e, soprattutto, sull’adeguatezza dell’assetto organizzativo, amministrativo e contabile adottato dalla società.
Soci, investitori e accesso al capitale
Il D. Lgs. 47/2026 deve essere letto anche nella prospettiva dei soci e degli investitori. La riforma, infatti, nasce dall’esigenza di rendere il mercato italiano dei capitali più competitivo e di agevolare l’incontro tra imprese e capitale di rischio, ma tale obiettivo non può essere perseguito soltanto attraverso la semplificazione delle regole finanziarie.
Per attrarre capitale, una società deve essere comprensibile nella propria struttura interna, affidabile nei processi decisionali e trasparente nei rapporti tra amministratori, soci e organi di controllo. In questa prospettiva, la governance societaria diventa un fattore di credibilità dell’impresa.
Il punto è particolarmente rilevante per le società che intendano aprire il capitale a nuovi soci, preparare operazioni straordinarie, accogliere investitori istituzionali o avvicinarsi progressivamente al mercato.
La riforma sembra confermare che il diritto societario non opera soltanto nella fase patologica del contenzioso tra soci o della responsabilità degli amministratori, ma svolge una funzione preventiva e conformativa dell’organizzazione dell’impresa.
Assistenza legale in diritto societario e d’impresa
Il D. Lgs. 47/2026 conferma una direttrice ormai consolidata del diritto d’impresa: la governance societaria è il presidio attraverso cui l’impresa si propone al mercato.
Il nostro Studio Legale assiste amministratori e consiglieri di amministrazione nelle materie deldiritto societario e d’impresa, con particolare attenzione alla definizione di adeguati assetti di governance, deleghe, procedure interne e profili di responsabilità.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Giu 11, 2026|Diritto d'Impresa
Come rendere una piattaforma online compliant alle normative di settore, considerando la natura dei contenuti trattati, il ruolo degli utenti, l’eventuale attività di moderazione e l’impiego di IA? La risposta è tutt’altro che semplice, dovendo necessariamente porre l’attenzione sui rapporti tra gestore e utente per prevenire i principali rischi derivanti dall’utilizzo dell’ambiente digitale.
I termini e condizioni sono il vero core della disciplina contrattuale, in cui il provider stabilisce le regole di accesso, disciplina l’invio dei contenuti, organizza le procedure di moderazione, e coordina il funzionamento della piattaforma con il quadro normativo europeo.
Con quest’articolo ci proponiamo di illustrare quali siano i principali profili giuridici da considerare nella redazione dei termini e condizioni di unapiattaforma online di contenuti, con particolare attenzione al Regolamento sui servizi digitali, alla disciplina europea sull’intelligenza artificiale e alla normativa in materia di protezione dei dati personali.
La qualificazione giuridica della piattaforma online
Il primo profilo da definire nella redazione deitermini e condizioniriguarda la qualificazione giuridica della piattaforma online e la descrizione puntuale del servizio offerto agli utenti. In ambito digitale, infatti, la formula contrattuale dovrebbe chiarireper tabulasquale sia il concreto modello operativo della piattaforma, quali funzionalità siano rese disponibili e quale ruolo assuma il provider rispetto ai contenuti trasmessi dagli utenti.
Tale chiarimento assume particolare rilievo quando la piattaforma online consente l’invio, il caricamento, la memorizzazione, la selezione o la pubblicazione di contenuti generati dagli utenti.
In questi casi, i termini e condizioni devono precisare se il servizio opera come ambiente di pubblicazione automatica, come sistema di mera memorizzazione di informazioni, come spazio digitale sottoposto a moderazione preventiva, oppure come piattaforma nella quale i contenuti vengono ricevuti, classificati, valutati ed eventualmente pubblicati soltanto all’esito di una verifica interna.
La descrizione del servizio incide direttamente sulla disciplina del rapporto contrattuale e sul regime di responsabilità del gestore. Ad esempio una piattaforma online che non garantisce la pubblicazione dei contenuti inviati deve dichiararlo espressamente, così da evitare che l’utente possa ritenere che l’invio di un testo, di un’immagine, di un video o di una testimonianza determini automaticamente un diritto alla pubblicazione, alla conservazione o alla visibilità del contenuto.
Accesso, registrazione e identificazione dell’utente
Nella redazione dei termini e condizioni deve aversi riguardo anche alla registrazione dell’utente e alle modalità di identificazione o autenticazione previste dal servizio. Il momento dell’onboarding coincide, nella maggior parte dei casi, con la formazione del vincolo contrattuale tra il gestore della piattaforma e l’utente.
È in questa fase che l’utente prende conoscenza delle condizioni d’uso, dell’informativa privacy, delle eventuali policy interne e manifesta, mediante strumenti elettronici, la propria accettazione del regolamento negoziale predisposto dal provider.
La disciplina contrattuale deve quindi precisare quali dati siano richiesti per la registrazione, quali credenziali o strumenti di autenticazione siano utilizzati, quali obblighi gravino sull’utente nella conservazione dell’account e quali conseguenze derivino dall’utilizzo di identità fittizie, recapiti non riconducibili all’interessato, account di terzi o sistemi automatizzati non autorizzati.
Tali previsioni assumono rilievo anche alla luce dell’art. 5 del Regolamento (UE) 2016/679, che impone il rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione ed esattezza dei dati personali trattati, nonché degli artt. 13 e 14 GDPR in materia di informazioni da rendere agli interessati.
Quando la piattaforma online è rivolta anche a consumatori, occorre inoltre coordinare le condizioni d’uso con il D. Lgs. 6 settembre 2005, n. 206, e in particolare con la disciplina sulle clausole vessatorie e sugli obblighi informativi nei contratti conclusi a distanza.
Allo stesso modo, se il servizio rientra nell’ambito applicativo del Regolamento (UE) 2022/2065, il contenuto delle condizioni deve essere coerente con l’art. 14 del Digital Services Act, che richiede ai prestatori di servizi intermediari di indicare nelle proprie condizioni le eventuali restrizioni imposte in relazione all’uso del servizio, comprese le politiche, le procedure, le misure e gli strumenti utilizzati ai fini della moderazione dei contenuti.
Contenuti generati dagli utenti e responsabilità contrattuale dell’utente
Nelle piattaforme digitali fondate sulla circolazione di contenuti generati dagli utenti, la disciplina contrattuale dovrebbe riservare particolare attenzione alla fase di invio, caricamento, trasmissione o comunicazione dei materiali destinati alla gestione da parte del provider.
Una piattaforma online di contenuti può infatti ricevere testi, immagini, video, registrazioni audio, documenti, recensioni, testimonianze o ulteriori contributi digitali idonei a coinvolgere diritti e interessi di soggetti terzi. Per tale ragione, i termini e condizioni devono chiarire che l’utente resta responsabile della liceità, correttezza e non lesività dei contenuti trasmessi, nonché della disponibilità dei diritti necessari alla loro comunicazione alla piattaforma.
Questa previsione assume rilievo sotto molteplici profili. Il contenuto inviato dall’utente può risultare lesivo dell’onore, della reputazione, dell’immagine o della riservatezza altrui, con possibili implicazioni civilistiche e, nei casi più gravi, penalistiche, anche ai sensi degli artt. 595 c.p. in materia di diffamazione, 167 del D. Lgs. 196/2003 in materia di trattamento illecito di dati personali, nonché delle ulteriori fattispecie incriminatrici eventualmente applicabili in ragione della natura del materiale diffuso.
Allo stesso modo, il contenuto può violare diritti d’autore, diritti connessi, marchi, segreti commerciali o altri diritti di proprietà intellettuale, rendendo necessario un coordinamento con la L. 22 aprile 1941, n. 633 e con il Codice della proprietà industriale di cui al D. Lgs. 10 febbraio 2005, n. 30.
Nel quadro del Regolamento (UE) 2022/2065, ilDigital Services Act, tale disciplina deve poi essere raccordata con le regole sui contenuti illegali e sui sistemi di segnalazione. I termini d’uso di una piattaforma online dovrebbero pertanto vietare espressamente l’invio di contenuti diffamatori, discriminatori, minacciosi, fraudolenti, abusivi, lesivi della privacy, della dignità personale, dei diritti di proprietà intellettuale o comunque contrari alla legge, all’ordine pubblico e alle finalità del servizio.
Attraverso regole chiare sui contenuti ammessi e vietati, la piattaforma online delimita – a livello di policy – il perimetro dell’utilizzo consentito, responsabilizza l’utente, riduce il rischio di abusi e predispone la base contrattuale per eventuali misure di rifiuto, oscuramento, rimozione, sospensione dell’account.
Licenza sui contenuti e proprietà intellettuale della piattaforma online
Itermini e condizionidi una piattaforma online non possono poi non considerare il tema della proprietà intellettuale, tracciando una chiara linea di distinzione tra diritti dell’utente sui contenuti inviati e i diritti del gestore sull’infrastruttura digitale.
In applicazione dei principi generali della L. 22 aprile 1941, n. 633, l’utente che invia testi, immagini, video, registrazioni audio o altri materiali creativi conserva i diritti eventualmente spettanti sull’opera, salvo diversa pattuizione.
Tuttavia, affinché la piattaforma online possa ricevere, memorizzare, convertire, classificare, moderare, adattare tecnicamente, pubblicare, comunicare al pubblico, rimuovere o conservare i contenuti, è necessario che i termini d’uso prevedano una licenza non esclusiva, temporalmente definita e funzionale all’erogazione del servizio.
Specularmente, il contratto deve tutelare gli asset immateriali del provider. Il software, l’architettura applicativa, le banche dati, le logiche di funzionamento, i flussi operativi, le interfacce, il format, i marchi, i nomi a dominio e il know-how tecnico-organizzativo della piattaforma online costituiscono beni giuridici autonomamente rilevanti, protetti, a seconda dei casi, dalla legge sul diritto d’autore, dal D. Lgs. 10 febbraio 2005, n. 30, nonché dalla disciplina sui segreti commerciali di cui agli artt. 98 e 99 del Codice della proprietà industriale.
Da ciò discende l’opportunità di prevedere clausole che vietino la copia, la riproduzione, la decompilazione, il reverse engineering, l’estrazione massiva di dati, lo scraping, la duplicazione delle interfacce, la replica del modello operativo o l’utilizzo delle informazioni apprese tramite il servizio per sviluppare piattaforme concorrenti.
Digital Services Act e responsabilità del gestore della piattaforma online
Una piattaforma online deve oggi necessariamente confrontarsi con il Regolamento (UE) 2022/2065, relativo a un mercato unico dei servizi digitali, comunemente noto come Digital Services Act. Tale regolamento ha profondamente inciso sulla disciplina dei servizi intermediari, imponendo ai prestatori obblighi di trasparenza, diligenza e organizzazione procedurale, specialmente quando il servizio consente la memorizzazione o la diffusione di informazioni fornite dagli utenti.
In questo contesto, la qualificazione del ruolo assunto dal gestore serve a comprendere se e in quale misura la piattaforma possa beneficiare del regime di limitazione di responsabilità previsto per i servizi di hosting.
L’art. 6 del Digital Services Act stabilisce che il prestatore di un servizio consistente nella memorizzazione di informazioni fornite da un destinatario del servizio non è responsabile delle informazioni memorizzate su richiesta dell’utente, a condizione che non sia effettivamente a conoscenza dell’attività illegale o del contenuto illegale e, per quanto riguarda eventuali domande risarcitorie, non sia consapevole di fatti o circostanze che rendano manifesta l’illegalità. Una volta acquisita tale conoscenza, il provider deve agire tempestivamente per rimuovere il contenuto o disabilitarne l’accesso.
I termini e condizioni di una piattaforma online devono disciplinare con precisione il rapporto tra contenuti degli utenti, attività di memorizzazione, eventuale moderazione e interventi del gestore. Il contratto dovrebbe chiarire che la pubblicazione di un contenuto non comporta adesione, approvazione o assunzione di responsabilità da parte della piattaforma rispetto alla veridicità, completezza, liceità o non lesività delle dichiarazioni dell’utente.
Al tempo stesso, deve essere previsto un sistema ordinato per la gestione delle segnalazioni, delle contestazioni, delle richieste di rimozione e delle comunicazioni provenienti dalle autorità competenti.
Particolare rilievo assume anche l’art. 8 del Digital Services Act, secondo cui ai prestatori di servizi intermediari non può essere imposto un obbligo generale di sorveglianza sulle informazioni trasmesse o memorizzate, né un obbligo generale di ricercare attivamente fatti o circostanze che indichino la presenza di attività illegali.
Ciò non esclude che una piattaforma online possa adottare procedure volontarie di controllo, classificazione, filtraggio o moderazione, purché tali attività siano coerenti con i principi di diligenza, obiettività e proporzionalità e non siano formulate in modo tale da generare un’assunzione indiscriminata di responsabilità per ogni contenuto trasmesso dagli utenti.
Segnalazioni, moderazione e contestazione delle decisioni della piattaforma online
Uno degli aspetti più delicati nella regolazione contrattuale di una piattaforma online riguarda la predisposizione di procedure chiare per la segnalazione dei contenuti illegali o vietati, nonché per la gestione delle decisioni di moderazione assunte dal provider.
Il Regolamento (UE) 2022/2065 dedica a tale profilo una disciplina particolarmente significativa, imponendo ai prestatori di servizi di memorizzazione di informazioni l’adozione di meccanismi che consentano a persone fisiche, enti e soggetti interessati di notificare la presenza di contenuti ritenuti illeciti. In particolare, l’art. 16 del Digital Services Act prevede che tali meccanismi siano facilmente accessibili, di agevole uso e tali da permettere l’invio di segnalazioni sufficientemente precise e adeguatamente motivate.
I termini e condizioni di una piattaforma online devono quindi stabilire quali elementi debba contenere la segnalazione, come il riferimento al contenuto contestato, l’indicazione delle ragioni della presunta illiceità, l’identificazione del segnalante nei limiti richiesti dalla normativa applicabile e ogni informazione utile a consentire al gestore una valutazione diligente.
Parimenti centrale è la disciplina delle decisioni di moderazione. L’art. 17 del Digital Services Act prevede, infatti, che il prestatore debba fornire una motivazione chiara e specifica quando adotta determinate restrizioni, quali la rimozione di contenuti, la disabilitazione dell’accesso, la limitazione della visibilità, la sospensione o la chiusura dell’account. La motivazione consente all’utente di comprendere le ragioni della decisione e, ove previsto, di attivare i rimedi interni di contestazione.
Per tale ragione, una piattaforma online conforme al quadro europeo dovrebbe disciplinare non solo il potere del gestore di rimuovere, oscurare o non pubblicare contenuti contrari alla legge o alle condizioni d’uso, ma anche le modalità attraverso cui l’utente può chiedere chiarimenti, presentare una contestazione o domandare il riesame della decisione.
Piattaforma online e AI Act
La disciplina contrattuale della piattaforma online assume un ulteriore elemento di sofisticazione quando essa utilizza algoritmi, strumenti automatizzati o sistemi di intelligenza artificiale per la classificazione dei contenuti, il supporto alla moderazione, l’analisi semantica, la rilevazione di anomalie, l’indicizzazione dei materiali etc.
In tali ipotesi, i termini e condizioni devono indicare, con un adeguato livello di trasparenza, se e in quale misura determinate funzionalità siano assistite da componenti automatizzate o semi-automatizzate.
Il riferimento normativo principale è oggi rappresentato dal Regolamento (UE) 2024/1689, c.d. AI Act, che introduce una disciplina armonizzata sull’intelligenza artificiale fondata su un approccio graduato al rischio. Pur non essendo ogni sistema impiegato da una piattaforma online necessariamente qualificabile come sistema ad alto rischio, la presenza di strumenti di IA impone comunque una valutazione giuridica preventiva sul ruolo assunto dall’algoritmo, sulle finalità del trattamento, sulle possibili ricadute per gli utenti e sul grado di incidenza delle decisioni automatizzate nell’erogazione del servizio.
Particolare attenzione deve essere dedicata alle clausole relative alla moderazione dei contenuti. Quando una decisione di rimozione, oscuramento, mancata pubblicazione o limitazione della visibilità sia assunta anche con il supporto di sistemi automatizzati, le condizioni contrattuali devono essere coordinate con l’art. 14 del Digital Services Act, che richiede trasparenza sulle politiche, procedure, misure e strumenti utilizzati ai fini della moderazione, compresi il processo decisionale algoritmico e la verifica umana.
GDPR, dati personali e contenuti riferiti a terzi
I termini e condizioni di una piattaforma online debbono inoltre considerare la disciplina in materia di protezione dei dati personali, dettata dal Regolamento (UE) 2016/679, dal D. Lgs. 30 giugno 2003, n. 196.
Il tema non riguarda soltanto la predisposizione dell’informativa privacy, ma investe l’intera architettura contrattuale del servizio, poiché l’accesso alla piattaforma, la registrazione dell’utente, l’autenticazione, la gestione dell’account possono implicare trattamenti di dati personali.
In questa prospettiva, il gestore della piattaforma online deve individuare con chiarezza il proprio ruolo privacy, precisando quando opera quale titolare autonomo del trattamento, ai sensi dell’art. 4, n. 7, GDPR, e quando eventuali fornitori tecnologici intervengano come responsabili del trattamento ai sensi dell’art. 28 GDPR, sub-responsabili o autonomi titolari.
I termini e condizioni non sostituiscono l’informativa prevista dagli artt. 13 e 14 GDPR, ma devono essere coerenti con essa avuto riguardo alle finalità, alle basi giuridiche, ai tempi di conservazione, ai destinatari dei dati e quant’altro.
La piattaforma online deve inoltre dotarsi di regole contrattuali e procedure operative idonee a prevenire la diffusione di dati eccedenti, non pertinenti o illecitamente comunicati, prevedendo strumenti di rimozione, oscuramento, limitazione della visibilità e gestione delle richieste degli interessati.
Start-up e avvio di una piattaforma online. Assistenza legale dedicata
Il nostro Studio Legale assiste start-up e imprese attive in ambito digitale nella redazione di termini e condizioni, privacy policy, contratti SaaS, policy interne e documentazione di compliance per piattaforme online, applicazioni, software e servizi digitali.
Disponiamo di un modello operativo chiaro e fruibile, per accompagnare l’impresa verso il lancio di nuovi servizi e prodotti digitali.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
