daRedazione|Set 22, 2026|Diritto d'Impresa
Qual è il momento migliore per effettuare il conferimento di software? Quando si costituisce una start up il programma informatico può già costituire un asset economicamente significativo, talvolta essenziale per l’attuazione stessa del progetto imprenditoriale.
La circostanza che il software venga utilizzato dal suo autore – sia anche socio, amministratore o fondatore della stessa – non determina di per sé, il trasferimento alla società dei relativi diritti di utilizzazione economica. Occorre, quindi, verificare quale soggetto ne sia effettivamente titolare e individuare il titolo giuridico attraverso il quale la start-up acquisisce il diritto di utilizzare e sfruttare economicamente il programma.
Il problema assume particolare importanza quando l’attività d’impresa è esercitata prevalentemente attraverso internet, un’applicazione o una piattaforma digitale. In simili modelli di business, il software rappresenta ilcoredel patrimonio aziendale.
In tale prospettiva, il conferimento di software è la modalità eletta attraverso cui il programma e i relativi diritti possono essere attribuiti alla società sin dalla sua costituzione. Il trasferimento può, tuttavia, avvenire anche in un momento successivo, mediante cessione, licenza o altro titolo idoneo a garantire alla società la disponibilità giuridica dell’asset.
L’obiettivo del presente contributo è, pertanto, esaminare la disciplina del conferimento di software nelle società di capitali, con particolare attenzione alla costituzione di una start-up innovativa, distinguendo il conferimento effettuatoab initiodal successivo trasferimento dei diritti sul programma.
Il conferimento in natura e il trasferimento dei diritti sul software. I riferimenti normativi
Nelle società di capitali il conferimento rappresenta l’apporto mediante il quale il socio contribuisce alla formazione del patrimonio sociale, ricevendo in contropartita la partecipazione nella società. Accanto al conferimento in denaro, l’ordinamento ammette il conferimento di beni e diritti suscettibili di una valutazione economica. Nellesocietà a responsabilità limitata,in particolare, l’art. 2464 c.c. stabilisce espressamente che possono essere conferiti «tutti gli elementi dell’attivo suscettibili di valutazione economica»,mentre l’art. 2465 c.c. assoggetta i conferimenti di beni in natura e di crediti a una specifica relazione di stima. Per le società per azioni, gli artt. 2342 e 2343 c.c. contemplano analogamente il conferimento di beni in natura e crediti, secondo una disciplina valutativa parzialmente differente.
Il conferimento di software deve essere ricondotto a tale categoria, avuto riguardo non tanto al supporto materiale sul quale il programma è eventualmente memorizzato, quanto ai diritti di utilizzazione economica che ne consentono lo sfruttamento. Il software costituisce infatti un bene immateriale protetto dalla disciplina sul diritto d’autore. L’art. 1 della legge 22 aprile 1941, n. 633 include espressamente i programmi per elaboratore tra le opere protette, qualificandoli come opere letterarie, in conformità alla disciplina europea oggi contenuta nella direttiva 2009/24/CE.
La protezione riguarda, in particolare, i diritti patrimoniali che consentono al titolare di autorizzare o vietare la riproduzione del programma, la sua modificazione, adattamento, trasformazione e distribuzione, secondo quanto previsto dall’art. 64-bis della legge sul diritto d’autore. Tali diritti, in quanto dotati di autonoma rilevanza economica, possono essere trasferiti alla società. L’art. 107 della medesima legge stabilisce infatti che i diritti di utilizzazione economica possono essere acquistati, alienati o trasmessi nelle forme consentite dalla legge, mentre l’art. 110 richiede che la loro trasmissione sia provata per iscritto.
La verifica preventiva della titolarità dei diritti
Prima di procedere al conferimento di software è necessario accertare con precisione chi sia titolare dei diritti di utilizzazione economica sul programma. Tale verifica assume particolare rilievo nelle start-up, nelle quali lo sviluppo tecnologico precede frequentemente la costituzione della società e può coinvolgere, oltre ai fondatori, programmatori, dipendenti, collaboratori o software house esterne.
Quando il programma è stato realizzato personalmente da uno dei fondatori, occorrerà anzitutto verificare che questi ne sia effettivamente l’autore e che non abbia precedentemente ceduto o vincolato i diritti di sfruttamento economico.
Qualora, invece, il software sia stato creato congiuntamente da più soggetti, la ricostruzione della titolarità diviene necessariamente più articolata: la direttiva 2009/24/CE prevede che, in caso di creazione congiunta da parte di più persone fisiche, i diritti esclusivi appartengano congiuntamente agli autori.
Una specifica disciplina riguarda il software realizzato nell’ambito di un rapporto di lavoro subordinato. Ai sensi dell’art. 12-bisdella legge n. 633/1941, salvo patto contrario, il datore di lavoro è titolare del diritto esclusivo di utilizzazione economica del programma creato dal lavoratore dipendente nell’esecuzione delle proprie mansioni o su istruzioni impartite dal datore di lavoro. La medesima regola trova corrispondenza nell’art. 2, par. 3, della direttiva 2009/24/CE.
Particolare attenzione deve essere riservata al software commissionato a professionisti o società esterne. In questi casi è indispensabile esaminare ilcontratto di sviluppoper stabilire quali diritti siano stati attribuiti al committente e con quale estensione. Il contratto dovrebbe chiarire espressamente se siano previste una cessione dei diritti, una licenza e i relativi limiti di utilizzo. La stessa prassi contrattuale istituzionale evidenzia l’importanza di disciplinare separatamente consegna del codice sorgente e titolarità dei diritti sul software.
Conferimento di softwareab initio: la costituzione della società
Il conferimento di software può essere realizzato direttamente in sede di costituzione della società, quando uno dei soci attribuisce alla società i diritti patrimoniali sul programma ricevendo, in contropartita, la partecipazione sociale corrispondente al valore dell’apporto. In tale ipotesi il software entra sin dall’origine nel patrimonio della società e costituisce uno degli elementi sulla base dei quali viene determinato il capitale sociale e, ove previsto, l’eventuale soprapprezzo.
Con particolare riferimento alla società a responsabilità limitata, l’art. 2464 c.c. consente di conferire tutti gli elementi dell’attivo suscettibili di valutazione economica e stabilisce che le quote corrispondenti ai conferimenti di beni in natura devono essere integralmente liberate al momento della sottoscrizione. Il conferimento di software effettuatoab initiodeve pertanto essere eseguito contestualmente alla costituzione, attraverso l’effettiva attribuzione alla società dei diritti che ne costituiscono l’oggetto.
Sotto il profilo documentale, assume particolare importanza l’esatta individuazione del bene conferito. L’atto costitutivo deve indicare i conferimenti di ciascun socio e il valore attribuito ai beni conferiti in natura; nel caso del software sarà quindi opportuno identificare con sufficiente precisione il programma, la versione oggetto del conferimento e, soprattutto, l’estensione dei diritti patrimoniali trasferiti.
A seconda delle caratteristiche del progetto, potranno assumere rilievo anche il codice sorgente, la documentazione tecnica e gli ulteriori elementi necessari per consentire alla società di utilizzare, modificare e sviluppare autonomamente il programma.
Il conferimento richiede inoltre la relazione giurata prevista dall’art. 2465 c.c., redatta da un revisore legale o da una società di revisione legale iscritti nell’apposito registro. La relazione deve descrivere il bene conferito, indicare i criteri adottati per la sua valutazione e attestare che il valore riconosciuto al software sia almeno pari a quello attribuitogli ai fini della determinazione del capitale sociale e dell’eventuale soprapprezzo.
L’aspetto più critico riguarda indubbiamente la determinazione del valore economico da attribuire al programma e ai relativi diritti di utilizzazione. A differenza del conferimento in denaro, infatti, il conferimento di software, quale bene immateriale, impone di individuare criteri idonei a tradurre in termini economici un asset la cui consistenza non è immediatamente desumibile da un valore nominale o da un prezzo di mercato univoco.
Occorre considerare, in concreto, le caratteristiche del programma, il suo grado di sviluppo e di maturità, le funzionalità effettivamente implementate, la possibilità di sfruttamento economico, la capacità di generare ricavi e, ove già esistenti, i dati relativi all’utilizzo commerciale. Possono inoltre assumere rilievo la documentazione tecnica disponibile, l’architettura del software, la possibilità di aggiornamento ed evoluzione del prodotto e l’esistenza di diritti di terzi o di componenti soggette a specifiche licenze.
Per le società per azioni la disciplina è differente, poiché l’art. 2343 c.c. prevede, in via ordinaria, una relazione giurata redatta da un esperto designato dal Tribunale, ferme restando le specifiche procedure alternative contemplate dagli artt. 2343-tere seguenti.
Il trasferimento del software dopo la costituzione: cessione, licenza e altri titoli di disponibilità
Il software può entrare nella disponibilità giuridica della società anche in un momento successivo alla sua costituzione.
Una prima possibilità è rappresentata dalla cessione dei diritti patrimoniali sul software. Ai sensi dell’art. 107 della legge n. 633/1941, i diritti di utilizzazione economica possono essere acquistati, alienati o trasmessi secondo le forme consentite dalla legge; l’art. 110 richiede inoltre che la loro trasmissione sia provata per iscritto. La cessione consente quindi di trasferire alla società, nei limiti previsti dall’accordo, la titolarità dei diritti di sfruttamento economico del programma.
Diversa dakl conferimento di software è lalicenza, mediante la quale il titolare conserva la proprietà dei diritti sul software ma attribuisce alla società la facoltà di utilizzarlo secondo le condizioni pattuite. Il contratto dovrà quindi definire con precisione durata, ambito territoriale, eventuale esclusiva, facoltà di modifica, riproduzione, distribuzione o sublicenza e, più in generale, le modalità di sfruttamento consentite. Per una start-up il ricorso alla licenza può risultare sufficiente sotto il profilo operativo, ma non equivale all’acquisizione della titolarità dell’asset.
Il trasferimento successivo può inoltre essere realizzato mediante un vero e proprio conferimento di software nell’ambito di un aumento di capitale. In tal caso il titolare dei diritti apporta il software alla società ricevendo in contropartita nuove partecipazioni e trovano applicazione le regole previste per i conferimenti in natura, compresi gli obblighi di valutazione già esaminati.
Quando il programma sia registrato presso il Pubblico Registro Software tenuto dalla SIAE, possono essere trascritti anche gli atti che trasferiscono, integralmente o parzialmente, i relativi diritti di utilizzazione economica.
La scelta tra cessione, licenza e conferimento di software deve pertanto essere effettuata in funzione dell’assetto che i soci intendono attribuire alla proprietà intellettuale della start-up.
Start-up innovativa e software: la titolarità della privativa quale requisito per l’iscrizione nella sezione speciale
Il conferimento di software può assumere una rilevanza ulteriore quando la società intenda acquisire la qualifica di start-up innovativa. L’art. 25 del D.L. 18 ottobre 2012, n. 179richiede, infatti, oltre ai requisiti generali previsti dalla norma, il possesso di almeno uno dei requisiti qualificanti relativi al contenuto innovativo dell’impresa. Tra questi rientra la titolarità, anche quale depositaria o licenziataria, di determinate privative industriali oppure, alternativamente, la titolarità dei diritti relativi a un programma per elaboratore originarioregistrato presso il Registro pubblico speciale per i programmi per elaboratore, purché direttamente afferente all’oggetto sociale e all’attività d’impresa.
Mentre per le privative industriali la legge contempla espressamente anche la posizione del depositario e del licenziatario, con riferimento al software richiede la titolarità dei relativi diritti. Secondo l’interpretazione fornita dal Ministero e richiamata dalla prassi camerale, tale nozione comprende non soltanto l’autore del programma, ma anche la persona fisica o giuridica alla quale siano stati validamente trasferiti i diritti esclusivi di sfruttamento economico. Ne consegue che il conferimento di software, o una precedente cessione dei relativi diritti patrimoniali, può assumere un ruolo determinante qualora la società intenda utilizzare proprio questo requisito per ottenere la qualifica di start-up innovativa.
Sul piano pratico, non è sufficiente che la società utilizzi il programma nell’esercizio della propria attività. Il software deve essere registrato presso ilPubblico Registro Softwaretenuto dalla SIAE, nel quale possono essere iscritti i programmi già pubblicati dotati dei requisiti di originalità e creatività. All’esito della procedura viene rilasciata un’attestazione recante, tra l’altro, la data e il numero progressivo della registrazione. Qualora i diritti siano stati successivamente trasferiti, il Registro consente inoltre la trascrizione degli atti relativi alla loro cessione.
In sede di iscrizione nella sezione speciale del Registro delle imprese, il possesso del requisito è attestato mediante dichiarazione del legale rappresentante. La modulistica ufficiale aggiornata nel 2026 identifica il requisito relativo alla proprietà industriale e al software con il codice 068; la prassi delle Camere di commercio richiede inoltre che la domanda sia corredata dalla dichiarazione di possesso dei requisiti e, con riferimento al software registrato, alcune Camere indicano espressamente l’allegazione dell’attestato di registrazione rilasciato dalla SIAE.
Assistenza legale in materia di diritto dell’innovazione.Start-up e digital business.
Il conferimento di software è una scelta destinata a incidere sulla struttura patrimoniale e sull’assetto giuridico della start-up.
Una corretta pianificazione della proprietà intellettuale postula una verifica preventiva sulla provenienza del codice, i rapporti con sviluppatori e collaboratori, l’eventuale presenza di componenti di terzi e la documentazione necessaria a ricostruire la titolarità dei diritti.
Il nostro Studio Legale presta assistenza in materia di diritto d’impresa e diritto dell’innovazione, affiancando start-up e imprese tecnologiche nella fase di costituzione, nella regolamentazione dei rapporti tra soci e nella predisposizione degli strumenti contrattuali necessari alla tutela e al trasferimento degli asset digitali (conferimento di software, cessione di programma informatico e contratti di licenza).
Contattaci per un confronto.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Set 17, 2026|Diritto d'Impresa,Diritto civile
L’espressione “contratto di servizi” è frequentemente utilizzata nella prassi commerciale per indicare accordi aventi ad oggetto lo svolgimento, in favore di un cliente, di una o più attività organizzate. Si tratta, tuttavia, di una denominazione assai ampia, che non identifica necessariamente un autonomo tipo contrattuale dotato di una disciplina unitaria nel codice civile. Sotto la medesima espressione possono infatti ricadere rapporti profondamente differenti per struttura, contenuto e funzione economica.
La disciplina applicabile a un contratto di servizi non può essere individuata soltanto leggendo il titolo attribuito dalle parti al documento. Occorre verificare quali prestazioni siano effettivamente dedotte in contratto, quale interesse economico il rapporto sia destinato a soddisfare e, soprattutto, se l’accordo possa essere ricondotto integralmente o prevalentemente a uno dei tipi disciplinati dal codice civile.
La questione assume particolare rilevanza nella vita concreta del rapporto. Dalla qualificazione giuridica del contratto di servizi possono dipendere, infatti, il regime della responsabilità, le modalità di determinazione del corrispettivo, la disciplina dell’inadempimento, la durata del rapporto e, soprattutto, la possibilità di sciogliersi anticipatamente dal vincolo.
L’obiettivo di questo articolo è quindi esaminare i principali criteri attraverso i quali deve essere qualificato un contratto di servizi, distinguendo tra contratti tipici, atipici e a causa mista, per comprendere quali norme trovino applicazione e, in particolare, in quali ipotesi possa operare il recesso del committente previsto dall’art. 1671 c.c.
La qualificazione giuridica del contratto di servizi
Per individuare la disciplina applicabile a un contratto di servizi non è sufficiente fare riferimento alla denominazione utilizzata dalle parti. Espressioni qualiservice agreement, contratto di assistenza, contratto di gestione, contratto di consulenza o, più genericamente, “contratto di servizi” descrivono l’operazione economica soltanto in termini generali, ma non ne determinano necessariamente la qualificazione giuridica.
Sul piano civilistico occorre distinguere, infatti, l’attività di interpretazione del contratto da quella successiva di qualificazione. Mediante l’interpretazione, condotta secondo i criteri degli artt. 1362 e ss. c.c., si ricostruisce la comune intenzione delle parti e si individuano gli effetti che esse hanno concretamente inteso perseguire. Solo successivamente il rapporto così ricostruito viene qualificato, verificando se esso sia riconducibile a uno dei tipi contrattuali disciplinati dalla legge oppure debba essere considerato atipico o misto. La Corte di cassazione ha più volte ribadito questa distinzione, precisando che la qualificazione consiste proprio nell’attribuzione del correttonomen iurisall’assetto di interessi risultante dall’accordo.
Ne deriva che ilnomen iurisscelto dai contraenti rappresenta certamente un elemento da considerare, ma non assume carattere decisivo. Ai fini della qualificazione rilevano soprattutto il contenuto effettivo delle obbligazioni, le modalità di esecuzione del rapporto e la funzione economico-giuridica concretamente perseguita. La giurisprudenza di legittimità valorizza, in questa prospettiva, la causa concreta, intesa come interesse che lo specifico accordo è diretto a realizzare, da ricostruire attraverso una lettura complessiva e funzionale del contratto.
Contratto di servizi atipico e contratto a causa mista
La difficoltà di ricondurre il contratto di servizi a un unico schema legale deriva anche dall’ampiezza riconosciuta dall’ordinamento all’autonomia negoziale. L’art. 1322 c.c. consente infatti alle parti non soltanto di determinare liberamente il contenuto dei contratti tipici, nei limiti imposti dalla legge, ma anche di concludere contratti che non appartengono ai tipi espressamente disciplinati, purché siano diretti a realizzare interessi meritevoli di tutela. Il contratto di servizi può quindi presentarsi come contratto atipico oppure come contratto misto, nel quale confluiscono elementi propri di più figure negoziali.
Nelcontratto atipicole parti costruiscono un regolamento di interessi che non trova una corrispondenza completa in uno specifico tipo legale. Nelcontratto misto, invece, all’interno di un’unica operazione economica vengono combinati elementi riconducibili a differenti contratti tipici. La giurisprudenza di legittimità individua normalmente la disciplina del contratto misto attraverso ilcriterio dell’assorbimento o della prevalenza: trovano applicazione, in primo luogo, le norme del tipo contrattuale cui appartengono gli elementi prevalenti, senza tuttavia escludere la rilevanza delle disposizioni proprie delle componenti secondarie, purché compatibili con la disciplina del contratto prevalente.
Un esempio significativo è rappresentato dai contratti di service per spazi ad uso ufficio o di coworking. In tali rapporti la disponibilità di un locale può accompagnarsi alla fornitura di arredi, reception, connessione internet, pulizia, manutenzione, gestione della corrispondenza, sale riunioni e ulteriori servizi organizzativi. L’interesse del cliente può pertanto non esaurirsi nel semplice godimento di un immobile, tipico della locazione, ma consistere nell’ottenimento di uno spazio di lavoro immediatamente operativo e corredato da un complesso coordinato di prestazioni.
Proprio con riferimento a una fattispecie di questo genere, la giurisprudenza di merito ha recentemente qualificato un contratto diserviceavente ad oggetto un ufficio “chiavi in mano” come contratto a causa mista, caratterizzato da elementi della locazione e dell’appalto di servizi, valorizzando l’insieme delle prestazioni necessarie a rendere lo spazio efficiente e utilizzabile.
Considerazioni analoghe possono riguardare uncontratto di servizi informaticiche comprenda assistenza, manutenzione e licenza software, oppure un accordo di gestione immobiliare che cumuli attività materiali, amministrative e negoziali. Oppure ilcontratto di sponsorizzazioneo promozione di determinati beni o servizi.
A quali contratti tipici può essere ricondotto un contratto di servizi?
La corretta qualificazione del contratto di servizi richiede di verificare, caso per caso, quale sia la prestazione caratterizzante e quale funzione economica il rapporto sia destinato a realizzare. Il codice civile contempla, infatti, diverse figure contrattuali che possono avere ad oggetto lo svolgimento di un’attività o la fornitura di un servizio, ma ciascuna di esse presenta presupposti e disciplina differenti.
La figura più rilevante è quella dell’appalto, definito dall’art. 1655 c.c. come il contratto con il quale una parte assume, con organizzazione dei mezzi necessari e gestione a proprio rischio, il compimento di un’opera o di un servizio verso un corrispettivo. L’elemento distintivo è quindi rappresentato dall’organizzazione imprenditoriale dell’attività e dall’assunzione del rischio da parte dell’appaltatore.
Diversa è laprestazione d’operadisciplinata dall’art. 2222 c.c., che ricorre quando una persona si obbliga a compiere un’opera o un servizio con lavoro prevalentemente proprio e senza vincolo di subordinazione. In questo caso assume particolare rilievo l’attività personale del prestatore, mentre nell’appalto prevale l’organizzazione dei mezzi necessari all’esecuzione del servizio. Quando la prestazione abbia natura propriamente intellettuale, vengono invece in rilievo gli artt. 2229 e ss. c.c. e, in particolare, l’art. 2230 c.c.
Un contratto di servizi può altresì presentare elementi delmandato, qualora l’attività principale consista nel compimento di uno o più atti giuridici per conto del cliente, secondo la definizione contenuta nell’art. 1703 c.c. Se, invece, la prestazione centrale consiste nel consentire il godimento di un bene per un determinato periodo, può assumere rilievo la disciplina della locazione di cui all’art. 1571 c.c.
Particolare attenzione meritano infine i servizi eseguiti in maniera continuativa o periodica. Lasomministrazione, ai sensi dell’art. 1559 c.c., riguarda propriamente prestazioni periodiche o continuative di cose; tuttavia, quando l’appalto ha ad oggetto prestazioni continuative o periodiche di servizi, l’art. 1677 c.c. dispone l’applicazione, in quanto compatibili, tanto delle norme sull’appalto quanto di quelle sulla somministrazione.
Occorre esaminare la prestazione concretamente dedotta in contratto, il ruolo dell’organizzazione imprenditoriale, l’eventuale carattere personale dell’attività, la presenza di atti giuridici da compiere per conto del cliente e, più in generale, l’interesse economico prevalente perseguito dalle parti.
Contratto di servizi: norme suppletive e norme imperative
Una volta individuata la corretta qualificazione del contratto di servizi, occorre stabilire in quale rapporto si pongano le clausole concordate dalle parti e la disciplina prevista dalla legge.
Le norme civilistiche possono infatti avere carattere dispositivo oppure imperativo. Le prime operano, di regola, quando le parti non abbiano regolato diversamente una determinata questione e possono essere derogate mediante una specifica previsione contrattuale. In questa prospettiva assume particolare rilievo l’art. 1374 c.c., secondo cui il contratto obbliga le parti non soltanto a quanto espressamente previsto, ma anche alle conseguenze che ne derivano secondo la legge e, in mancanza, secondo gli usi e l’equità.
La qualificazione giuridica del rapporto svolge quindi una funzione essenziale proprio sul piano dell’integrazione del contratto. Se, ad esempio, un contratto di servizi viene ricondotto alla disciplina dell’appalto, le disposizioni codicistiche proprie di tale figura possono trovare applicazione per tutti gli aspetti non diversamente regolati dalle parti, nei limiti in cui si tratti di norme derogabili.
Diverso è il rapporto con le norme imperative. L’autonomia contrattuale incontra infatti il limite delle disposizioni inderogabili poste dall’ordinamento: l’art. 1418 c.c. stabilisce, in via generale, la nullità del contratto contrario a norme imperative, salvo che la legge disponga diversamente. In determinati casi, inoltre, la legge può intervenire direttamente sul contenuto negoziale, sostituendo le clausole difformi mediante il meccanismo previsto dall’art. 1339 c.c.
Durata del contratto: disdetta, recesso e risoluzione
Nel contratto di servizi – come in qualsiasi altro contratto – occorre distinguere tra scadenza, disdetta, recesso e risoluzione, poiché si tratta di istituti differenti, che producono effetti diversi e trovano fondamento in presupposti non coincidenti.
La scadenza determina la cessazione naturale di un contratto a tempo determinato al termine pattuito. La disdetta, invece, opera normalmente nei rapporti destinati a rinnovarsi automaticamente e consiste nella dichiarazione con cui una parte impedisce il rinnovo per un ulteriore periodo.
Diverso è il recesso, ossia il potere riconosciuto a una parte di sciogliere unilateralmente il rapporto prima della sua naturale cessazione, quando tale facoltà sia prevista dal contratto o dalla legge. L’art. 1373 c.c. contiene la disciplina generale del recesso unilaterale, ferma restando l’applicazione delle disposizioni speciali previste per singoli tipi contrattuali.
La disposizione prevede che:«Se a una delle parti è attribuita la facoltà di recedere dal contratto, tale facoltà può essere esercitata finché il contratto non abbia avuto un principio di esecuzione. Nei contratti a esecuzione continuata o periodica, tale facoltà può essere esercitata anche successivamente, ma il recesso non ha effetto per le prestazioni già eseguite o in corso di esecuzione. Qualora sia stata stipulata la prestazione di un corrispettivo per il recesso, questo ha effetto quando la prestazione è eseguita. È salvo in ogni caso il patto contrario».
Ancora differente è la risoluzione per inadempimento, disciplinata dagli artt. 1453 e ss. c.c. Essa presuppone, nei contratti a prestazioni corrispettive, l’inadempimento di una delle parti e, ai sensi dell’art. 1455 c.c., richiede che tale inadempimento non sia di scarsa importanza avuto riguardo all’interesse dell’altra parte. Il codice civile contempla inoltre ulteriori cause di risoluzione, quali l’impossibilità sopravvenuta e l’eccessiva onerosità sopravvenuta.
La distinzione assume particolare rilievo anche nell’accordo qui in esame, il contratto di servizi. Una clausola che stabilisca, ad esempio, una durata annuale con rinnovo automatico e preveda un termine entro il quale comunicare la disdetta disciplina anzitutto la durata e il rinnovo del rapporto. Essa non comporta necessariamente, per ciò solo, l’esclusione di un diverso diritto di recesso riconosciuto dalla disciplina legale applicabile.
Il recesso dal contratto di servizi qualificabile come appalto: l’art. 1671 c.c.
Quando il contratto di servizi sia qualificabile come appalto, assume particolare rilievo l’art. 1671 c.c., secondo cui il committente può recedere dal contratto anche dopo l’inizio dell’esecuzione dell’opera o della prestazione del servizio, purché tenga indenne l’appaltatore delle spese sostenute, dei lavori eseguiti e del mancato guadagno.
Si tratta di un diritto potestativo di recesso che, secondo la giurisprudenza, può essere esercitatoad nutum, senza necessità di dimostrare una giusta causa o un inadempimento dell’appaltatore.
Laratiodella disposizione risiede nel fatto che l’opera o il servizio sono destinati a soddisfare l’interesse del committente: quando tale interesse viene meno, l’ordinamento non impone necessariamente la prosecuzione del rapporto, ma tutela l’appaltatore sul piano economico mediante l’indennizzo previsto dalla legge. Il recessoexart. 1671 c.c. si distingue pertanto dalla risoluzione per inadempimento, poiché non richiede l’accertamento della gravità della condotta dell’altra parte. Anche un contratto di servizi correttamente eseguito può, in linea di principio, essere sciolto mediante tale facoltà, quando ne ricorrano i presupposti.
Il recesso non è del tutto privo di conseguenze economiche. Il committente deve ristorare l’appaltatore per le spese già sostenute, per le prestazioni eseguite e per il mancato guadagno relativo alla parte di rapporto non eseguita. Quest’ultima voce non coincide necessariamente con l’intero ammontare dei corrispettivi che sarebbero maturati sino alla scadenza: ciò che rileva è il guadagno effettivamente perduto, tenendo conto dei costi non più sostenuti e delle concrete conseguenze economiche determinate dalla cessazione anticipata.
Contratto di servizi e recesso nella giurisprudenza più recente
La giurisprudenza più recente conferma quanto sia decisiva, nella disciplina del contratto di servizi, la corretta qualificazione del rapporto. In particolare, la Corte di cassazione ha chiarito che, quando un contratto di servizi presenti i caratteri dell’appalto, la previsione di una durata determinata e di un meccanismo di rinnovo automatico non esclude, di per sé, l’applicazione dell’art. 1671 c.c.
Con l’ordinanza n. 15335 del 31 maggio 2024, la Suprema Corte ha affermato che l’accordo relativo alla durata e alla rinnovazione del rapporto non costituisce automaticamente una deroga al diritto di recesso del committente. Il rinnovo automatico opera, infatti, sul diverso piano della durata del contratto, mentre resta distinta la facoltà del committente di recedere anche durante l’esecuzione, con il correlato obbligo di indennizzare l’appaltatore secondo quanto previsto dall’art. 1671 c.c.
Il principio è stato ulteriormente precisato dalla Cassazione nel 2025. Con l’ordinanza n. 6487 dell’11 marzo 2025, la Corte ha distinto il regime applicabile ai contratti di servizi continuativi o periodici a seconda della loro durata: se il rapporto è a tempo determinato, trova applicazione l’art. 1671 c.c.; se, invece, la durata non è stabilita né determinabile, viene in rilievo l’art. 1569 c.c., che consente il recesso dal rapporto di somministrazione a tempo indeterminato mediante congruo preavviso.
La giurisprudenza di merito offre indicazioni altrettanto significative sul problema della qualificazione. Il Tribunale di Santa Maria Capua Vetere, con sentenza n. 809 del 10 marzo 2025, ha esaminato un contratto diservicerelativo a uno spazio ad uso ufficio, valorizzando non soltanto la concessione in godimento del locale, ma anche il complesso delle prestazioni di equipaggiamento, cura e manutenzione. Il rapporto è stato ricondotto a un contratto a causa mista, con elementi della locazione e dell’appalto di servizi.
Assistenza legale nella contrattualistica d’impresa
Il nostro Studio Legale presta assistenza in materia didiritto d’impresae contrattualistica civile e commerciale, occupandosi della predisposizione, revisione e interpretazione dei contratti, e scioglimento dei relativi rapporti negoziali.
Contattaci per un confronto.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Set 7, 2026|Diritto d'Impresa
Lo studio di fattibilità consiste nell’attività di analisi preventiva finalizzata a individuare il quadro normativo applicabile a un progetto e a verificare la compatibilità delle soluzioni ipotizzate con le vigenti disposizioni di legge.
Invero, la realizzazione di un progetto digitale richiede, normalmente, una pluralità di valutazioni preliminari che non si esauriscono nell’analisi della sostenibilità economica o della fattibilità tecnica. Un software, una piattaforma online, un’applicazione mobile o un prodotto fondato sull’impiego di sistemi di intelligenza artificiale possono risultare tecnicamente realizzabili e commercialmente sostenibili, ma essere al contempo soggetti a vincoli normativi idonei a incidere in misura significativa sulla struttura del progetto.
In altre parole, lo studio di fattibilità consente di verificare, in un momento in cui l’architettura del progetto è ancora suscettibile di modifiche, la conformità normativa della soluzione imprenditoriale, evitando che emergano problematiche giuridiche dopo lo sviluppo del prodotto o l’avvio dell’attività.
L’obiettivo del presente articolo è esaminare la funzione dello studio di fattibilità legale, illustrando i principali ambiti nei quali una valutazione giuridica preventiva può incidere sulle scelte progettuali e chiarendo per quali ragioni l’analisi della conformità normativa dovrebbe accompagnare, sin dalle fasi iniziali, la progettazione e lo sviluppo di un nuovo prodotto o servizio digitale.
Cos’è uno studio di fattibilità legale e quale funzione svolge
Lo studio di fattibilità legale può essere definito come un’attività di analisi preventiva diretta a verificare se un determinato progetto, nella configurazione concretamente ipotizzata, sia compatibile con il quadro normativo applicabile e a individuare gli eventuali adempimenti, limiti o condizioni necessari per la sualegittima realizzazione.
Esso si distingue, pertanto, sia dallo studio di fattibilità tecnica, che riguarda la concreta possibilità di sviluppare e implementare una determinata soluzione, sia dalla valutazione economico-finanziaria, normalmente volta ad accertarne la sostenibilità e le prospettive di mercato.
L’analisi giuridica dovrebbe precedere la redazione di contratti, informative, condizioni generali o altri documenti dicompliance,poiché richiede anzitutto di qualificare correttamente l’attività che si intende svolgere. È dalla qualificazione giuridica del prodotto o del servizio che discende l’individuazione delle norme applicabili e, conseguentemente, degli obblighi che devono essere osservati.
Tale passaggio assume particolare rilevanza nei progetti digitali, nei quali funzionalità apparentemente simili possono determinare conseguenze giuridiche profondamente differenti. Un software destinato esclusivamente alla gestione amministrativa di uno studio professionale, ad esempio, pone questioni diverse rispetto a un’applicazione che elabora informazioni sanitarie per fornire indicazioni funzionali a una decisione clinica.
Allo stesso modo, una piattaforma che si limita a pubblicare contenuti propri non è necessariamente soggetta alle medesime regole di un servizio che consente l’interazione o l’intermediazione tra utenti.
Studio di fattibilità: qualificazione giuridica del progetto e mappatura dei rischi
Una volta ricostruite le caratteristiche essenziali del progetto, lo studio di fattibilità deve procedere all’individuazione degli aspetti suscettibili di incidere sulla sua realizzazione. Tale attività presuppone una conoscenza sufficientemente dettagliata non soltanto del prodotto o del servizio che si intende offrire, ma anche delle modalità concrete attraverso le quali esso sarà sviluppato, distribuito e utilizzato.
L’analisi deve pertanto considerare l’eventuale ricorso a fornitori tecnologici esterni, l’impiego di infrastrutturecloud, software, API o modelli sviluppati da terzi, le categorie di utenti cui il servizio è destinato e i territori nei quali esso sarà commercializzato.
Lo studio di fattibilità fa una sorta di mappatura dei rischi normativi del progetto. Alcune criticità possono riguardare la necessità di ottenere autorizzazioni o rispettare requisiti di accesso al mercato; altre possono interessare il trattamento dei dati personali, la tutela dei consumatori, la disciplina della proprietà intellettuale, l’utilizzo di tecnologie di terzi, la sicurezza informatica o la ripartizione delle responsabilità contrattuali.
Lo studio di fattibilità nei settori regolamentati
Lo studio di fattibilità assume particolare rilievo quando il progetto digitale si inserisce in un settore regolamentato, nel quale la disciplina applicabile può subordinare l’esercizio dell’attività, la commercializzazione di un prodotto o l’erogazione di un servizio al rispetto di specifici requisiti sostanziali, organizzativi o autorizzativi.
Un esempio particolarmente significativo è rappresentato daisoftware impiegati in ambito sanitario. Non qualsiasi applicazione che abbia attinenza con la salute costituisce, per ciò solo, un dispositivo medico. Occorre invece esaminarne la destinazione d’uso e le specifiche funzioni svolte, verificando se ricorrano i presupposti previsti dal Regolamento (UE) 2017/745 e, in caso positivo, quale classificazione debba essere attribuita al software.
Considerazioni analoghe valgono per altri mercati sottoposti a discipline speciali. Un progettofintech, ad esempio, deve essere analizzato tenendo conto delle concrete attività svolte, distinguendo il mero sviluppo di una soluzione tecnologica dall’eventuale prestazione di servizi finanziari o di pagamento soggetti a specifiche regole.
Una piattaforma digitale che consenta l’intermediazione, la pubblicazione o la diffusione di contenuti di terzi può, invece, richiedere la verifica della disciplina prevista dal Digital Services Act e degli obblighi che essa ricollega alle diverse categorie di intermediari e piattaforme online.
In simili ipotesi, lo studio di fattibilità consente di accertare preventivamente se il modello progettato possa essere realizzato nella forma originariamente prevista e di individuare, prima dell’accesso al mercato, gli eventuali requisiti regolatori che devono essere incorporati nello sviluppo del prodotto o nell’organizzazione dell’attività.
Conformità al GDPR: la protezione dei dati personali fin dalla progettazione
Lo studio di fattibilità deve necessariamente comprendere una valutazione preliminare delle modalità con cui saranno trattati idati personali degli utenti, dei clienti o di altri soggetti interessati.
Questa impostazione trova un preciso fondamento nell’art. 25 del Regolamento (UE) 2016/679, che consacra i principi della protezione dei dati fin dalla progettazione e per impostazione predefinita. Le Linee guida 4/2019 dell’European Data Protection Board chiariscono, in particolare, che le misure dirette ad attuare efficacemente i principi di protezione dei dati devono essere considerate già al momento della determinazione dei mezzi del trattamento e, dunque, nella fase in cui vengono compiute le principali scelte progettuali.
Nell’ambito dello studio di fattibilità, occorrerà quindi ricostruire quali categorie di dati saranno trattate, per quali finalità e sulla base di quale presupposto di liceità, verificando altresì i tempi di conservazione, i soggetti che potranno accedervi, il ricorso a responsabili esterni, l’eventuale trasferimento dei dati verso Paesi terzi e l’adeguatezza delle misure tecniche e organizzative previste.
Particolare attenzione deve essere riservata ai progetti che comportino profilazione, monitoraggio sistematico degli utenti, trattamento su larga scala di categorie particolari di dati o comunque operazioni suscettibili di determinare un rischio elevato per i diritti e le libertà delle persone fisiche.
In tali ipotesi può rendersi necessaria una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR, da svolgersi prima dell’inizio del trattamento. IlGarante per la protezione dei dati personalievidenzia espressamente il carattere preventivo della DPIA e la sua funzione nell’ambito del principio di responsabilizzazione del titolare.
Studio di fattibilità e Intelligenza Artificiale
Quando il progetto prevede l’impiego di soluzioni basate sull’intelligenza artificiale, lo studio di fattibilità dovrebbe comprendere una specifica verifica della disciplina applicabile. La mera circostanza che un software utilizzi algoritmi, modelli di intelligenza artificiale o servizi forniti da terzi non è infatti sufficiente a determinare il relativo regime giuridico: occorre esaminare le caratteristiche del sistema, le finalità per le quali viene utilizzato, il contesto nel quale opera e il ruolo assunto dai diversi soggetti coinvolti.
Il principale riferimento normativo è oggi rappresentato dalRegolamento (UE) 2024/1689, c.d. AI Act, che disciplina lo sviluppo, l’immissione sul mercato, la messa in servizio e l’utilizzo dei sistemi di intelligenza artificiale secondo un modello fondato sulla graduazione del rischio. Il Regolamento trova applicazione, in via generale, dal 2 agosto 2026, sebbene alcune disposizioni siano divenute applicabili anticipatamente e altre siano assoggettate a specifici regimi transitori.
Nell’ambito dello studio di fattibilità, occorre pertanto verificare anzitutto se la soluzione rientri nella nozione normativa di sistema di IA e quale posizione assuma l’impresa rispetto ad essa, distinguendo, a seconda dei casi, tra fornitore,deployer, importatore o distributore.
Deve quindi essere accertata l’eventuale riconducibilità del sistema alle pratiche vietate, ai sistemi soggetti a particolari obblighi di trasparenza o alle categorie ad alto rischio. Dal 2 agosto 2026 trovano, ad esempio, applicazione gli obblighi di trasparenza previsti dall’art. 50 dell’AI Actper determinate forme di interazione con sistemi di IA e per taluni contenuti generati o manipolati artificialmente.
La verifica assume particolare rilievo anche quando l’impresa non sviluppi autonomamente il modello, ma integri nel proprio prodotto API, modelli o servizi di intelligenza artificiale forniti da soggetti terzi. Tale circostanza non esclude, di per sé, l’insorgenza di autonomi obblighi normativi in capo al soggetto che incorpora o utilizza la tecnologia all’interno del proprio servizio.
In Italia, il quadro europeo deve inoltre essere coordinato con la legge 23 settembre 2025, n. 132, le cui disposizioni sono espressamente destinate a operare conformemente all’AI Act.
Contratti, proprietà intellettuale e dipendenza dai fornitori tecnologici
Lo studio di fattibilità di un progetto digitale deve estendersi anche ai rapporti contrattuali e ai diritti di proprietà intellettuale sui quali si fonda l’architettura tecnologica del prodotto o del servizio. Nella pratica, infatti, anche progetti sviluppati internamente possono dipendere in misura significativa da componenti appartenenti a terzi, quali librerie software, API, infrastrutturecloud, database, modelli di intelligenza artificiale, piattaforme di pagamento o altri servizi tecnologici integrati.
La verifica assume rilievo, anzitutto, sotto il profilo della titolarità e delle condizioni di utilizzazione del software. Nell’ordinamento europeo, i programmi per elaboratore sono oggetto di una specifica tutela autorale ai sensi della Direttiva 2009/24/CE. Ne consegue che l’utilizzo, la modifica, la distribuzione o l’integrazione di componenti software e database devono essere valutati alla luce dei diritti effettivamente acquisiti e delle condizioni previste dalle relative licenze.
Lo studio di fattibilità deve pertanto accertare se l’impresa disponga dei diritti necessari sul codice sviluppato internamente o da collaboratori esterni e se le licenze relative alle componenti di terzi consentano l’impiego concretamente programmato. La medesima attenzione deve essere riservata al softwareopen source: l’assenza di un corrispettivo economico non implica, infatti, l’assenza di condizioni giuridiche di utilizzo, essendo ogni componente disciplinata dalla specifica licenza applicabile.
Ulteriori verifiche riguardano i contratti con i fornitori tecnologici, che possono disciplinare limiti di utilizzo delle API, disponibilità del servizio, responsabilità, trattamento dei dati, possibilità di recesso e continuità operativa. Uno studio di fattibilità adeguatamente svolto consente quindi di accertare se l’impresa possieda effettivamente i diritti e le autorizzazioni contrattuali necessari per sviluppare e commercializzare il progetto secondo il modello previsto.
Assistenza legale per start up e imprese digitali. Rivolgiti al nostro Studio Legale
Il parere di un avvocato consente di ricondurre le caratteristiche tecniche del prodotto o del servizio entro le corrette categorie giuridiche, coordinando discipline che, nei progetti digitali, tendono frequentemente a sovrapporsi.
Lo studio di fattibilità non sostituisce le successive attività di compliance, ma ne rappresenta il presupposto logico. Per le startup e, più in generale, per le imprese che sviluppano nuovi servizi o prodotti digitali, la valutazione legale presentiva è uno step assolutamente consigliabile.
Il nostroStudio Legalesupporta imprese e startup nell’avvio di progetti tecnologici in conformità alla normativa di legge.
Contattaci per un confronto.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Ago 21, 2026|Diritto d'Impresa
Si sente spesso nominare ilData Processing Agreement(DPA): ma quando è necessario? E perché?
Accade di frequente che l’esecuzione di un contratto comporti l’accesso, anche continuativo, a informazioni riferibili a clienti, dipendenti o utenti. Si pensi ai servizi cloud, alle piattaforme SaaS, alla gestione delle infrastrutture IT alle attività di marketing,siti webetc.
In simili rapporti, la disciplina della protezione dei dati personali dovrebbe essere integrata nella regolamentazione complessiva dei rapporti tra le parti. È in questo contesto che assume particolare rilievo il Data Processing Agreement, comunemente indicato con l’acronimo DPA.
Con tale espressione si identifica, in particolare, l’accordo attraverso il quale il titolare del trattamento disciplina il trattamento di dati personali effettuato, per proprio conto, da un soggetto esterno qualificabile come responsabile del trattamento.
Il Data Processing Agreement è, in altre parole, l’atto con cui si definiscono le condizioni, i limiti e le garanzie che devono accompagnare l’affidamento a terzi di attività comportanti il trattamento di dati personali.
L’obiettivo del presente articolo è chiarire quando un Data Processing Agreement sia giuridicamente necessario, in quali situazioni sia opportuno adottare una regolamentazione contrattuale specifica, e quali siano i contenuti essenziali che una DPA dovrebbe possedere in conformità con il GDPR e con i principi diaccountability.
Data Processing Agreement e ruoli privacy
Prima di stabilire se sia necessario predisporre unData Processing Agreement, occorre individuare correttamente il ruolo assunto dalle parti nel trattamento dei dati personali. La semplice circostanza che due soggetti si scambino o condividano dati, infatti, non determina automaticamente l’obbligo di stipulare una DPA.
Il GDPR distingue anzitutto tra titolare del trattamento e responsabile del trattamento. Il titolare è il soggetto che determina le finalità e i mezzi del trattamento, ossia decide, in sostanza, perché e secondo quali modalità essenziali i dati personali devono essere trattati. Ilresponsabile, invece, tratta i dati personali per conto del titolare, nell’ambito delle istruzioni ricevute e per consentire l’esecuzione del servizio affidatogli.
È proprio quest’ultima relazione a costituire il presupposto tipico delData Processing Agreement. Non rileva, a tal fine, il nome attribuito dalle parti al contratto o la qualificazione formalmente utilizzata: secondo l’impostazione del GDPR e dell’European Data Protection Board, la posizione di titolare o responsabile deve essere individuata sulla base delle attività concretamente svolte e dell’effettivo potere decisionale esercitato sul trattamento.
Occorre inoltre distinguere tale ipotesi dai casi in cui due soggetti trattino i medesimi dati perseguendo finalità proprie e autonome. In tale situazione, ciascuno potrà operare come titolare autonomo del trattamento e l’eventuale comunicazione dei dati dovrà essere valutata sotto il profilo della relativa base giuridica, senza che trovi necessariamente applicazionel’art. 28 GDPR.
Ancora diversa è l’ipotesi della contitolarità, che ricorre quando due o più soggetti determinano congiuntamente finalità e mezzi del trattamento. In questo caso trova applicazione l’art. 26 GDPR e le parti devono disciplinare mediante un accordo le rispettive responsabilità, con particolare riferimento all’esercizio dei diritti degli interessati e agli obblighi informativi.
Solo dopo aver accertato che un soggetto tratta effettivamente dati personali per conto dell’altro è possibile affermare che ricorrono i presupposti per la stipulazione di unData Processing Agreementai sensi dell’art. 28 GDPR.
Quando è obbligatorio il Data Processing Agreement?
L’art. 28 GDPR disciplina il trattamento di dati personali effettuato da unresponsabile per conto del titolare. Quando ricorre tale rapporto, la predisposizione di unData Processing Agreementrisponde a un preciso obbligo del Regolamento.
In particolare, l’art. 28 stabilisce che il trattamento effettuato dal responsabile debba essere disciplinato da un contratto o da altro atto giuridico vincolante nei confronti del titolare. Tale accordo deve individuare, tra l’altro, l’oggetto e la durata del trattamento, la sua natura e le sue finalità, le tipologie di dati personali trattati, le categorie di interessati, nonché gli obblighi e i diritti del titolare. Il GDPR richiede inoltre che l’accordo sia stipulato in forma scritta, anche elettronica.
Non è necessario che il documento sia formalmente denominatoData Processing Agreementné che costituisca necessariamente un contratto autonomo. Gli obblighi previsti dall’art. 28 possono essere inseriti, ad esempio, all’interno del contratto principale oppure in un apposito allegato. Ciò che rileva è che il rapporto tra titolare e responsabile sia regolato mediante un atto giuridicamente vincolante e contenente gli elementi prescritti dal GDPR.
L’obbligo sorge, dunque, ogniqualvolta un’impresa affidi a un soggetto esterno un’attività che comporti il trattamento di dati personali per proprio conto. È quanto può accadere, ad esempio, quando un provider gestisce infrastrutture informatiche o servizi cloud contenenti dati personali, quando un fornitore svolge attività di assistenza avendo accesso alle banche dati del cliente oppure quando un’agenzia gestisce campagne di marketing utilizzando i dati messi a disposizione dall’impresa committente.
Casi in cui è opportuno redigere un Data Processing Agreement (come atto separato e specifico)
Nei rapporti caratterizzati da un accesso continuativo o sistematico ai dati personali, può risultare insufficiente limitarsi a poche clausole generali inserite nel contratto commerciale. È preferibile, in questi casi, predisporre una DPA autonoma o un allegato contrattuale specificamente dedicato al trattamento dei dati, nel quale siano definite con precisione le attività consentite al responsabile, le misure di sicurezza applicabili, le modalità di gestione degli incidenti e le condizioni per l’eventuale coinvolgimento di ulteriori fornitori.
Una regolamentazione particolarmente accurata appare opportuna, ad esempio, quando il servizio comporti l’accesso a quantità rilevanti di dati, l’utilizzo di infrastrutture cloud, l’integrazione tra differenti sistemi informatici oppure il ricorso a una articolata catena di sub-responsabili. Analoga attenzione dovrebbe essere riservata ai trattamenti aventi ad oggetto categorie particolari di dati o, più in generale, informazioni la cui perdita, alterazione o divulgazione potrebbe determinare conseguenze significative per gli interessati.
In questa prospettiva, ilData Processing Agreementassume anche una funzione di prevenzione e gestione del rischio contrattuale. Una puntuale distribuzione degli obblighi consente infatti alle parti di conoscere preventivamente le rispettive responsabilità e di stabilire procedure condivise per affrontare eventuali criticità durante l’esecuzione del rapporto.
Il contenuto del Data Processing Agreement: oggetto, finalità e istruzioni del titolare
IlData Processing Agreementdeve descrivere in maniera sufficientemente precisa il trattamento affidato al responsabile. Il Regolamento e laprassi del Garanterichiedono, infatti, che l’accordo individui almeno l’oggetto e la durata del trattamento, la natura e le finalità delle operazioni svolte, le tipologie di dati personali interessati e le categorie di soggetti cui tali dati si riferiscono, oltre ai diritti e agli obblighi del titolare.
Un contratto relativo, ad esempio, alla gestione di una piattaforma informatica dovrebbe chiarire se il fornitore possa limitarsi alla conservazione dei dati oppure possa anche consultarli, organizzarli, modificarli, estrarli o utilizzarli nell’ambito di attività di assistenza tecnica.
Particolare importanza assume, inoltre, il principio secondo cui il responsabile può trattare i dati personali soltanto sulla base delle istruzioni documentate del titolare, salvo che il trattamento sia imposto da una disposizione del diritto dell’Unione europea o nazionale applicabile al responsabile stesso. Le istruzioni rappresentano quindi il perimetro giuridico entro il quale il fornitore può operare.
IlData Processing Agreementdovrebbe pertanto definire con chiarezza quali trattamenti siano consentiti e per quali finalità, evitando che il responsabile possa utilizzare autonomamente i dati ricevuti per scopi ulteriori rispetto a quelli concordati.
Sicurezza, sub-responsabili e gestione degli incidenti
Accanto alla descrizione del trattamento e alle istruzioni impartite dal titolare, ilData Processing Agreementdeve disciplinare una serie di obblighi ulteriori destinati a garantire che i dati personali siano trattati in condizioni di adeguata sicurezza e sotto il controllo del titolare.
Un primo profilo riguarda le misure tecniche e organizzative adottate dal responsabile. La DPA dovrebbe richiamare gli obblighi previsti dall’art. 32 GDPR e individuare, con un livello di dettaglio proporzionato al rischio, le misure poste a tutela della riservatezza, integrità e disponibilità dei dati.
Analoga attenzione deve essere riservata al ricorso a eventuali sub-responsabili del trattamento. Il responsabile non può affidare liberamente a terzi parte delle attività ricevute dal titolare: l’art. 28 GDPR richiede infatti una preventiva autorizzazione, specifica o generale, e impone che il sub-responsabile sia assoggettato a obblighi sostanzialmente equivalenti a quelli previsti nel rapporto principale. Il Data Processing Agreement dovrebbe quindi chiarire le modalità attraverso cui il titolare viene informato dell’ingresso di nuovi sub-responsabili e può, ove previsto, formulare eventuali obiezioni.
Particolarmente rilevante è anche la disciplina degli incidenti di sicurezza e deidata breach. Il responsabile deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali e deve metterlo nelle condizioni di adempiere agli eventuali obblighi di notifica all’Autorità di controllo e di comunicazione agli interessati.
IlData Processing Agreementdovrebbe infine regolare l’assistenza prestata dal responsabile nell’esercizio dei diritti degli interessati, nelle valutazioni d’impatto, negli audit e nelle attività necessarie a dimostrare la conformità al GDPR.
Trasferimenti di dati fuori dallo Spazio Economico Europeo
Un ulteriore profilo che assume particolare rilievo nella predisposizione di unData Processing Agreementriguarda l’eventuale trasferimento di dati personali verso Paesi situati al di fuori dello Spazio Economico Europeo. La questione si presenta con frequenza nei rapporti con provider cloud, piattaforme SaaS o agenzie di marketing che utilizzano infrastrutture o subfornitori localizzati in Paesi terzi.
In questi casi, è necessario distinguere il piano relativo alla nomina del responsabile da quello concernente la liceità del trasferimento internazionale. La stipulazione di una DPA conforme all’art. 28 GDPR, infatti, non costituisce di per sé una base sufficiente per trasferire dati personali verso un Paese terzo. Quando il trattamento comporta un trasferimento internazionale, devono essere rispettate anche le condizioni previste dal Capo V del GDPR e, in particolare, dagli artt. 44 e seguenti.
IlData Processing Agreementdovrebbe pertanto chiarire se il responsabile o i suoi eventuali sub-responsabili possano trattare dati al di fuori dello Spazio Economico Europeo e subordinare tali operazioni al rispetto delle condizioni previste dalla normativa applicabile. In assenza di una decisione di adeguatezza della Commissione europea, il trasferimento può richiedere l’adozione di garanzie appropriate, tra le quali assumono particolare rilevanza le Standard Contractual Clauses adottate dalla Commissione europea ai sensi dell’art. 46 GDPR.
Si tratta di strumenti distinti, destinati ad assolvere funzioni differenti: le prime riguardano la disciplina del rapporto titolare-responsabile, mentre le seconde forniscono, ricorrendone i presupposti, una delle garanzie utilizzabili per legittimare il trasferimento internazionale dei dati.
Considerazioni finali.La DPA nella gestione concreta dei rapporti con fornitori e partner commerciali
In definitiva, la verifica circa la necessità della DPA dovrebbe essere effettuata già nella fase di selezione e contrattualizzazione del provider. È infatti in tale momento che il titolare può accertare quali dati personali saranno messi a disposizione del fornitore, per quali finalità, attraverso quali infrastrutture e con l’eventuale coinvolgimento di ulteriori soggetti.
IlData Processing Agreementdeve risultare coerente con il contratto principale quanto alla durata del trattamento, ai livelli di servizio, alla modalità di accesso ai sistemi, agli obblighi di riservatezza, etc.
Particolare attenzione dovrebbe essere dedicata ai rapporti caratterizzati da una pluralità di fornitori o sub-responsabili. In questi casi, il titolare deve avere una visione sufficientemente chiara della catena di trattamento e delle modalità attraverso cui i dati vengono trasferiti, conservati o resi accessibili.
Assistenza legale in materia di data protection & digital privacy
Il nostro Studio Legale assisteimprese, start up e professionistinella gestione degli aspetti giuridici connessi alla protezione dei dati personali e, più in generale, alla compliance aziendale. L’attività comprende, tra l’altro, la qualificazione dei ruoli privacy nei rapporti contrattuali, la predisposizione e revisione diData Processing Agreement, la disciplina dei rapporti con fornitori e partner commerciali e l’adeguamento della contrattualistica alle prescrizioni del GDPR.
Contattaci per un confronto!
Fac simile di Data Processing Agreement ai sensi dell’art. 28 GDPR
Il seguente modello costituisce un fac simile diData Processing Agreemente deve essere inteso come semplice guida orientativa, senza alcuna pretesa di correttezza o completezza.
DATA PROCESSING AGREEMENT
Accordo sul trattamento dei dati personali ai sensi dell’art. 28 del Regolamento (UE) 2016/679
Tra:
[DENOMINAZIONE DEL TITOLARE], con sede in [●], C.F./P. IVA [●], in persona del legale rappresentante pro tempore, di seguito denominato anche il“Titolare”
e
[DENOMINAZIONE DEL RESPONSABILE], con sede in [●], C.F./P. IVA [●], in persona del legale rappresentante pro tempore, di seguito denominato anche il“Responsabile”
congiuntamente denominate le“Parti”.
Art. 1 – Premesse e oggetto dell’Accordo
Le premesse costituiscono parte integrante e sostanziale del presente accordo.
Tra le Parti è in essere un rapporto contrattuale avente ad oggetto [descrivere sinteticamente il servizio], la cui esecuzione comporta il trattamento, da parte del Responsabile, di dati personali per conto del Titolare.
Con il presenteData Processing Agreement, le Parti intendono disciplinare tale trattamento in conformità all’art. 28 del Regolamento (UE) 2016/679 (“GDPR”) e alla normativa applicabile in materia di protezione dei dati personali.
Il Responsabile si impegna a trattare i dati personali esclusivamente nei limiti necessari all’esecuzione dei servizi affidati e nel rispetto delle istruzioni documentate impartite dal Titolare.
Art. 2 – Durata del trattamento
Il presente Data Processing Agreement ha efficacia per tutta la durata del rapporto contrattuale intercorrente tra le Parti e, in ogni caso, sino a quando il Responsabile continuerà a trattare dati personali per conto del Titolare.
Alla cessazione del rapporto trovano applicazione le disposizioni previste dal successivo art. 13 in materia di restituzione e cancellazione dei dati personali.
Art. 3 – Natura e finalità del trattamento
Il Responsabile è autorizzato a trattare i dati personali esclusivamente per le finalità connesse all’esecuzione dei servizi oggetto del contratto principale e secondo quanto specificato nel presente Data Processing Agreement.
Il trattamento potrà comprendere, nei limiti strettamente necessari allo svolgimento dei servizi, operazioni quali [raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, estrazione, comunicazione, cancellazione o altre operazioni effettivamente pertinenti].
Le categorie di interessati coinvolte comprendono [clienti, utenti, dipendenti, collaboratori, fornitori o altre categorie].
Le categorie di dati personali oggetto del trattamento comprendono [dati identificativi, dati di contatto, dati contrattuali, dati economici, dati relativi all’utilizzo dei servizi o altre categorie]. Qualora siano trattate categorie particolari di dati ai sensi dell’art. 9 GDPR o dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR, tale circostanza dovrà essere espressamente indicata e specificamente disciplinata.
Art. 4 – Istruzioni del Titolare
Il Responsabile tratta i dati personali esclusivamente sulla base delle istruzioni documentate del Titolare, incluse quelle relative agli eventuali trasferimenti di dati personali verso Paesi terzi o organizzazioni internazionali, salvo che il trattamento sia imposto dal diritto dell’Unione europea o dalla normativa nazionale applicabile.
Qualora il Responsabile ritenga che un’istruzione impartita dal Titolare violi il GDPR o altra disposizione applicabile in materia di protezione dei dati personali, ne informa tempestivamente il Titolare.
Il Responsabile non potrà utilizzare i dati personali per finalità proprie, incompatibili o comunque ulteriori rispetto a quelle derivanti dalle istruzioni ricevute.
Art. 5 – Riservatezza e persone autorizzate al trattamento
Il Responsabile garantisce che le persone autorizzate a trattare i dati personali siano vincolate da adeguati obblighi di riservatezza oppure siano soggette a un pertinente obbligo legale di segretezza.
Il Responsabile assicura inoltre che l’accesso ai dati sia consentito esclusivamente ai soggetti che ne abbiano effettiva necessità in relazione alle mansioni svolte e che tali soggetti ricevano adeguate istruzioni in materia di trattamento e protezione dei dati personali.
Art. 6 – Misure tecniche e organizzative di sicurezza
Il Responsabile adotta e mantiene misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche.
Le misure adottate dovranno essere idonee a garantire un livello di sicurezza proporzionato al rischio e dovranno, ove pertinente, riguardare la tutela della riservatezza, dell’integrità, della disponibilità e della resilienza dei sistemi e dei servizi di trattamento.
Le specifiche misure tecniche e organizzative applicabili al rapporto potranno essere descritte in un apposito allegato al presente Accordo.
Art. 7 – Ricorso a sub-responsabili
Il Responsabile non può ricorrere ad altro responsabile del trattamento senza preventiva autorizzazione scritta, specifica o generale, del Titolare.
In caso di autorizzazione generale, il Responsabile informa preventivamente il Titolare di qualsiasi modifica prevista riguardante l’aggiunta o la sostituzione di sub-responsabili, consentendogli di formulare eventuali obiezioni secondo le modalità concordate tra le Parti.
Il Responsabile assicura che ogni sub-responsabile sia vincolato, mediante contratto o altro atto giuridico, a obblighi in materia di protezione dei dati personali sostanzialmente equivalenti a quelli previsti dal presenteData Processing Agreement.
Art. 8 – Assistenza nell’esercizio dei diritti degli interessati
Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare, mediante misure tecniche e organizzative adeguate e nella misura in cui ciò sia possibile, nell’adempimento degli obblighi relativi alle richieste di esercizio dei diritti riconosciuti agli interessati dagli artt. 12 e seguenti GDPR.
Qualora una richiesta proveniente da un interessato sia ricevuta direttamente dal Responsabile e riguardi dati trattati per conto del Titolare, il Responsabile la trasmette tempestivamente al Titolare e non vi dà autonomamente seguito, salvo diversa istruzione o obbligo derivante dalla normativa applicabile.
Art. 9 – Violazioni dei dati personali
Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali relativa ai trattamenti oggetto del presente Accordo.
La comunicazione dovrà contenere, per quanto disponibile, tutte le informazioni utili a consentire al Titolare di valutare la violazione e adempiere agli obblighi previsti dagli artt. 33 e 34 GDPR.
Il Responsabile collabora con il Titolare nell’attività di analisi, contenimento, mitigazione e gestione dell’incidente, adottando senza ritardo le misure ragionevolmente necessarie per limitarne le conseguenze.
Art. 10 – Assistenza al Titolare e valutazione d’impatto
Tenuto conto della natura del trattamento e delle informazioni a propria disposizione, il Responsabile presta al Titolare l’assistenza necessaria per garantire il rispetto degli obblighi previsti dagli artt. 32-36 GDPR.
In particolare, ove necessario, il Responsabile fornisce le informazioni ragionevolmente richieste dal Titolare ai fini della predisposizione o dell’aggiornamento di una valutazione d’impatto sulla protezione dei dati e collabora nell’eventuale procedura di consultazione preventiva dell’Autorità di controllo.
Art. 11 – Restituzione e cancellazione dei dati
Alla cessazione della prestazione dei servizi relativi al trattamento, il Responsabile, secondo le istruzioni del Titolare, cancella o restituisce tutti i dati personali trattati per conto di quest’ultimo e provvede alla cancellazione delle eventuali copie esistenti, salvo che il diritto dell’Unione europea o nazionale imponga la conservazione dei dati.
Qualora sussista un obbligo legale di conservazione, il Responsabile assicura che i dati siano mantenuti esclusivamente per il periodo e per le finalità previste dalla normativa applicabile e che non siano sottoposti a ulteriori operazioni incompatibili con tale obbligo.
Art. 12 – Responsabilità e conformità normativa
Ciascuna Parte è tenuta al rispetto degli obblighi direttamente posti a proprio carico dal GDPR e dalla normativa applicabile in materia di protezione dei dati personali.
Il Responsabile informa tempestivamente il Titolare di qualsiasi circostanza che possa incidere in maniera significativa sulla propria capacità di adempiere agli obblighi derivanti dal presente Data Processing Agreement.
Resta ferma l’applicazione delle disposizioni del GDPR in materia di responsabilità e diritto al risarcimento, nonché delle eventuali ulteriori previsioni sulla responsabilità contenute nel contratto principale, purché compatibili con la normativa inderogabile applicabile.
Art. 13 – Rapporti con il contratto principale e disposizioni finali
Il presenteData Processing Agreementcostituisce parte integrante del contratto intercorrente tra le Parti avente ad oggetto [●].
In caso di contrasto tra le disposizioni del presente Accordo relative alla protezione dei dati personali e quelle contenute nel contratto principale, prevalgono le disposizioni del presente Accordo per quanto concerne gli aspetti specificamente relativi al trattamento dei dati personali, salvo che sia espressamente previsto diversamente e purché la diversa disciplina sia compatibile con il GDPR.
Qualsiasi modifica del presente Data Processing Agreement dovrà risultare da atto scritto, anche in formato elettronico.
Per quanto non espressamente previsto trovano applicazione il Regolamento (UE) 2016/679, la normativa nazionale applicabile e gli altri atti normativi pertinenti in materia di protezione dei dati personali.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Lug 29, 2026|Diritto d'Impresa
Si sente spesso parlare deldata protection officer(DPO), ma quando è obbligatoria la nomina di questa figura?
La progressiva digitalizzazione delle attività economiche ha ampliato in modo significativo la quantità, la varietà e il valore delle informazioni trattate, rendendo la conformità alla disciplina in materia di privacy un’esigenza che non riguarda più soltanto le imprese tecnologiche o le start-up digitali. Anche le aziende operanti nei settori tradizionali raccolgono e utilizzano dati riferiti a clienti, dipendenti, fornitori e utenti, avvalendosi di sistemi gestionali e procedure automatizzate.
Ildata protection officer– comunemente indicato con l’acronimo DPO e definito dal Regolamento (UE) 2016/679 come responsabile della protezione dei dati – è una figura specialistica chiamata ad assistere l’organizzazione nella corretta applicazione della normativa.
La sua importanza risulta particolarmente evidente nei modelli di business fondati sull’acquisizione, sull’elaborazione e sulla valorizzazione delle informazioni personali, come avviene nelle piattaforme digitali, nei servizi SaaS, nell’e-commerce, e nei sistemi basati sull’intelligenza artificiale.
Ciò non esclude, tuttavia, che ildata protection officerpossa rappresentare un presidio organizzativo utile anche per imprese manifatturiere, commerciali, professionali o di servizi, quando la complessità dei trattamenti o i rischi per gli interessati richiedano competenze specialistiche.
L’obiettivo del presente articolo è esaminare la disciplina applicabile aldata protection officer,chiarendo chi possa assumere l’incarico, quali requisiti debba possedere, quale posizione occupi nell’organizzazione e quali compiti sia tenuto a svolgere.
La figura del data protection officer nel GDPR
Ildata protection officertrova la sua disciplina normativa agli articoli 37, 38 e 39 del GDPR. Egli è chiamato ad assistere il titolare o il responsabile del trattamento nell’applicazione della normativa sulla protezione dei dati personali, operando al tempo stesso quale presidio interno di sorveglianza e quale punto di contatto con l’autorità di controllo e con gli interessati.
La denominazione italiana può generare qualche incertezza terminologica. Il “responsabile della protezione dei dati” non deve infatti essere confuso con il “responsabile del trattamento” previsto dall’articolo 28 GDPR. Quest’ultimo è il soggetto che tratta dati personali per conto del titolare, sulla base di un contratto o di altro atto giuridico; ildata protection officer, invece, svolge una funzione di consulenza e vigilanza sulla corretta applicazione della disciplina. Il DPO non determina le finalità e i mezzi del trattamento, non assume le decisioni imprenditoriali relative all’impiego dei dati e non si sostituisce agli organi amministrativi o alle funzioni aziendali competenti.
All’interno dell’impresa, ildata protection officeroccupa dunque una posizione peculiare: è inserito nell’organizzazione senza appartenere alla normale linea decisionale e deve poter svolgere i propri compiti con autonomia e indipendenza.
Requisiti e competenze del data protection officer
Ai sensi dell’articolo 37, paragrafo 5, del GDPR, ildata protection officerdeve essere designato in funzione delle proprie qualità professionali e, in particolare, della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati personali, nonché della capacità di assolvere i compiti attribuiti dall’articolo 39. Il Regolamento non predetermina, tuttavia, uno specifico titolo di studio, un percorso professionale tassativo o una soglia uniforme di esperienza, poiché l’adeguatezza del profilo deve essere valutata in rapporto alle caratteristiche dell’organizzazione e dei trattamenti effettuati.
Il livello di competenza richiesto aldata protection officerdeve quindi essere proporzionato alla natura, alla complessità e ai rischi delle attività svolte. In un’impresa che tratta prevalentemente dati comuni nell’ambito di processi amministrativi ordinari potrà essere sufficiente una preparazione commisurata a tale contesto. Diversamente, un’organizzazione che gestisca dati sanitari, sistemi di profilazione, tecnologie di monitoraggio, grandi banche dati o trasferimenti internazionali dovrà individuare un professionista dotato di una conoscenza più approfondita della disciplina e delle relative implicazioni tecniche e organizzative.
Non esiste, allo stato, un albo pubblico dei DPO né il possesso di una certificazione costituisce un’abilitazione legale necessaria per assumere l’incarico. Master, corsi specialistici, certificazioni volontarie ed esperienze documentate possono rappresentare elementi utili per valutare la preparazione del candidato, ma spetta al titolare o al responsabile del trattamento verificare in concreto che il professionista possieda le competenze e l’esperienza adeguate all’organizzazione.
Indipendenza, autonomia e assenza di conflitti di interesse
L’effettività della funzione attribuita al DPO dipende dalla posizione che gli viene concretamente riconosciuta all’interno dell’organizzazione. L’articolo 38 GDPR impone al titolare e al responsabile del trattamento di coinvolgere tempestivamente e adeguatamente il DPO in tutte le questioni riguardanti la protezione dei dati personali.
L’impresa deve inoltre mettere a disposizione del DPO le risorse necessarie per l’adempimento dei suoi compiti, assicurandogli accesso ai dati e alle operazioni di trattamento, tempo adeguato, strumenti organizzativi e possibilità di mantenere aggiornata la propria preparazione professionale.
Ildata protection officerdeve riferire direttamente al più alto livello gerarchico del titolare o del responsabile del trattamento e non può ricevere istruzioni sul modo in cui esaminare una determinata questione, interpretare la normativa o formulare le proprie valutazioni.
Il DPO può assumere altri incarichi, purché questi non determinino un conflitto di interessi. La Corte di giustizia dell’Unione europea ha chiarito che tale conflitto può sussistere quando le ulteriori funzioni comportino il potere di determinare gli obiettivi e le modalità del trattamento, secondo una valutazione da effettuare caso per caso alla luce della struttura organizzativa.
Per questa ragione, risultano normalmente incompatibili con l’incarico di data protection officer le funzioni apicali o operative dotate di autonomia decisionale sui trattamenti, come quelle di amministratore delegato, componente del consiglio di amministrazione, direttore generale o responsabile dei sistemi informativi. Analoghe criticità possono emergere per le funzioni di marketing, risorse umane, audit o gestione del rischio, quando esse determinino concretamente finalità e mezzi del trattamento.
Ruolo e compiti del data protection officer
I compiti del data protection officer sono individuati dall’articolo 39 GDPR e comprendono, anzitutto, l’attività di informazione e consulenza nei confronti del titolare o del responsabile del trattamento, nonché dei dipendenti e dei collaboratori che partecipano alle operazioni sui dati personali.
Il DPO è quindi chiamato a illustrare gli obblighi applicabili, interpretare la disciplina europea e nazionale e supportare l’impresa nella predisposizione di procedure coerenti con i principi di liceità, correttezza, trasparenza, minimizzazione e sicurezza dei trattamenti. Ad esempio, il DPO curerà l’aggiornamento dellaprivacy policy, oppure delleinformative sul trattamento dei dati personali.
A tale funzione consultiva si affianca il compito di sorvegliare l’osservanza del GDPR, delle ulteriori disposizioni applicabili e delle politiche interne adottate dall’organizzazione. L’attività di vigilanza può riguardare l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale, la verifica periodica delle procedure e lo svolgimento di controlli o audit.
Il data protection officer deve modulare tali attività secondo un approccio fondato sul rischio, concentrando maggiore attenzione sui trattamenti suscettibili di determinare conseguenze più rilevanti per i diritti e le libertà degli interessati.
Il DPO fornisce inoltre, quando richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e ne sorveglia lo svolgimento. Il suo coinvolgimento assume particolare importanza quando l’impresa introduce nuove tecnologie, sistemi di profilazione, processi decisionali automatizzati o trattamenti di dati particolarmente delicati.
Il data protection officer coopera infine con il Garante e opera quale punto di contatto per le questioni connesse ai trattamenti, comprese le eventuali consultazioni preventive. Analoga funzione di raccordo è svolta nei confronti degli interessati, i quali possono rivolgersi al DPO per le questioni relative all’utilizzo dei propri dati e all’esercizio dei diritti riconosciuti dal GDPR.
Casi nei quali la nomina del data protection officer è obbligatoria
L’articolo 37, paragrafo 1, GDPR individua tre ipotesi nelle quali il titolare o il responsabile del trattamento deve necessariamente designare un data protection officer.
L’obbligo ricorre, in primo luogo, quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, con esclusione delle autorità giurisdizionali nell’esercizio delle proprie funzioni giudiziarie.
In secondo luogo, la nomina è obbligatoria quando le attività principali dell’organizzazione consistono in trattamenti che, per natura, ambito di applicazione o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala.
La terza ipotesi riguarda, infine, il trattamento su larga scala delle categorie particolari di dati previste dall’articolo 9 GDPR, come i dati sanitari, biometrici o relativi alle convinzioni religiose, nonché dei dati personali relativi a condanne penali e reati.
Per le imprese private assumono particolare rilievo le ultime due fattispecie. La nozione di “attività principali” deve essere riferita alle operazioni che costituiscono parte essenziale delcore businessdell’organizzazione, e non ai trattamenti meramente accessori connessi, ad esempio, alla normale gestione amministrativa del personale o dei fornitori.
Un’impresa sanitaria, una società di informazioni commerciali o una piattaforma digitale fondata sulla profilazione degli utenti svolgono trattamenti strettamente funzionali all’erogazione dei propri servizi; in simili contesti, il trattamento dei dati diviene una componente strutturale dell’attività economica.
Il “monitoraggio regolare e sistematico” ricorre quando vi siano forme organizzate, continuative o periodiche di osservazione e analisi degli interessati. Possono assumere rilievo, a seconda delle concrete modalità operative, il tracciamento della navigazione online, la profilazione per finalità commerciali, la geolocalizzazione, la valutazione dell’affidabilità economica etc.
Anche la nozione di “larga scala” richiede una valutazione sostanziale. Non esiste una soglia numerica generale applicabile a ogni settore; occorre considerare il numero degli interessati, il volume e la varietà dei dati, la durata o continuità del trattamento e la sua estensione geografica.
Ne consegue che le dimensioni ridotte dell’impresa o la qualificazione come start-up non escludono automaticamente l’obbligo. Una società con pochi dipendenti potrebbe dover nominare un data protection officer qualora gestisca, quale elemento centrale del proprio servizio, un numero elevato di profili personali o informazioni particolarmente delicate.
Il Garante indica, a titolo esemplificativo, tra i soggetti normalmente tenuti alla designazione istituti di credito, imprese assicurative, società finanziarie, operatori sanitari privati, società di ricerca e selezione del personale, call center, fornitori di servizi informatici e imprese operanti nelle telecomunicazioni o nelle utilities, sempreché ricorrano i presupposti sostanziali previsti dall’articolo 37.
La verifica deve pertanto essere svolta caso per caso e opportunamente documentata, poiché l’obbligo dipende dalle effettive caratteristiche dei trattamenti e non dalla sola appartenenza formale a una categoria economica.
La nomina facoltativa del DPO. Casi in cui è consigliabile (anche se non obbligatoria)
L’articolo 37, paragrafo 4, GDPR consente al titolare e al responsabile del trattamento di nominare volontariamente un DPO anche quando non ricorrano i presupposti esaminati nel paragrafo precedente.
Tale scelta può costituire una concreta espressione del principio di responsabilizzazione, o accountability, in forza del quale l’impresa deve non soltanto rispettare la disciplina sulla protezione dei dati, ma anche essere in grado di dimostrare l’adeguatezza delle misure organizzative adottate.
La nomina facoltativa può risultare opportuna quando i trattamenti, pur non raggiungendo con certezza la soglia della larga scala, presentino una significativa complessità tecnologica, coinvolgano numerose categorie di interessati oppure espongano l’impresa a rischi giuridici e reputazionali rilevanti.
Analoghe considerazioni valgono per le organizzazioni soggette a una rapida evoluzione dei processi aziendali, all’introduzione frequente di nuovi strumenti digitali o alla necessità di coordinare stabilmente diverse funzioni interne e fornitori esterni.
Un ruolo interpretativo particolarmente importante è svolto dalleLinee guida sui responsabili della protezione dei datiWP243 rev.01, originariamente adottate dal Gruppo di lavoro Articolo 29 e successivamente confermate dall’European Data Protection Board. Le Linee guida forniscono criteri applicativi sulle nozioni di attività principali, monitoraggio regolare e sistematico, larga scala, indipendenza e conflitto di interessi.
Questi atti appartengono alla cosiddettasoft laweuropea: non hanno la stessa forza normativa direttamente vincolante del GDPR, ma assumono un considerevole rilievo nell’interpretazione uniforme del Regolamento e nell’individuazione delle aspettative delle autorità di controllo.
Il data protection officer in imprese e start-up digitali
La verifica dell’obbligo o dell’opportunità di nominare un data protection officer assume particolare rilievo nelle imprese e nelle start-up digitali. La qualificazione dell’impresa come tecnologica non determina automaticamente l’obbligo di designare un DPO. Occorre esaminare concretamente il modello di business, la natura delle informazioni raccolte, il numero degli interessati, la durata dei trattamenti e le modalità con cui gli utenti vengono osservati, classificati o valutati.
La nomina del data protection officer può risultare obbligatoria, ad esempio, per unapiattaforma o un sito webche effettui su larga scala il tracciamento continuativo della navigazione e dei comportamenti degli utenti, anche a fini di profilazione o pubblicità comportamentale.
L’European Data Protection Board ricomprende infatti nel monitoraggio regolare e sistematico le forme di tracciamento e profilazione online, indicando tra gli esempi rilevanti anche la geolocalizzazione effettuata mediante applicazioni mobili.
Analoga esigenza può emergere per le imprese healthtech che gestiscano su larga scala dati relativi alla salute, per i servizi fintech o insurtech fondati sull’analisi continuativa della situazione economica e del comportamento degli utenti, nonché per le piattaforme di ricerca e selezione del personale che elaborino sistematicamente profili professionali e valutazioni dei candidati.
L’obbligo può riguardare anche un’impresa che operi prevalentemente quale responsabile del trattamento. Un fornitore SaaS o cloud che gestisca per conto dei propri clienti grandi quantità di dati personali, specialmente se appartenenti a categorie particolari, deve valutare autonomamente la propria posizione, poiché l’articolo 37 si applica tanto ai titolari quanto ai responsabili del trattamento.
La designazione del DPO nell’organizzazione
Venendo a profili di carattere pratico, il data protection officer può essere individuato sia all’interno dell’organizzazione sia mediante il ricorso a un professionista o a una struttura esterna. L’articolo 37, paragrafo 6, GDPR consente infatti che il DPO sia un dipendente del titolare o del responsabile del trattamento oppure che svolga i propri compiti sulla base di un contratto di servizi.
Quando la funzione è affidata a un soggetto interno, la designazione deve essere formalizzata mediante uno specifico atto di incarico, nel quale siano definiti i compiti attribuiti, la posizione organizzativa, i canali di interlocuzione con il vertice e le risorse messe a disposizione.
Nel caso di un data protection officer esterno, tali elementi devono essere disciplinati nel contratto di servizi. La scelta di esternalizzare la funzione può risultare particolarmente adatta alle piccole e medie imprese e alle start-up che non dispongano internamente di competenze specialistiche sufficienti, ma non può tradursi in un incarico meramente nominale o caratterizzato da una presenza occasionale.
Un gruppo imprenditoriale può nominare un unico data protection officer, a condizione che questi sia facilmente raggiungibile da ciascuno stabilimento e sia concretamente in grado di conoscere e seguire i trattamenti delle diverse società.
Dopo la designazione, i dati di contatto del data protection officer devono essere resi pubblici con modalità che consentano agli interessati di rivolgersi agevolmente alla funzione e devono essere comunicati al Garante attraverso l’apposita procedura telematica. Le successive variazioni o sostituzioni devono essere tempestivamente aggiornate.
Servizi di DPO e consulenza privacy: rivolgiti a noi
Nei modelli imprenditoriali fondati sull’utilizzo dei dati, la nomina del DPO favorisce lo sviluppo di prodotti conformi ai principi diprivacy by designeby default, rafforzando l’affidabilità dell’organizzazione nei rapporti con clienti, utenti, partner e investitori. Assicura il tuo business con la piena conformità al GDPR.
Il nostro Studio Legale assiste imprese e start-up nella conformità alla disciplina sulla protezione dei dati personali, grazie all’esperienza maturata dall’avvocato Luca D’Agostino in veste di DPO di enti e società del settore privato (con particolare all’ambito tecnologico).
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Lug 13, 2026|Diritto d'Impresa
Avvocato, quali documenti legali per start up sono indispensabili nella fase di go-to-market? Spesso ci viene rivolto questo interrogativo, al quale non riusciamo a fornire una risposta sempre univoca.
Il go-to-market rappresenta un passaggio delicatissimo nellosviluppo di una start-up, poiché segna il momento in cui il progetto imprenditoriale entra concretamente in contatto con il mercato, con i clienti, con i fornitori e con gli eventuali partner commerciali.
In questa fase l’attenzione dei fondatori è versata – giustamente – sulla validazione del prodotto e sulla strategia di vendita. Ma non si dovrebbe mai dimenticare che il successo dell’iniziativa dipende anche dalla serietà con cui ci si presenta sul mercato e sulla tutela effettiva del proprio business. Proprio per questo risulta indispensabile disporre di una adeguata dotazione documentale.
Secondo l’approccio che ci sentiamo di suggerire, i servizi legali per start up non si basano sull’intervento successivo all’emersione di un problema, ma sull’avvio sicuro del business.
Non esiste, tuttavia, un insieme di documenti identico per ogni impresa innovativa. La struttura giuridica necessaria dipende dal modello di business, dalla natura del prodotto o del servizio, dal settore di operatività, dalla tipologia di clientela, dalle modalità di vendita e dalle tecnologie impiegate. Una piattaforma digitale, un software SaaS, un e-commerce o un servizio di sviluppo informatico presentano, infatti, esigenze contrattuali e di policy ben differenti.
Con questo articolo ci proponiamo di individuare la documentazione minima che dovrebbe essere predisposta e validata da professionisti legali per start up prima dell’avvio del business, distinguendo gli atti generalmente necessari da quelli che diventano rilevanti soltanto in presenza di specifiche caratteristiche del progetto.
La mappatura dei rischi legali per start up prima dell’ingresso sul mercato
La predisposizione della documentazione necessaria al go-to-market deve essere preceduta da una ricognizione sistematica del modello di business e dei rapporti giuridici che la start-up intende instaurare.
Non è infatti possibile individuare correttamente i documenti da adottare senza comprendere, in via preliminare, chi siano i destinatari del prodotto o del servizio, attraverso quali canali avvenga la commercializzazione, quali tecnologie siano impiegate e quali soggetti partecipino alla catena di distribuzione.
La prima distinzione rilevante riguarda la natura B2B o B2C dell’attività. Nei rapporti con i consumatori assumono particolare rilievo gli obblighi informativi precontrattuali, il diritto di recesso, la disciplina delle clausole vessatorie e le garanzie legali.
Nei rapporti tra imprese, invece, la maggiore autonomia contrattuale consente una regolamentazione più articolata di responsabilità, livelli di servizio, proprietà intellettuale, riservatezza e rimedi in caso di inadempimento. Ulteriori differenze derivano dalla modalità di conclusione del contratto, che può avvenire tramite sito internet, applicazione, piattaforma digitale, ordine sottoscritto, proposta commerciale o negoziazione individuale.
La mappatura dei rischi legali per start up deve inoltre considerare la presenza di dati personali, contenuti generati dagli utenti, sistemi automatizzati, servizi cloud, software di terzi, strumenti di intelligenza artificiale o componenti soggette a licenza. Tali elementi possono incidere sulla disciplina applicabile, sugli obblighi informativi, sulla ripartizione delle responsabilità e sulla necessità di stipulare accordi specifici con fornitori, sviluppatori o partner tecnologici.
Termini e condizioni: ilcoredei servizi legali per start up
Tra i documenti necessari per il go-to-market, itermini e condizioni di contrattomeritano la prima posizione. Essi consentono alla start-up di disciplinare in modo uniforme i rapporti instaurati con i clienti e con gli utenti del servizio. Il contratto definisce il contenuto della prestazione, delimita gli impegni assunti dall’impresa e stabilisce le regole applicabili durante l’intero rapporto, dalla registrazione o dall’acquisto sino alla cessazione del servizio.
La struttura del documento deve essere adattata alla concreta attività esercitata. Nel caso di un software distribuito in modalità SaaS, sarà normalmente necessario predisporre un contratto di licenza d’uso che regoli l’accesso alla piattaforma, la creazione dell’account, etc.. Per la vendita online di beni occorreranno, invece, condizioni generali di vendita; per la realizzazione di soluzioni tecnologiche su commissione sarà necessario un contratto di sviluppo software, mentre le piattaforme digitali dovranno disciplinare anche le modalità di utilizzo del servizio, la pubblicazione dei contenuti e le eventuali attività di moderazione.
Tra le clausole normalmente necessarie rientrano quelle relative all’oggetto e ai limiti del servizio, ai corrispettivi, alla durata, al rinnovo, al recesso, alla sospensione dell’account, alla proprietà intellettuale, agli usi vietati, alla riservatezza e alle conseguenze dell’inadempimento.
Particolare attenzione deve essere riservata alle limitazioni di responsabilità, alle garanzie sul funzionamento del servizio, alla forza maggiore, alle manleve e alla disciplina applicabile in caso di interruzioni, perdita dei dati o utilizzo improprio della piattaforma. Tali clausole legali per start up devono essere formulate in modo proporzionato e compatibile con la disciplina inderogabile di legge.
Nei rapporti tra imprese, le condizioni generali devono inoltre rispettare gli artt. 1341 e 1342 c.c., anche con riguardo alla specifica approvazione delle clausole particolarmente onerose. Nei contratti conclusi con i consumatori trovano invece applicazione le disposizioni del Codice del consumo sulle clausole vessatorie, sugli obblighi informativi e sul diritto di recesso nei contratti a distanza. Per i servizi di intermediazione online, i termini e condizioni dovranno essere coordinati anche con gli obblighi di trasparenza previsti dall’art. 14 del Digital Services Act.
Informativa privacy e documentazione per la conformità al GDPR
Tra i documenti necessari al go-to-market vi è indubbiamente la predisposizione della documentazione privacy. Qualunque start-up raccolga informazioni attraverso un sito internet, un’applicazione, una piattaforma digitale o un rapporto diretto con la clientela deve individuare preventivamente le operazioni di trattamento effettuate, le rispettive finalità e le condizioni che ne giustificano la liceità.
L’intervento di professionisti legali per start up consente di tradurre il concreto funzionamento del servizio in un sistema documentale coerente con i principi di trasparenza, correttezza, limitazione della finalità e minimizzazione dei dati sanciti dal Regolamento (UE) 2016/679.
L’informativa privacydeve indicare, in forma chiara e accessibile, l’identità del titolare, le categorie di dati raccolti, le finalità del trattamento, le basi giuridiche applicabili, i tempi di conservazione, i destinatari, gli eventuali trasferimenti verso Paesi terzi e i diritti riconosciuti agli interessati. Gli artt. 13 e 14 GDPR distinguono il contenuto dell’informativa a seconda che i dati siano raccolti direttamente presso l’interessato oppure acquisiti da altre fonti. Rinviamo allo specifico approfondimento sul tema.
Occorre precisare che l’informativa non costituisce, di per sé, una base giuridica del trattamento. La start-up deve invece individuare per ciascuna finalità una delle condizioni previste dall’art. 6 GDPR, quali l’esecuzione del contratto, l’adempimento di un obbligo legale, il legittimo interesse o il consenso. Quest’ultimo deve essere richiesto soltanto quando necessario e mediante una manifestazione libera, specifica, informata e inequivocabile, evitando formule generiche o consensi cumulativi.
Quando il sito utilizza cookie o altri strumenti di tracciamento, i documenti legali per start up dovrebbero ricomprendere anche una cookie policy coordinata con un meccanismo di gestione delle preferenze. I tracciatori non tecnici non possono essere installati prima dell’acquisizione di un consenso valido, mentre l’utente deve poter rifiutare o modificare le proprie scelte con modalità agevoli e sostanzialmente equivalenti a quelle previste per l’accettazione.
Marchio, software e asset immateriali. La tutela della proprietà industriale nei servizi legali per start up
Tra gli aspetti che è opportuno valutare prima del go-to-market vi è la titolarità dei diritti di proprietà industriale e intellettuale in capo allastart up.
Con riferimento al marchio, la scelta del nome commerciale o del segno distintivo dovrebbe essere accompagnata da una ricerca di anteriorità, finalizzata a individuare eventuali marchi identici o simili già registrati per prodotti o servizi affini. La registrazione può assumere rilievo quando il segno costituisca un elemento centrale della riconoscibilità dell’impresa.
Il Codice della proprietà industriale, di cui al d.lgs. 10 febbraio 2005, n. 30, disciplina i requisiti di registrabilità e i diritti esclusivi derivanti dalla registrazione, mentre la domanda deve identificare correttamente le classi di prodotti e servizi per le quali viene richiesta la protezione.
Un’analoga verifica deve riguardare il software sul quale si fonda il servizio. Iprogrammi per elaboratoresono protetti dal diritto d’autore, secondo la disciplina nazionale e la direttiva 2009/24/CE, purché presentino carattere originale; la tutela riguarda le forme di espressione del programma e comprende anche il materiale preparatorio per la sua progettazione.
La circostanza che la start-up abbia finanziato lo sviluppo di un applicativo non implica necessariamente che essa sia titolare di tutti i relativi diritti di utilizzazione economica. Quando il codice, la grafica, la documentazione tecnica o altre componenti siano stati realizzati da soci, freelance, agenzie o software house esterne, gli esperti legali per start up devono verificare il contratto originario e, ove necessario, predisporre un accordo scritto di cessione o di licenza che definisca oggetto, estensione territoriale, durata, facoltà di modifica e possibilità di concedere il software a terzi.
NDA e tutela del know-how
Nella fase che precede il lancio sul mercato, la start-up è spesso chiamata a condividere informazioni tecniche, commerciali e strategiche con sviluppatori, partner, investitori, fornitori etc. In tali circostanze, la sottoscrizione di un accordo di riservatezza, comunemente denominatoNon-Disclosure Agreemento NDA, può costituire uno strumento rilevante per prevenire la divulgazione o l’utilizzo non autorizzato delle informazioni comunicate.
Una corretta assistenza prestata da professionisti legali per start up richiede anzitutto di individuare con precisione lo scopo per il quale le informazioni vengono condivise, le categorie di dati e documenti protetti, i soggetti autorizzati ad accedervi e gli impieghi consentiti. Il contratto dovrebbe inoltre disciplinare la durata degli obblighi, le modalità di conservazione, restituzione o cancellazione delle informazioni, le eccezioni alla riservatezza e le conseguenze dell’eventuale inadempimento.
Tale documentazione assume particolare importanza quando le informazioni possano integrare segreti commerciali ai sensi degli artt. 98 e 99 del Codice della proprietà industriale. La protezione riguarda le informazioni aziendali e le esperienze tecnico-industriali che siano segrete, possiedano valore economico in quanto riservate e siano sottoposte a misure ragionevolmente adeguate a mantenerle tali.
La disciplina nazionale si inserisce nel quadro delineato dalladirettiva (UE) 2016/943, relativa alla tutela del know-how e delle informazioni commerciali riservate contro acquisizione, utilizzo e divulgazione illeciti.
Tra i principali rischi legali per start up vi è la perdita di controllo sulle informazioni non ancora rese pubbliche. L’NDA deve quindi essere predisposto in funzione del rapporto concreto, evitando modelli eccessivamente generici e modulando la portata degli obblighi al caso concreto.
Contratti di sviluppo informatico, fornitura e collaborazione
Quando il prodotto o il servizio viene realizzato con il contributo di sviluppatori, software house, consulenti informatici, la start-up deve disciplinare anche i rapporti con i soggetti che partecipano alla progettazione, allo sviluppo e all’erogazione della soluzione offerta, definendo con precisione le rispettive prestazioni e responsabilità.
Ilcontratto di sviluppo informaticodeve anzitutto descrivere le caratteristiche dell’applicativo, le specifiche tecniche, le funzionalità richieste, le fasi di lavorazione e i risultati attesi.
A seconda dell’organizzazione del fornitore e delle modalità di esecuzione, il rapporto può assumere i caratteri dell’appalto, disciplinato dall’art. 1655 c.c., oppure del contratto d’opera di cui all’art. 2222 c.c. Nel primo caso, il prestatore assume il compimento dell’opera o del servizio mediante una propria organizzazione di mezzi e con gestione a proprio rischio; nel secondo, la prestazione viene eseguita prevalentemente mediante il lavoro personale del professionista, senza vincolo di subordinazione.
Una corretta assistenza prestata da professionisti legali per start up richiede inoltre di regolare le procedure di consegna, verifica e collaudo, i termini per la correzione degli errori, la gestione delle richieste di modifica, i corrispettivi e le conseguenze di eventuali ritardi. Nei progetti articolati può essere opportuno suddividere lo sviluppo in fasi omilestone, collegando i pagamenti all’effettiva accettazione dei singoli risultati.
Particolare attenzione deve essere riservata alla titolarità del codice sorgente, della documentazione tecnica, delle interfacce, delle banche dati e delle componenti sviluppate specificamente per il progetto.
Poiché il software è protetto dal diritto d’autore, il contratto deve chiarire quali diritti siano trasferiti o concessi in licenza alla start-up, con quale durata, estensione territoriale e facoltà di modifica, riproduzione o commercializzazione. La sola corresponsione del prezzo non dovrebbe quindi essere considerata sufficiente a risolvere ogni questione relativa allo sfruttamento economico dell’applicativo.
Accordi parasociali, vesting e stabilità dei rapporti tra fondatori
Non occorrono dunque le clausole di vesting, gli accordi parasociali e gli altri documenti legali per start up? La risposta è: dipende!
Prima del lancio è certamente opportuno verificare anche la stabilità degli assetti interni della start-up, soprattutto quando il progetto sia promosso da più fondatori con competenze, apporti e livelli di coinvolgimento differenti.
Gliaccordi parasocialiconsentono di regolare, al di fuori dell’atto costitutivo e dello statuto, l’esercizio del diritto di voto, la governance, gli obblighi di permanenza, le decisioni strategiche.
Tra le previsioni più ricorrenti rientrano gli obblighi di consultazione preventiva, le maggioranze rafforzate per le decisioni strategiche, i divieti temporanei di trasferimento, i diritti di prelazione o gradimento e le clausole ditag alongedrag along.
La loro collocazione nello statuto oppure in un accordo parasociale produce conseguenze differenti, poiché il patto vincola normalmente soltanto i soggetti che lo hanno sottoscritto, mentre la disciplina statutaria opera nell’organizzazione societaria e può essere opponibile anche ai successivi acquirenti delle partecipazioni. Nelle S.r.l., inoltre, l’art. 2469 c.c. ammette che l’atto costitutivo introduca limiti alla trasferibilità delle quote, nel rispetto delle condizioni e dei rimedi previsti dalla legge.
Particolare rilievo assumono le clausole divesting, mediante le quali la maturazione o la conservazione della partecipazione viene collegata alla permanenza del fondatore nel progetto per un determinato periodo oppure al conseguimento di specifici obiettivi. Tali meccanismi sono spesso accompagnati da clausole digood leaverebad leaver, che regolano diversamente l’uscita del socio in funzione delle relative cause.
L’assistenza di professionisti legali per start up consente di strutturare questi accordi in modo coerente con il diritto societario e con gli interessi dei fondatori, riducendo così i tradizionali che si annidano nel lancio di progetti innovativi.
La documentazione ulteriore dipende dal settore e dal modello di business
Accanto ai documenti generalmente necessari, il go-to-market può richiedere ulteriori atti, informative e procedure determinati dal settore di attività, dalle funzionalità offerte e dal ruolo concretamente assunto dalla start-up.
Una start-up che opera attraverso un sito di commercio elettronico deve, ad esempio, coordinare le condizioni di vendita con gli obblighi informativi previsti per i servizi della società dell’informazione dal d.lgs. 9 aprile 2003, n. 70. Quando i destinatari siano consumatori, assumono inoltre rilievo le disposizioni del Codice del consumo relative alle informazioni precontrattuali, ai contratti a distanza, al diritto di recesso, ai contenuti e ai servizi digitali, nonché alle pratiche commerciali scorrette.
Le piattaforme che ospitano, trasmettono o rendono accessibili contenuti e informazioni forniti dagli utenti devono invece verificare il proprio inquadramento ai sensi del Regolamento (UE) 2022/2065, noto come Digital Services Act. In base al servizio concretamente prestato, possono rendersi necessarie condizioni d’uso più articolate, procedure per la segnalazione dei contenuti illeciti, sistemi di reclamo, regole di moderazione, punti di contatto e specifici obblighi di trasparenza.
Un’autonoma valutazione è richiesta quando il prodotto incorpora sistemi di intelligenza artificiale. Il Regolamento (UE) 2024/1689, cosiddetto AI Act, differenzia gli obblighi in funzione della classificazione del sistema e del ruolo assunto dall’impresa, distinguendo, tra gli altri, il fornitore dall’utilizzatore professionale.
La documentazione potrà quindi comprendere informative agli utenti, istruzioni d’uso, valutazioni dei rischi, registrazioni tecniche, procedure di sorveglianza e accordi con i fornitori della tecnologia.
Ulteriori prescrizioni possono derivare dall’operatività nei settori finanziario, assicurativo, sanitario, alimentare, energetico o delle comunicazioni. In tali ambiti, gli esperti legali per start up devono verificare anche l’esistenza di autorizzazioni, requisiti professionali, comunicazioni alle autorità, avvertenze obbligatorie e procedure interne.
Il set documentale minimo deve quindi essere definito mediante un’analisi settoriale, evitando sia pericolose omissioni sia l’adozione di documenti standard estranei al concreto modello di business.
Servizi legali per start up: rivolgiti al nostro Studio
Il nostro Studio Legale presta assistenza in materia di diritto commerciale, contrattualistica d’impresa, protezione dei dati personali, proprietà intellettuale e diritto dell’innovazione. L’attività dello Studio comprende l’analisi del modello di business, la mappatura dei rischi, la predisposizione della documentazione necessaria al go-to-market e l’assistenza continuativa nelle successive fasi di crescita della start up.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
