Introduzione al segreto commerciale e GDPR

Ogni impresa custodisce qualcosa che non vuole mostrare.

La formula di un profumo, un brevetto in itinere, l’elenco dei clienti migliori, ovviamente le loro informazioni, oppure il peso che un algoritmo assegna a un ritardo di pagamento.

Il diritto chiama tutto questo segreto commerciale e lo protegge con la Direttiva 2016/943, recepita in Italia dal D.Lgs. 63/2018 che ha riscritto gli articoli 98 e 99 del Codice della proprietà industriale.

Poi arriva una persona qualunque. Non un concorrente, non una spia industriale. Un cliente, un ex dipendente, un candidato scartato.

Invoca l’articolo 15 del GDPR e chiede di sapere quali dati l’azienda tratta su di lui, perché, con quale logica ha deciso, chi li può vedere.

Lo specchio che il Regolamento mette in mano all’interessato rischia di riflettere anche il segreto. Ed è qui che molte imprese sbagliano, in entrambe le direzioni.

Il ruolo della Corte di giustizia e le risposte

La reazione più diffusa è la più comoda. “Si tratta di know-how aziendale, non possiamo fornire queste informazioni.” Una riga, e la pratica è chiusa.

Il GDPR non lo consente.

Il considerando 63 riconosce che l’accesso non deve ledere i diritti altrui, citando espressamente i segreti industriali e la proprietà intellettuale, ma aggiunge subito che tali considerazioni non possono tradursi nel rifiuto di fornire ogni informazione all’interessato.

L’articolo 15, paragrafo 4, limita il diritto alla copia quando questa pregiudichi diritti e libertà di terzi. Limita, non cancella.

Il segreto commerciale, in altre parole, è un argomento di bilanciamento che ogni Titolare, ma anche ogni DPO, deve tenere in considerazione.

Non è un lasciapassare, ma potrebbe rivelarsi un grimaldello.

Il 27 febbraio 2025 la Corte di giustizia ha messo un punto fermo con la sentenza C-203/22, Dun & Bradstreet Austria.

Il caso era banale nella sua origine: a una cittadina austriaca viene negato un contratto telefonico da pochi euro al mese per un punteggio di affidabilità creditizia calcolato in modo automatizzato. Chiede di capire come. L’operatore di scoring risponde che la logica è un segreto commerciale.

La Corte ha stabilito due cose. La prima: l’articolo 15, paragrafo 1, lettera h), dà diritto a una spiegazione della procedura e dei principi concretamente applicati, comprensibile per l’interessato.

Non la formula matematica, non il codice sorgente, ma neppure formule vaghe.

La persona deve poter capire quali suoi dati hanno pesato e in che modo, al punto da poter contestare la decisione.

La seconda è quella che dovrebbe interessare chiunque in azienda deve prendere decisioni sulla consegna di documenti o rivelazione di informazioni.

In particolare, laddove si ritiene che la spiegazione richiesta esponga segreti commerciali, il Titolare non può decidere da solo.

Deve trasmettere le informazioni all’autorità di controllo o al giudice competente, che effettua il bilanciamento caso per caso.

La norma austriaca che escludeva in via generale l’accesso in presenza di segreto commerciale è stata ritenuta incompatibile con il Regolamento.

Tradotto: il titolare non è arbitro della propria riservatezza. Può invocarla. Non può applicarla da sé.

A questo punto possiamo sostenere che il giurista ha finito il suo lavoro; ma comincia quello dell’impresa.

Perché la sentenza presuppone una cosa che nella pratica quasi nessuno ha: la capacità di distinguere, all’interno dei propri sistemi, ciò che è segreto da ciò che è dato personale dell’interessato.

Le due cose sono intrecciate.

Il punteggio assegnato a Mario Rossi è un suo dato personale.

Il peso che il modello attribuisce alla variabile “cambio di residenza negli ultimi due anni” è un segreto.

La spiegazione richiesta dalla Corte sta esattamente nel mezzo.

Chi non ha separato prima i due livelli si troverà, alla prima richiesta, davanti a un’alternativa sgradevole: dire troppo o dire niente.

Il primo errore costa il vantaggio competitivo. Il secondo costa una sanzione e, ormai, un precedente europeo contrario.

C’è poi un paradosso che merita attenzione.

L’articolo 98 del CPI protegge solo le informazioni sottoposte a misure ragionevolmente adeguate a mantenerle segrete.

Un’impresa che non sa dove siano i propri segreti, e quindi non sa cosa difendere davanti al Garante, difficilmente potrà dimostrare di averli protetti davanti al giudice civile.

La stessa disorganizzazione che rende ingestibile l’accesso rende fragile la tutela del segreto.

È il punto in cui una metodologia di governance diventa utile, purché non sia l’ennesima checklist.

Cybermetrica® parte da un presupposto semplice: un rischio che non si misura non si governa.

Applicata al conflitto tra accesso e segreto, la sequenza DECIMA™ (Dati, Esposizione, Contesto, Impatto, Misurazione, Azione) costringe a fare prima della richiesta ciò che altrimenti si improvvisa dopo.

Mappare quali dati alimentano ciascun processo decisionale.

Stimare quanto la loro spiegazione esponga logiche riservate.

Collocare il trattamento nel suo contesto, perché uno scoring creditizio non è una raccomandazione di prodotto.

Valutare l’impatto sull’interessato e sull’impresa.

Misurare il livello di dettaglio sostenibile.

Decidere in anticipo la risposta stratificata: cosa si dice a tutti, cosa si dice all’interessato, cosa si consegna solo all’autorità.

Il pilastro legale e quello tecnologico, qui, smettono di parlarsi per memo e cominciano a lavorare sullo stesso documento.

Forse è il momento di pensarci, prima di una improvvida richiesta, e fare almeno tre cose.

La prima è censire i processi decisionali automatizzati o semiautomatizzati e, per ciascuno, redigere una spiegazione comprensibile che non sveli i parametri riservati.

È il livello che la Corte esige verso l’interessato.

È poi necessario pensare a come documentare separatamente, e con un fascicolo pronto, la parte riservata: logiche, pesi, dataset.

È ciò che andrà eventualmente trasmesso al Garante o al giudice per il bilanciamento.

Infine, è necessario allineare la procedura di gestione delle richieste di accesso con le misure di protezione del segreto ex articolo 98 CPI.

Lo stesso inventario serve a due scopi.

Farlo due volte, con due uffici diversi, è il modo più costoso di farlo male.

Per anni le imprese hanno trattato il diritto di accesso come una seccatura amministrativa e il segreto commerciale come un tesoro da chiudere in cassaforte.

La giurisprudenza europea ci dice che le due cose stanno nella stessa stanza.

Chi ha messo ordine può mostrare lo specchio senza paura.

Chi non l’ha fatto scoprirà di non avere né un segreto né una difesa.

Il segreto meglio custodito è quello di cui si conosce esattamente il perimetro.

Gli altri sono solo disordine con un timbro di riservatezza.