La società a responsabilità limitata (SRL) è la forma più usata in Italia per fare impresa: unisce la responsabilità limitata dei soci a una grande flessibilità organizzativa. Questa guida completa spiega come funziona dalla A alla Z: costituzione, capitale, quote, soci, amministratori, controlli e scioglimento, con i rimandi agli approfondimenti su ogni aspetto.

Cos’è la SRL

La SRL è una società di capitali disciplinata dagli artt. 2462 e seguenti del codice civile. Il tratto distintivo è l’autonomia patrimoniale perfetta: per le obbligazioni sociali risponde soltanto la società con il suo patrimonio (art. 2462 c.c.). I soci, di regola, rischiano solo quanto hanno conferito: il loro patrimonio personale è al riparo (salvo eccezioni, come la SRL unipersonale che non rispetti certe regole, o ipotesi di responsabilità per mala gestio).

Come si costituisce

La SRL si costituisce con atto pubblico davanti a un notaio (art. 2463 c.c.), che redige atto costitutivo e statuto, e si perfeziona con l’iscrizione nel Registro delle Imprese presso la Camera di Commercio: solo con l’iscrizione la società acquista la personalità giuridica (art. 2331 c.c., richiamato per le SRL). Servono inoltre l’apertura della partita IVA e gli adempimenti di avvio (SCIA dove richiesta, PEC, ecc.).

Il capitale sociale e i conferimenti

Il capitale minimo è di 1 euro: la SRL può costituirsi con capitale da 1 a 9.999 euro (con regole particolari, come il versamento integrale in denaro e l’accantonamento a riserva) oppure con capitale pari o superiore a 10.000 euro (art. 2463, commi 4 e 5, c.c.). I conferimenti possono essere in denaro, in beni o in crediti (artt. 2464-2465 c.c.); per i conferimenti in natura serve una relazione di stima.

Le quote sociali

La partecipazione dei soci è rappresentata da quote (non da azioni): la quota è proporzionale al conferimento, salvo diversa pattuizione (art. 2468 c.c.). Le quote sono di regola liberamente trasferibili per atto tra vivi e a causa di morte (art. 2469 c.c.), ma lo statuto può prevedere limiti (clausole di prelazione, gradimento). Il trasferimento è efficace verso la società con il deposito al Registro delle Imprese (art. 2470 c.c.).

I soci e le decisioni

I soci hanno diritti amministrativi (voto, informazione, controllo: art. 2476, comma 2, c.c.) e patrimoniali (utili, quota di liquidazione). Le decisioni dei soci sono prese in assemblea o, se lo statuto lo consente, mediante consultazione scritta o consenso espresso per iscritto (art. 2479 c.c.). Al socio sono riservate per legge alcune decisioni fondamentali (approvazione del bilancio, modifiche statutarie, operazioni che incidono sui diritti dei soci).

Amministrazione e rappresentanza

La SRL può essere amministrata da un amministratore unico, da un consiglio di amministrazione o, se lo statuto lo prevede, in forma congiuntiva o disgiuntiva (art. 2475 c.c.). Gli amministratori hanno il potere di gestire l’impresa e di rappresentare la società (art. 2475-bis c.c.). La responsabilità degli amministratori verso la società, i creditori e i terzi è disciplinata dall’art. 2476 c.c.: devono agire con diligenza e nel rispetto della legge e dello statuto, anche istituendo assetti adeguati (art. 2086 c.c.).

L’organo di controllo

La nomina dell’organo di controllo o del revisore è obbligatoria al superamento di determinate soglie (art. 2477 c.c.): in sintesi, quando per due esercizi consecutivi si superano i limiti di attivo (4 milioni), ricavi (4 milioni) o dipendenti (20 occupati medi), o in altri casi previsti (es. obbligo di bilancio consolidato). Sotto le soglie, il controllo è facoltativo.

Modifiche, scioglimento e liquidazione

Le modifiche dell’atto costitutivo (tra cui l’aumento di capitale e la riduzione) sono decise dai soci con verbale notarile e iscritte al Registro. La SRL si scioglie per le cause dell’art. 2484 c.c. (tra cui l’impossibilità di conseguire l’oggetto, la riduzione del capitale sotto il minimo, la decisione dei soci), aprendo la fase di liquidazione con la nomina dei liquidatori.

SRL ordinaria, semplificata e unipersonale

Tipo	Caratteristiche
SRL ordinaria	Capitale da 1 €; statuto personalizzabile; atto notarile
SRL semplificata (SRLS)	Capitale 1-9.999 €; soci persone fisiche; statuto standard non modificabile; niente onorario notarile e imposta di bollo agevolati (art. 2463-bis c.c.)
SRL unipersonale	Un solo socio; responsabilità limitata se rispettati versamento integrale e pubblicità (art. 2462, c. 2)

Spunti pratici

• Cura lo statuto: è il “regolamento” della società (decisioni, quote, amministrazione). Approfondisci cosa deve contenere.
• Capitale 1 € non significa “gratis”: restano notaio, Registro, contributi e gestione; valuta un capitale adeguato all’attività.
• Definisci poteri e compensi degli amministratori fin dall’inizio per evitare conflitti.
• Monitora le soglie dell’organo di controllo (art. 2477): scattano su due esercizi consecutivi.
• Regola i rapporti tra soci con statuto e, se serve, patti parasociali.

Approfondimenti per area

Costituzione e struttura: statuto · oggetto sociale · denominazione · sede legale · domicilio digitale (PEC) · costi · SRL unipersonale · da ditta individuale a SRL

Capitale e quote: conferimenti · aumento di capitale · quote · cessione quote · pegno, usufrutto e sequestro di quote

Soci: diritti dei soci · assemblea · recesso · esclusione · morte del socio · patti parasociali

Amministratori e governance: nomina · revoca · dimissioni · poteri · compenso · responsabilità · conflitto di interessi · organo di controllo · libri sociali

Vicende e scioglimento: cause di scioglimento · liquidazione

Esempio pratico

Due soci aprono una SRL con capitale di 10.000 euro: dal notaio firmano atto costitutivo e statuto, iscrivono la società al Registro delle Imprese, aprono partita IVA e PEC. Nominano un amministratore unico con poteri definiti. Per le obbligazioni sociali risponde la società; i soci rischiano i 10.000 euro conferiti. Crescendo oltre le soglie dell’art. 2477, nomineranno l’organo di controllo.

Quando più persone garantiscono lo stesso debito si parla di confideiussione: tutte rispondono in solido verso il creditore, che può chiedere l’intero a una sola. Ma chi paga non resta da solo a sopportare il peso: ha regresso contro gli altri garanti e contro il debitore. Vediamo come funziona.

La confideiussione

Si ha confideiussione quando più persone prestano fideiussione per lo stesso debito. La regola è la solidarietà: ciascun confideiussore è obbligato per l’intero verso il creditore (art. 1946 c.c.), che può quindi rivolgersi a uno solo per l’intera somma, salvo che sia stato pattuito il beneficio della divisione.

Il beneficio della divisione

Il beneficio della divisione consente al confideiussore di chiedere che il creditore divida la propria azione tra i vari garanti, limitando la pretesa verso ciascuno alla rispettiva quota (art. 1946 c.c.). Non è automatico: di regola l’obbligazione è solidale, e il beneficio della divisione deve essere convenuto. In sua mancanza, il creditore può esigere tutto da uno solo.

Il regresso tra confideiussori (art. 1954)

Il confideiussore che ha pagato l’intero debito non sopporta da solo il peso: ha regresso contro gli altri confideiussori per le rispettive quote (art. 1954 c.c.). Le quote, salvo diversa pattuizione, si presumono uguali: chi paga oltre la propria quota recupera dagli altri l’eccedenza, pro quota. Se uno è insolvente, la sua quota si ripartisce tra gli altri.

Azione	Verso chi	Per quanto	Norma
Regresso	Debitore principale	Intero pagato + interessi e spese	art. 1950 c.c.
Surrogazione	Debitore (nei diritti del creditore)	Con le garanzie del credito	art. 1949 c.c.
Regresso tra garanti	Altri confideiussori	Pro quota	art. 1954 c.c.

Regresso e surrogazione verso il debitore

Oltre al regresso tra garanti, il confideiussore che paga conserva i rimedi verso il debitore principale: il regresso per l’intero pagato, con interessi e spese (art. 1950 c.c.), e la surrogazione nei diritti del creditore (art. 1949 c.c.), che gli fa acquistare anche le garanzie che assistevano il credito. Naturalmente il debitore principale resta il primo a dover sopportare, in via definitiva, il peso del debito.

Spunti pratici

• Sappi che rispondi per l’intero: la confideiussione è solidale (art. 1946 c.c.).
• Pattuisci il beneficio della divisione se vuoi limitare l’esposizione alla tua quota.
• Se paghi tutto, esercita il regresso pro quota sugli altri garanti (art. 1954 c.c.).
• Verso il debitore usa regresso (art. 1950 c.c.) e surrogazione (art. 1949 c.c.).
• Errore frequente: pagare l’intero e non attivare il regresso, sopportando da soli un peso da dividere.

Esempio pratico

Tizio, Caio e Sempronio garantiscono insieme un debito di 30.000 euro della società di un amico. La banca, in forza della solidarietà (art. 1946 c.c.), chiede l’intero a Tizio, che paga 30.000 euro. Tizio ha regresso pro quota contro Caio e Sempronio per 10.000 euro ciascuno (art. 1954 c.c.) e, verso il debitore principale, il regresso per l’intero (art. 1950 c.c.) con surrogazione nelle garanzie del credito (art. 1949 c.c.). Se Sempronio è insolvente, la sua quota si ripartisce tra Tizio e Caio.

La ripartizione interna del rischio

Tra i confideiussori il debito si ripartisce, salvo patto, in parti uguali. Chi paga oltre la propria quota recupera dagli altri l’eccedenza, ciascuno per la sua parte (art. 1954 c.c.). Se uno dei confideiussori è insolvente, la sua quota non grava interamente su chi ha pagato, ma si ripartisce proporzionalmente tra tutti gli altri solvibili: è il principio di solidarietà interna che evita di scaricare la perdita su un solo garante. Le parti possono però stabilire quote diverse, ad esempio in proporzione all’interesse di ciascuno nell’operazione garantita.

Regresso e surrogazione: due strumenti distinti

Il confideiussore che paga dispone, verso il debitore principale, di due rimedi che conviene tenere distinti. Il regresso (art. 1950 c.c.) è un’azione propria: gli spetta il rimborso di quanto pagato, con interessi e spese. La surrogazione (art. 1949 c.c.) gli fa invece acquistare i diritti del creditore verso il debitore, comprese le garanzie che assistevano il credito (ipoteche, pegni, privilegi). I due strumenti possono cumularsi: la surrogazione è spesso più vantaggiosa perché trasferisce anche le garanzie reali.

Quando la garanzia si estingue per tutti

Poiché la fideiussione è accessoria (art. 1939 c.c.), l’estinzione dell’obbligazione principale libera tutti i confideiussori. Vi sono poi cause di liberazione che operano a favore del singolo garante: la liberazione ex art. 1957 c.c. se il creditore non agisce contro il debitore entro sei mesi dalla scadenza, o il fatto del creditore che impedisce la surrogazione (art. 1955 c.c.). La liberazione di un confideiussore può riflettersi sugli altri nei limiti in cui ne risulti pregiudicato il regresso, secondo le regole dell’obbligazione solidale.

Ricevere dalla banca la richiesta di pagare come fideiussore non significa dover pagare senza discutere. Il garante ha eccezioni da opporre e cause di liberazione da far valere: dalla liberazione dell’art. 1957 c.c. alla nullità delle clausole dello schema ABI. Conta agire in fretta e nel modo giusto.

Perché la banca si rivolge a te

Il fideiussore garantisce l’adempimento di un’obbligazione altrui (art. 1936 c.c.) e, salvo patto diverso, è obbligato in solido con il debitore principale (art. 1944 c.c.). Se la fideiussione contiene la clausola “a prima richiesta” o la rinuncia al beneficio della preventiva escussione, la banca può chiedere il pagamento al garante senza prima aggredire il debitore.

Le eccezioni che puoi opporre

Il fideiussore può opporre al creditore tutte le eccezioni che spettano al debitore principale, salvo quella derivante dalla sua incapacità (art. 1945 c.c.): pagamento totale o parziale, prescrizione (artt. 2946 e 2948 c.c.), compensazione, vizi o nullità del contratto principale. Vi sono poi le eccezioni proprie della garanzia, come quelle sull’importo massimo (art. 1938 c.c.).

Le cause di liberazione

Causa	Quando opera	Norma
Liberazione per inazione	Il creditore non agisce contro il debitore entro 6 mesi dalla scadenza	art. 1957 c.c.
Fatto del creditore	Il creditore impedisce la surrogazione del fideiussore	art. 1955 c.c.
Nullità clausole ABI	La fideiussione riproduce lo schema censurato	artt. 1419-1339 c.c.
Estinzione del debito	Il debito principale è estinto	art. 1939 c.c. (accessorietà)

La liberazione dell’art. 1957 c.c. è particolarmente importante: il fideiussore è liberato se, scaduta l’obbligazione principale, il creditore non propone le sue istanze contro il debitore entro sei mesi. Molte fideiussioni cercavano di derogarla, ma è proprio questa la clausola colpita dalle pronunce sullo schema ABI.

Le clausole nulle dello schema ABI

Se la fideiussione riproduce le clausole dello schema ABI – reviviscenza, deroga all’art. 1957 c.c., sopravvivenza – il garante può eccepirne la nullità parziale. Le Sezioni Unite della Cassazione, con la sentenza n. 41994 del 30 dicembre 2021, hanno stabilito che è nulla solo la parte che riproduce quelle clausole (artt. 1419 e 1339 c.c.), mentre il resto della garanzia resta valido. L’effetto pratico più rilevante è che, caduta la deroga, torna a operare la liberazione dell’art. 1957 c.c.

Cosa fare in concreto

Se ricevi una richiesta o un decreto ingiuntivo, verifica subito: il testo della fideiussione (clausole ABI, importo massimo), i tempi dell’azione della banca (art. 1957 c.c.), eventuali pagamenti. In caso di decreto, valuta l’opposizione entro 40 giorni (art. 645 c.p.c.): il termine è perentorio.

Spunti pratici

• Leggi la fideiussione: cerca le clausole ABI e l’importo massimo (art. 1938 c.c.).
• Controlla i tempi: se la banca non ha agito entro 6 mesi dalla scadenza, valuta l’art. 1957 c.c.
• Opponi le eccezioni del debitore (art. 1945 c.c.): pagamento, prescrizione, nullità.
• Se c’è un decreto ingiuntivo, non lasciar scadere i 40 giorni (art. 645 c.p.c.).
• Errore frequente: pagare a prima richiesta senza verificare clausole nulle e liberazione ex art. 1957 c.c.

Esempio pratico

La banca chiede a Tizio, fideiussore della società di Caio, il pagamento del debito, notificandogli un decreto ingiuntivo. Tizio verifica che la garanzia riproduce lo schema ABI e che la banca ha agito oltre sei mesi dalla scadenza. Propone opposizione entro 40 giorni (art. 645 c.p.c.) eccependo la nullità parziale delle clausole ABI (Cass. Sez. Un. n. 41994/2021; artt. 1419-1339 c.c.) e, caduta la deroga, la liberazione dell’art. 1957 c.c. La sua esposizione si riduce o si azzera.

Solidarietà e beneficio della preventiva escussione

Di regola il fideiussore è obbligato in solido con il debitore (art. 1944 c.c.): la banca può chiedergli il pagamento senza prima aggredire il debitore. Solo se è stato espressamente pattuito il beneficio della preventiva escussione, il fideiussore può pretendere che il creditore agisca prima sul debitore, indicandone i beni da escutere. Nelle fideiussioni bancarie standard questo beneficio è quasi sempre escluso, e spesso è presente la clausola “a prima richiesta”: di qui la richiesta di pagamento diretta al garante.

Verificare l’importo massimo garantito

Nelle fideiussioni per obbligazioni future, come la omnibus, la legge impone l’indicazione dell’importo massimo garantito (art. 1938 c.c.). È una tutela essenziale: senza il tetto, la garanzia per la parte eccedente non è valida. Ricevuta la richiesta, conviene quindi controllare se l’importo preteso rientra nel massimale e se questo è stato correttamente indicato nel contratto. Un massimale assente o indeterminato è un argomento di difesa di peso.

Il regresso dopo il pagamento

Se il fideiussore paga, non resta senza tutela: ha regresso contro il debitore principale per quanto versato, con interessi e spese (art. 1950 c.c.), ed è surrogato nei diritti del creditore (art. 1949 c.c.), comprese le garanzie. Prima di pagare, però, è opportuno avvisare il debitore (art. 1952 c.c.): se il fideiussore paga senza avvertirlo e il debitore aveva mezzi per far dichiarare estinto il debito, può vedersi opporre tali eccezioni. Pagare in modo informato protegge il successivo regresso.

La fideiussione omnibus impegna a garantire tutti i debiti, anche futuri, del debitore verso la banca. Ma non è una trappola senza uscita: il fideiussore può recedere, fermando la garanzia per il futuro. Il recesso, però, non cancella i debiti già maturati: va fatto al momento giusto e nel modo giusto.

Cos’è la fideiussione omnibus

La fideiussione omnibus è la garanzia con cui il fideiussore si obbliga per tutti i debiti, presenti e futuri, del debitore principale verso la banca. Poiché copre obbligazioni future, la legge impone un limite: deve essere previsto l’importo massimo garantito (art. 1938 c.c.). Senza questo tetto, la garanzia non è valida per la parte eccedente.

Il diritto di recesso

Proprio perché garantisce obbligazioni future, la fideiussione omnibus può essere oggetto di recesso da parte del fideiussore. Il recesso impedisce che la garanzia copra i nuovi debiti che sorgeranno dopo, ma non libera dai debiti già esistenti al momento in cui produce effetto. È lo strumento per “chiudere il rubinetto” verso il futuro.

Profilo	Disciplina	Norma
Oggetto	Debiti presenti e futuri verso la banca	–
Importo massimo	Obbligatorio per le obbligazioni future	art. 1938 c.c.
Recesso	Ferma la garanzia per i debiti successivi	–
Debiti anteriori	Restano garantiti	–

Come comunicare il recesso

Il recesso ha effetto dal momento in cui la banca ne ha conoscenza: va quindi comunicato con un atto a data certa – PEC o raccomandata A/R. È prudente conservare la prova della ricezione, perché è la data del recesso a separare i debiti garantiti (anteriori) da quelli non garantiti (posteriori).

Le altre vie d’uscita

Oltre al recesso, il fideiussore può puntare su altre cause di liberazione: la liberazione ex art. 1957 c.c., per cui il garante è liberato se il creditore non agisce contro il debitore entro sei mesi dalla scadenza (a meno che una clausola valida l’abbia derogata); la nullità delle clausole dello schema ABI (reviviscenza, deroga al 1957, sopravvivenza); l’estinzione del debito garantito. Sono strade da valutare insieme al recesso.

Spunti pratici

• Verifica l’importo massimo: senza tetto la garanzia per i debiti futuri non è valida (art. 1938 c.c.).
• Recedi per iscritto con PEC o raccomandata A/R: conta la data di conoscenza da parte della banca.
• Sappi cosa resta: il recesso non libera dai debiti già maturati.
• Valuta l’art. 1957 c.c. e la nullità delle clausole ABI come ulteriori leve.
• Errore frequente: credere che il recesso cancelli ogni obbligo, anche quello sui debiti già in essere.

Esempio pratico

Tizio ha prestato fideiussione omnibus per i debiti della società di Caio verso la banca, con importo massimo indicato (art. 1938 c.c.). Deciso a non garantire più nuove esposizioni, Tizio invia il recesso via PEC: da quel momento i nuovi fidi concessi a Caio non sono coperti. Restano invece garantiti i debiti già in essere alla data del recesso, salvo che operino altre cause di liberazione, come quella dell’art. 1957 c.c.

La fideiussione omnibus e l’importo massimo

La omnibus copre tutti i debiti, anche futuri, del debitore verso la banca. Proprio perché abbraccia obbligazioni future, deve indicare l’importo massimo garantito (art. 1938 c.c.): è la condizione di validità della garanzia per la parte eccedente. Prima di pensare al recesso, conviene quindi verificare il contratto: l’assenza o l’indeterminatezza del massimale è di per sé un vizio rilevante, che riduce o azzera l’esposizione del garante.

Recesso e debiti già in essere

Il recesso ferma la garanzia per il futuro, ma non scioglie il garante dai debiti già sorti al momento in cui produce effetto. Per quelle esposizioni il fideiussore resta obbligato, salvo che operino altre cause di liberazione. Tra queste, la più importante è la liberazione dell’art. 1957 c.c.: il garante è liberato se, scaduta l’obbligazione, il creditore non agisce contro il debitore entro sei mesi. È la tutela che molte clausole ABI cercavano di derogare e che, caduta la clausola, torna a operare.

Le clausole nulle come ulteriore leva

Chi vuole “uscire” da una fideiussione omnibus dovrebbe esaminare il testo anche alla ricerca delle clausole dello schema ABI – reviviscenza, deroga all’art. 1957 c.c., sopravvivenza – che la giurisprudenza di legittimità a Sezioni Unite considera affette da nullità parziale (artt. 1419 e 1339 c.c.). Eliminata, in particolare, la deroga all’art. 1957 c.c., il garante riacquista la liberazione per inazione del creditore. Recesso, importo massimo, art. 1957 c.c. e nullità delle clausole sono leve da usare insieme, valutando il caso concreto.

Moltissime fideiussioni omnibus firmate in banca ricalcano un modello standard (lo “schema ABI” del 2003) che conteneva clausole giudicate frutto di un’intesa anticoncorrenziale. Sapere quali sono e come contestarle può alleggerire sensibilmente la posizione del garante.

Il problema: lo schema ABI e l’antitrust

Nel 2005 la Banca d’Italia, allora autorità di tutela della concorrenza nel settore bancario, con il provvedimento n. 55 del 2 maggio 2005 accertò che alcune clausole dello schema contrattuale ABI per le fideiussioni omnibus erano in contrasto con l’art. 2 della legge 10 ottobre 1990, n. 287 (divieto di intese restrittive della concorrenza). In sostanza, le banche applicavano in modo uniforme clausole sfavorevoli al garante, frutto di un’intesa vietata.

Le tre clausole “incriminate”

Le clausole censurate sono tre, corrispondenti agli articoli 2, 6 e 8 dello schema:

• Clausola di reviviscenza: obbliga il fideiussore a “tenere indenne” la banca anche se i pagamenti già ricevuti dal debitore vengono successivamente dichiarati inefficaci o revocati (ad esempio per revocatoria nel quadro della crisi d’impresa). In pratica la garanzia “rivive” dopo essere stata estinta.
• Deroga all’art. 1957 c.c.: priva il fideiussore della liberazione prevista dall’art. 1957 c.c., per cui il garante resta obbligato dopo la scadenza dell’obbligazione principale solo se il creditore agisce contro il debitore entro sei mesi. La clausola elimina questa tutela.
• Clausola di sopravvivenza: mantiene ferma l’obbligazione del fideiussore anche quando l’obbligazione principale è dichiarata invalida, in deroga al principio di accessorietà dell’art. 1939 c.c.

Clausola	Cosa fa	Norma derogata
Reviviscenza	La garanzia “rivive” dopo pagamenti revocati	–
Deroga art. 1957	Elimina la liberazione del fideiussore	art. 1957 c.c.
Sopravvivenza	Garanzia ferma anche se l’obbligazione è invalida	art. 1939 c.c.

La svolta: Cassazione Sezioni Unite n. 41994/2021

Dopo anni di contrasti, le Sezioni Unite della Corte di Cassazione, con la sentenza n. 41994 del 30 dicembre 2021, hanno stabilito che le fideiussioni omnibus che riproducono le clausole dello schema ABI sono affette da nullità parziale: è nulla solo la parte del contratto che riproduce quelle clausole, mentre la fideiussione resta valida ed efficace per il resto (applicando i principi sulla nullità parziale degli artt. 1419 e 1339 c.c.), salvo che risulti una diversa volontà delle parti.

Le Sezioni Unite hanno escluso sia la nullità totale del contratto, sia la mera tutela risarcitoria: la soluzione è quella, intermedia, della nullità parziale. Per il garante è un risultato concreto, perché elimina proprio le clausole più penalizzanti, ad esempio la deroga all’art. 1957 c.c.

Come contestarle

Le clausole nulle si fanno valere tipicamente in opposizione a decreto ingiuntivo (art. 645 c.p.c.), entro 40 giorni dalla notifica, oppure con un’autonoma azione di accertamento della nullità parziale. La nullità è rilevabile e, trattandosi di nullità, non è soggetta ai termini di decadenza propri dell’annullabilità. Occorre dimostrare che il contratto riproduce le clausole dello schema censurato.

Spunti pratici

• Confronta il tuo contratto con lo schema ABI: cerca reviviscenza, deroga al 1957 e sopravvivenza.
• Se hai ricevuto un decreto ingiuntivo, fai valere la nullità in opposizione entro 40 giorni (art. 645 c.p.c.).
• Ricorda la nullità parziale: cadono le clausole, non l’intera garanzia (Cass. Sez. Un. n. 41994/2021; artt. 1419-1339 c.c.).
• Punta sull’art. 1957 c.c.: senza la clausola di deroga, la liberazione del fideiussore torna a operare.
• Errore frequente: pretendere la nullità totale del contratto; le Sezioni Unite l’hanno esclusa.

Esempio pratico

Tizio ha firmato una fideiussione omnibus a garanzia dei debiti della società di Caio verso la banca. La banca gli notifica un decreto ingiuntivo. Tizio propone opposizione (art. 645 c.p.c.) eccependo la nullità delle clausole di reviviscenza, deroga all’art. 1957 c.c. e sopravvivenza, riprodotte dallo schema ABI. In linea con Cass. Sez. Un. n. 41994/2021, il giudice dichiara la nullità parziale (artt. 1419-1339 c.c.): cadono quelle clausole e, in particolare, torna applicabile la liberazione dell’art. 1957 c.c.

Perché la nullità è solo parziale

La scelta della nullità parziale non è casuale. Le Sezioni Unite hanno preferito questa soluzione, tra le tre prospettate (nullità totale, nullità parziale, sola tutela risarcitoria), perché è quella che meglio realizza gli scopi della normativa antitrust: colpisce le clausole frutto dell’intesa vietata, ma conserva la garanzia per il resto, evitando di liberare del tutto il fideiussore. Si applicano i meccanismi degli artt. 1419 e 1339 c.c.: cade la singola clausola, il contratto resta in piedi, salvo che risulti che le parti non lo avrebbero concluso senza quella parte.

Onere della prova e prova privilegiata

Chi eccepisce la nullità deve dimostrare che la fideiussione riproduce le clausole dello schema censurato. Il provvedimento di Banca d’Italia n. 55/2005 costituisce un riferimento importante in questo senso, perché attesta l’esistenza dell’intesa anticoncorrenziale negli anni in cui lo schema era diffuso. Per le fideiussioni successive al 2005, la giurisprudenza richiede comunque di verificare in concreto la riproduzione delle clausole e la persistenza degli effetti dell’intesa: la nullità non è automatica per ogni garanzia, ma va ancorata al testo.

Gli effetti pratici per il garante

L’effetto più rilevante è il recupero della liberazione dell’art. 1957 c.c.: senza la clausola di deroga, il fideiussore è liberato se il creditore non agisce contro il debitore entro sei mesi dalla scadenza. Cadono anche la reviviscenza, che faceva “tornare in vita” la garanzia dopo pagamenti revocati, e la sopravvivenza, che la teneva ferma anche a fronte di un’obbligazione principale invalida, in deroga all’accessorietà (art. 1939 c.c.). Per il garante, in concreto, può significare ridurre o azzerare la pretesa della banca.

In sintesi

• Quali sono: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione (artt. 15-22 GDPR).
• Termine: l’impresa deve rispondere senza ritardo e comunque entro un mese.
• Gratuità: l’esercizio dei diritti è di regola gratuito.
• Procedura: serve un processo interno per ricevere, verificare ed evadere le richieste.

I diritti previsti dal GDPR

Gli interessati (clienti, dipendenti, utenti) hanno una serie di diritti che il titolare deve garantire: diritto di accesso ai propri dati (art. 15), di rettifica (art. 16), di cancellazione o “oblio” (art. 17), di limitazione del trattamento (art. 18), alla portabilità dei dati (art. 20), di opposizione (art. 21) e di non essere sottoposti a decisioni automatizzate, compresa la profilazione, con effetti significativi (art. 22).

Il punto di vista dell’impresa

Per l’impresa questi diritti si traducono in un obbligo: ricevere le richieste, verificarle e dare seguito. Non è sufficiente conoscerli in astratto; serve un processo concreto. Per questo le informative devono indicare come esercitare i diritti e fornire un contatto dedicato (email o modulo), e il personale deve sapere come gestire le richieste.

I termini di risposta

Il titolare deve fornire riscontro senza ingiustificato ritardo e comunque entro un mese dalla richiesta (art. 12 GDPR). Il termine può essere prorogato di due mesi per richieste complesse o numerose, informando l’interessato. Se non dà seguito, deve comunque informare l’interessato delle ragioni e della possibilità di reclamo al Garante.

Verifica dell’identità e gratuità

Prima di rispondere, il titolare deve accertarsi ragionevolmente dell’identità del richiedente, per non comunicare dati alla persona sbagliata. L’esercizio dei diritti è in linea di principio gratuito; solo per richieste manifestamente infondate o eccessive (ripetitive) si può chiedere un contributo o rifiutare, motivando.

Limiti ai diritti

I diritti non sono assoluti: ad esempio la cancellazione può essere rifiutata se i dati servono per adempiere a un obbligo legale (come la conservazione delle fatture) o per accertare/esercitare un diritto in giudizio. È importante saper distinguere quando il diritto va soddisfatto e quando, motivatamente, prevale un’altra esigenza.

Esempio pratico

Un ex cliente chiede a una SRL la cancellazione dei suoi dati. La SRL verifica l’identità, cancella i dati di marketing, ma conserva i dati fiscali e contabili che la legge le impone di mantenere, spiegando all’interessato il motivo. Risponde entro un mese e, in caso di rifiuto parziale, indica la possibilità di rivolgersi al Garante.

In sintesi

• Consenso valido: libero, specifico, informato e inequivocabile (art. 7 GDPR).
• Marketing: l’invio di comunicazioni promozionali richiede di regola il consenso preventivo.
• Soft spam: eccezione per email a propri clienti su prodotti analoghi, con possibilità di opporsi.
• Revoca: il consenso si revoca facilmente come lo si è dato; ogni email deve permettere la disiscrizione.

Il consenso valido

Per le attività di marketing il GDPR richiede, di regola, un consenso che sia libero, specifico, informato e inequivocabile, manifestato con una chiara azione positiva (art. 4, n. 11, e art. 7 GDPR). Niente caselle pre-spuntate, niente consenso “forzato” o accorpato ad altro: l’utente deve poter scegliere consapevolmente di ricevere comunicazioni promozionali.

Email marketing e newsletter

L’invio di email promozionali e newsletter rientra tra le comunicazioni indesiderate disciplinate anche dall’art. 130 del Codice Privacy: serve il consenso preventivo del destinatario. Il consenso al marketing va tenuto distinto da quello per altre finalità (es. profilazione), che richiede una base separata e specifica.

L’eccezione del soft spam

Esiste una deroga, il cosiddetto soft spam (art. 130, comma 4, Codice Privacy): l’impresa può inviare email promozionali su propri prodotti o servizi analoghi a quelli già acquistati, agli indirizzi forniti dal cliente in occasione della vendita, purché il cliente non si sia opposto e gli sia data, in ogni messaggio, la possibilità di opporsi facilmente. Vale solo per clienti propri e prodotti analoghi.

La revoca e la disiscrizione

Il consenso deve poter essere revocato in qualsiasi momento, con la stessa facilità con cui è stato prestato (art. 7, par. 3, GDPR). In concreto, ogni comunicazione di marketing deve contenere un meccanismo semplice di disiscrizione (link di unsubscribe). La revoca non pregiudica la liceità del trattamento prima effettuato.

La prova del consenso

Il titolare deve poter dimostrare che l’interessato ha prestato il consenso (art. 7, par. 1). È quindi necessario conservare prova di quando e come è stato raccolto (es. log dell’iscrizione, doppio opt-in). Anche qui vale l’accountability: senza prova del consenso, il trattamento di marketing è a rischio di sanzione.

Esempio pratico

Una SRL raccoglie iscrizioni alla newsletter con consenso specifico e doppio opt-in, conservando la prova. Ai clienti che hanno già acquistato invia, in soft spam, offerte su prodotti analoghi, con il link di disiscrizione in ogni email. Chi si oppone viene immediatamente rimosso dalle liste.

In sintesi

• Regola: trasferire dati fuori dall’UE è ammesso solo con adeguate garanzie (artt. 44 ss. GDPR).
• Adeguatezza: verso Paesi che la Commissione UE ritiene garantiscano un livello adeguato.
• SCC: in mancanza, si usano le clausole contrattuali standard approvate dalla Commissione.
• Attenzione: anche usare fornitori cloud extra-UE è un trasferimento da disciplinare.

Quando c’è un trasferimento extra-UE

Si ha un trasferimento verso un Paese terzo ogni volta che dati personali vengono inviati, resi accessibili o conservati fuori dallo Spazio economico europeo. Accade più spesso di quanto si pensi: usare un fornitore di cloud, di email o di servizi con server o società madre extra-UE comporta, di regola, un trasferimento da disciplinare.

La decisione di adeguatezza

Il trasferimento è libero verso i Paesi per i quali la Commissione europea ha adottato una decisione di adeguatezza, cioè ha riconosciuto un livello di protezione dei dati adeguato (art. 45 GDPR). In questi casi non servono garanzie ulteriori. L’elenco dei Paesi adeguati è aggiornato dalla Commissione.

Le garanzie adeguate (SCC)

In assenza di adeguatezza, il trasferimento è possibile solo se il titolare fornisce garanzie adeguate (art. 46 GDPR): le più usate sono le clausole contrattuali standard (Standard Contractual Clauses, SCC) approvate dalla Commissione, ma rientrano qui anche le norme vincolanti d’impresa (BCR) per i gruppi. Spesso è necessario affiancare alle SCC una valutazione del contesto del Paese di destinazione e misure supplementari.

Le deroghe (art. 49)

In casi specifici e residuali, il trasferimento è ammesso in deroga (art. 49 GDPR): ad esempio con il consenso esplicito e informato dell’interessato, o quando è necessario per l’esecuzione di un contratto con l’interessato. Sono eccezioni da usare con prudenza, non come regola per i flussi ordinari di dati.

Cosa deve fare l’impresa

In pratica: mappare quali fornitori comportano un trasferimento extra-UE; verificare se il Paese è “adeguato”; in caso contrario, assicurarsi che siano in essere le SCC o altre garanzie e, dove richiesto, le misure supplementari; documentare tutto (anche nel registro dei trattamenti e nelle informative). È un punto su cui il Garante e le autorità europee sono particolarmente attenti.

Esempio pratico

Una SRL usa un servizio di email marketing con sede negli Stati Uniti. Verifica se il fornitore aderisce a un meccanismo che lo rende “adeguato”; in mancanza, sottoscrive le clausole contrattuali standard e valuta misure aggiuntive. Indica il trasferimento nell’informativa e lo annota nel registro dei trattamenti.

In sintesi

• Cosa sono: i cookie e gli identificatori che memorizzano informazioni sul dispositivo dell’utente.
• Due categorie: cookie tecnici (no consenso) e cookie di profilazione/terze parti (consenso).
• Banner: deve consentire di accettare, rifiutare e scegliere, senza pratiche scorrette.
• Cookie policy: l’informativa specifica sui cookie, distinta dalla privacy policy generale.

La disciplina dei cookie

L’uso di cookie e identificatori sul sito è regolato dall’art. 122 del Codice Privacy (in attuazione della direttiva ePrivacy) e dalle Linee guida del Garante sui cookie. La regola di fondo: memorizzare informazioni sul dispositivo dell’utente o accedervi è ammesso solo con il suo consenso, salvo i cookie strettamente necessari.

Cookie tecnici e di profilazione

I cookie tecnici (necessari al funzionamento del sito, alla navigazione, a fornire un servizio richiesto, e i cookie analitici equiparati a determinate condizioni) non richiedono il consenso, ma vanno comunque indicati nell’informativa. I cookie di profilazione e quelli di terze parti (marketing, tracciamento pubblicitario) richiedono invece il consenso libero, specifico e informato dell’utente.

Il banner dei cookie

Al primo accesso il sito deve mostrare un banner che consenta all’utente di: accettare tutti i cookie, rifiutarli (chiudere il banner senza scelta non equivale al consenso) e gestire le preferenze. Sono vietate pratiche scorrette come i “dark pattern” che spingono ad accettare. Il consenso va conservato e deve essere revocabile facilmente.

La cookie policy

Oltre al banner, il sito deve avere una cookie policy: un’informativa specifica che elenca i cookie utilizzati, la loro finalità, la durata e le terze parti coinvolte, con le istruzioni per gestire o revocare il consenso. È distinta (anche se collegata) dalla privacy policy generale del sito.

Cosa rischia chi non è a norma

Un sito che installa cookie di profilazione senza valido consenso, o con banner non conformi, espone l’impresa a reclami e a sanzioni del Garante, che ha più volte sanzionato banner scorretti. Per un sito aziendale con analytics e marketing è quindi importante configurare correttamente il sistema di gestione del consenso.

Esempio pratico

Una SRL ha un sito con Google Analytics e pixel pubblicitari. Configura un banner che permette di accettare, rifiutare e personalizzare; i cookie di marketing si attivano solo dopo il consenso; pubblica una cookie policy che elenca i cookie e le terze parti, con il link per cambiare idea. Così il sito è a norma e il consenso è documentabile.

In sintesi

• Cos’è: l’analisi preventiva dei rischi di un trattamento ad alto rischio per gli interessati (art. 35 GDPR).
• Quando: obbligatoria quando il trattamento può presentare un rischio elevato.
• Contenuto: descrizione del trattamento, necessità e proporzionalità, rischi e misure.
• Privacy by design: la DPIA è parte della protezione dei dati fin dalla progettazione (art. 25).

Cos’è la DPIA

La valutazione d’impatto sulla protezione dei dati (DPIA, dall’inglese Data Protection Impact Assessment) è l’analisi preventiva con cui il titolare valuta i rischi di un trattamento per i diritti e le libertà delle persone e individua le misure per mitigarli (art. 35 GDPR). Va svolta prima di avviare il trattamento, quando questo può presentare un rischio elevato.

Quando è obbligatoria

La DPIA è richiesta in particolare nei casi di: valutazione sistematica e globale di aspetti personali basata su trattamento automatizzato (profilazione) con effetti significativi; trattamento su larga scala di dati particolari (salute, opinioni, ecc.) o relativi a condanne penali; monitoraggio sistematico su larga scala di zone accessibili al pubblico. Il Garante pubblica un elenco di trattamenti che la richiedono.

Come si svolge

La DPIA contiene almeno: una descrizione sistematica del trattamento e delle sue finalità; una valutazione della necessità e proporzionalità rispetto agli scopi; una valutazione dei rischi per gli interessati; le misure previste per affrontare i rischi e dimostrare la conformità. Dove è nominato, il DPO va consultato. È un documento vivo, da rivedere se il trattamento cambia.

Il legame con privacy by design

La DPIA è strettamente collegata ai principi di protezione dei dati fin dalla progettazione e per impostazione predefinita (privacy by design e by default, art. 25 GDPR): le misure di tutela vanno pensate quando si progetta un nuovo prodotto, servizio o software, non aggiunte dopo. La DPIA è lo strumento per farlo in modo strutturato sui trattamenti rischiosi.

La consultazione preventiva

Se, nonostante le misure individuate, la DPIA indica che il trattamento presenterebbe comunque un rischio elevato, il titolare deve consultare preventivamente il Garante prima di procedere (art. 36 GDPR). È un passaggio eccezionale, ma previsto per i casi di rischio residuo non gestibile autonomamente.

Esempio pratico

Una SRL vuole introdurre un sistema di profilazione dei clienti per offerte mirate su larga scala. Prima di attivarlo svolge una DPIA: descrive il trattamento, valuta necessità e rischi (es. decisioni automatizzate), definisce misure (trasparenza, minimizzazione, possibilità di opporsi). Coinvolge il DPO e, se il rischio resta elevato, consulta il Garante.

In sintesi

• Cos’è: una violazione di sicurezza che comporta distruzione, perdita, modifica o accesso non autorizzato ai dati.
• Notifica al Garante: entro 72 ore dalla conoscenza, salvo rischio improbabile per gli interessati (art. 33).
• Comunicazione agli interessati: se il rischio è elevato, vanno avvisati senza ritardo (art. 34).
• Registro: tutte le violazioni vanno documentate, anche quelle non notificate.

Cos’è un data breach

Il data breach è una violazione di sicurezza che comporta accidentalmente o illecitamente la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trattati (art. 4, n. 12, GDPR). Esempi: furto di un laptop o di credenziali, attacco ransomware, invio di una mail con dati alla persona sbagliata, smarrimento di documenti.

La valutazione del rischio

Di fronte a una violazione, il titolare deve valutarne le conseguenze per gli interessati: la natura dei dati, il numero di persone coinvolte, la gravità e la probabilità dei danni. Da questa valutazione dipendono gli obblighi: notifica al Garante e/o comunicazione agli interessati. La valutazione va fatta rapidamente e documentata.

La notifica al Garante (72 ore)

Se la violazione comporta un rischio per i diritti e le libertà delle persone, il titolare deve notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza (art. 33). Se la notifica avviene dopo le 72 ore, va motivato il ritardo. Solo se è improbabile che la violazione presenti un rischio si può evitare la notifica.

La comunicazione agli interessati

Quando la violazione comporta un rischio elevato per i diritti e le libertà delle persone, il titolare deve comunicarla anche agli interessati, senza ingiustificato ritardo e con un linguaggio chiaro (art. 34), indicando natura della violazione, possibili conseguenze e misure adottate. La comunicazione non è dovuta se i dati erano, ad esempio, cifrati in modo da renderli incomprensibili.

Il registro delle violazioni

Il titolare deve documentare tutte le violazioni, comprese quelle che ha deciso di non notificare, indicando circostanze, effetti e provvedimenti adottati (art. 33, par. 5). Questo registro consente al Garante di verificare la correttezza delle valutazioni ed è parte dell’accountability. È bene avere una procedura interna pronta prima che il problema accada.

Esempio pratico

Una SRL subisce un attacco che cifra i dati dei clienti (ransomware). Il titolare valuta il rischio, notifica al Garante entro 72 ore, e poiché il rischio è elevato comunica l’accaduto ai clienti spiegando misure e raccomandazioni. Annota tutto nel registro delle violazioni, compresi i passi compiuti per ripristinare la sicurezza.

In sintesi

• Titolare: chi decide finalità e mezzi del trattamento (l’impresa).
• Responsabile del trattamento: chi tratta i dati per conto del titolare (art. 28), es. il fornitore IT.
• DPO: il Responsabile della protezione dei dati, figura di controllo e consulenza (artt. 37-39).
• Attenzione: responsabile del trattamento e DPO sono ruoli diversi, da non confondere.

I tre ruoli da non confondere

Il GDPR distingue tre figure spesso confuse: il titolare del trattamento (l’impresa, che decide finalità e mezzi), il responsabile del trattamento (chi tratta i dati per conto del titolare) e il DPO o Responsabile della protezione dei dati (figura indipendente di controllo). Chiarire i ruoli è essenziale per impostare correttamente la compliance.

Il responsabile del trattamento (art. 28)

Il responsabile del trattamento è il soggetto esterno che tratta dati personali per conto del titolare: ad esempio il fornitore del gestionale, il provider di posta o cloud, il consulente paghe, l’agenzia di marketing. Il rapporto deve essere regolato da un contratto o atto giuridico (art. 28 GDPR) che disciplini oggetto, durata, finalità, obblighi di sicurezza e riservatezza, e il destino dei dati a fine rapporto.

Il DPO (artt. 37-39)

Il DPO (Data Protection Officer) è una figura di sorveglianza e consulenza: informa e assicura la conformità, fa da punto di contatto con il Garante e con gli interessati, sorveglia il rispetto del GDPR. Deve essere indipendente, non in conflitto di interessi, e dotato di competenze specialistiche. Può essere interno o esterno.

Quando il DPO è obbligatorio

La nomina del DPO è obbligatoria (art. 37) quando: il trattamento è svolto da un’autorità o un organismo pubblico; le attività principali del titolare consistono in trattamenti che richiedono un monitoraggio regolare e sistematico degli interessati su larga scala; oppure consistono nel trattamento su larga scala di dati particolari (salute, ecc.) o relativi a condanne penali. Fuori da questi casi è facoltativo, ma può essere consigliabile.

Le nomine

L’impresa deve quindi: nominare per iscritto i responsabili del trattamento (i fornitori che trattano dati), con il contratto ex art. 28; designare le persone autorizzate al trattamento (i dipendenti che usano i dati), con istruzioni; e, se obbligata o se lo ritiene opportuno, nominare il DPO comunicandone i dati al Garante. Le nomine fanno parte della documentazione di accountability.

Esempio pratico

Una SRL (titolare) usa un gestionale in cloud e un consulente paghe: entrambi sono responsabili del trattamento e vanno nominati con contratto ex art. 28. I dipendenti che accedono ai dati sono “autorizzati” con istruzioni. Se la SRL non rientra nei casi obbligatori, può scegliere se nominare comunque un DPO esterno per presidiare la conformità.