Reverse engineering e segreti commerciali: limiti e contratti
A cura dell’Avv. Carmine Coviello — Studio Legale Coviello, proprietà intellettuale e tutela dell’innovazione. Aggiornato al 14 ottobre 2026.
Il reverse engineering non è automaticamente illecito: nell’Unione europea lo studio di un prodotto disponibile al pubblico o lecitamente posseduto può essere una modalità lecita di acquisizione di informazioni, se non esiste un valido obbligo che lo limiti. Questo non autorizza però a violare brevetti, design, copyright o contratti, né ad accedere abusivamente a dati riservati. Prima di consegnare un campione o avviare un’analisi tecnica, l’impresa deve separare tre domande: come si acquisiscono le informazioni, quali diritti proteggono il prodotto e che uso verrà fatto dei risultati.
Che cosa significa reverse engineering per un’impresa
L’ingegneria inversa parte da un prodotto o da un sistema già esistente per comprenderne caratteristiche e funzionamento. Per un’impresa può servire a verificare prestazioni, compatibilità, qualità di una fornitura o possibilità di manutenzione. Il problema giuridico non dipende soltanto dall’etichetta data al progetto: conta il percorso seguito per ottenere il materiale, il rapporto con il proprietario delle informazioni e il successivo impiego delle conoscenze.
Una scheda acquistata sul mercato, un prototipo ricevuto per una prova riservata e un disegno tecnico inviato per un preventivo non sono situazioni equivalenti. Il team tecnico potrebbe usare gli stessi strumenti, ma il titolo di accesso e gli obblighi cambiano. Per questo una valutazione preliminare deve leggere insieme ordine, condizioni di vendita, NDA, licenza, comunicazioni e verbale di consegna, prima di autorizzare il lavoro.
Quando lo studio di un prodotto è lecito secondo le regole UE
L’articolo 3 della Direttiva (UE) 2016/943 sui segreti commerciali include tra le acquisizioni lecite la scoperta indipendente e, a determinate condizioni, osservazione, studio, smontaggio o prova. Occorre che l’oggetto sia disponibile al pubblico o lecitamente posseduto e che chi acquisisce le informazioni non sia vincolato da un valido obbligo di limitarne l’acquisizione. Il considerando 16 chiarisce il rilievo di eventuali pattuizioni contrattuali.
La prima verifica operativa riguarda quindi la provenienza. L’impresa dovrebbe poter dimostrare chi ha acquistato il campione, da quale canale, con quali condizioni e per quale progetto. L’analisi di un bene acquistato regolarmente non va confusa con l’uso di file sottratti, credenziali ricevute senza autorizzazione o materiale trasmesso da un collaboratore in violazione dei propri obblighi. Un risultato tecnicamente corretto può comunque avere una provenienza giuridicamente problematica.
L’acquisizione lecita non equivale inoltre a un’autorizzazione generale alla produzione. Prima di utilizzare commercialmente il risultato serve un secondo controllo sui diritti esclusivi di terzi. Tenere distinti questi passaggi evita l’errore frequente di considerare la liceità dell’analisi come una garanzia sulla libertà di vendere il prodotto che ne deriva.
Segreto commerciale: che cosa deve proteggere il titolare
Gli articoli 98 e 99 del Codice della proprietà industriale sono il riferimento italiano. I segreti commerciali richiedono segretezza, valore economico collegato a essa e misure ragionevolmente adeguate per mantenerla. Il decreto legislativo 63/2018 di attuazione della direttiva ha aggiornato il quadro di tutela. Non basta definire ogni documento “confidenziale”: occorre identificare l’informazione da proteggere e dimostrare come sia stata custodita e condivisa.
La WIPO distingue la tutela del segreto dalla scoperta indipendente: il segreto non attribuisce un monopolio assoluto su ogni soluzione simile. Una strategia fondata soltanto sulla riservatezza diventa quindi fragile se ciò che si vuole nascondere può essere ricostruito facilmente osservando il prodotto venduto. La scelta tra segreto e deposito deve essere presa prima della diffusione, come approfondito nella guida dello Studio su segreto industriale e brevetto.
È utile distinguere ciò che il campione rivela da ciò che resta nel processo produttivo. La geometria di un componente può essere visibile; parametri di lavorazione, tolleranze, sequenze di controllo o dati sperimentali potrebbero non esserlo. Questa mappa aiuta a decidere quali informazioni consegnare, quali oscurare e quali rendere accessibili soltanto a persone nominate.
Un NDA può vietare smontaggio e analisi?
Nel contesto dei segreti commerciali può essere rilevante un valido accordo che limiti l’acquisizione delle informazioni. Il testo deve però essere proporzionato, comprensibile e compatibile con le norme applicabili. Non è prudente inserire un divieto indiscriminato senza chiarire l’oggetto e senza verificare eventuali eccezioni inderogabili, soprattutto quando il prodotto contiene software. La validità va valutata sul contratto concreto.
Definire le prove consentite e le attività escluse
Una clausola utile distingue prove funzionali, misurazioni, test distruttivi, accesso ai file, analisi affidate a laboratori e utilizzo dei risultati. Se il fornitore deve verificare la compatibilità di un componente, il divieto non dovrebbe rendere impossibile proprio l’attività autorizzata. Conviene descrivere un protocollo di test, le persone ammesse, i materiali utilizzabili e il percorso per chiedere un’estensione del consenso.
Le informazioni ricavate dalle prove devono avere una disciplina propria: chi riceve il rapporto, dove viene conservato, chi può riprodurlo e se può essere usato per progetti diversi. Per coordinare questi elementi è utile l’approfondimento sugli NDA con i fornitori. Le condizioni sottoscritte dal partner non vanno confuse con un vincolo automaticamente opponibile a qualsiasi acquirente sul mercato.
Brevetti e design: studiare non significa poter copiare
Un progetto di analisi deve essere confrontato con i titoli rilevanti. Per un brevetto contano le rivendicazioni, lo stato e il territorio; per il design contano l’oggetto protetto e le regole applicabili. Anche quando le conoscenze sono state ottenute autonomamente, la successiva attuazione può incontrare diritti esclusivi. Non esiste una risposta unica basata sul fatto che il prodotto sia stato acquistato.
La valutazione dovrebbe separare il rapporto tecnico dall’approvazione commerciale. Il primo descrive ciò che è stato osservato; la seconda richiede un esame del prodotto che l’impresa intende fabbricare, importare o vendere. Le alternative di tutela sono approfondite su brevetto o segreto industriale. Il contratto con un produttore esterno deve inoltre regolare uso dei campioni e dei risultati, come nella guida alla produzione conto terzi e clausole IP.
Per il software esistono regole specifiche
La Direttiva 2009/24/CE sulla protezione dei programmi distingue osservazione del funzionamento e decompilazione. L’articolo 5, paragrafo 3, disciplina lo studio da parte di chi ha diritto di usare una copia, durante operazioni autorizzate. L’articolo 6 prevede condizioni circoscritte per ottenere informazioni necessarie all’interoperabilità di un programma creato autonomamente; non concede una libertà generale di copiare il codice.
Per invocare l’eccezione di interoperabilità occorre, tra l’altro, essere licenziatario o avere diritto di usare una copia, oppure agire per suo conto con autorizzazione; le informazioni necessarie non devono essere già facilmente disponibili e le attività devono limitarsi alle parti indispensabili. Questi requisiti richiedono una valutazione documentata prima del test.
Le informazioni ottenute non possono essere utilizzate oltre lo scopo consentito né per sviluppare un programma sostanzialmente simile nella sua espressione o compiere altre violazioni. L’articolo 8 rende nulle le clausole contrarie all’articolo 6 e alle eccezioni dell’articolo 5, paragrafi 2 e 3. Un divieto contrattuale va quindi coordinato con queste disposizioni, non presentato come assoluto.
Quando un macchinario comprende firmware, app e servizi remoti, è opportuno classificare separatamente le componenti. Possedere il dispositivo non prova da solo di avere diritto a usare ogni copia del programma o accedere a ogni servizio. Il progetto deve indicare quali componenti saranno analizzate e con quale titolo, senza includere credenziali, dati o sistemi estranei all’incarico.
Situazione | Verifica prioritaria | Decisione da documentare |
Prodotto acquistato sul mercato | Provenienza e condizioni accettate | Perimetro dell’analisi e controllo dei diritti |
Prototipo consegnato per test | NDA e finalità della consegna | Prove consentite e accesso dei laboratori |
Software o firmware | Titolo d’uso ed eccezioni applicabili | Componenti analizzate e scopo di interoperabilità |
Risultati destinati alla vendita | Brevetti, design e altri diritti | Valutazione separata sullo sfruttamento commerciale |
Checklist prima di consegnare un campione o avviare un test
Identificare prodotto, versione e finalità dell’analisi, con un responsabile interno.
Conservare prova della provenienza lecita e le condizioni accettate al momento dell’acquisto o della consegna.
Leggere NDA, licenze, contratto di fornitura e accordi con laboratori e subfornitori.
Separare prove consentite, prove che richiedono consenso e attività escluse.
Individuare informazioni già pubbliche, segreti propri e informazioni appartenenti a terzi.
Verificare brevetti, design e copyright prima del successivo sfruttamento commerciale.
Limitare gli accessi, registrare consegne e conservare rapporti e autorizzazioni.
Definire restituzione dei campioni, conservazione delle prove e cancellazione delle copie non più necessarie.
La checklist deve diventare una scheda approvata prima dell’avvio, non un documento ricostruito quando arriva una contestazione. È consigliabile usare un identificativo di progetto comune tra ufficio legale, acquisti e ricerca e sviluppo. Le regole interne sulle persone autorizzate possono essere coordinate con l’approfondimento sulle clausole di riservatezza per i dipendenti.
Esempio operativo: campione per un preventivo
Si immagini, a titolo illustrativo, un’impresa che invia un componente a un produttore per valutare costi e fattibilità. Prima della spedizione dovrebbe precisare se il partner può soltanto misurarlo, effettuare prove distruttive o coinvolgere un laboratorio. Il verbale di consegna identifica il campione e rinvia agli obblighi sottoscritti; il rapporto tecnico distingue osservazioni sul bene e informazioni ricevute separatamente dall’impresa.
Se il partner propone di usare il risultato per un cliente diverso, la decisione non dovrebbe essere lasciata al tecnico che riceve la richiesta. Occorre verificare finalità, titolarità e limiti concordati, ottenendo l’eventuale autorizzazione prima del nuovo uso. Questo esempio non prova che un divieto sia sempre valido o che una violazione sia già avvenuta: mostra quali documenti servono per una valutazione attendibile.
Domande frequenti
Comprare un prodotto autorizza sempre il reverse engineering?
No. Vanno verificati provenienza, condizioni applicabili e obblighi validi che limitino l’acquisizione delle informazioni. Anche un’analisi lecita non autorizza automaticamente lo sfruttamento commerciale di una soluzione coperta da diritti di terzi.
Il segreto commerciale impedisce ogni scoperta indipendente?
No. La protezione riguarda acquisizione, uso e divulgazione illeciti; non è un’esclusiva assoluta sulla conoscenza. La provenienza delle informazioni e la documentazione del percorso indipendente restano decisive.
Un NDA generico è sufficiente a proteggere il prototipo?
Non necessariamente. Deve essere coordinato con finalità, prove consentite, accessi, destinatari, risultati e restituzione. La tutela richiede anche misure organizzative effettive, non soltanto la firma.
Un divieto di decompilazione del software è sempre valido?
No. Deve rispettare le eccezioni e i limiti inderogabili della disciplina sui programmi. L’interoperabilità è un ambito specifico e condizionato, non un’autorizzazione generale alla copia.
Quando coinvolgere lo Studio e il consulente tecnico?
Prima di consegnare materiale riservato, accettare un incarico di analisi o utilizzare commercialmente i risultati. La valutazione legale deve partire da un perimetro tecnico preciso e da contratti e documenti completi.
Valutare il rischio prima di diffondere l’innovazione
Per impostare la verifica prepara contratti, condizioni di acquisto, elenco dei materiali, finalità dei test e informazioni sui territori di interesse. Un fascicolo ordinato permette di distinguere ciò che può essere analizzato, ciò che richiede autorizzazione e ciò che va protetto prima della consegna. Lo Studio Legale Coviello offre assistenza nella strategia di tutela dell’innovazione e nella contrattualistica collegata ai diritti IP. Consulta il servizio dedicato alla protezione brevettuale per inquadrare il progetto e richiedere una valutazione.
Questo approfondimento ha finalità informative, riguarda il quadro italiano ed europeo e non sostituisce un parere sul caso concreto. Per rapporti internazionali occorre verificare legge applicabile, territori e obblighi specifici prima di estendere le conclusioni a un altro ordinamento.
Commenti