Hai ricevuto una PEC dal tuo fornitore di hosting, colocation o cloud che parla di “ristrutturazione”, “composizione negoziata” o, peggio, di un curatore appena nominato. Oppure te ne sei accorto da solo: ticket che restano senza risposta, tecnici che non rispondono, un rinnovo di contratto proposto a condizioni stranamente vantaggiose, un fornitore elettrico che sospende la fornitura a un sito secondario. In ogni caso, la domanda che ti stai facendo è una sola: che fine fanno i miei dati, i miei server e i servizi da cui dipende la mia attività?

Questo non è un articolo da leggere e archiviare. È un piano da eseguire, mossa dopo mossa, con termini precisi e controlli di completamento: se lo segui nell’ordine giusto, conservi il controllo dei tuoi dati, dei tuoi beni e dei tuoi diritti anche quando il fornitore perde il controllo dei propri. Ti diremo da dove partire in base alla tua situazione, quali norme usare (Codice della crisi d’impresa, GDPR, Data Act, NIS2, codice civile), quali documenti preparare e cosa fare quando qualcosa va storto.

Perché lo Studio Monardo si occupa proprio di questo tema? Perché la crisi di un data center è, prima di tutto, una crisi d’impresa: si muove dentro gli strumenti del Codice della crisi (composizione negoziata, concordato preventivo, liquidazione giudiziale), e l’Avv. Giuseppe Angelo Monardo è Esperto Negoziatore della crisi d’impresa ai sensi del D.L. 118/2021, cioè una delle figure abilitate ad affiancare le imprese nel percorso di composizione negoziata oggi disciplinato dagli artt. 12 e seguenti del CCII. Conoscere quel percorso dall’interno significa sapere in anticipo quali mosse farà il fornitore in crisi e dove si aprono gli spazi per tutelare il cliente. Quando poi la questione diventa contenzioso (una rivendica respinta, un’opposizione allo stato passivo, un ricorso fino all’ultimo grado), entra in gioco la sua abilitazione di avvocato cassazionista, che garantisce la stessa linea difensiva dal primo atto alla Corte di Cassazione.

📩 Non aspettare che il fornitore spenga le macchine: contatta subito lo Studio Monardo, trovi tutti i riferimenti per raggiungerci in fondo a questa pagina.

La diagnosi della tua situazione: da quale mossa parti

Prima di procedere, assicurati di sapere esattamente dove ti trovi. La crisi di un fornitore di servizi digitali non è un evento unico: è una sequenza di fasi, e ogni fase apre o chiude possibilità diverse. Rispondi con onestà a queste quattro domande. Non serve un avvocato per farlo: servono il contratto, le ultime fatture e dieci minuti di concentrazione.

Domanda 1 — Hai oggi una copia completa e utilizzabile dei tuoi dati, fuori dall’infrastruttura del fornitore?

Non parliamo di “un backup da qualche parte”. Parliamo di una copia completa (database, file, configurazioni, chiavi, certificati, log rilevanti), recente (con un punto di ripristino che la tua attività può tollerare) e ripristinabile altrove (cioè in un formato che un altro fornitore o un tuo server possano davvero leggere). Se la risposta è no, o “non lo so”, la tua prima mossa è la numero 1, a prescindere da tutto il resto. Ogni altra tutela giuridica arriva dopo e non sostituisce mai il possesso materiale dei dati.

Domanda 2 — Che tipo di rapporto hai con il fornitore?

Le situazioni tipiche sono tre, e cambiano radicalmente il piano:

• Colocation / housing: i server sono tuoi, il fornitore ti dà spazio, energia, raffreddamento e connettività. Qui il tema centrale è la rivendica dei beni di tua proprietà che si trovano fisicamente nei locali di un’impresa in crisi.
• Hosting dedicato / server in noleggio: le macchine sono del fornitore, i dati sono tuoi. Qui il tema centrale è la restituzione dei dati e la continuità del servizio.
• Cloud (IaaS, PaaS, SaaS): risorse condivise, dati tuoi su infrastruttura altrui, spesso con più livelli di subfornitura. Qui entrano in gioco con forza il Data Act (diritto di passaggio a un altro fornitore) e il GDPR (obblighi del responsabile del trattamento).

Molte aziende hanno un mix: due rack in colocation, un gestionale in SaaS, la posta in cloud. In quel caso esegui il piano separatamente per ciascun rapporto.

Domanda 3 — In che fase è la crisi del fornitore?

• Segnali informali (ritardi, disservizi, voci, bilanci in perdita): nessuna procedura è ancora aperta. Hai il massimo margine di manovra.
• Composizione negoziata (artt. 12 ss. CCII): il fornitore ha chiesto la nomina di un esperto e magari ha ottenuto misure protettive. L’impresa è ancora nelle mani dell’imprenditore.
• Concordato preventivo o altro strumento di regolazione della crisi: c’è una domanda depositata in tribunale; i contratti pendenti proseguono, salvo che il debitore chieda di sospenderli o scioglierli (art. 97 CCII).
• Liquidazione giudiziale (l’ex fallimento): c’è una sentenza, c’è un curatore, i contratti pendenti sono “sospesi” in attesa della sua scelta (art. 172 CCII).

Domanda 4 — Sei tu stesso un soggetto con obblighi regolamentari?

Se tratti dati personali di clienti, dipendenti o pazienti, sei titolare del trattamento e il data center è, quasi sempre, il tuo responsabile del trattamento ai sensi dell’art. 28 GDPR. Se rientri nel perimetro NIS2 (D.Lgs. 138/2024), hai anche obblighi di gestione del rischio della catena di approvvigionamento e di notifica degli incidenti. La crisi del fornitore, quindi, non è solo un tuo problema commerciale: può diventare un tuo obbligo verso il Garante o verso l’Agenzia per la cybersicurezza nazionale.

Tabella di orientamento

Non passare oltre finché non hai individuato la tua mossa di partenza. Se ti riconosci in più righe, la regola è semplice: prima i dati (mossa 1), poi il contratto (mossa 2), poi la procedura (mossa 3); le altre mosse si innestano in parallelo.

Mossa 1 — Metti in salvo una copia completa dei tuoi dati, oggi

Obiettivo della mossa: avere, entro pochi giorni, una copia integra, verificata e ripristinabile di tutti i tuoi dati e delle configurazioni essenziali, conservata fuori dall’infrastruttura del fornitore in crisi.

Quando va fatta

Subito. Non esiste un termine di legge per questa mossa, ed è proprio questo il punto: è l’unica mossa che non dipende dalla volontà di nessun altro. Ogni giorno che passa aumenta il rischio che il fornitore perda personale tecnico, che i fornitori di energia o banda sospendano le forniture, che un incidente di sicurezza (spesso più probabile in un’impresa che taglia i costi) comprometta i sistemi. Se una procedura è già aperta, la finestra può restringersi ancora di più: un curatore appena nominato deve prima capire cosa ha in mano, e nelle prime settimane le richieste dei clienti rischiano di accumularsi.

Come si esegue

1. Fai l’inventario. Elenca ogni servizio che dipende dal fornitore: macchine virtuali, database, storage a oggetti, DNS, posta, certificati, chiavi di cifratura, pipeline, backup gestiti dal fornitore stesso. Per ciascuno annota dove stanno i dati e chi ha le credenziali amministrative.
2. Verifica le credenziali. Se l’accesso amministrativo è solo tramite il pannello del fornitore, cambia subito le password, attiva l’autenticazione a più fattori e crea un account di emergenza tuo.
3. Esporta in formati aperti. Dump dei database, esportazioni di file system, configurazioni in formato testuale o standard. Evita formati proprietari che solo quel fornitore sa leggere.
4. Porta la copia fuori. Su un altro fornitore, su un tuo storage, in un luogo fisicamente e logicamente separato. Una copia che resta nello stesso data center non è una copia di sicurezza.
5. Prova il ripristino. Ripristina almeno un servizio critico in un ambiente diverso. Un backup mai ripristinato è un’ipotesi, non una certezza.
6. Documenta tutto. Data, ora, contenuto, hash dei file esportati. Questa documentazione ti servirà nelle mosse 4, 6 e 7: dimostra cosa avevi, quando lo avevi, e cosa eventualmente manca.

Presta un’attenzione particolare a due elementi che, nella fretta, vengono quasi sempre dimenticati. Il primo sono le chiavi di cifratura: se i tuoi dati sono cifrati con chiavi gestite dal fornitore, una copia dei dati senza le chiavi è inutile. Verifica dove sono custodite, esportale se il servizio lo consente e, per il futuro, valuta modelli in cui le chiavi restano sotto il tuo controllo. Il secondo sono le dipendenze nascoste: il dominio registrato tramite il fornitore, i record DNS gestiti dal suo pannello, i certificati emessi a suo nome, gli indirizzi IP assegnati dal suo blocco. Anche con tutti i dati al sicuro, se il dominio resta intestato o gestito dal fornitore in crisi, la tua attività può fermarsi lo stesso. Trasferisci la gestione del dominio e del DNS su un registrar o un servizio sotto il tuo controllo diretto, e annota le scadenze dei certificati.

Se l’esportazione autonoma è impossibile (perché il servizio non la consente o perché i dati sono su hardware del fornitore senza accesso diretto), chiedi formalmente l’esportazione per iscritto, via PEC, citando il contratto, l’art. 28, par. 3, lett. g) GDPR se ci sono dati personali e, per i servizi cloud, le disposizioni sul passaggio tra fornitori del Data Act (mossa 5).

La base giuridica

Questa mossa si fonda più sui fatti che sulle norme, ma le norme la sostengono. L’art. 32 GDPR impone al titolare e al responsabile misure tecniche e organizzative adeguate, tra cui espressamente la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati personali in caso di incidente (art. 32, par. 1, lett. c). Se tratti dati personali, insomma, avere una copia ripristinabile non è solo prudenza: è parte dei tuoi obblighi. Per i soggetti NIS2, la continuità operativa e la gestione dei backup rientrano tra le misure di gestione del rischio previste dal D.Lgs. 138/2024.

Se qualcosa va storto

L’imprevisto tipico è il fornitore che non risponde o che rallenta deliberatamente l’esportazione, magari subordinandola al pagamento di fatture arretrate. Non entrare nella logica del ricatto senza una valutazione: paga solo ciò che è effettivamente dovuto, contesta per iscritto ciò che non lo è e, se una procedura è aperta, rivolgi la richiesta anche al curatore o al commissario. Se i dati sono critici e il rischio è imminente, il legale può valutare un ricorso d’urgenza (art. 700 c.p.c.) per ottenere l’accesso o la consegna: è uno strumento che va costruito con prove documentali solide, ed è il motivo per cui il punto 6 qui sopra (documentare tutto) è decisivo.

Check di completamento

Prima di passare alla mossa successiva, verifica che:

• esista almeno una copia completa dei dati critici fuori dall’infrastruttura del fornitore;
• almeno un servizio critico sia stato ripristinato con successo in un ambiente alternativo;
• ci sia una traccia documentale (date, hash, elenco dei dati) dell’esportazione.

Mossa 2 — Ricostruisci il perimetro contrattuale: cosa ti spetta e dove si trova

Obiettivo della mossa: sapere con precisione quali diritti ti attribuisce il contratto, quali beni sono tuoi, quali somme hai pagato e quali clausole regolano uscita, restituzione dei dati e cessione del contratto.

Quando va fatta

Nei primi giorni, in parallelo alla mossa 1. Se una procedura è già aperta, questa mossa diventa la base per i termini della mossa 3 e della mossa 7: senza un perimetro chiaro non puoi né insinuare un credito né rivendicare un bene.

Come si esegue

Raccogli in un unico fascicolo (digitale e, per i documenti chiave, anche cartaceo):

1. Il contratto quadro e tutte le condizioni generali richiamate, nella versione effettivamente accettata (scarica la versione datata, non quella pubblicata oggi sul sito).
2. Gli SLA: livelli di servizio, penali, crediti di servizio, procedure di escalation.
3. L’accordo sul trattamento dei dati (DPA) ai sensi dell’art. 28 GDPR, con l’elenco dei subresponsabili.
4. Le clausole di uscita: preavviso, assistenza alla migrazione, restituzione e cancellazione dei dati, costi di uscita.
5. Le clausole di cessione: se il fornitore può cedere il contratto o il ramo d’azienda senza il tuo consenso.
6. L’inventario dei beni tuoi presenti nei locali del fornitore (server, storage, switch, firewall, HSM, dischi), con marca, modello, numero di serie e posizione nel rack.
7. I titoli di proprietà: fatture d’acquisto, contratti di leasing, documenti di trasporto verso il data center, verbali di installazione firmati, registri d’accesso.
8. Il quadro economico: canoni pagati in anticipo, depositi cauzionali, fatture contestate, penali maturate per disservizi.

La base giuridica

Il contratto è la legge tra le parti (art. 1372 c.c.), ma in una crisi d’impresa le sue clausole devono convivere con le norme imperative del Codice della crisi. Un esempio concreto: nella liquidazione giudiziale sono inefficaci le clausole che fanno dipendere la risoluzione del contratto dall’apertura della procedura (art. 172 CCII). Quella clausola “se il fornitore fallisce, il contratto si risolve” che ti sembrava una tutela, quindi, potrebbe non funzionare come pensi. Al contrario, le clausole che regolano la restituzione dei dati e l’assistenza all’uscita conservano un valore enorme, perché si saldano con obblighi di legge (GDPR e Data Act) che non dipendono dal contratto.

Per i beni, la regola probatoria è severa: se un giorno dovrai rivendicare i tuoi server davanti al giudice della procedura, la prova della proprietà seguirà il regime dell’art. 621 c.p.c. richiamato dalla disciplina della rivendica (mossa 6), e i documenti con data certa anteriore all’apertura della procedura saranno il tuo vero patrimonio difensivo.

Se qualcosa va storto

Imprevisto tipico: il contratto non lo trovi, oppure è stato accettato con un clic su un portale che oggi non funziona più. Non arrenderti: ricostruisci il rapporto attraverso le fatture (che richiamano il codice del servizio), le email di conferma d’ordine, i preventivi accettati, le PEC scambiate. Chiedi al fornitore, per iscritto, copia del contratto e del DPA: è una richiesta legittima e la risposta (o il silenzio) sarà a sua volta un elemento utile. Per i beni, se mancano le fatture, chiedi copia al tuo commercialista o al venditore originario e recupera i documenti di trasporto.

Check di completamento

• hai un fascicolo unico con contratto, SLA, DPA, clausole di uscita e di cessione;
• hai un inventario dei beni tuoi con numeri di serie e titoli di proprietà, possibilmente con data certa;
• hai un prospetto economico di quanto hai pagato in anticipo, depositato o maturato a titolo di penale.

Mossa 3 — Identifica la procedura in corso e leggi i suoi termini

Obiettivo della mossa: capire con certezza quale strumento del Codice della crisi sta usando il fornitore, chi ne ha oggi il controllo e quali termini decorrono per te.

Quando va fatta

Appena hai notizia di una possibile procedura. Le fonti sono: le comunicazioni del fornitore, la visura camerale aggiornata (dove vengono iscritte le domande e le sentenze), il portale dei servizi telematici, le PEC del curatore o del commissario. Non affidarti alle voci: verifica il dato sul registro delle imprese. Nella visura troverai, a seconda dei casi, l’iscrizione dell’istanza di nomina dell’esperto o della pubblicazione delle misure protettive, la domanda di accesso a uno strumento di regolazione della crisi, la sentenza che apre la liquidazione giudiziale con il nome del curatore e la data dell’udienza per l’esame dello stato passivo. Annota questi dati in un unico promemoria: da lì nascono tutti i termini delle mosse successive.

Se la procedura è una composizione negoziata, ricorda che l’esperto non è il tuo avversario né il tuo difensore: è un professionista indipendente che agevola le trattative tra l’imprenditore e le parti interessate. Puoi chiedere un confronto, rappresentare le tue esigenze di continuità e proporre soluzioni (per esempio un calendario di migrazione assistita) che rendano più credibile il percorso di risanamento del fornitore e, nello stesso tempo, proteggano la tua posizione. Più le tue richieste sono concrete e documentate, più è probabile che vengano considerate nel piano.

Come si esegue

Ecco le quattro situazioni e cosa significano per te.

A) Composizione negoziata della crisi (artt. 12 ss. CCII). Il fornitore ha chiesto la nomina di un esperto indipendente che lo affianchi nelle trattative con i creditori. L’imprenditore conserva la gestione ordinaria e straordinaria dell’impresa. Può chiedere misure protettive (art. 18 CCII), che impediscono ai creditori di avviare o proseguire azioni esecutive e cautelari sul patrimonio. Durante le misure protettive, inoltre, i creditori interessati non possono rifiutare unilateralmente l’adempimento dei contratti pendenti, né risolverli, anticiparne la scadenza o modificarli a danno dell’imprenditore per il solo fatto del mancato pagamento dei crediti anteriori. Questa regola protegge il fornitore dai suoi fornitori (energia, banda, manutenzione), il che per te è spesso una buona notizia: aumenta le probabilità che il servizio continui. Per te, cliente, la composizione negoziata è la fase in cui si negozia di più e si litiga di meno: è il momento di chiedere garanzie sulla continuità, un piano di migrazione assistita, la conferma scritta che i tuoi beni non fanno parte del patrimonio aziendale.

B) Concordato preventivo (contratti pendenti: art. 97 CCII). Il fornitore ha depositato una domanda in tribunale. La regola di partenza è che i contratti ancora ineseguiti o non compiutamente eseguiti da entrambe le parti proseguono durante il procedimento. Il debitore può però chiedere al tribunale l’autorizzazione a sospendere o a sciogliersi dai contratti che non sono funzionali al piano. In caso di scioglimento, al contraente spetta un indennizzo equivalente al risarcimento del danno per il mancato adempimento, che viene però trattato come un credito anteriore alla procedura (quindi soggetto alla falcidia del concordato). Per te significa una cosa precisa: se il tuo contratto non rientra nei servizi che il fornitore vuole conservare, potresti ricevere un’istanza di scioglimento e avrai poco tempo per prendere posizione davanti al tribunale. Sorveglia la PEC.

C) Liquidazione giudiziale (contratti pendenti: art. 172 CCII). È lo scenario più delicato. Con l’apertura della liquidazione l’esecuzione dei contratti pendenti rimane sospesa finché il curatore, con l’autorizzazione del comitato dei creditori, non dichiara di subentrare nel contratto (assumendone gli obblighi) oppure di sciogliersi. Tu non sei costretto ad aspettare all’infinito: puoi mettere in mora il curatore facendogli assegnare dal giudice delegato un termine non superiore a sessanta giorni, decorso il quale il contratto si intende sciolto. Se il curatore subentra, i crediti che maturano per le prestazioni successive sono prededucibili. Se il tribunale autorizza l’esercizio provvisorio dell’impresa (art. 211 CCII), i contratti pendenti proseguono, salvo che il curatore decida di sospenderli o scioglierli: è lo scenario in cui il servizio può continuare mentre si cerca un acquirente.

D) Nessuna procedura ma crisi evidente. Non ci sono termini processuali, ma ci sono termini contrattuali: preavvisi di recesso, finestre di rinnovo, obblighi di notifica degli incidenti. È il momento di esercitare i diritti contrattuali di uscita (mossa 5) prima che una procedura li complichi.

La base giuridica

Il Codice della crisi d’impresa e dell’insolvenza (D.Lgs. 14/2019), nel testo risultante dai correttivi successivi, compreso il D.Lgs. 136/2024, che ha ritoccato in modo significativo anche la composizione negoziata. Per i contratti pendenti: art. 97 (concordato), art. 172 (liquidazione giudiziale), art. 211 (esercizio provvisorio); per le misure protettive e i contratti nella composizione negoziata: art. 18. Nel concordato, l’art. 94-bis prevede una tutela analoga a quella della composizione negoziata contro il rifiuto unilaterale dei contratti essenziali da parte dei creditori.

Se qualcosa va storto

Imprevisto tipico: nessuno ti comunica nulla. Non è raro: il curatore deve gestire centinaia di rapporti e potrebbe non sapere ancora chi sei. Prendi tu l’iniziativa. Scrivi via PEC al curatore (l’indirizzo è nella sentenza e nel registro imprese) presentandoti come cliente, indicando il contratto, i beni di tua proprietà, i dati che il fornitore detiene per tuo conto e le esigenze di continuità. Una PEC ben scritta nei primi giorni vale più di dieci solleciti nei mesi successivi, perché orienta l’inventario del curatore e lo mette in condizione di separare ciò che è tuo da ciò che è del fallito.

Altro imprevisto: non dare per scontato che agosto ti conceda tempo. La sospensione feriale dei termini processuali opera dal 1° al 31 agosto, ma nelle procedure concorsuali non tutti i termini ne beneficiano: verifica con il legale, termine per termine, se il conteggio si ferma o prosegue.

Check di completamento

• sai quale procedura è aperta (o che nessuna è aperta) e lo hai verificato sul registro delle imprese;
• conosci il nome e la PEC di chi gestisce l’impresa (imprenditore con esperto, commissario, curatore);
• hai inviato la PEC di presentazione con contratto, beni e dati e hai annotato in calendario tutti i termini che ti riguardano.

Mossa 4 — Esercita i diritti (e adempi gli obblighi) del GDPR

Obiettivo della mossa: ottenere dal fornitore, nella sua veste di responsabile del trattamento, la restituzione dei dati personali e l’impegno documentato sulla loro sorte, e al tempo stesso proteggere te stesso da contestazioni del Garante.

Quando va fatta

Subito dopo la mossa 1, e comunque prima che il contratto si sciolga o il servizio si interrompa. Se si verifica un incidente di sicurezza (accesso abusivo, ransomware, perdita di dati) il tempo si misura in ore: il titolare deve notificare la violazione al Garante entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile che presenti un rischio per i diritti e le libertà delle persone (art. 33 GDPR).

Come si esegue

1. Verifica i ruoli. Nella stragrande maggioranza dei casi tu sei il titolare e il data center è il responsabile ai sensi dell’art. 28 GDPR. Se però il fornitore decide in autonomia finalità e mezzi del trattamento, la qualifica può cambiare (art. 28, par. 10): in quel caso risponde come titolare.
2. Invia una richiesta formale di restituzione. L’art. 28, par. 3, lett. g) prevede che il responsabile, a scelta del titolare, cancelli o restituisca tutti i dati personali al termine della prestazione dei servizi, e cancelli le copie esistenti, salvo che il diritto dell’Unione o nazionale ne preveda la conservazione. La scelta è tua: esercitala per iscritto, indicando formato, tempi e modalità.
3. Chiedi conferma documentata della cancellazione delle copie residue, una volta ottenuta la restituzione. Senza questa attestazione, i tuoi dati potrebbero restare su dischi destinati alla vendita all’asta insieme agli altri beni del fornitore.
4. Chiedi l’elenco aggiornato dei subresponsabili. In una crisi è frequente che il fornitore abbia spostato carichi su terzi per ridurre i costi. Hai diritto di saperlo, e l’art. 28, par. 3, lett. h) ti consente di ottenere le informazioni necessarie a dimostrare il rispetto degli obblighi, comprese le attività di audit.
5. Pretendi la notifica degli incidenti. L’art. 33, par. 2 obbliga il responsabile a informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione. Ricordaglielo per iscritto: in un’impresa in crisi le procedure interne saltano facilmente.
6. Aggiorna il tuo registro e la tua valutazione dei rischi. Documenta che hai monitorato il fornitore e che hai reagito ai segnali di crisi.

La base giuridica

Artt. 28, 32, 33 e 82 GDPR. Sulla responsabilità per i danni, la Corte di giustizia dell’Unione europea, con la sentenza dell’11 aprile 2024 nella causa C-741/21, ha chiarito due punti che ti riguardano direttamente: la sola violazione del regolamento non basta a fondare un risarcimento, perché chi lo chiede deve dimostrare un danno effettivo e il nesso con la violazione; e il titolare non si libera dalla responsabilità semplicemente sostenendo che il danno è dipeso dall’errore di una persona che agiva sotto la sua autorità. Tradotto per te: se i dati dei tuoi clienti vengono compromessi nel caos della crisi del fornitore, non potrai scaricare automaticamente tutto su di lui; dovrai dimostrare di aver scelto e vigilato correttamente. Anche la Cassazione, con l’ordinanza n. 16402 del 10 giugno 2021, aveva già affermato che il danno da lesione della privacy è risarcibile solo se il pregiudizio è serio, con onere di prova (anche presuntiva) a carico di chi lo lamenta.

Ricorda infine la regola di ripartizione tra titolare e responsabile dell’art. 82, par. 2: il responsabile risponde del danno se non ha adempiuto gli obblighi che il GDPR pone specificamente a suo carico o se ha agito in modo difforme o contrario alle tue istruzioni legittime. Ecco perché le tue istruzioni scritte di questi giorni sono così importanti: definiscono il perimetro della responsabilità del fornitore.

Se qualcosa va storto

Imprevisto tipico: il fornitore dice che i dati sono stati già cancellati, o che non può restituirli perché i sistemi sono spenti. Chiedi per iscritto quando, come e da chi è avvenuta la cancellazione, e con quale attestazione. Se c’è il dubbio che i dati siano stati persi (non cancellati in modo controllato), valuta subito con il legale se si tratta di una violazione dei dati personali da notificare al Garante entro 72 ore e da comunicare agli interessati se il rischio è elevato (art. 34 GDPR). Se una procedura è aperta, la richiesta va rivolta al curatore o al commissario, che subentra nell’amministrazione del patrimonio del fornitore.

Check di completamento

• hai inviato una richiesta scritta di restituzione con indicazione di formato e tempi;
• hai una conferma (o una contestazione documentata del mancato riscontro);
• il tuo registro dei trattamenti e la valutazione del fornitore sono aggiornati, e sai a chi notificheresti un eventuale incidente.

Mossa 5 — Attiva il diritto di passaggio a un altro fornitore (Data Act)

Obiettivo della mossa: migrare dati e servizi verso un nuovo fornitore cloud nei tempi massimi fissati dal Data Act, con l’assistenza obbligatoria del fornitore uscente.

Quando va fatta

Appena hai deciso che non vuoi restare: idealmente prima che si apra una procedura, perché in quel momento il fornitore ha ancora personale, sistemi e interesse a comportarsi correttamente. Il Regolamento (UE) 2023/2854 (Data Act) si applica dal 12 settembre 2025, e le regole sul passaggio tra servizi di trattamento dei dati (capo VI, artt. 23 ss.) sono quindi già operative per i contratti cloud.

Come si esegue

Il Data Act impone che il contratto con il fornitore di servizi di trattamento dei dati preveda, tra l’altro:

Per eseguire la mossa:

1. Invia la richiesta di passaggio per iscritto, indicando se vuoi passare a un altro fornitore, a un’infrastruttura tua (on-premise) o semplicemente cancellare i dati.
2. Chiedi il piano di uscita: elenco delle categorie di dati e delle risorse digitali esportabili, formati, interfacce.
3. Coordina il nuovo fornitore perché sia pronto a ricevere i dati entro il periodo transitorio.
4. Verifica i costi di uscita richiesti, confrontandoli con il limite dei costi direttamente connessi al passaggio.
5. Ottieni la conferma della cancellazione al termine del periodo di recupero.

La base giuridica

Regolamento (UE) 2023/2854, capo VI, in particolare gli artt. 23 (eliminazione degli ostacoli al passaggio), 25 (clausole contrattuali sul passaggio) e 29 (soppressione graduale dei costi di passaggio). Alcuni servizi sono esclusi o soggetti a regole attenuate (per esempio i servizi personalizzati in gran parte e quelli forniti in versione di prova): verifica la natura del tuo servizio prima di contare su queste tutele. Il regolamento prevede inoltre obblighi tecnici differenziati: per i servizi di tipo infrastrutturale il fornitore deve adottare le misure ragionevoli in suo potere per facilitare il raggiungimento dell’equivalenza funzionale nell’utilizzo del nuovo servizio, mentre per gli altri servizi deve mettere a disposizione interfacce aperte e garantire la compatibilità con specifiche di interoperabilità. Nella richiesta di passaggio, quindi, non limitarti a chiedere “i dati”: chiedi anche metadati, configurazioni ed esportazioni nei formati necessari perché il nuovo ambiente funzioni davvero come il precedente.

Il Data Act non è una norma sull’insolvenza e non ti mette al riparo dalle regole del Codice della crisi. Ma ti dà un vantaggio pratico enorme: se attivi il passaggio prima che la crisi precipiti, avrai già un calendario vincolante e un obbligo di assistenza in capo al fornitore quando il curatore arriverà. E il curatore che subentra nel contratto ne assume gli obblighi.

Se qualcosa va storto

Imprevisto tipico: il fornitore dichiara l’impossibilità tecnica solo per guadagnare tempo. Pretendi la motivazione dettagliata, come richiede il regolamento, e un piano alternativo. Se nel frattempo si apre la liquidazione giudiziale, fai valere davanti al curatore la richiesta già notificata e chiedi che, se intende sciogliersi dal contratto, garantisca comunque la finestra di recupero dei dati. Se non ottieni risposta, ricorda la mossa 3: puoi metterlo in mora tramite il giudice delegato.

Check di completamento

• la richiesta di passaggio è stata notificata con data certa (PEC);
• hai un calendario con fine preavviso, fine periodo transitorio e fine periodo di recupero;
• il nuovo ambiente è pronto e collaudato prima della scadenza del periodo transitorio.

Mossa 6 — Rivendica i server e gli apparati di tua proprietà

Obiettivo della mossa: ottenere la restituzione dei beni tuoi che si trovano nei locali del fornitore (server, storage, apparati di rete) e impedire che vengano inventariati e venduti come beni dell’impresa in crisi.

Quando va fatta

Se non c’è ancora una procedura, adesso: chiedi il ritiro concordato dei beni e documentalo. Se c’è una liquidazione giudiziale, la domanda di restituzione o rivendicazione si propone con ricorso nel procedimento di accertamento del passivo: il termine ordinario è almeno trenta giorni prima dell’udienza fissata per l’esame dello stato passivo (art. 201 CCII). Esistono domande tardive, ammesse entro termini e condizioni più stretti (art. 208 CCII), ma non pianificare di arrivare tardi: nel frattempo i beni possono essere stimati, inventariati, perfino trasferiti con il ramo d’azienda.

Come si esegue

1. Prepara l’elenco analitico dei beni: per ciascuno marca, modello, numero di serie, posizione nel rack, data di installazione.
2. Allega i titoli di proprietà con data certa anteriore all’apertura della procedura: fatture d’acquisto registrate, contratto di colocation con allegato inventario firmato, documenti di trasporto, verbali di installazione, registri di accesso del data center, PEC con cui comunicavi l’ingresso delle macchine.
3. Separa i beni dai dati. Il server è un bene mobile e si rivendica; i dati che contiene sono tuoi e si recuperano anche con gli strumenti della mossa 4. Chiedi che la riconsegna avvenga senza cancellazione e senza accesso di terzi al contenuto dei dischi, e che sia documentata con verbale.
4. Proponi la domanda al curatore con ricorso nella procedura, nei termini sopra indicati, chiedendo la restituzione del bene e, in subordine, l’ammissione al passivo del suo controvalore.
5. Organizza il ritiro: tecnici, trasporto, nuovo sito di destinazione, pianificazione del fermo macchina.

La base giuridica

Nella liquidazione giudiziale, la rivendica è disciplinata dall’art. 210 CCII, che riprende l’impostazione dell’art. 103 della vecchia legge fallimentare: ai procedimenti di restituzione o rivendicazione si applica il regime probatorio dell’art. 621 c.p.c., cioè quello previsto per l’opposizione del terzo all’esecuzione su beni mobili pignorati presso il debitore. In pratica: la prova testimoniale della tua proprietà è esclusa, salvo che l’esistenza del diritto sia resa verosimile dalla professione o dal commercio esercitati dal terzo o dal debitore. Se il bene non viene acquisito all’attivo, la domanda può essere modificata in richiesta di ammissione al passivo del controvalore; se il curatore perde il possesso del bene dopo averlo acquisito, il controvalore va corrisposto in prededuzione.

La Cassazione ha costruito su questa disciplina regole che, pur pronunciate sotto la legge fallimentare, restano la bussola anche con il Codice della crisi, perché il meccanismo è lo stesso:

• con la sentenza n. 4043 del 19 marzo 2003 la Corte ha spiegato che il giudizio di rivendica segue lo schema dell’opposizione di terzo all’esecuzione, perché l’apertura del concorso equivale a un pignoramento generale: serve un documento con data certa anteriore all’apertura della procedura;
• con la sentenza n. 23215 del 17 dicembre 2012 ha precisato che le limitazioni dell’art. 621 c.p.c. valgono anche per la prova per presunzioni, quando i beni si trovano nei locali dell’azienda del debitore;
• con la sentenza n. 9460 del 19 luglio 2000, a proposito di beni concessi in godimento alla società poi fallita, ha indicato di verificare se quei beni siano elementi dell’azienda o componenti autonome suscettibili di rapporti giuridici separati: un server di proprietà del cliente in colocation è, per definizione, un bene autonomo che non appartiene al complesso aziendale del fornitore;
• con la sentenza n. 10482 del 22 ottobre 1993 ha escluso che la restituzione possa essere subordinata al pagamento di un credito fatto valere dal curatore, salvo un diritto di ritenzione previsto dalla legge;
• con la sentenza n. 5461 dell’8 aprile 2003 ha ammesso il cumulo della rivendica con una domanda subordinata di ammissione al passivo, che il giudice esamina solo se la prima non è accolta.

Per il colocation c’è un argomento interpretativo che merita attenzione: la regola dell’art. 621 c.p.c. fa salvo il caso in cui il diritto del terzo sia reso verosimile dalla professione o dal commercio esercitati dal debitore. Un’impresa il cui mestiere è ospitare macchine altrui rende, per sua natura, verosimile che i server nei suoi rack appartengano ai clienti. È un argomento da costruire con cura, non una scorciatoia: la prova documentale con data certa resta la strada maestra.

L’Avv. Giuseppe Angelo Monardo, avvocato cassazionista ed Esperto Negoziatore della crisi d’impresa, imposta la rivendica fin dal primo ricorso pensando a come quella prova dovrà reggere anche in un eventuale giudizio di impugnazione dello stato passivo.

Se qualcosa va storto

Imprevisto tipico: il curatore subordina la riconsegna al pagamento dei canoni arretrati. Il principio affermato dalla Cassazione nel 1993 è chiaro: la restituzione non si condiziona a un credito del curatore, salvo un diritto di ritenzione previsto dalla legge. Contesta per iscritto, chiedi il fondamento normativo della ritenzione eventualmente invocata e, se i canoni sono effettivamente dovuti, valuta la compensazione o l’insinuazione separata. Altro imprevisto: i tuoi beni sono stati inventariati come beni del fornitore. Non è una sconfitta, è il motivo per cui esiste la rivendica: chiedi l’annotazione nell’inventario della tua domanda e assicurati che non vengano inclusi in vendite o cessioni del ramo d’azienda fino alla decisione.

Se il fornitore è in concordato preventivo o in composizione negoziata, non c’è uno stato passivo nel senso della liquidazione: i tuoi beni restano tuoi e puoi chiederne la restituzione secondo il contratto e, se necessario, con un’azione ordinaria o cautelare. Anche qui, la documentazione con data certa fa la differenza.

Check di completamento

• hai un elenco dei beni con numeri di serie e titoli di proprietà con data certa;
• la domanda di rivendica è depositata nei termini (o il ritiro è concordato per iscritto se non c’è procedura);
• è prevista una riconsegna documentata con verbale, senza accesso di terzi al contenuto dei dischi.

Mossa 7 — Gestisci il contratto pendente e insinua i tuoi crediti

Obiettivo della mossa: decidere se tenere in vita il contratto o uscirne, e far valere nella procedura ogni somma che ti spetta (canoni prepagati, depositi, penali, danni) nei modi e nei termini corretti.

Quando va fatta

Nella liquidazione giudiziale, il deposito della domanda di ammissione al passivo segue lo stesso termine della rivendica: almeno trenta giorni prima dell’udienza di verifica (art. 201 CCII). Lo stato passivo, una volta reso esecutivo, può essere impugnato entro trenta giorni dalla comunicazione (artt. 206 e 207 CCII). Nel concordato preventivo i tempi sono quelli del procedimento: verifica il calendario fissato dal tribunale e la data delle votazioni.

Come si esegue

1. Decidi cosa vuoi dal contratto. Se il servizio ti serve fino alla migrazione, hai interesse a che il curatore subentri (o che il contratto prosegua in esercizio provvisorio). Se hai già migrato, hai interesse a uscire subito.
2. Se vuoi chiarezza in tempi certi, metti in mora il curatore: chiedi al giudice delegato di assegnargli un termine, non superiore a sessanta giorni, per dichiarare se subentra o si scioglie (art. 172 CCII). Decorso il termine senza dichiarazione, il contratto si intende sciolto.
3. Quantifica il credito: canoni pagati per periodi non goduti, deposito cauzionale, crediti di servizio e penali da SLA maturati prima dell’apertura, danni documentati (per esempio i costi di una migrazione d’urgenza).
4. Distingui i crediti per natura: quelli sorti prima dell’apertura (concorsuali, in genere chirografari), quelli sorti dopo un eventuale subentro del curatore (prededucibili), quelli eventualmente assistiti da privilegio.
5. Deposita la domanda di ammissione al passivo con ricorso telematico all’indirizzo PEC del curatore, allegando contratto, fatture, prova dei pagamenti, calcolo del credito.
6. Segui l’udienza di verifica e controlla il progetto di stato passivo che il curatore deposita prima dell’udienza: hai la possibilità di presentare osservazioni.

Un capitolo a parte merita la compensazione. Se tu devi ancora qualcosa al fornitore (per esempio fatture di febbraio non pagate perché contestate) e lui deve qualcosa a te (il canone prepagato non goduto, il deposito cauzionale), il Codice della crisi consente in linea generale ai creditori di compensare con i propri debiti verso il debitore i crediti che vantano verso di lui, anche se non scaduti prima dell’apertura della liquidazione (art. 155 CCII), con alcune eccezioni per i crediti acquistati dopo la domanda o nell’anno anteriore. Prima di pagare qualunque somma al curatore, quindi, fai verificare se la compensazione è possibile e in che misura: può ridurre drasticamente l’importo da versare e, al tempo stesso, l’importo da insinuare. Anche qui, la ricostruzione contabile del rapporto, fattura per fattura, è il lavoro che fa la differenza, ed è il motivo per cui conviene affrontarla insieme a un commercialista che conosca le regole della procedura.

La base giuridica

Art. 172 CCII per i contratti pendenti nella liquidazione giudiziale; art. 97 CCII per il concordato preventivo; artt. 201 e seguenti CCII per l’accertamento del passivo. Nel concordato, se il debitore viene autorizzato a sciogliersi dal contratto, ti spetta un indennizzo equivalente al risarcimento del danno conseguente al mancato adempimento, che però è soddisfatto come credito anteriore, secondo il piano. È importante saperlo perché cambia la tua convenienza a contestare l’istanza di scioglimento o, al contrario, ad accettarla negoziando condizioni di uscita (finestra di recupero dei dati, assistenza alla migrazione, restituzione rapida dei beni).

Se qualcosa va storto

Imprevisto tipico: il curatore si scioglie dal contratto proprio mentre stai migrando. Ecco perché le mosse 1 e 5 vengono prima: se hai già la copia dei dati e hai già notificato la richiesta di passaggio, lo scioglimento ti costa al massimo un credito da insinuare, non la continuità della tua attività. Se invece ti trovi scoperto, chiedi immediatamente al curatore, per iscritto, una finestra tecnica di recupero dei dati, motivandola con gli obblighi di restituzione del GDPR e con la tua rivendica. Altro imprevisto: la domanda di ammissione viene respinta per carenza di prova. Hai trenta giorni dalla comunicazione per l’opposizione allo stato passivo: è un giudizio vero e proprio, e il modo in cui hai documentato il credito nella domanda iniziale ne condiziona l’esito.

Check di completamento

• sai se il contratto è proseguito, sospeso o sciolto, e da quando;
• hai quantificato e documentato ogni credito, distinguendo concorsuali e prededucibili;
• la domanda di ammissione è depositata nei termini e hai annotato la data dell’udienza di verifica.

Mossa 8 — Valuta la cessione del ramo d’azienda e aggiorna la tua catena di fornitura

Obiettivo della mossa: se il ramo d’azienda del data center passa a un nuovo operatore, decidere in modo consapevole se restare o recedere, e intanto adempiere gli obblighi che hai come cliente regolamentato (GDPR e NIS2).

Quando va fatta

Appena ricevi la notizia del trasferimento. Il termine è breve: in base all’art. 2558 c.c., il terzo contraente può recedere entro tre mesi dalla notizia del trasferimento, se sussiste una giusta causa, salva in questo caso la responsabilità dell’alienante. La cessione del ramo d’azienda è uno degli esiti più frequenti della crisi di un data center, sia nella composizione negoziata sia nel concordato, sia nella liquidazione giudiziale (dove la vendita dell’azienda o di suoi rami è disciplinata dall’art. 214 CCII, dopo un eventuale periodo di esercizio provvisorio o di affitto).

Come si esegue

1. Leggi bene la comunicazione di trasferimento: chi è il cessionario, da quando opera, quali contratti sono inclusi e quali esclusi.
2. Verifica se il tuo contratto passa automaticamente. L’art. 2558 c.c. prevede che, salvo patto contrario, l’acquirente dell’azienda subentri nei contratti stipulati per l’esercizio dell’azienda che non abbiano carattere personale. È una successione che opera di diritto, senza bisogno del tuo consenso, a differenza della cessione del singolo contratto disciplinata dall’art. 1406 c.c.
3. Fai la due diligence sul cessionario: solidità, certificazioni, localizzazione dei data center (rilevante anche per i trasferimenti di dati extra UE), subresponsabili, misure di sicurezza.
4. Rinegozia il DPA. Il nuovo operatore diventa il tuo responsabile del trattamento: pretendi un accordo art. 28 aggiornato e la conferma delle istruzioni.
5. Se hai una giusta causa, recedi nei tre mesi, motivando per iscritto (per esempio: cessionario con sede o infrastrutture fuori dall’UE senza garanzie adeguate, livelli di sicurezza inferiori, incompatibilità con i tuoi obblighi regolamentari).
6. Se sei un soggetto NIS2, aggiorna la valutazione del rischio di fornitura. Il D.Lgs. 138/2024 include tra le misure di gestione dei rischi la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi ai rapporti con i fornitori diretti. I fornitori di servizi di data center e di cloud computing sono a loro volta tra i soggetti del settore delle infrastrutture digitali: chiedi al nuovo operatore conferma della sua posizione rispetto alla normativa. Nella logica NIS2 la sicurezza della fornitura non è un adempimento formale: gli organi di amministrazione dei soggetti interessati sono chiamati ad approvare le misure di gestione dei rischi e a sovrintenderne l’attuazione, e ne rispondono. Un cambio di fornitore critico, avvenuto per effetto della cessione di un ramo d’azienda, è esattamente il tipo di evento che deve risultare dalla tua documentazione interna: chi lo ha valutato, con quali criteri, con quale esito. Inserisci nel nuovo contratto clausole su notifica degli incidenti, diritto di audit, localizzazione dei dati, subfornitura e assistenza all’uscita, così da non ritrovarti, alla prossima crisi, nella stessa posizione di oggi.

La base giuridica

Art. 2558 c.c. sulla successione nei contratti dell’azienda ceduta; art. 214 CCII sulla vendita dell’azienda nella liquidazione giudiziale; artt. 28 e 32 GDPR; D.Lgs. 138/2024 (recepimento della direttiva NIS2), in vigore dal 16 ottobre 2024, con gli obblighi di gestione del rischio e di notifica degli incidenti significativi al CSIRT Italia (preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese), da applicare secondo il calendario attuativo fissato dall’Agenzia per la cybersicurezza nazionale.

La Cassazione, con la sentenza della seconda sezione n. 30296 del 14 ottobre 2022, si è occupata del subentro del cessionario nei contratti del cedente, e la giurisprudenza richiamata in quella vicenda conferma due regole utili: la successione non richiede un’accettazione espressa dei contratti, neppure per le pattuizioni soggette a forma scritta (Cass., sez. II, ord. 3 gennaio 2020, n. 15; Cass., sez. I, 28 marzo 2007, n. 7652); e il conferimento di un ramo d’azienda in una società rientra nello schema della cessione d’azienda, con successione a titolo particolare (Cass. ord. 1 agosto 2018, n. 20415). Per te significa che il silenzio non ti protegge: se non reagisci entro tre mesi, ti ritrovi legato al nuovo operatore alle stesse condizioni.

Se qualcosa va storto

Imprevisto tipico: la notizia del trasferimento arriva in modo informale (una mail commerciale, un cambio di intestazione sulle fatture). Il termine di tre mesi decorre dalla notizia del trasferimento: annota la data in cui ne hai avuto conoscenza e, nel dubbio, agisci come se il termine fosse già iniziato. Altro imprevisto: il tuo contratto è escluso dalla cessione e resta con il cedente in crisi. In quel caso torni alle mosse 3 e 7: il contratto segue la sorte della procedura e il cessionario non ne risponde.

Check di completamento

• sai se il tuo contratto è passato al cessionario o rimasto al cedente;
• hai valutato la giusta causa di recesso e, se esiste, hai esercitato il recesso entro tre mesi;
• hai un DPA aggiornato con il nuovo operatore e una valutazione NIS2 della fornitura, se ti riguarda.

Il piano alla prova dei numeri

Le simulazioni che seguono sono ipotesi dimostrative, costruite su dati verosimili per mostrare come la tempestività cambia l’esito. Non sono casi reali. La situazione di partenza è la stessa per tutte.

Situazione di partenza. Un’azienda di commercio elettronico ha tre rapporti con lo stesso fornitore: (a) colocation di un rack con tre server di sua proprietà, acquistati con fattura del 14 novembre 2023 per 18.740 €; (b) un canone annuale anticipato di 26.940 €, pagato il 2 gennaio 2026 per l’intero anno solare; (c) un servizio cloud di storage per i backup, con contratto soggetto al Data Act. Il deposito cauzionale versato è di 4.490 €. Nel corso di febbraio maturano penali da SLA per 1.317,50 € per due disservizi documentati. Il fornitore viene posto in liquidazione giudiziale con sentenza del 9 marzo 2026; l’udienza per l’esame dello stato passivo è fissata al 16 luglio 2026.

Simulazione 1 — Chi parte dalla mossa 1 e dalla mossa 5 a inizio febbraio

L’azienda nota i primi segnali di crisi a fine gennaio. Il 3 febbraio 2026 esegue la mossa 1 (copia completa dei dati, ripristino di prova riuscito) e notifica via PEC la richiesta di passaggio per il servizio cloud.

• Fine del preavviso massimo: 3 aprile 2026 (2 mesi).
• Fine del periodo transitorio: 3 maggio 2026 (30 giorni).
• Fine del periodo minimo di recupero dei dati: 2 giugno 2026 (almeno 30 giorni).

Quando il 9 marzo si apre la liquidazione, la migrazione è già avviata e documentata; il curatore trova una richiesta notificata prima dell’apertura e un calendario vincolante. Per i backup, il rischio residuo è solo economico. Chi ha agito un mese prima della sentenza discute di soldi, non di sopravvivenza dei dati.

Simulazione 2 — Il calcolo del credito da insinuare

Stessa azienda, mossa 7. Il periodo di canone pagato ma non goduto va dal 10 marzo al 31 dicembre 2026: 297 giorni su 365.

Il termine per depositare la domanda è almeno trenta giorni prima del 16 luglio 2026, cioè entro il 16 giugno 2026; per prudenza, conviene depositare con qualche giorno di margine. Chi deposita il 10 giugno, con fatture e prova dei pagamenti, entra nel progetto di stato passivo e può fare osservazioni. Chi si accorge del termine a luglio passa al regime delle domande tardive, con tempi più lunghi e oneri aggiuntivi. Se il curatore avesse invece dichiarato di subentrare nel contratto, i canoni per i servizi resi dopo il subentro sarebbero stati prededucibili: un calcolo completamente diverso, che va rifatto alla luce della scelta del curatore.

Simulazione 3 — La mora al curatore e la rivendica dei server

Il 20 marzo l’azienda chiede al giudice delegato di assegnare al curatore un termine per scegliere tra subentro e scioglimento. Il giudice, con provvedimento del 27 marzo, fissa 45 giorni: il curatore deve pronunciarsi entro l’11 maggio 2026, altrimenti il contratto si intende sciolto. Nello stesso tempo l’azienda deposita la domanda di rivendica dei tre server, allegando la fattura del 14 novembre 2023, il verbale di installazione firmato dal fornitore e l’inventario allegato al contratto di colocation, tutti con data certa anteriore al 9 marzo 2026.

• Esito A (chi agisce subito): il curatore riconosce la proprietà, i server vengono ritirati con verbale entro maggio; il fermo macchina è pianificato e breve.
• Esito B (chi aspetta): l’azienda resta in silenzio fino a giugno; nel frattempo il curatore inventaria i server tra i beni dell’impresa e li include nel perimetro di un’offerta per il ramo d’azienda. La proprietà non è persa, ma va difesa in un contesto più complicato, con l’acquirente in attesa e i tempi del giudizio che si allungano. Ogni settimana di attesa trasforma un ritiro concordato in una lite.

Simulazione 4 — La violazione dei dati e l’orologio delle 72 ore

Venerdì alle 22:40 il fornitore subisce un attacco ransomware. Il personale ridotto se ne accorge solo sabato mattina e informa l’azienda cliente alle 10:15. Da quel momento l’azienda, come titolare, ha 72 ore: la notifica al Garante va fatta entro martedì alle 10:15, se la violazione presenta un rischio per gli interessati. Se l’azienda è anche soggetto NIS2 e l’incidente è significativo per i suoi servizi, deve gestire in parallelo il preallarme al CSIRT Italia entro 24 ore e la notifica entro 72 ore.

• Chi aveva eseguito le mosse 1 e 4: ha l’inventario dei dati, sa quali categorie di interessati sono coinvolte, ha la copia ripristinabile e il DPA con i contatti di emergenza. Notifica nei tempi e con informazioni complete.
• Chi non le aveva eseguite: passa il weekend a ricostruire cosa c’era su quei sistemi. Notifica in ritardo, o con informazioni lacunose, e si espone a contestazioni proprie, oltre al danno operativo.

Simulazione 5 — La cessione del ramo d’azienda

Il 2 settembre 2026 l’azienda riceve la comunicazione che il ramo “hosting e colocation” è stato ceduto a un nuovo operatore. Il termine di tre mesi per il recesso con giusta causa scade il 2 dicembre 2026. Se entro ottobre l’azienda verifica che il cessionario ha trasferito i servizi su infrastrutture extra UE senza garanzie adeguate, ha una giusta causa da documentare e un margine sufficiente per migrare. Se scopre il problema a gennaio, il termine è scaduto e dovrà uscire secondo le regole ordinarie del contratto.

Il piano in una pagina

Questa è la pagina da stampare e appendere accanto alla scrivania di chi coordina l’operazione. Il principio è uno solo: prima metti al sicuro ciò che non si può ricomprare (i dati), poi ciò che si può perdere per un termine (i beni e i crediti), infine ciò che si può rinegoziare (il contratto).

L’ordine consigliato è quello numerato, ma alcune mosse corrono in parallelo: la 1 e la 2 insieme nei primi giorni; la 4 e la 5 appena hai la copia dei dati; la 6 e la 7 nello stesso fascicolo, perché condividono il termine dell’accertamento del passivo; la 8 solo se arriva la notizia di una cessione.

Non passare oltre una riga finché la colonna “obiettivo” non è soddisfatta o finché non hai deciso consapevolmente di non perseguirla.

Gli scenari di deviazione

Nessun piano sopravvive intatto al contatto con la realtà. Ecco i tre imprevisti più frequenti e il piano B per ciascuno.

Deviazione 1 — Il fornitore (o il curatore) accelera: spegnimento annunciato

Ricevi una PEC che annuncia lo spegnimento dell’infrastruttura entro pochi giorni, per esempio perché il gestore dell’energia ha sospeso la fornitura o perché il curatore non ha le risorse per mantenere attivo il sito.

Piano B. Primo passo: rispondi immediatamente per iscritto, chiedendo una finestra tecnica di esportazione e di ritiro dei beni, e richiamando gli obblighi di restituzione dei dati dell’art. 28 GDPR e le tue domande di rivendica. Secondo passo: se tratti dati personali, spiega che la cancellazione o la perdita incontrollata dei dati configurerebbe una violazione con conseguenze anche per la procedura. Terzo passo: se la risposta non arriva o è negativa, valuta con il legale un ricorso d’urgenza al giudice competente (nella liquidazione giudiziale, un’istanza al giudice delegato) per ottenere l’accesso o la consegna. Nel frattempo, esegui la mossa 1 con ogni mezzo disponibile, anche parziale: meglio una copia dei dati critici che nessuna copia.

Deviazione 2 — Il termine è scaduto

Ti accorgi che l’udienza di verifica dello stato passivo si è già tenuta, o che i tre mesi per recedere dopo la cessione sono passati, o che il curatore ha lasciato decorrere il termine e il contratto si è sciolto.

Piano B. Non tutti i termini scaduti chiudono definitivamente la porta. Per l’insinuazione al passivo e la rivendica esistono le domande tardive (art. 208 CCII), ammesse entro limiti di tempo precisi e, oltre questi, solo se dimostri che il ritardo non dipende da causa a te imputabile: fai valutare subito quale regime ti si applica e raccogli la prova delle ragioni del ritardo. Per la cessione del ramo, se il recesso con giusta causa è precluso, restano le clausole ordinarie di recesso del contratto, che il cessionario ha ereditato, e il diritto di passaggio del Data Act per i servizi cloud. Per lo scioglimento del contratto, se l’hai subìto, il tuo interesse diventa la mossa 7: quantificare e insinuare il danno.

Deviazione 3 — Un documento chiave è irreperibile

Non trovi la fattura dei server, il contratto è stato accettato online e il portale non funziona, l’inventario allegato alla colocation non è mai stato firmato.

Piano B. Ricostruisci la prova con documenti alternativi che abbiano data certa: le registrazioni contabili (il libro dei cespiti o il registro dei beni ammortizzabili, che il tuo commercialista tiene), i pagamenti bancari tracciati, le PEC scambiate con il fornitore, i documenti di trasporto del corriere, i ticket di installazione con data e numero di serie. Ricorda che la regola dell’art. 621 c.p.c. esclude la prova testimoniale, salvo che il diritto sia reso verosimile dalla professione o dal commercio esercitati: in un rapporto di colocation questo argomento può essere speso, ma va sostenuto con ogni elemento documentale disponibile. Per il contratto, chiedi copia al fornitore o al curatore, che è tenuto a conservare la documentazione dell’impresa.

Le domande di chi sta eseguendo il piano

Posso fare la mossa 5 (Data Act) prima della mossa 3?

Sì, ed è spesso la scelta migliore. Il diritto di passaggio non dipende dall’esistenza di una procedura: se lo eserciti quando il fornitore è ancora in bonis o in composizione negoziata, hai interlocutori operativi e tempi certi. L’unica avvertenza è non dimenticare la mossa 3: appena una procedura viene aperta, devi sapere chi la gestisce e far valere la richiesta già notificata.

Il curatore può vendere i miei server insieme all’azienda?

Non dovrebbe: i beni di terzi non fanno parte del patrimonio del debitore. Ma se non hai presentato la rivendica e i beni risultano inventariati, il rischio concreto c’è. Ecco perché la mossa 6 va eseguita nei termini e con prova documentale con data certa.

I miei dati possono essere venduti insieme agli asset del data center?

I dati personali che il fornitore tratta per tuo conto non sono suoi: li tratta come responsabile, secondo le tue istruzioni. La vendita dei dischi senza una cancellazione sicura sarebbe un problema serio di protezione dei dati. Esercita per iscritto la scelta tra restituzione e cancellazione (art. 28, par. 3, lett. g GDPR) e chiedi l’attestazione: è la tua tutela documentale.

Se pago le fatture arretrate, il servizio continua?

Dipende dalla fase. Prima dell’apertura di una procedura, pagare ciò che è dovuto può avere senso per mantenere il servizio. Dopo l’apertura della liquidazione, le regole cambiano: i pagamenti vanno fatti al curatore e solo per ciò che è effettivamente dovuto, e la continuità dipende dalla sua scelta sul contratto. Non pagare mai somme contestate solo per sbloccare la riconsegna dei beni senza aver valutato l’esistenza di un diritto di ritenzione.

Il fornitore mi chiede un costo di uscita molto alto: devo pagarlo?

Per i servizi cloud soggetti al Data Act, fino al 12 gennaio 2027 il fornitore può applicare solo costi ridotti, non superiori a quelli direttamente connessi al passaggio; da quella data i costi di passaggio sono soppressi. Chiedi il dettaglio del calcolo e contesta per iscritto le voci che non rispettano questi limiti.

Devo informare i miei clienti della crisi del fornitore?

Non in automatico. Lo devi fare se si verifica una violazione dei dati personali con rischio elevato per gli interessati (art. 34 GDPR), o se gli obblighi contrattuali con i tuoi clienti lo prevedono. In ogni caso, documenta come hai gestito la situazione: è la tua prova di diligenza.

Se il fornitore entra in composizione negoziata, posso risolvere il contratto?

Le misure protettive limitano le reazioni dei creditori basate solo sul mancato pagamento di crediti anteriori. Se sei cliente e non creditore, la tua posizione va valutata sul contratto: se il fornitore non rende il servizio, hai i rimedi ordinari per inadempimento. Prima di farlo, però, valuta la mossa 5: spesso è più efficace migrare con l’assistenza obbligatoria del Data Act che litigare su una risoluzione.

Il fornitore è fuori dall’Italia: cambia qualcosa?

Cambia il quadro delle procedure: se il centro degli interessi principali del fornitore è in un altro Stato membro, la procedura principale si apre lì, secondo il regolamento europeo sulle procedure di insolvenza, e i termini per insinuarti seguono quelle regole. Non cambiano, invece, il GDPR e il Data Act, che si applicano in tutta l’Unione. Per i beni fisicamente presenti in un data center italiano, valuta con il legale dove e come rivendicarli.

Chi risponde se il curatore cancella i dati per errore?

Il curatore amministra il patrimonio dell’impresa e ne prosegue i rapporti secondo le regole della procedura. Se ha ricevuto da te istruzioni scritte chiare sulla restituzione e sulla conservazione dei dati e non le ha rispettate, il tema della responsabilità si pone. Ma è un tema che si discute dopo: la tua priorità, ancora una volta, è non trovarti mai nella condizione di dipendere da quella copia.

La giurisprudenza che sostiene il piano

Qui trovi, organizzati per mossa, i provvedimenti su cui il piano si appoggia. Per ciascuno: estremi, principio riformulato in parole nostre, ragione per cui conta nella crisi di un data center. Una premessa di onestà: la giurisprudenza di legittimità sul Codice della crisi è ancora in formazione, e sul Data Act non esistono, alla data di pubblicazione di questa guida, pronunce italiane di rilievo. Molti principi, quindi, provengono dalla stagione della legge fallimentare: li citiamo perché le norme del Codice della crisi su rivendica e contratti pendenti riprendono la stessa architettura, ma la loro applicazione al caso concreto va sempre verificata alla luce del testo vigente.

A sostegno della mossa 4 (GDPR e responsabilità per i dati)

1. Corte di giustizia UE, sentenza 11 aprile 2024, causa C-741/21.
Principio: la violazione del GDPR, da sola, non fa sorgere il diritto al risarcimento: chi lamenta un danno immateriale deve provare un pregiudizio effettivo e il collegamento causale con la violazione. Il titolare non si sottrae alla responsabilità invocando l’errore di una persona che agiva sotto la sua autorità; può liberarsi solo dimostrando di non avere alcuna responsabilità nel fatto che ha causato il danno. Il risarcimento non si misura con i criteri delle sanzioni amministrative.
Rilevanza: quando i dati dei tuoi clienti sono coinvolti nella crisi del fornitore, tu titolare non puoi limitarti a indicare il fornitore come colpevole: devi dimostrare di aver scelto, istruito e vigilato. È il fondamento delle istruzioni scritte della mossa 4.

2. Corte di Cassazione, ordinanza 10 giugno 2021, n. 16402.
Principio: la lesione del diritto alla protezione dei dati personali dà luogo a risarcimento del danno non patrimoniale solo quando l’offesa supera una soglia di serietà e gravità; il danneggiato deve dimostrarlo, anche con presunzioni, e la liquidazione avviene in via equitativa.
Rilevanza: orienta la valutazione del rischio di contenzioso con gli interessati e la quantificazione di eventuali danni da far valere verso il fornitore.

A sostegno della mossa 6 (rivendica dei server)

3. Corte di Cassazione, sez. I, sentenza 19 marzo 2003, n. 4043.
Principio: il giudizio di rivendica nella procedura concorsuale ricalca l’opposizione di terzo all’esecuzione, perché l’apertura del concorso produce effetti analoghi a un pignoramento generale; ne deriva che la prova orale del diritto del terzo è esclusa e che occorre un documento con data certa anteriore all’apertura.
Rilevanza: è la ragione per cui la mossa 2 chiede di raccogliere fatture, verbali di installazione e inventari firmati prima che la procedura si apra.

4. Corte di Cassazione, sez. I, sentenza 17 dicembre 2012, n. 23215.
Principio: chi rivendica beni mobili rinvenuti nei locali o nell’azienda del debitore deve provare il proprio diritto, e le limitazioni probatorie dell’art. 621 c.p.c. operano anche per la prova presuntiva.
Rilevanza: i server in colocation si trovano fisicamente nell’azienda del fornitore: senza documenti, le presunzioni non bastano a superare le restrizioni probatorie.

5. Corte di Cassazione, sez. I, sentenza 19 luglio 2000, n. 9460.
Principio: per stabilire se la restituzione di beni concessi in godimento all’impresa poi fallita vada chiesta con le forme della rivendica, occorre verificare se quei beni siano parti integranti del complesso aziendale o elementi autonomi, oggetto di rapporti giuridici separati.
Rilevanza: sostiene l’argomento che i server del cliente sono beni autonomi, estranei all’azienda del fornitore, e quindi da restituire, non da liquidare.

6. Corte di Cassazione, sez. I, sentenza 22 ottobre 1993, n. 10482.
Principio: se il curatore oppone un proprio credito verso il rivendicante, la restituzione del bene non può essere condizionata al pagamento di quel credito, salvo che la legge riconosca un diritto di ritenzione.
Rilevanza: è lo strumento per reagire al curatore che subordina la riconsegna dei server al saldo dei canoni arretrati.

7. Corte di Cassazione, sez. I, sentenza 8 aprile 2003, n. 5461.
Principio: la domanda di rivendica può essere accompagnata da una domanda subordinata di ammissione al passivo per il valore; il giudice esamina prima la rivendica e solo in caso di rigetto la domanda subordinata.
Rilevanza: nella mossa 6 suggeriamo di proporre la rivendica e, in subordine, l’ammissione del controvalore, per non restare scoperti se i beni non vengono ritrovati o sono stati alienati.

8. Corte di Cassazione, sez. I, sentenza 12 settembre 2008, n. 23560, e sentenza 12 giugno 2007, n. 13762.
Principio: nelle procedure che riguardano intermediari che gestiscono valori dei clienti, la restituzione presuppone una doppia separazione: tra patrimonio dell’intermediario e patrimonio dei clienti, e tra le posizioni dei singoli clienti. Se la seconda manca, il cliente vanta solo un credito, eventualmente soddisfatto pro quota.
Rilevanza: pronunciate su strumenti finanziari, offrono un’analogia utile per i dati e lo storage condiviso: più il tuo patrimonio digitale è segregato e identificabile (tenant isolati, volumi dedicati, cifratura con chiavi tue), più è forte la tua pretesa di riaverlo così com’è. È un’analogia argomentativa, non una regola già applicata ai dati: va spesa con cautela.

A sostegno della mossa 8 (cessione del ramo d’azienda)

9. Corte di Cassazione, sez. II, sentenza 14 ottobre 2022, n. 30296.
Principio: la Corte ha esaminato il subentro dell’acquirente dell’azienda nei contratti stipulati dal cedente per l’esercizio dell’impresa, confermando che la successione regolata dall’art. 2558 c.c. opera, salvo patto contrario, per i contratti non personali.
Rilevanza: se il ramo del data center viene ceduto, il tuo contratto passa al cessionario senza che tu debba prestare consenso; tocca a te reagire, se vuoi.

10. Corte di Cassazione, sez. II, ordinanza 3 gennaio 2020, n. 15, e sez. I, sentenza 28 marzo 2007, n. 7652.
Principio: il subentro nei contratti aziendali non richiede un’accettazione espressa da parte del cessionario, nemmeno per le clausole per le quali è prescritta la forma scritta.
Rilevanza: non puoi contare sul fatto che il nuovo operatore “non abbia firmato nulla” per considerarti libero: il rapporto prosegue di diritto, e il termine di tre mesi per il recesso con giusta causa corre.

11. Corte di Cassazione, ordinanza 1 agosto 2018, n. 20415.
Principio: anche il conferimento di un’azienda o di un suo ramo in una società rientra nello schema della cessione, con successione a titolo particolare nei rapporti aziendali.
Rilevanza: le operazioni di salvataggio dei data center passano spesso dal conferimento del ramo in una nuova società (per esempio una “newco” dell’acquirente): le regole sulla successione nei contratti si applicano anche in questo caso.

Cosa la giurisprudenza non ha ancora detto

Tre aree restano, a oggi, prive di indicazioni consolidate della Cassazione, e su queste il piano si appoggia direttamente sul testo delle norme:

• La scelta del curatore sui contratti di servizi digitali (art. 172 CCII): la norma è chiara sul meccanismo (sospensione, scelta, messa in mora con termine massimo di sessanta giorni), ma la sua applicazione ai contratti di hosting e cloud, in cui la “prestazione” comprende anche la custodia dei dati, è un terreno aperto. È ragionevole attendersi che il tema arrivi presto in giurisprudenza.
• La qualificazione dei dati nella rivendica: i dati non sono un bene mobile in senso tradizionale. La loro restituzione si fonda oggi soprattutto sugli obblighi del responsabile del trattamento (art. 28 GDPR) e sulle regole di passaggio del Data Act, più che sull’art. 210 CCII. Per questo il piano li tratta separatamente dai server.
• L’interazione tra Data Act e procedure concorsuali: il regolamento non disciplina l’insolvenza del fornitore. Se il curatore subentra nel contratto, ne assume gli obblighi, compresi quelli sul passaggio; se si scioglie, la tutela si sposta sul piano risarcitorio e su quello della restituzione dei dati.

In queste aree il valore dell’assistenza legale sta nel costruire argomenti solidi sul testo e sui principi generali, senza promettere esiti che nessuno, oggi, può garantire.

Cosa può fare lo Studio Monardo

Questo piano si può eseguire in buona parte da solo. Ci sono però passaggi in cui serve un legale: quando bisogna scrivere al curatore nel modo giusto, depositare una rivendica con le prove corrette, contestare uno scioglimento, opporsi allo stato passivo, chiedere un provvedimento d’urgenza. Ecco cosa facciamo concretamente.

1. Ricostruiamo il perimetro del tuo rapporto con il fornitore: leggiamo contratto, SLA, DPA e clausole di uscita, e ti consegniamo una mappa di diritti, obblighi e termini.
2. Verifichiamo sul registro delle imprese e negli atti della procedura quale strumento del Codice della crisi è in corso, chi lo gestisce e quali termini decorrono per te.
3. Redigiamo e inviamo la PEC di presentazione al curatore o al commissario, con l’indicazione dei tuoi beni, dei dati detenuti per tuo conto e delle esigenze di continuità.
4. Prepariamo le istruzioni scritte al responsabile del trattamento ai sensi dell’art. 28 GDPR, con la scelta tra restituzione e cancellazione e la richiesta di attestazione.
5. Impostiamo e notifichiamo la richiesta di passaggio prevista dal Data Act, controllando preavvisi, periodo transitorio, periodo di recupero e costi di uscita addebitati.
6. Depositiamo la domanda di rivendica dei server con ricorso nella procedura, selezionando i documenti con data certa e proponendo, in subordine, l’ammissione al passivo del controvalore.
7. Chiediamo al giudice delegato l’assegnazione del termine al curatore per la scelta tra subentro e scioglimento del contratto pendente.
8. Quantifichiamo e insinuiamo i tuoi crediti, con i commercialisti dello staff, distinguendo canoni non goduti, depositi, penali e danni, e la loro collocazione concorsuale o prededucibile.
9. Valutiamo la giusta causa di recesso in caso di cessione del ramo d’azienda e redigiamo l’atto di recesso nei tre mesi.
10. Proponiamo le impugnazioni: opposizione allo stato passivo, reclami, eventuali ricorsi d’urgenza, fino al giudizio di legittimità.

L’Avv. Giuseppe Angelo Monardo è avvocato cassazionista; coordinatore di uno staff multidisciplinare operante a livello nazionale in diritto bancario e tributario; Gestore della crisi da sovraindebitamento (L. 3/2012) iscritto negli elenchi del Ministero della Giustizia; professionista fiduciario di un OCC (Organismo di Composizione della Crisi); Esperto Negoziatore della crisi d’impresa ai sensi del D.L. 118/2021.

Per questo tema pesa in particolare l’abilitazione di Esperto Negoziatore della crisi d’impresa: conoscere dall’interno la composizione negoziata significa sapere quali sono gli spazi di trattativa con un fornitore in crisi, quali garanzie di continuità è realistico chiedere e come le misure protettive incidono sui contratti dei clienti. Quando la trattativa non basta e la questione approda davanti al giudice, l’abilitazione di cassazionista consente di seguire la tua posizione con la stessa strategia e lo stesso difensore dall’analisi iniziale fino alla Corte di Cassazione, senza passaggi di consegne che fanno perdere tempo e coerenza.

Lavoriamo con uno staff multidisciplinare di avvocati e commercialisti che operano insieme sullo stesso caso: gli avvocati costruiscono la strategia e gli atti, i commercialisti ricostruiscono i crediti, verificano le registrazioni contabili dei beni e affiancano la quantificazione delle pretese. Non promettiamo risultati: ci impegniamo ad analizzare ogni documento, a rispettare ogni termine e a costruire la strategia più solida possibile per la tua posizione.

Chiusura

La crisi di un data center mette in fila, nello stesso momento, problemi che di solito arrivano separati: la sopravvivenza dei dati, la proprietà dei beni, la sorte dei contratti, gli obblighi verso il Garante e, per alcuni, verso l’Agenzia per la cybersicurezza nazionale. Il piano che hai appena letto li scompone in otto mosse eseguibili, ciascuna con il suo termine e il suo controllo di completamento. Non serve eseguirle tutte: serve eseguire quelle che ti riguardano, nell’ordine giusto e senza lasciar scadere nessun termine, documentando ogni passaggio con data certa.

Ogni mossa fatta nei termini è un diritto conservato; ogni mossa rimandata è un’opzione che si chiude, e nella crisi di un fornitore digitale le opzioni si chiudono in giorni, non in mesi.

Lo Studio Monardo segue questo tema perché nasce esattamente all’incrocio tra crisi d’impresa e contenzioso: l’Avv. Giuseppe Angelo Monardo è Esperto Negoziatore della crisi d’impresa ai sensi del D.L. 118/2021, e quindi conosce dall’interno gli strumenti con cui il tuo fornitore sta cercando di uscire dalla crisi; è avvocato cassazionista, e quindi può difendere la tua rivendica o il tuo credito in ogni grado di giudizio; coordina uno staff di avvocati e commercialisti che lavora sui numeri della tua posizione insieme agli atti.

📩 Il tempo lavora per chi si muove per primo: scrivi oggi allo Studio Monardo, i recapiti per contattarci sono indicati qui sotto, al termine dell’articolo.