Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Immaginate di perdere improvvisamente un familiare. Nella sua vita digitale — email, account iCloud, profilo Instagram, wallet di criptovalute, archivio cloud di foto — c'è una parte di lui che volete preservare, o forse crediti e contratti che dovete gestire per chiudere la sua eredità. Il provider, però, non vi risponde. O peggio: vi risponde che i suoi termini di servizio impediscono l'accesso a terzi, compresi i familiari. Avete torto o ragione?
La risposta non è scontata, e dipende da una norma che quasi nessuno conosce.
Il quadro normativo: l'art. 2-terdecies tra tutela e incertezza
In Italia manca una disciplina organica in materia di successione del patrimonio digitale. La normativa vigente si limita a regolare in via indiretta alcuni aspetti della protezione dei dati personali dopo la morte dell'interessato. Il punto di partenza è il d.lgs. n. 101/2018, che ha modificato il Codice della Privacy introducendo l'art. 2-terdecies, che disciplina in modo più articolato il trattamento dei dati personali post mortem.
I diritti di cui agli articoli da 15 a 22 del Regolamento UE 2016/679 — riferiti ai dati personali concernenti persone decedute — possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell'interessato in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione. Si tratta di una norma di sistema che l'ordinamento italiano ha introdotto avvalendosi della clausola di salvaguardia del GDPR, che concede ai singoli Stati membri la facoltà di prevedere norme a tutela del trattamento dei dati delle persone decedute. L'Italia si è avvalsa di tale facoltà con il d.lgs. 101/2018, introducendo con l'art. 2-terdecies l'estensione delle norme GDPR anche ai trattamenti dei dati personali di persone decedute.
Il rovescio della medaglia, però, è altrettanto chiaro: l'esercizio di tali diritti non è ammesso quando l'interessato lo ha espressamente vietato con dichiarazione scritta presentata al titolare del trattamento. È questo il punto su cui si è consumato — e si consuma tuttora — il conflitto più aspro tra eredi e provider.
Le clausole di intrasferibilità nei termini di servizio sono giustificate dai provider con la tutela della privacy post mortem e i costi di gestione, ma minano i principi cardine del diritto successorio italiano. La questione di fondo è se la semplice sottoscrizione delle condizioni generali di contratto di una piattaforma — quel "clic" sulla casella "Accetto i termini" — possa valere come divieto espresso ai sensi dell'art. 2-terdecies. I tribunali italiani hanno risposto con chiarezza.
Cosa dicono i tribunali: l'orientamento che si consolida
Il primo caso paradigmatico è quello deciso dal Tribunale di Milano con ordinanza cautelare del 10 febbraio 2021: i genitori di un giovane deceduto in un sinistro stradale chiedevano di accedere al suo account iCloud per recuperare foto, video e ricordi custoditi nel cloud. Apple si era opposta. Il giudice milanese ha ordinato al fornitore di prestare assistenza agli eredi nel recupero dei dati, facendo leva proprio sull'art. 2-terdecies del Codice Privacy: in assenza di un divieto espresso del defunto, i familiari che agiscono per ragioni meritevoli di protezione hanno diritto di accedere ai suoi dati personali.
Il principio è stato ribadito con nitidezza dal Tribunale di Roma: anche in un caso analogo riguardante un uomo deceduto improvvisamente, il Tribunale di Roma (10 febbraio 2022) ha ordinato ad Apple di fornire alla vedova l'accesso ai contenuti affettivi su iCloud per le figlie minori, ribadendo che la semplice adesione alle condizioni generali di contratto del provider non costituisce un "divieto espresso" del defunto all'accesso dei propri dati.
L'orientamento si è poi esteso e consolidato. Sulla stessa lunghezza d'onda si è espresso il Tribunale di Venezia (4 giugno 2025), che ha ordinato a un provider di collaborare con l'erede per il recupero delle credenziali, riconoscendo la prevalenza del diritto di accesso rispetto alle clausole contrattuali limitative, anche per la necessità dell'erede di difendersi da pretese creditorie. La pronuncia veneziana è particolarmente rilevante perché introduce un'ulteriore motivazione per l'accesso: non solo ragioni affettive o memoriali, ma anche la tutela patrimoniale dell'erede nelle controversie con i creditori del de cuius.
L'orientamento del Tribunale di Milano rappresenta un importante punto di riferimento nella disciplina della tutela post mortem dei dati personali. Il suo orientamento è stato ripreso anche da successive pronunce: Trib. Brindisi, Ordinanza del 9 dicembre 2025; Trib. Lanusei, Ordinanza del 26 agosto 2025; Trib. Verona, Ordinanza del 2 luglio 2025; Trib. Venezia, Ordinanza del 3 giugno 2025.
Il dato più significativo è che questi provvedimenti sono stati quasi tutti pronunciati in via cautelare ex art. 700 c.p.c. Ciò significa che gli eredi sono costretti a dimostrare un periculum in mora — un rischio concreto di pregiudizio imminente — per ottenere l'accesso ai dati. Nella pratica, questo si traduce in mesi di attesa, costi legali elevati e l'incertezza di un giudizio che potrebbe anche andare diversamente. La vicenda insegna che, con tempo, spese legali e un procedimento giudiziario, in molti casi un risultato si può ottenere. Ma è una strada accidentata.
Qui vale richiamare il brocardo vigilantibus iura subveniunt: il diritto protegge chi veglia, chi si attiva, chi si muove con tempestività. L'erede che non agisce prontamente rischia di vedere cancellati i dati, l'account disattivato per inattività, o di trovarsi senza strumenti cautelari effettivi.
Il filosofo del diritto Rudolf von Jhering, che aveva compreso meglio di chiunque altro come il diritto non sia mai un dato acquisito ma sempre il risultato di una lotta, scrisse che "ogni diritto nel mondo è stato conquistato con la lotta." Vale anche per i diritti digitali degli eredi: non esistono per il semplice fatto di essere scritti in una norma, ma si conquistano ogni volta davanti a un giudice.
Il nodo irrisolto: contratto intuitus personae e clausole di intrasferibilità
C'è un aspetto che gli altri commentatori trattano superficialmente ma che merita attenzione specifica. La giurisprudenza distingue tra due piani: il piano dei dati personali (dove opera l'art. 2-terdecies) e il piano contrattuale (dove operano i termini di servizio del provider). I contratti intuitus personae non sono idonei a formare oggetto di successione. Tali rapporti, proprio perché fondati su un elemento di fiducia personale, sono intrasmissibili e si estinguono con la morte di una delle parti, salvo diversa disposizione di legge.
I provider sfruttano sistematicamente questa distinzione: anche quando un tribunale ordina l'accesso ai dati ai sensi dell'art. 2-terdecies, la piattaforma non è necessariamente tenuta a cedere le credenziali di accesso all'account nella sua interezza. Può limitarsi a fornire una copia dei dati — il cosiddetto data export — senza che l'erede ottenga il controllo effettivo dell'account. Il diritto all'accesso ai dati personali del defunto, insomma, non coincide necessariamente con il diritto a gestire l'account come se si fosse il titolare originario.
Questa distinzione ha conseguenze pratiche enormi: per le criptovalute custodite su exchange centralizzati, per i ricavi di account monetizzati su YouTube o Substack, per i crediti verso piattaforme di e-commerce, l'erede può trovarsi nella paradossale situazione di avere un diritto riconosciuto in astratto ma impossibile da esercitare in concreto senza le chiavi di accesso.
Cosa fare concretamente: pianificare prima che sia tardi
La risposta dell'ordinamento al vuoto legislativo è chiara, anche se parziale: la dottrina individua nel testamento lo strumento privilegiato per disciplinare consapevolmente la sorte dei beni digitali. Ma il testamento tradizionale — scritto o olografo — può contenere solo l'elenco dei beni e l'indicazione degli eredi: non le credenziali di accesso, che cambiano frequentemente e che non possono essere divulgate in un documento pubblico o depositato in cancelleria.
Il Notariato distingue due binari in funzione della natura dei beni. Per le risorse a valore economico — criptovalute, domini, account monetizzati — lo strumento più adatto resta il testamento, che consente di attribuire in modo ordinato tali beni agli eredi o ai legatari e, soprattutto, di indicare dove e come reperire le informazioni necessarie ad accedervi. Per le risorse a valore affettivo, familiare e morale — foto, messaggi, profili — l'ordinamento ammette il ricorso al mandato destinato a produrre effetti dopo la morte del mandante, che permette di incaricare una persona di fiducia della gestione.
In pratica, la pianificazione efficace richiede almeno quattro passi: fare un inventario dei propri account e asset digitali; depositare le credenziali in un luogo sicuro accessibile all'erede di fiducia (non nel testamento pubblico); verificare e attivare gli strumenti offerti dalle piattaforme (Contatto Legacy su Facebook/Instagram, Gestore dell'account inattivo su Google); e infine esprimere in forma scritta al provider, ai sensi dell'art. 2-terdecies, se si vuole — o si vuole escludere — l'esercizio dei propri diritti digitali da parte dei familiari dopo la morte.
Quest'ultimo punto è il più trascurato: la norma funziona in entrambe le direzioni. Chi non vuole che i propri familiari accedano ai dati dopo la sua morte — per ragioni di riservatezza, di pudore, di scelta personale — può espressamente vietarlo. Ma questo divieto deve essere scritto, specifico, non ricavabile dalla semplice accettazione dei termini di servizio. Il giudice non ha ritenuto che la sottoscrizione di clausole standard unilateralmente predisposte integrasse una manifestazione di volontà "specifica, libera, informata" e non equivoca.
Il vuoto normativo che permane — in assenza di una legge italiana organica sulla successione digitale, discussa da anni ma mai approvata — continua a trasferire sul giudice cautelare una funzione quasi legislativa: è il tribunale, caso per caso, a bilanciare la privacy del defunto con i diritti degli eredi. Questo sistema produce incertezza, ingiustizie e disparità di trattamento che soltanto una riforma strutturale potrebbe colmare. Fino ad allora, la difesa migliore resta la prevenzione: pianificare in vita la sorte dei propri beni digitali è un atto di cura verso chi rimane, non meno importante di un testamento tradizionale.
Redazione - Staff Studio Legale MP
