Le clausole claims made nelle polizze cyber risk tra autonomia negoziale e limiti di meritevolezza

1. Premessa: il cyber risk come terreno privilegiato del modello claims made

L’evoluzione delle clausole claims made trova oggi una delle sue espressioni più significative nel settore delle assicurazioni contro i rischi informatici.

In una fase iniziale tali clausole sono state guardate con sospetto, soprattutto per la loro apparente distanza dal modello legale delineato dall’art. 1917 c.c. Ma è proprio nel contesto del cyber risk che esse mostrano in modo più evidente la propria razionalità e, per certi versi, la propria necessità.

Il rischio informatico presenta caratteristiche peculiari rispetto ai rischi tradizionali: spesso è difficile individuare con precisione il momento in cui si verifica il fatto dannoso (id est, latenza del danno) e le conseguenze pregiudizievoli tendono a manifestarsi in modo progressivo e seriale, dando luogo a una pluralità di richieste risarcitorie distribuite nel tempo.

In questo contesto, il modello tradizionale fondato sul momento del fatto (loss occurrence) appare inadeguato poiché non consente di delimitare in modo certo il rischio assicurato.

È proprio per rispondere a queste esigenze che il modello claims made si è affermato e tende a confermarsi come soluzione privilegiata: la copertura è ‘agganciata’ al momento in cui perviene all’assicurato la richiesta di risarcimento, indipendentemente dal momento in cui si è verificato il fatto dannoso, secondo lo schema delineato, tra le altre, da Cass. 17 febbraio 2014, n. 3622; Cass. 13 febbraio 2015, n. 2872; Cass. 23 novembre 2017, n. 27867; Cass. 23 aprile 2020, n. 8117.

Le Sezioni Unite hanno poi riconosciuto che tale modello è ormai tipizzato nell’ordinamento, anche alla luce dell’art. 11 L. 8 marzo 2017, n. 24 (c.d. legge Gelli‑Bianco), e rientra nell’autonomia contrattuale ex art. 1322 c.c., pur restando soggetto a un controllo di meritevolezza (Cass., Sez. Un., 6 maggio 2016, n. 9140; Cass., Sez. Un., 2 dicembre 2016, n. 24645; Cass., Sez. Un., 24 settembre 2018, n. 22437).

2. La centralità del momento della richiesta risarcitoria

Nelle polizze cyber, il criterio temporale della richiesta risarcitoria assume un ruolo centrale: la copertura assicurativa non è più ancorata al momento in cui si verifica l’evento dannoso, bensì al momento in cui il danneggiato formula la propria richiesta nei confronti dell’assicurato.

Siffatta impostazione non rappresenta una semplice deroga al modello legale, ma costituisce una scelta coerente con la natura del rischio assicurato, come la Cassazione ha chiarito per le polizze di responsabilità professionale, nelle quali la clausola claims made consente di coprire anche fatti anteriori alla stipula, purché la prima richiesta di risarcimento pervenga in vigenza di polizza (Cass. 17 febbraio 2014, n. 3622; Cass. 13 febbraio 2015, n. 2872; Cass. 23 novembre 2017, n. 27867; Cass. 23 aprile 2020, n. 8117).

Nel caso di una violazione informatica, il danno può emergere e manifestarsi solo successivamente e ancorare la copertura al momento del fatto significherebbe introdurre un elemento di incertezza difficilmente gestibile. Proprio questa difficoltà è alla base dell’evoluzione giurisprudenziale favorevole al modello claims made per i rischi a manifestazione differita, quali la responsabilità medica e professionale, con evidenti analogie rispetto al cyber risk.

Non sorprende, dunque, che le polizze cyber siano strutturate quasi invariabilmente secondo schemi claims made, spesso arricchiti da clausole che incidono in modo significativo sulla delimitazione temporale del rischio (retroattività, ultrattività/extended reporting period, sunset clause con la quale la compagnia assicurativa è obbligata, una volta scaduto il periodo di efficacia temporale della polizza, a estendere per un determinato lassi di tempo la copertura per le richieste di risarcimento presentate per la prima volta, se riferibili a fatti generatori verificatisi durante la vigenza della contratto, deeming clause che tiene in copertura anche le richieste di risarcimento pervenute dopo la scadenza della polizza che siano conseguenti e/o collegate a circostanze che siano state denunciate in corso di vigenza della polizza stessa).

3. Retroattività, ultrattività e gestione delle circostanze: una costruzione contrattuale complessa

L’analisi delle polizze cyber mostra come il modello claims made venga spesso declinato in forme particolarmente articolate, attraverso il ricorso a previsioni che modulano nel tempo l’operatività della garanzia.

3.1 Retroattività e retroactive date

Un primo elemento è rappresentato dalla retroattività che consente di estendere la copertura a fatti verificatisi prima della stipula del contratto. Nelle polizze cyber tale retroattività è frequentemente limitata mediante l’individuazione di una retroactive date al di là della quale gli eventi non sono coperti: si tratta delle claims made “miste” o “impure” che coprono solo i fatti successivi a una certa data, pur se la richiesta giunge durante la vigenza.

La giurisprudenza ha riconosciuto in linea di principio la legittimità di tali delimitazioni temporali del rischio, purché non tali da compromettere la funzione del contratto e da svuotare di contenuto la garanzia assicurativa (Cass. 23 novembre 2017, n. 27867; Cass. 23 aprile 2020, n. 8117).

Al contrario, è stato ribadito che, nel modello tradizionale loss occurrence, non è assicurabile un rischio i cui presupposti causali si siano verificati prima della stipula, anche se l’evento dannoso si manifesta dopo (Cass. 13 marzo 2014, n. 5791), confermando così l’utilità del modello claims made per coprire fatti pregressi tipici dei rischi informatici.

3.2 Ultrattività, extended reporting period e sunset clause

Accanto alla retroattività si colloca l’ultrattività (extended reporting period),che consente di estendere la copertura alle richieste risarcitorie formulate dopo la cessazione della polizza, purché relative a fatti verificatisi nel periodo di efficacia della copertura.

In materia di responsabilità sanitaria, l’art. 11 L. n. 24/2017 – letto alla luce di Cass., Sez. Un., 24 settembre 2018, n. 22437 – impone, per le polizze obbligatorie, un periodo di ultrattività di dieci anni in caso di cessazione definitiva dell’attività professionale, esteso agli eredi e non soggetto a disdetta, a fronte di una retroattività anch’essa decennale.

Questo modello normativo di extended reporting period legale costituisce un importante parametro di riferimento per valutare la ragionevolezza delle clausole di ultrattività nelle polizze cyber.

Non di rado, infatti, l’ultrattività nelle polizze cyber è configurata in modo molto restrittivo, con il rischio che il periodo di extended reporting risulti eccessivamente ristretto rispetto alla fisiologica latenza dei danni informatici. In giurisprudenza è stata ritenuta nulla, per difetto di conformità al tipo di assicurazione RC, una clausola che limitava a soli dodici mesi dalla cessazione del contratto la possibilità di denunciare il sinistro (Cass. 13 maggio 2020, n. 8894), proprio in ragione dell’eccessiva compressione dell’operatività della garanzia.

3.3 Deeming clause e gestione delle circostanze

Di particolare interesse sono le c.d. deeming clauses, che consentono di ‘agganciare’ alla polizza in corso richieste risarcitorie future relative a circostanze già denunciate. In altri termini, se l’assicurato segnala tempestivamente una situazione potenzialmente dannosa (ad esempio un data breach noto ma i cui effetti non siano ancora pienamente emersi), le richieste che ne deriveranno saranno considerate come presentate durante la vigenza della polizza.

Nelle polizze di responsabilità professionale, tali clausole sono state valorizzate come strumento per mantenere in copertura le richieste pervenute dopo la scadenza, purché collegate a circostanze denunciate in vigenza, soprattutto nei casi di mancanza di tacito rinnovo e di discontinuità assicurativa. Si tratta evidentemente di uno schema particolarmente idoneo a essere trasposto nel contesto cyber, dove la conoscenza di vulnerabilità o intrusioni può precedere di molto l’emersione dei danni e delle richieste dei terzi.

4. Il vaglio della giurisprudenza: dalla diffidenza alla legittimazione

L’affermazione delle clausole claims made nel sistema italiano è il risultato di un’evoluzione giurisprudenziale non lineare.

In una prima fase, la giurisprudenza ha mostrato un atteggiamento incerto, talvolta mettendo in dubbio la compatibilità di tali clausole con il modello legale dell’assicurazione della responsabilità civile e sottoponendole a un rigoroso vaglio di meritevolezza ex art. 1322 c.c. (Cass., Sez. Un., 6 maggio 2016, n. 9140; Cass., Sez. Un., 2 dicembre 2016, n. 24645).

Il punto di svolta è notoriamente rappresentato da Cass., Sez. Un., 24 settembre 2018, n. 22437, che ha:

• riconosciuto che la clausola claims made è entrata stabilmente nell’ordinamento anche per effetto dell’art. 11 L. n. 24/2017;
• affermato che il modello claims made è riconducibile al tipo legale di assicurazione contro i danni (art. 1904 c.c.) e non integra, in sé, alcuna decadenza convenzionale;
• precisato che la clausola è soggetta a un controllo di conformità al tipo e di meritevolezza, con valutazione in concreto dell’equilibrio tra le prestazioni;
• escluso che, in caso di nullità della clausola, il giudice possa sostituirla automaticamente con un modello loss occurrence, imponendo invece un’operazione di integrazione del contratto alla luce della causa concreta, eventualmente individuando un diverso sottotipo di claims made più equilibrato (principio poi ripreso da Cass. 25 febbraio 2021, n. 5259).

Questo assetto consente di ritenere le polizze cyber claims made non come deviazioni patologiche dal tipo legale, ma come varianti tipiche/meritevoli, sottoposte a un controllo giudiziale mirato sulla concreta configurazione delle clausole di retroattività, ultrattività e gestione delle circostanze.

5. Claims made, decadenze convenzionali e limiti di validità

La distinzione tra delimitazione temporale del rischio e decadenze convenzionali è centrale per valutare la validità delle clausole temporali nelle polizze cyber.

La Cassazione ha chiarito che la clausola claims made non integra una decadenza convenzionale nulla ex art. 2965 c.c., poiché la perdita del diritto all’indennizzo non dipende da un comportamento omissivo dell’assicurato, ma dall’oggettiva collocazione temporale della richiesta del terzo rispetto al periodo di copertura: la domanda del danneggiato concorre a definire il rischio assicurato (Cass. 22 aprile 2022, n. 12908).

Diverso è il discorso per i termini che disciplinano la tempestività della denuncia del sinistro o della circostanza da parte dell’assicurato rispetto alla effettiva conoscenza dell’evento cyber: tali termini hanno natura di decadenze convenzionali e sono soggetti al vaglio dell’art. 2965 c.c. che ne prevede la nullità quando rendano eccessivamente difficile l’esercizio del diritto, nonché alle regole sulla specifica approvazione delle clausole onerose ex art. 1341 c.c.

In questo senso, Cass. 13 maggio 2020, n. 8894, dichiarando nulla la clausola che limitava a dodici mesi dalla cessazione del contratto la possibilità di denuncia del sinistro, offre un importante parametro per censurare clausole cyber che comprimano in modo analogo il periodo di denuncia o di extended reporting.

6. Clausole onerose, trasparenza e interpretazione nelle polizze cyber

Le polizze cyber sono normalmente concluse mediante condizioni generali predisposte dall’assicuratore, sicché assumono rilievo le regole su clausole onerose, forma, consegna delle condizioni generali e interpretazione.

La Cassazione ha costantemente affermato che le clausole che limitano le conseguenze della colpa o dell’inadempimento o che escludono o delimitano il rischio garantito sono clausole vessatorie e richiedono specifica approvazione scritta ai sensi dell’art. 1341, comma 2, c.c. (Cass. 11 giugno 2019, n. 15598; Cass. 22 dicembre 2015, n. 25735).

Al tempo stesso, è stato precisato che vanno distinte le clausole che definiscono l’oggetto della garanzia (e quindi il rischio assicurato) da quelle che introducono vere e proprie limitazioni di responsabilità: solo queste ultime sono soggette al regime delle clausole vessatorie (Cass. 17 gennaio 2008, n. 866; Cass. 26 giugno 2012, n. 10619; Cass. 7 aprile 2010, n. 8235).

Nel contesto cyber, le clausole che fissano retroattività ridotte, sunset clause brevi, oneri stringenti di denuncia e numerose esclusioni tecniche devono essere redatte in modo chiaro e trasparente e, ove qualificate come limitative della responsabilità o del rischio, devono essere oggetto di specifica approvazione.

Inoltre, la giurisprudenza ha ribadito l’importanza della consegna effettiva delle condizioni generali e della prova della loro conoscenza da parte dell’assicurato, nonché l’applicazione della regola contra proferentem: le clausole ambigue inserite in moduli o formulari si interpretano nel senso più favorevole all’altra parte (art. 1370 c.c.; Cass. 23 settembre 2021, n. 25849; Cass. 11 giugno 2019, n. 15598).

7. Riflessioni conclusive

L’analisi delle polizze cyber consente di cogliere appieno la trasformazione in atto nel diritto ‘vivente’ delle assicurazioni della responsabilità civile. Le clausole claims made non rappresentano più un’eccezione o una deviazione dal modello legale, ma costituiscono il paradigma di riferimento per la copertura di rischi caratterizzati da elevata incertezza temporale, come riconosciuto dalle Sezioni Unite del 2016 e del 2018 e confermato dalla giurisprudenza successiva.

Tuttavia, proprio in questo ambito emergono con particolare evidenza le tensioni tra autonomia negoziale ed esigenze di tutela dell’assicurato: la combinazione di retroattività limitata, ultrattività contenuta, oneri di denuncia stringenti e complessità tecnica delle clausole può tradursi in una compressione eccessiva della garanzia, suscettibile di censura alla luce dei principi affermati, tra le altre, da Cass. 13 maggio 2020, n. 8894, e Cass. 22 aprile 2022, n. 12908.

La giurisprudenza, attraverso il ricorso al controllo di meritevolezza ex art. 1322 c.c., ai principi di buona fede e alle regole sulle clausole onerose e sulla loro interpretazione, è chiamata a svolgere un ruolo di equilibrio, evitando che tali clausole si traducano in strumenti di svuotamento della copertura assicurativa (Cass., Sez. Un., 24 settembre 2018, n. 22437; Cass. 25 febbraio 2021, n. 5259; Cass. 11 giugno 2019, n. 15598).

In definitiva, il settore del cyber risk si configura come un vero e proprio laboratorio in cui si misura la capacità del diritto delle assicurazioni di adattarsi a rischi nuovi e complessi, mantenendo al tempo stesso ferma la funzione di protezione che è propria del contratto assicurativo e valorizzando gli orientamenti maturati in materia di responsabilità professionale e sanitaria.