Omissioni e informazioni riservate secondo gli ESRS: pregiudizio commerciale, segreti commerciali e privacy

Nota sullo stato tecnico. L'architettura delle omissioni qui descritta figura nella Direttiva (EU) 2026/470 e nell'allegato ESRS rivisto, adottato come C(2026) 5010 final il 3 luglio 2026. Il testo finale della Gazzetta ufficiale e il diritto nazionale applicabile restano verifiche obbligatorie per gli aggiornamenti.

Nota sull'utilizzo. Una preoccupazione relativa alla riservatezza non determina automaticamente un'omissione ESRS consentita. L'entità tenuta alla rendicontazione dovrebbe utilizzare il trattamento meno restrittivo che protegga l'interesse legittimo e soddisfi comunque l'obiettivo dell'informativa. Potrebbero essere necessari pareri legali, in materia di privacy, concorrenza, sicurezza e assurance.

Durante la redazione, i team inseriscono spesso qualsiasi elemento problematico in un'unica colonna «riservato». Tale colonna può contenere autentici segreti commerciali protetti, nomi di clienti, informazioni personali relative a reclami, previsioni non approvate, calcoli incompleti e risultati insoddisfacenti. Non si tratta dello stesso problema e non ne consegue lo stesso trattamento nella rendicontazione.

Il primo controllo è la classificazione. Occorre chiedersi se il problema riguardi:

un rischio di pregiudizio commerciale;

un segreto commerciale qualificato giuridicamente o un elemento classificato;

una restrizione prevista dalla legge in materia di privacy, riservatezza o sicurezza;

una normale riservatezza contrattuale che può essere gestita mediante aggregazione o oscuramento; oppure

informazioni mancanti, incerte o non approvate.

Solo i primi tre gruppi possono sostenere un'omissione consentita ai sensi delle categorie ESRS specificate, e ciascuno richiede comunque il rispetto di condizioni, l'indicazione dell'utilizzo dell'esenzione e un riesame annuale. La normale riservatezza dovrebbe essere di norma gestita mediante una presentazione accurata. I dati mancanti sono disciplinati dalle disposizioni in materia di stime e deroghe, non dalle regole sulle omissioni.

Figura 1. Applicare il trattamento meno restrittivo che preservi sia la protezione legittima sia l'obiettivo dell'informativa.

1. Informativa completa

Utilizzare un'informativa completa quando l'informazione è rilevante, non si applica alcuna restrizione giuridica e lo svantaggio potenziale consiste nella normale trasparenza anziché in un pregiudizio grave. Risultati insoddisfacenti, un obiettivo mancato, un incidente rilevante o una dipendenza problematica non sono riservati semplicemente perché la direzione preferirebbe non evidenziarli.

2. Aggregazione

L'aggregazione è solitamente la prima tecnica di protezione. Può raggruppare le informazioni per area geografica, linea di attività, categoria di relazione, periodo o tipologia di rischio, in modo che l'informativa resti utile senza rivelare una controparte, un prezzo unitario, una vulnerabilità dell'impianto o una persona identificabile.

L'aggregazione non deve oscurare differenze rilevanti. L'ESRS 1 richiede che il livello di aggregazione e disaggregazione rifletta variazioni significative ed eviti di nascondere informazioni rilevanti. Un dato globale che cela un impatto grave specifico di un sito potrebbe non soddisfare l'obiettivo, anche se protegge il nome del sito. La soluzione può essere un'informativa a livello regionale o di categoria, accompagnata da una chiara spiegazione del contesto.

3. Oscuramento o anonimizzazione

L'oscuramento rimuove un elemento protetto limitato, conservando al contempo le informazioni circostanti. L'anonimizzazione è particolarmente rilevante per i casi di reclamo, i dati relativi alla forza lavoro, le comunità interessate e i consumatori. Dovrebbe impedire la reidentificazione, anche attraverso combinazioni di luogo, ruolo professionale, data dell'incidente e popolazione di piccole dimensioni.

Un'informativa può descrivere la natura, la gravità, la risposta e lo stato di un incidente senza identificare il reclamante, il fornitore, la tecnologia o il cliente. Il fascicolo probatorio può restare più dettagliato, con accesso controllato, rispetto alla relazione pubblica.

4. Omissione consentita

Il paragrafo 100 consente l'omissione per le categorie definite. La categoria del pregiudizio commerciale è particolarmente esigente. È disponibile solo in casi eccezionali in cui l'informativa pregiudicherebbe gravemente la posizione commerciale, l'omissione non impedisca una comprensione equa e bilanciata e l'entità tenuta alla rendicontazione abbia stabilito che sia impossibile soddisfare l'obiettivo dell'informativa attraverso un'altra presentazione, come l'aggregazione.

Il trattamento dei segreti commerciali dipende dalla definizione giuridica contenuta nella Direttiva (EU) 2016/943. Non ogni fatto aziendale riservato è un segreto commerciale. L'entità tenuta alla rendicontazione dovrebbe disporre di elementi comprovanti che l'informazione è segreta, ha valore commerciale perché è segreta ed è soggetta a misure ragionevoli per mantenerla segreta.

Le informazioni classificate e le altre restrizioni giuridiche, in materia di privacy o di sicurezza richiedono una base giuridica documentata. Il team di rendicontazione non dovrebbe creare una categoria informale di «sicurezza» senza una valutazione specialistica.

5. Trattamento dei dati mancanti

I dati non disponibili, incompleti, non verificati o non approvati non sono automaticamente omessi ai sensi del paragrafo 100. L'entità tenuta alla rendicontazione dovrebbe valutare stime, proxy, perimetro parziale, deroghe quantitative, informazioni qualitative, correzioni di errori o aggiornamenti successivi al periodo di riferimento. La spiegazione pubblica dovrebbe indicare la limitazione e il piano di miglioramento anziché lasciar intendere che l'informativa sia vietata dalla legge.

Un'omissione per pregiudizio commerciale dovrebbe superare tutti e quattro i test:

Pregiudizio grave. Il danno probabile è rilevante e credibile, non consiste in un normale disagio competitivo o in un imbarazzo.

Comprensione equa e bilanciata. L'omissione non impedisce agli utilizzatori di comprendere lo sviluppo, i risultati, la situazione o i rischi e gli impatti rilevanti dell'entità tenuta alla rendicontazione.

Nessuna presentazione meno restrittiva. L'aggregazione, gli intervalli, un livello di dettaglio posticipato, una descrizione a livello di categoria o un'altra presentazione non possono soddisfare l'obiettivo dell'informativa senza causare il pregiudizio grave.

Indicazione del dato e riesame annuale. L'entità tenuta alla rendicontazione dichiara che l'esenzione è stata utilizzata per ciascun dato omesso e procede a un riesame a ogni data di riferimento.

Tra gli esempi che possono richiedere un'analisi figurano piani sensibili di acquisizione o dismissione, negoziazioni, tecnologie proprietarie di transizione, uscite non annunciate di prodotti e ipotesi commerciali rilevanti dal punto di vista finanziario. L'analisi dovrebbe distinguere le informazioni già riflesse negli importi finanziari rilevati dai dettagli strategici la cui divulgazione prematura crea un danno specifico.

La disposizione riveduta sull’omissione riguarda le informazioni corrispondenti a capitale intellettuale, proprietà intellettuale, know-how, informazioni tecnologiche o risultati dell’innovazione che si qualificano come segreto commerciale. Un fascicolo legale utile include:

descrizione delle informazioni e del relativo proprietario;

motivo per cui non sono generalmente note o facilmente accessibili;

valore commerciale derivante dalla segretezza;

controlli degli accessi, NDA, protezioni tecniche e altre misure ragionevoli;

il datapoint esatto e l’obiettivo di informativa interessati;

presentazione alternativa considerata;

data di approvazione e di riesame.

L’esenzione non dovrebbe essere utilizzata per rimuovere tutte le informazioni relative a un piano di transizione, all’impatto di un prodotto o a un programma di innovazione. L’impresa può spesso comunicare l’obiettivo, la governance, le risorse, l’effetto previsto, la dipendenza e l’incertezza senza esporre la formula protetta o il progetto tecnico.

Le restrizioni relative alla privacy sono particolarmente importanti quando la relazione pubblica potrebbe identificare una persona fisica attraverso piccoli gruppi o dettagli relativi a incidenti. I principi di protezione dei dati sostengono la minimizzazione e l’anonimizzazione, ma non giustificano automaticamente l’omissione di tutte le informazioni sulla forza lavoro o sui reclami. L’informativa pubblica dovrebbe essere concepita in funzione della necessità informativa: prevalenza, natura, gravità, accesso ai rimedi, azioni correttive e tendenza.

La sicurezza può riguardare persone, strutture, infrastrutture critiche, capacità di difesa, vulnerabilità informatiche e sicurezza commerciale delle persone giuridiche. Il fascicolo dovrebbe identificare la base giuridica o di sicurezza applicabile ed evitare di rivelare il dettaglio sensibile nella spiegazione pubblica dell’esenzione.

Il workbook Excel allegato contiene un REGISTRO DELLE OMISSIONI. Un registro completo dovrebbe includere:

Figura 2. Problemi informativi diversi richiedono spiegazioni pubbliche e controlli delle evidenze diversi.

Contesto. Horizon Mobility sta preparando informazioni relative al clima, alla forza lavoro e ai consumatori. Quattro questioni sono classificate come «riservate».

Questione A — piano di conversione di uno stabilimento non annunciato

Il piano di transizione comprende la conversione di un impianto oggetto di una negoziazione commerciale attiva. La comunicazione del sito, delle tempistiche e del prezzo contrattuale potrebbe compromettere la negoziazione. Horizon verifica l’aggregazione regionale, un intervallo di investimenti in conto capitale e una descrizione narrativa. Conclude che una descrizione regionale e un intervallo soddisfano l’obiettivo dell’informativa senza pregiudizio grave. Trattamento: aggregazione, non omissione.

Questione B — chimica proprietaria delle batterie

Un’azione per il clima dipende da una nuova chimica protetta mediante know-how sottoposto a controllo. La formula esatta costituisce un segreto commerciale. Horizon comunica l’azione, la governance, l’effetto atteso sulla produzione, la dipendenza dal capitale e l’incertezza, ma omette la formula. Dichiara di aver utilizzato l’esenzione relativa ai segreti commerciali per il dato tecnico pertinente. Trattamento: omissione consentita del dettaglio protetto.

Questione C — indagine sulle molestie in un team di cinque persone

La pubblicazione del luogo, del ruolo, della data e dell’esito renderebbe identificabile la persona che ha presentato la denuncia. Horizon aggrega l’incidente con una popolazione più ampia e descrive l’indagine, il rimedio e il miglioramento dei controlli. I dettagli sottostanti rimangono in un fascicolo probatorio ad accesso limitato. Trattamento: anonimizzazione e aggregazione.

Questione D — dati mancanti sugli incidenti relativi ai fornitori

L’impresa dispone di informazioni incomplete sui fornitori indiretti. Non sussistono restrizioni di riservatezza o legali. Horizon utilizza una stima basata sul rischio, spiega la copertura e l’incertezza e stabilisce un piano di miglioramento. Trattamento: stima e informativa sul divario dei dati, non omissione.

Il caso dimostra perché un’unica classificazione di riservatezza sia inadeguata. Tre questioni sono riportate attraverso una presentazione alternativa; solo il dettaglio tecnico protetto utilizza l’esenzione dall’omissione.

Perché funziona. Identifica l’esenzione, ne limita l’ambito, conserva le informazioni circostanti utili ai fini delle decisioni, registra le alternative e la governance e si impegna a una rivalutazione annuale.

Cosa deve essere adattato. La classificazione giuridica, il dato esatto, i metodi alternativi, il soggetto approvatore e le restanti informazioni comunicate devono corrispondere ai fatti dell’impresa.

Fase 1. Identificare il dato esatto e l’obiettivo dell’informativa

Non esaminare un’intera sezione in astratto. Contrassegnare il testo, il numero, l’assunzione o l’elemento probatorio preciso la cui comunicazione è contestata.

Fase 2. Classificare la questione

Utilizzare la tassonomia dei cinque trattamenti. Se la questione riguarda la normale riservatezza o dati mancanti, indirizzarla ai controlli sull’aggregazione/omissione parziale o sulla stima, anziché al registro delle omissioni.

Fase 3. Verificare le alternative meno restrittive

Predisporre almeno un’informativa alternativa: formulazione a livello di categoria, intervallo, quantità non monetaria, livello di dettaglio differito, caso anonimizzato, riferimento incrociato o omissione parziale. Valutare se produca comunque una comprensione equa e bilanciata.

Fase 4. Ottenere una revisione specialistica

Il pregiudizio commerciale richiede elementi probatori commerciali e legali. Le rivendicazioni relative ai segreti commerciali richiedono una classificazione giuridica. Le questioni di privacy e sicurezza richiedono gli specialisti competenti. I responsabili della rendicontazione non dovrebbero assumere da soli queste determinazioni.

Fase 5. Approvare a livello di governance

Le omissioni materiali dovrebbero essere portate all’attenzione del Comitato per l’informativa e, qualora siano rilevanti ai fini dell’approvazione della dichiarazione di sostenibilità, dell’organo di gestione o di controllo competente. Il registro delle approvazioni dovrebbe indicare ciò che rimane comunicato.

Fase 6. Controllare l’avviso pubblico e le informazioni collegate

Assicurarsi che sia incluso l’avviso relativo al dato. Verificare che i riferimenti incrociati, gli obiettivi, gli effetti finanziari, le descrizioni dei rischi e la dichiarazione di conformità non contraddicano l’omissione.

Fase 7. Rivalutare annualmente e in caso di eventi attivanti

Rivalutare se le negoziazioni si concludono, l’informazione diventa pubblica, la classificazione giuridica cambia, un rischio per la sicurezza viene risolto, una popolazione diventa sufficientemente ampia da consentire un’aggregazione sicura o vengono emessi nuovi orientamenti sulla rendicontazione.

È possibile omettere i nomi dei clienti o dei fornitori?

Spesso è possibile fornire un'informativa utile a livello di categoria, area geografica o concentrazione senza indicare i nomi. Se un nome debba o possa essere omesso dipende dalla rilevanza, dalle restrizioni contrattuali e legali, dal pregiudizio commerciale e dall'obiettivo dell'informativa. La rimozione di un nome non giustifica la rimozione dell'impatto o del rischio sottostante.

Un NDA è sufficiente per applicare l'esenzione ESRS dall'omissione?

Non automaticamente. Un NDA può costituire un elemento di prova rilevante della riservatezza, ma l'impresa deve comunque disporre di una categoria di cui al paragrafo 100 e delle relative condizioni, oppure dovrebbe utilizzare un'aggregazione o una redazione che soddisfi l'obiettivo dell'informativa.

È possibile omettere gli effetti finanziari attesi per pregiudizio commerciale?

La guida applicativa ESRS stabilisce che le disposizioni sull'omissione si applicano agli effetti finanziari attesi. L'impresa deve comunque soddisfare le condizioni pertinenti per l'omissione e preservare le informazioni circostanti utili ai fini decisionali.

Come dovrebbe essere indicato l'uso di un'esenzione senza rivelare il segreto?

Indicare che l'esenzione è stata utilizzata per il punto dati pertinente e, ove sicuro, identificare la categoria e l'ambito. Non descrivere le informazioni protette con un livello di precisione tale che l'avviso vanifichi la protezione.

«Non approvato dal consiglio» costituisce una base per l'omissione?

No. Lo stato di bozza può incidere sul fatto che le informazioni siano affidabili o costituiscano un piano, ma non costituisce di per sé un'esenzione per motivi di riservatezza. L'impresa dovrebbe valutare la rilevanza, lo stato della stima, la governance e l'obbligo di informativa applicabile.