Fino ora, l’acquisizione di una prova collocata in un altro Stato richiedeva l’attivazione di strumenti di cooperazione fondati sul rapporto tra autorità nazionali. Con i meccanismi di e-Evidence questo passaggio preventivo attraverso l’autorità di un altro Stato, in molti casi, non è più necessario.

Le forme di cooperazione giudiziaria sono state costruite intorno al territorio e al rapporto tra autorità appartenenti a Stati diversi; l’infrastruttura digitale, invece, rende sempre meno significativo il luogo fisico nel quale l’informazione è conservata. Occorrono, quindi, strumenti di cooperazione capaci di funzionare anche quando il dato non è facilmente riconducibile a un territorio.

Indice degli argomenti

• Il framework normativo di e-Evidence
• E-evidence: quali dati digitali possono essere richiesti
• E-evidence e piattaforme: il nuovo ruolo dei prestatori
  • Gli obblighi organizzativi dei prestatori
• E-evidence: tempi di accesso e garanzie fondamentali
• E-evidence: dal territorio al controllo del dato

Il framework normativo di e-Evidence

Il nuovo sistema è formato da due atti approvati nel 2023: il regolamento UE n. 2023/1543, relativo agli ordini europei di produzione e conservazione delle prove elettroniche, e la direttiva UE n. 2023/1544, che impone ai prestatori interessati di disporre nell’Unione di uno stabilimento designato o di un rappresentante legale al quale gli ordini possano essere indirizzati. Il regolamento, rivolto alla materia penale, si applica dal 18 agosto 2026.

Adesso, dunque, l’autorità competente di uno Stato membro può rivolgere direttamente l’ordine allo stabilimento designato o al rappresentante legale del prestatore, senza dover necessariamente chiedere prima all’autorità di un altro Stato di acquisire il dato.

Gli strumenti principali sono due. Con l’ordine europeo di produzione (art. 5 reg.) l’autorità richiede la trasmissione di determinati dati; con l’ordine europeo di conservazione (art. 6 reg.) impone invece al prestatore di preservarli, evitando che siano rimossi, cancellati o modificati mentre viene attivata la successiva procedura necessaria per ottenerli.

Gli ordini sono trasmessi mediante appositi certificati – l’EPOC per la produzione e l’EPOC-PR per la conservazione – attraverso il sistema informatico decentrato previsto dall’art. 19 del regolamento, salve le eccezioni contemplate dalla stessa disposizione.

In Italia il d.lgs. 30 dicembre 2025, n. 215 ha introdotto una prima disciplina di adeguamento al reg. 2023/1543, individuando le autorità competenti e disciplinando emissione, convalida, ricezione, esecuzione e riesame degli ordini; il dlgs. n. 216/2025 ha invece attuato la dir. 2023/1544, regolando la designazione degli stabilimenti e la nomina dei rappresentanti legali dei prestatori.

E-evidence: quali dati digitali possono essere richiesti

Il regolamento distingue, in particolare, i dati relativi agli abbonati, i dati richiesti al solo fine di identificare l’utente, i dati sul traffico e i dati relativi al contenuto(art. 3, nn. 9-12, reg.).

La distinzione è importante perché queste informazioni hanno una diversa capacità di penetrare nella sfera privata della persona. Un conto è conoscere il nome o alcuni dati associati a un account; altro è ricostruire gli orari e i destinatari delle comunicazioni; altro ancora è acquisirne direttamente il contenuto. A questa diversa capacità informativa corrisponde una graduazione delle garanzie: l’ordine di produzione può essere emesso per qualsiasi reato quando riguarda dati relativi agli abbonati o necessari a identificare l’utente; per i dati sul traffico e relativi al contenuto è invece ammesso, in via generale, solo per reati punibili con una pena detentiva massima di almeno tre anni, salvo specifiche eccezioni.

Il d.lgs. 215/2025 riflette questa graduazione delle garanzie anche sul piano interno delle competenze. Prima dell’esercizio dell’azione penale, l’ordine europeo di produzione relativo ai dati sul traffico o relativi al contenuto è emesso dal giudice per le indagini preliminari; per i dati relativi agli abbonati e quelli richiesti per identificare l’utente provvede, invece, il pubblico ministero. Il decreto disciplina inoltre le situazioni di emergenza e una procedura accelerata per particolari ragioni di urgenza.

Il nuovo regime riguarda dati già conservati dal prestatore o per suo conto al momento della ricezione dell’EPOC o dell’EPOC-PR. Non introduce, dunque, una generale possibilità di intercettare in tempo reale comunicazioni o flussi di dati.

E-evidence e piattaforme: il nuovo ruolo dei prestatori

Un profilo centrale riguarda il ruolo dei prestatori di servizi.

Le piattaforme e gli altri operatori interessati, infatti, diventano parte del meccanismo di cooperazione giudiziaria europea. Devono organizzarsi affinché gli ordini possano essere ricevuti ed eseguiti nei termini previsti, conservando e trasmettendo i dati e segnalando, nei casi previsti, eventuali impossibilità di esecuzione, immunità, privilegi o conflitti con obblighi derivanti dal diritto di Paesi terzi.

La rilevanza del nuovo ruolo è confermata dal regime sanzionatorio: il regolamento impone agli Stati membri di prevedere sanzioni pecuniarie effettive, proporzionate e dissuasive, che possono arrivare fino al 2% del fatturato mondiale totale annuo del prestatore.

La disciplina mostra così come la regolazione delle attività digitali attribuisca agli operatori privati obblighi organizzativi sempre più direttamente funzionali al perseguimento di finalità pubbliche.

Gli obblighi organizzativi dei prestatori

Il d.lgs. n. 216/2025 impone ai prestatori interessati di designare o nominare, secondo i casi, uno o più stabilimenti designati o rappresentanti legali, attribuendo loro i poteri e le risorse necessari per ricevere ed eseguire gli ordini. La disciplina riguarda i servizi di comunicazione elettronica, i servizi relativi ai nomi di dominio e alla numerazione IP e determinati servizi della società dell’informazione; sono esclusi i servizi finanziari e, dagli obblighi di designazione o nomina, i prestatori stabiliti in Italia che operano esclusivamente sul territorio nazionale.

Per i prestatori che già offrivano servizi nell’Unione al 18 febbraio 2026 il termine per la designazione o la nomina è scaduto il 18 agosto 2026. L’adeguamento non è soltanto formale: il decreto prevede la responsabilità solidale del prestatore e dello stabilimento designato o del rappresentante legale e stabilisce che la mancanza o l’inadeguatezza delle procedure interne non possa giustificare l’inadempimento.

E-evidence: tempi di accesso e garanzie fondamentali

Uno degli obiettivi principali del regolamento è ridurre i tempi dell’accesso transfrontaliero alle prove elettroniche.

Ricevuto un EPOC, il destinatario deve normalmente trasmettere i dati richiesti entro dieci giorni. Nelle situazioni di emergenza il termine si riduce a otto ore. L’ordine di conservazione impone, invece, di preservare i dati per sessanta giorni, termine prorogabile di ulteriori trenta.

La maggiore efficienza nell’accesso ai dati, tuttavia, non elimina il problema delle garanzie.

Gli ordini devono essere necessari e proporzionati e possono essere emessi soltanto quando sarebbe possibile adottare un provvedimento analogo alle stesse condizioni in un caso nazionale comparabile.

Il rapporto diretto con il prestatore, inoltre, non sopprime il ruolo dello Stato di esecuzione. Per gli ordini di produzione aventi ad oggetto dati sul traffico – salvo quelli richiesti al solo scopo di identificare l’utente – o dati di contenuto, l’art. 8 prevede, nei casi da esso individuati, anche la notifica all’autorità di esecuzione. Quest’ultima può far valere i motivi di rifiuto previsti dall’art. 12, ad esempio quando vengono in rilievo immunità, determinate garanzie relative alla libertà di stampa o di espressione o una manifesta violazione dei diritti fondamentali.

In relazione all’ordine europeo di produzione, a ciò si aggiungono l’informazione della persona i cui dati sono stati richiesti, disciplinata dall’art. 13 – che può essere ritardata, limitata o omessa alle condizioni previste dalla norma – e il diritto a un ricorso effettivo contro l’ordine, riconosciuto dall’art. 18.

E-evidence: dal territorio al controllo del dato

Con il sistema e-evidence l’Unione europea ha introdotto una procedura volta a rendere più rapido l’accesso a e-mail, messaggi o dati di traffico, ma ha anche modificato le modalità attraverso cui il potere investigativo può raggiungere l’informazione digitale. La sua concreta applicazione consentirà, inoltre, di valutare gli effetti di questo modello sull’organizzazione dei prestatori e sul rapporto tra infrastrutture private e poteri pubblici.

È un modello potenzialmente più rapido e più coerente con il funzionamento delle reti digitali, pur se limitato alla materia penale e al ricorrere di specifiche condizioni. La rapidità di accesso al dato, tuttavia, non coincide con la sua affidabilità come prova: restano essenziali l’integrità e la tracciabilità del dato, nonché la possibilità di verificare le modalità attraverso cui è stato acquisito. La maggiore velocità nella circolazione dei dati dovrà, quindi accompagnarsi a garanzie altrettanto efficaci.