Il decreto legislativo 8 ottobre 2026, n. 188, in vigore dal 4 novembre, completa l’adeguamento italiano al regolamento europeo e-Evidence, applicabile dal 18 agosto 2026. Introduce sanzioni amministrative per specifiche violazioni degli obblighi dei provider, disciplina l’informazione all’interessato e i ricorsi contro gli ordini di produzione.
Importante approfondire la graduazione delle sanzioni, le condizioni della misura fino al 2% del fatturato mondiale e la documentazione necessaria per ricostruire l’adempimento o l’impossibilità tecnica. La tempestiva conservazione deve proteggere anche le possibilità di verifica difensiva. La valutazione del dato acquisito resta distinta dall’accertamento della collaborazione del fornitore: provenienza, completezza e significato delle informazioni richiedono un controllo tecnico specifico.
Un ordine di conservazione raggiunge un servizio cloud mentre i log rilevanti per un’indagine sono prossimi alla cancellazione automatica. Se il provider non interviene tempestivamente, una successiva sanzione potrà colpire l’inadempimento, ma non ricostruire necessariamente i dati perduti.1
Indice degli argomenti
E-Evidence in Italia: che cosa cambia per i provider
Occorre precisare le date. Il regolamento (UE) 2023/1543 è entrato in vigore nel 2023 ed è applicabile dal 18 agosto 2026. Il 4 novembre riguarda il completamento della disciplina italiana, con particolare riferimento a sanzioni, informazioni all’interessato, ricorsi e interventi sull’infrastruttura informatica. Presentarlo come l’avvio dell’intero sistema europeo produrrebbe una sovrapposizione inesatta.
Nel precedente contributo pubblicato su Agenda Digitale avevo esaminato l’accesso transfrontaliero ai dati e le conseguenze per la verifica forense. L’aggiornamento consente ora di affrontare una questione più circoscritta: quali conseguenze derivano dalla violazione degli obblighi del fornitore e come documentare ciò che è accaduto tra la ricezione dell’ordine e la risposta.
Il decreto si integra con il d.lgs. 215/2025, relativo ad autorità e procedure degli ordini europei, e con il d.lgs. 216/2025, che attua la direttiva sugli stabilimenti designati e sui rappresentanti legali. Il presidio degli obblighi di designazione e rappresentanza va distinto dalle sanzioni qui esaminate, relative agli obblighi connessi agli ordini.2
Quali servizi ricevono gli ordini europei sui dati
Cloud, hosting, posta elettronica, messaggistica e piattaforme possono rientrare nel sistema quando soddisfano le definizioni e i requisiti del regolamento. La disciplina comprende anche servizi relativi a nomi di dominio e numerazione IP. L’offerta di servizi nell’Unione richiede un collegamento sostanziale: la semplice accessibilità di un sito non equivale, da sola, alla presenza di tutti i presupposti.3
Nel meccanismo europeo l’autorità si rivolge direttamente allo stabilimento designato o al rappresentante legale situato in un altro Stato membro vincolato dal regolamento, indipendentemente dall’ubicazione dei dati. La collocazione del server non è quindi l’unico criterio da considerare. Restano distinti gli strumenti nazionali rivolti a fornitori stabiliti o rappresentati nel territorio dello Stato procedente.
L’ordine di produzione, trasmesso attraverso il certificato EPOC, riguarda la consegna di dati individuati. L’ordine di conservazione, trasmesso mediante EPOC-PR, serve a preservarli in vista di una successiva richiesta di produzione. Il regolamento considera dati già conservati dal prestatore o per suo conto al momento della ricezione del certificato. Non introduce un obbligo generale di registrare preventivamente ogni attività degli utenti.
La categoria richiesta incide sulle condizioni di accesso e sulle competenze. Nel sistema italiano, durante le indagini preliminari il pubblico ministero procede per i dati degli abbonati e per quelli richiesti al solo scopo di identificare l’utente; il giudice interviene per traffico e contenuti. La produzione segue la scansione ordinaria di dieci giorni, tenendo conto dell’eventuale notifica all’autorità di esecuzione; nei casi di emergenza il limite è di otto ore. Già alla ricezione dell’EPOC il destinatario deve attivarsi tempestivamente per conservare i dati. Delimitare account, intervallo temporale e dati necessari è essenziale anche per valutare la conformità della risposta.
Come sono graduate le sanzioni ai provider
L’articolo 3 introduce sanzioni amministrative pecuniarie differenziate secondo l’obbligo violato. La formula generale della “mancata collaborazione” deve essere tradotta nelle condotte specificamente previste dalla norma: omessa produzione, mancata conservazione, inosservanza dei doveri informativi o violazione delle misure di protezione non sono situazioni equivalenti.4
| Violazione | Riferimento al regolamento | Sanzione ordinaria |
|---|---|---|
| Obblighi di trasmissione dei dati | Art. 10, parr. 2–4 | Da 25.000 a 100.000 euro |
| Obblighi informativi e comunicazioni sulla produzione o conservazione | Art. 10, parr. 5–8; art. 11, parr. 4–7 | Da 10.000 a 50.000 euro |
| Obblighi di conservazione | Art. 11, parr. 1–2 | Da 100.000 a 1.000.000 di euro |
| Misure per riservatezza, segretezza e integrità | Art. 13, par. 4 | Da 500.000 a 1.000.000 di euro |
| Inottemperanza nella fase di esecuzione | Art. 16, par. 10 | Da 600.000 a 1.200.000 euro |
L’ultima ipotesi riguarda l’ordine del quale l’autorità di esecuzione abbia confermato l’esecutività. L’importo massimo di 1,2 milioni non va quindi presentato come conseguenza indistinta di qualsiasi omissione. Anche l’inosservanza degli obblighi di comunicazione ha una propria rilevanza: il sistema richiede che gli impedimenti siano segnalati attraverso le procedure previste.
La diversa severità delle fasce offre un’indicazione significativa sul piano criminalistico. Il massimo ordinario per la mancata conservazione è dieci volte quello previsto per la violazione degli obblighi iniziali di trasmissione. La distinzione è coerente con il rischio che la fonte venga definitivamente dispersa: una lettura degli effetti della disciplina che non consente però di presumere la perdita del dato in ogni caso di ritardo.
Quando la perdita dei dati può costare il 2% del fatturato
La misura fino al 2% del fatturato mondiale richiede una lettura dell’intero comma 3. La disposizione richiama il concorso di due o più circostanze elencate nel comma precedente oppure la particolare gravità del fatto, e collega la previsione alla condotta che abbia impedito definitivamente l’acquisizione dei dati o determinato la perdita definitiva di quelli da conservare.4
Il parametro economico è il fatturato mondiale del prestatore nell’ultimo esercizio chiuso prima dell’accertamento della violazione. La disposizione consente, alle condizioni indicate, di superare il massimo ordinario della specifica violazione attraverso la misura percentuale. Non si tratta di una maggiorazione automatica da sommare alle fasce della tabella. Il raccordo sintattico fra le condizioni del comma e il confronto con il massimo ordinario richiedono attenzione applicativa, nel rispetto della legalità e della proporzionalità della sanzione.
Per l’accertamento tecnico il punto decisivo è la definitività dell’impedimento o della perdita. Bisogna distinguere un archivio temporaneamente non accessibile da dati ancora recuperabili presso il servizio, e questi ultimi da informazioni effettivamente eliminate. La presenza di repliche o backup deve essere verificata nel caso concreto, considerando il contenuto conservato e le possibilità reali di recupero.
Serve poi una ricostruzione causale. Se un log era già stato cancellato prima della ricezione del certificato, la valutazione è diversa da quella relativa a una cancellazione successiva, intervenuta quando il dato doveva essere preservato. Ricevute, registri interni e configurazioni di cancellazione possono documentare questo passaggio. La sola risposta “dato non disponibile” non permette di stabilire quando e perché sia diventato tale.
La conservazione delle prove protegge anche la difesa
Il regolamento richiede la conservazione senza indebito ritardo. Per l’EPOC-PR prevede un periodo iniziale di sessanta giorni, prorogabile di ulteriori trenta per consentire l’emissione della successiva richiesta di produzione; se questa viene confermata nei termini, la conservazione prosegue per il tempo necessario alla produzione. La preservazione resta distinta dal titolo che consentirà la consegna.3
Si consideri un esempio ipotetico. Un’indagine riguarda l’accesso a un archivio aziendale attraverso un account condiviso. Il documento scaricato potrebbe essere ancora disponibile, mentre i log delle sessioni, utili a verificare dispositivi e connessioni, potrebbero avere una conservazione più breve. Acquisire soltanto il documento lascerebbe aperto proprio il problema dell’attribuzione.
Quegli stessi log potrebbero sostenere l’ipotesi investigativa oppure mostrarne i limiti. La tempestività interessa quindi anche le fonti potenzialmente favorevoli alla persona coinvolta. A mio avviso, il rilievo assegnato alla conservazione va letto anche in questa prospettiva: la disponibilità del dato mantiene aperta la possibilità di controllare una ricostruzione e di proporne una alternativa fondata su riscontri.
La difesa deve individuare presto servizio, identificativi e intervallo pertinente, motivando la richiesta all’autorità competente. Il d.lgs. 215/2025 disciplina l’attivazione degli ordini anche su richiesta dei soggetti e dei difensori indicati dalla norma; non attribuisce loro un potere autonomo di imporre al provider l’esecuzione di un ordine europeo. Una richiesta tecnicamente circostanziata aiuta l’autorità a valutare necessità e proporzionalità.5
Come documentare la diligenza del fornitore
Tra i criteri per determinare la sanzione, l’articolo 3 considera le misure tecniche e organizzative adottate per conformarsi al decreto. Rilevano inoltre gravità e durata della violazione, dolo o colpa, precedenti, cooperazione e attività dirette a ridurne le conseguenze. La documentazione operativa può dunque incidere sulla valutazione della condotta, senza costituire un’esenzione automatica da responsabilità.6
Per un fornitore è opportuno poter dimostrare quando il certificato sia arrivato, chi lo abbia preso in carico e quali sistemi siano stati coinvolti. Una procedura scritta ha utilità limitata se gli operatori non riescono ad attivarla nei tempi richiesti. Occorrono responsabilità definite, disponibilità del personale e un collegamento effettivo fra funzioni legali e tecniche, soprattutto nei casi di emergenza.
Anche le decisioni di sospendere le cancellazioni devono lasciare tracce controllabili. È utile documentare il perimetro della preservazione, il momento della sua attivazione e le verifiche sul risultato. Se il dato si distribuisce fra sistemi diversi, va chiarito quali componenti siano state effettivamente considerate. Queste sono indicazioni organizzative e forensi, da adattare al servizio, non ulteriori fattispecie sanzionatorie introdotte dal decreto.
L’articolo 5 finanzia l’adattamento del sistema informatico nazionale e i punti di accesso al sistema decentrato europeo. Anche su questo piano occorre distinguere la previsione normativa dal funzionamento concreto. Le ricevute di invio e consegna e le modalità di scambio utilizzate devono consentire di ricostruire la comunicazione; l’obbligo di usare il sistema decentrato segue la specifica decorrenza dell’articolo 34 del regolamento.7
Impossibilità tecnica e obblighi di collaborazione
Le sanzioni devono essere lette insieme alle procedure che consentono di segnalare difficoltà nell’esecuzione. Gli articoli 10 e 11 del regolamento distinguono certificati incompleti o manifestamente errati, informazioni insufficienti, impossibilità materiale non imputabile al destinatario e altre ragioni di mancata esecuzione. Sono previsti obblighi di comunicazione e valutazioni dell’autorità: il provider non può risolvere ogni problema con il silenzio.8
La distinzione richiede spiegazioni verificabili. Un conto è un dato mai generato dal servizio; altro è un dato cancellato prima dell’ordine, un archivio preservato ma temporaneamente non esportabile oppure una ricerca svolta con un identificativo errato. Questi esiti possono apparire identici in una schermata vuota, ma hanno significati diversi per l’indagine e per la responsabilità dell’operatore.
La cifratura richiede analoga precisione. Il considerando 20 chiarisce che il regolamento non stabilisce un obbligo dei fornitori di decifrare i dati. La misura sanzionatoria non rende quindi tecnicamente accessibile un contenuto che il servizio non può decifrare. Resta da individuare quali dati siano effettivamente detenuti, quali possano essere prodotti o conservati e quali limiti debbano essere comunicati all’autorità.
Dal punto di vista criminalistico, un riscontro negativo acquista significato quando è noto il perimetro della ricerca. Servono identificativi impiegati, periodo esaminato, sistemi consultati e cause dell’eventuale indisponibilità. La mancata produzione di un contenuto non dimostra, da sola, né che la comunicazione non sia mai esistita né che il provider abbia violato un obbligo. La valutazione dipende dalle condizioni documentate.
Perché i dati consegnati richiedono una verifica autonoma
L’adempimento del fornitore e il valore probatorio dei dati rispondono a domande differenti. Per il primo occorre valutare la conformità della condotta agli obblighi applicabili. Per il secondo bisogna comprendere che cosa rappresenti il materiale ricevuto. La previsione di sanzioni, anche elevate, non attribuisce all’esportazione del provider una presunzione tecnica di completezza o di corretta attribuzione personale.
Un archivio cloud può essere generato attraverso una ricerca e rappresentare soltanto i risultati compresi nei filtri applicati. Per valutarlo è utile conoscere intervallo temporale, identificativi, significato dei campi e trasformazioni introdotte nell’esportazione. Il formato ricevuto deve essere conservato insieme alle spiegazioni disponibili. Una successiva conversione per facilitarne la lettura va documentata e mantenuta distinguibile dal materiale consegnato.
Gli hash permettono di confrontare l’identità binaria dei file. Un hash calcolato alla ricezione consente successivi controlli sul materiale ricevuto; non dimostra che la ricerca del provider comprendesse ogni dato pertinente. Analogamente, l’identificazione dell’account non basta ad attribuire un’azione a una persona. Sessioni condivise, deleghe o compromissioni vanno considerate quando costituiscono spiegazioni plausibili e verificabili.
Conoscere come è stata costruita l’esportazione aiuta anche a formulare eventuali richieste integrative entro il perimetro consentito. Queste verifiche non trasformano ogni carenza descrittiva in una violazione sanzionabile e non determinano automaticamente l’inutilizzabilità processuale. Quest’ultima dipende dai presupposti normativi; l’affidabilità della ricostruzione richiede invece una valutazione tecnica motivata, che espliciti anche i limiti del materiale disponibile.
Chi applica le sanzioni e quali ricorsi sono previsti
Le sanzioni dell’articolo 3 sono applicate dal giudice per le indagini preliminari individuato attraverso l’articolo 6 del d.lgs. 215/2025, d’ufficio oppure su richiesta del pubblico ministero quando questi opera come autorità di esecuzione. La contestazione apre uno spazio di trenta giorni per scritti difensivi e documenti. La decisione assume la forma di un’ordinanza motivata di ingiunzione o archiviazione.6
Contro il provvedimento sanzionatorio è ammessa opposizione entro trenta giorni al tribunale competente, che decide in composizione monocratica secondo un contraddittorio scritto; il successivo ricorso per cassazione è limitato alla violazione di legge. La qualità dei documenti tecnici assume quindi rilievo anche per rappresentare tempi, impedimenti e interventi concretamente eseguiti.
Un diverso rimedio riguarda la persona i cui dati sono stati acquisiti. L’articolo 2 del nuovo decreto prevede che l’informazione all’interessato contenga l’avviso della facoltà di ricorso. Restano le condizioni che consentono di ritardare, limitare od omettere l’informazione. L’articolo 4 permette di contestare l’ordine di produzione, anche sotto i profili della legittimità, necessità e proporzionalità.9
Se l’ordine è stato emesso o convalidato dal giudice, si applica il ricorso secondo l’articolo 324 c.p.p. Se proviene dal pubblico ministero, il ricorso al GIP va presentato entro dieci giorni dalla conoscenza dell’avvenuta acquisizione. Anche qui la cassazione è limitata alla violazione di legge. L’effettività della tutela richiede che il difensore possa comprendere ordine, dati acquisiti e perimetro dell’esecuzione nei modi consentiti dalla disciplina processuale.
La responsabilità del provider nel percorso del dato
Il completamento italiano dell’e-Evidence rende sanzionabili specifiche violazioni degli obblighi di collaborazione e rafforza i rimedi dell’interessato. Per provider e autorità, il risultato dipenderà dalla capacità di collegare il contenuto dell’ordine alle operazioni effettivamente compiute. Un termine rispettato o una risposta inviata sono elementi da verificare insieme al dato richiesto e all’esito concreto.
Il contributo del criminalista riguarda proprio questa ricostruzione. Quando una fonte non è più disponibile, occorre stabilire se fosse presente alla ricezione del certificato, quali interventi fossero possibili e quando sia intervenuta la perdita. Quando viene consegnata, bisogna spiegare come sia stata selezionata e quali conclusioni consenta di sostenere. Le due analisi possono utilizzare documenti comuni, ma mantengono oggetti differenti.
La disciplina sanzionatoria potrà rendere più efficace la conservazione e la produzione delle prove elettroniche. Il controllo nel processo richiederà comunque che siano accessibili, nei limiti di legge, le informazioni necessarie a esaminare il percorso dell’acquisizione. La priorità operativa è preservare tempestivamente le fonti pertinenti e documentare le decisioni che ne condizionano la disponibilità, così da consentire una valutazione motivata anche quando il dato non arriva.
Note
1. D.lgs. 8 ottobre 2026, n. 188, G.U. n. 244 del 20 ottobre 2026; regolamento (UE) 2023/1543, art. 34. La decorrenza italiana è indicata anche nella scheda Normattiva del decreto. ↩
2. D.lgs. 30 dicembre 2025, n. 215 e d.lgs. 30 dicembre 2025, n. 216, entrambi pubblicati nella G.U. n. 11 del 15 gennaio 2026; d.lgs. 188/2026, art. 1. ↩
3. Regolamento (UE) 2023/1543, artt. 1–3, 7, 10 e 11; d.lgs. 215/2025, art. 2. Per il testo integrale si veda anche la versione ufficiale dell’Ufficio delle pubblicazioni dell’Unione europea. ↩ ↩
4. D.lgs. 188/2026, art. 3, commi 1–3; regolamento (UE) 2023/1543, artt. 15 e 16. La tabella riporta le fasce ordinarie; il parametro percentuale è soggetto alla disciplina del comma 3. ↩ ↩
5. D.lgs. 215/2025, art. 2, commi 2, 6 e 7, e art. 3, comma 2; regolamento (UE) 2023/1543, artt. 1, par. 2, e 18, par. 5. L’art. 2, comma 7, del decreto italiano disciplina l’inutilizzabilità per gli ordini emessi fuori dai casi o in mancanza delle condizioni previste. ↩
6. D.lgs. 188/2026, art. 3, commi 2 e 4–8; legge 24 novembre 1981, n. 689, applicabile in quanto compatibile e per quanto non diversamente disposto. ↩ ↩
7. D.lgs. 188/2026, art. 5; regolamento (UE) 2023/1543, artt. 19, 25 e 34. L’applicabilità del regolamento e la decorrenza dell’obbligo di impiegare il sistema informatico decentrato seguono disposizioni distinte. ↩
8. Regolamento (UE) 2023/1543, considerando 20 e artt. 10 e 11. Le indicazioni operative formulate nel contributo costituiscono valutazioni metodologiche, distinte dagli obblighi espressamente previsti. ↩
9. D.lgs. 188/2026, art. 2 e art. 4; regolamento (UE) 2023/1543, artt. 13 e 18. ↩
Partecipa alla community