Dal 18 agosto 2026 il Regolamento (UE) 2023/1543 sull’e-Evidence diventa applicabile in tutti gli Stati membri: diventa più facile ottenere o conservare dati elettronici detenuti dai prestatori di servizi, attraverso un canale diretto tra autorità e provider.
La norma ha conseguenze per le indagini penali, la difesa e la digital forensics. In Italia gli impatti, in particolare, riguardano la disciplina introdotta dai D.Lgs. nn. 215 e 216 del 2025. La maggiore rapidità nell’accesso ai dati non elimina, tuttavia, i problemi relativi ad autenticità, integrità, completezza, attribuzione e verificabilità della prova. Il nuovo sistema rende più semplice acquisire il dato, ma impone un metodo forense ancora più rigoroso per trasformarlo in prova utilizzabile e controllabile nel contraddittorio.
Indice degli argomenti
L’e-Evidence e l’accesso transfrontaliero ai dati
Non si tratta, tecnicamente, dell’entrata in vigore del regolamento, avvenuta già nel 2023, ma del momento dal quale i nuovi strumenti possono essere concretamente utilizzati.
Il passaggio è destinato a incidere profondamente sui procedimenti penali nei quali dati rilevanti sono detenuti da piattaforme digitali, servizi cloud, social network, provider di comunicazione, hosting provider e gestori di nomi di dominio o indirizzi IP. La Commissione europea stima da tempo che una parte rilevante delle indagini penali richieda l’accesso a evidenze elettroniche collocate oltre i confini dello Stato procedente.
La novità non consiste semplicemente nell’introduzione di nuovi moduli. Il regolamento modifica la relazione tra autorità giudiziaria, territorio e soggetto che controlla il dato: l’autorità di uno Stato membro può rivolgersi direttamente allo stabilimento designato o al rappresentante legale del prestatore presente in un altro Stato dell’Unione, indipendentemente dal luogo nel quale i dati sono materialmente conservati.[1]
La prova digitale diventa così più rapidamente accessibile. È però necessario chiarire sin dall’inizio che accessibilità del dato e attendibilità della prova non coincidono.
Dal server al provider che controlla i dati
Nel modello tradizionale, l’acquisizione transfrontaliera delle prove elettroniche passava prevalentemente attraverso l’assistenza giudiziaria internazionale o l’ordine europeo di indagine. Questi strumenti continuano a esistere e il nuovo sistema non li sostituisce in ogni situazione; introduce, tuttavia, un canale diretto che può ridurre tempi incompatibili con la volatilità del dato digitale.
Un log può essere sovrascritto, un account può essere eliminato, una piattaforma può applicare periodi di conservazione molto brevi e un contenuto cloud può essere modificato o perdere parte dei metadati originari. La velocità non è quindi un’esigenza meramente organizzativa, ma una condizione dalla quale può dipendere la stessa esistenza della prova.
Il nuovo modello sposta l’attenzione dalla localizzazione dell’infrastruttura al prestatore che detiene i dati o li conserva per conto dell’utente. Se il provider offre servizi nell’Unione, gli ordini possono essere indirizzati al suo stabilimento designato o al rappresentante legale nominato ai sensi della Direttiva (UE) 2023/1544.
La direttiva completa l’architettura imponendo ai prestatori interessati di individuare nell’Unione un destinatario dotato dei poteri e delle risorse necessari per ricevere, eseguire e rendere effettive le richieste provenienti dalle autorità competenti. Il risultato è una cooperazione non più necessariamente costruita soltanto sul rapporto tra autorità nazionali, ma sul rapporto diretto tra autorità giudiziaria e prestatore di servizi, entro un quadro uniforme di obblighi, termini e garanzie.[2]
EPOC ed EPOC-PR per produzione e conservazione
Il Regolamento introduce due strumenti distinti, accomunati dall’esigenza di rendere più rapido l’accesso alla prova ma differenti per funzione ed effetti.
L’ordine europeo di produzione, trasmesso mediante il certificato EPOC, impone al destinatario di consegnare dati elettronici specificamente individuati. Il termine ordinario per la produzione è di dieci giorni, ridotto a otto ore nei casi di emergenza. Il confronto con i tempi potenzialmente molto più lunghi dell’ordine europeo di indagine o dell’assistenza giudiziaria evidenzia la portata pratica della riforma.
L’ordine europeo di conservazione, trasmesso mediante il certificato EPOC-PR, non determina invece l’immediata consegna. Serve a impedire che dati già detenuti dal provider siano cancellati, alterati o resi indisponibili in attesa di una successiva richiesta di produzione. Il destinatario deve conservarli senza indebito ritardo per sessanta giorni, periodo durante il quale l’autorità può attivare un ordine europeo di produzione, un ordine europeo di indagine o un altro strumento previsto dalla legge.[3]
La distinzione è essenziale: la conservazione non attribuisce automaticamente la disponibilità processuale del dato e non sostituisce il successivo titolo di acquisizione. Lo congela prima che diventi tecnicamente irrecuperabile.
Le categorie di dati nell’e-Evidence
Il Regolamento distingue quattro categorie di dati:
- dati relativi agli abbonati;
- dati richiesti al solo scopo di identificare l’utente, come indirizzi IP, porte sorgenti e riferimenti temporali pertinenti;
- dati sul traffico;
- dati relativi al contenuto.
La classificazione non è meramente terminologica, perché determina presupposti, soglie di ammissibilità e autorità competente. I dati relativi agli abbonati e quelli richiesti esclusivamente per identificare l’utente possono essere oggetto di ordine per qualsiasi reato.
L’accesso ai dati sul traffico e ai contenuti, maggiormente invasivi, è subordinato a condizioni più rigorose: in linea generale, deve trattarsi di reati punibili nello Stato di emissione con una pena detentiva massima di almeno tre anni oppure di specifiche fattispecie indicate dal Regolamento, tra cui determinati reati informatici, frodi, abusi sessuali sui minori e terrorismo.
La corretta qualificazione del dato rappresenta quindi un passaggio preliminare decisivo. Un indirizzo IP richiesto esclusivamente per identificare l’utente rientra in una categoria; l’insieme dei log utilizzati per ricostruire attività, connessioni e sequenze temporali può ricadere nei dati sul traffico. La natura tecnica dell’informazione e la finalità concreta della richiesta devono essere considerate congiuntamente.[4]
Regolamento e-Evidence: l’adeguamento italiano
L’Italia ha adeguato il proprio ordinamento con i decreti legislativi 30 dicembre 2025, n. 215 e n. 216, pubblicati nella Gazzetta Ufficiale del 15 gennaio 2026. Il primo individua le autorità competenti e disciplina emissione, ricezione, esecuzione e riesame degli ordini; il secondo attua la Direttiva (UE) 2023/1544, regolando stabilimenti designati e rappresentanti legali dei prestatori di servizi.
I ruoli di PM e Gip
Durante le indagini preliminari, la competenza per l’ordine di produzione è ripartita in base alla natura del dato:
- il pubblico ministero procede per i dati relativi agli abbonati e per quelli richiesti al solo scopo di identificare l’utente;
- il giudice per le indagini preliminari interviene quando l’ordine riguarda dati sul traffico o contenuti.
Per l’ordine europeo di conservazione, durante le indagini preliminari procede invece il pubblico ministero, indipendentemente dalla categoria del dato. Nei casi di emergenza sono previsti poteri della polizia giudiziaria sottoposti a successiva convalida.
Urgenza e emergenza
La disciplina italiana contempla inoltre una procedura accelerata per le particolari ragioni di urgenza, distinta dal più rigoroso concetto europeo di emergenza, riferito a una minaccia imminente per la vita, l’integrità fisica o la sicurezza di una persona o di un’infrastruttura critica.
Un presidio particolarmente significativo è rappresentato dall’inutilizzabilità dei dati acquisiti mediante un ordine europeo di produzione emesso fuori dai casi o in assenza delle condizioni previste dal Regolamento e dalla normativa nazionale.[5]
La difesa e la conservazione dei dati digitali
L’ordine europeo non è uno strumento riservato esclusivamente all’accusa. Il D.Lgs. n. 215/2025 prevede che la persona sottoposta alle indagini, l’imputato, le parti private e i rispettivi difensori possano chiederne l’emissione al giudice. La persona offesa e il suo difensore possono a loro volta sollecitare il pubblico ministero.
Non viene attribuito al difensore un potere di rivolgersi direttamente al provider: il meccanismo deve essere attivato attraverso l’autorità giudiziaria. Tuttavia, la previsione assume un’importanza concreta quando il dato è soggetto a rapida cancellazione.
Per la difesa, la strategia non può iniziare nel momento in cui il materiale viene depositato dall’accusa. Deve iniziare dalla tempestiva individuazione delle fonti digitali e dalla richiesta di conservazione dei dati potenzialmente favorevoli: log di accesso, cronologie, dati di localizzazione, comunicazioni, versioni cloud, registrazioni di sicurezza o informazioni tecniche necessarie a verificare l’attribuzione di un account.
Il principio di parità delle armi, nel contesto digitale, dipende anche dalla capacità di intervenire prima che la fonte venga cancellata per effetto delle ordinarie politiche di retention del servizio.
Come cambia il Codice privacy italiano
L’adeguamento italiano produce effetti anche oltre i rapporti transfrontalieri. Il D.Lgs. n. 215/2025 ha introdotto l’articolo 263-bis c.p.p., che consente al pubblico ministero di ordinare ai fornitori e agli operatori di servizi informatici, telematici o di telecomunicazioni di conservare e proteggere i dati detenuti per un periodo non superiore a novanta giorni, prorogabile, per motivate esigenze, sino a una durata complessiva di sei mesi.
Sono state inoltre modificate le disposizioni dell’articolo 132 del Codice privacy relative ai dati di traffico, prevedendo specifici poteri di conservazione e protezione. Si consolida così una regola operativa destinata a incidere sulle prassi investigative e difensive: preservare prima di acquisire.
Il metodo dovrebbe svilupparsi secondo una sequenza coerente:
- individuare con precisione il dato e il soggetto che lo detiene;
- impedirne tempestivamente la dispersione;
- acquisirlo attraverso il corretto titolo giuridico;
- documentarne ricezione, conservazione e successive elaborazioni;
- sottoporlo a verifica tecnica e contraddittorio.
La conservazione è quindi una misura cautelare sul dato, non una scorciatoia probatoria.
I dati del provider e il loro valore processuale
La rapidità del nuovo sistema non consente di ritenere che quanto prodotto dal provider sia, per ciò solo, completo, autentico e riferibile alla persona sottoposta alle indagini. Il Regolamento disciplina l’accesso e la circolazione dell’evidenza elettronica; non sostituisce l’analisi forense e non predetermina il valore probatorio del materiale acquisito.
Un archivio consegnato da una piattaforma può contenere messaggi, file multimediali, identificativi di account, log di accesso, indirizzi IP, dati di pagamento e riferimenti temporali. La corretta interpretazione richiede però di conoscere almeno:
- il formato nel quale i dati sono stati estratti e consegnati;
- il significato dei campi presenti nei database o nei file strutturati;
- il fuso orario e il sistema di marcatura temporale utilizzati;
- il momento dell’estrazione e l’intervallo temporale effettivamente coperto;
- le politiche di conservazione applicate dal servizio;
- l’eventuale esclusione di dati cancellati, cifrati o non più disponibili;
- le trasformazioni operate dal provider durante l’esportazione.
Un file JSON, CSV o HTML generato dalla piattaforma non coincide necessariamente con l’artefatto digitale originario. Può rappresentare un’esportazione logica prodotta attraverso procedure interne non interamente conoscibili dalla difesa.
e-Evidence e verifica forense della prova digitale
La catena di custodia non dovrebbe iniziare soltanto nel momento in cui l’autorità riceve il dato. Occorre documentare, per quanto possibile, anche la fase precedente: identificazione della fonte, procedura di estrazione, soggetto che ha eseguito l’operazione, data e ora, formato di esportazione, algoritmo di hash eventualmente applicato e modalità di trasferimento.
Nella valutazione della prova devono essere distinti almeno quattro livelli, che rispondono a domande differenti.
I quattro livelli di verifica
L’integrità riguarda la possibilità di dimostrare che il materiale ricevuto non sia stato modificato dopo l’acquisizione. Può essere documentata mediante hash, registri delle operazioni, copie di lavoro e corretta catena di custodia.
L’autenticità concerne la provenienza del dato dal sistema o dal servizio indicato. La trasmissione da parte del provider rafforza questa verifica, ma non chiarisce necessariamente tutte le modalità con le quali il dato è stato generato, indicizzato o trasformato.
L’attribuzione riguarda il collegamento tra account, dispositivo e persona fisica. Un account intestato a un soggetto può essere utilizzato da terzi; un indirizzo IP può essere condiviso o assegnato dinamicamente; credenziali e dispositivi possono essere ceduti, sottratti o compromessi.
La completezza attiene a ciò che il dataset rappresenta e a ciò che potrebbe non rappresentare. L’assenza di un dato nell’archivio prodotto non dimostra necessariamente che l’evento non sia mai avvenuto: può dipendere dalle politiche di retention, dalla cancellazione, dalla cifratura end-to-end, dal perimetro della richiesta o dai limiti tecnici del servizio.
Queste verifiche non possono essere assorbite in una generica affermazione di genuinità della prova. L’output del provider deve essere confrontato, quando possibile, con altre fonti: copia forense del dispositivo, database applicativi, backup, tabulati, dati di rete e riscontri esterni.
Garanzie e infrastruttura dell’e-Evidence
La relazione diretta con il provider non determina la completa esclusione dello Stato nel quale si trova il destinatario. Per gli ordini riguardanti dati sul traffico o contenuti è prevista, di regola, la notificazione all’autorità di esecuzione.
Il sistema contempla motivi di rifiuto collegati, tra l’altro, a immunità e privilegi, libertà di stampa e di espressione, impossibilità materiale, errori manifesti e, in circostanze eccezionali, al rischio di una violazione manifesta dei diritti fondamentali riconosciuti dall’Unione. La persona i cui dati sono stati acquisiti deve inoltre poter disporre di rimedi effettivi nello Stato di emissione.
In Italia, l’autorità di esecuzione è individuata nel procuratore della Repubblica presso il tribunale del capoluogo del distretto nel quale ha sede lo stabilimento designato o risiede il rappresentante legale, con l’intervento del giudice per le indagini preliminari nei casi previsti.
Il Regolamento è applicabile dal 18 agosto 2026, ma l’infrastruttura tecnica non può considerarsi necessariamente già integralmente a regime. Le comunicazioni scritte dovranno avvenire attraverso un sistema informatico decentralizzato, sicuro e affidabile; l’obbligo di utilizzarlo decorre, tuttavia, un anno dopo l’adozione dei pertinenti atti di esecuzione.[6]
La fase transitoria delle comunicazioni
La fase transitoria non è irrilevante. Le modalità di trasmissione incidono su riservatezza, prova della ricezione, sicurezza dei dati, tracciabilità delle operazioni e possibilità di dimostrare che il materiale prodotto corrisponda esattamente a quello ricevuto.
e-Evidence: velocità di acquisizione e metodo forense
L’e-Evidence affronta uno dei problemi centrali delle indagini contemporanee: la distanza tra la velocità con la quale i dati digitali possono scomparire e la lentezza con la quale, sino a oggi, potevano essere acquisiti oltre confine.
La risposta europea è significativa. Riduce il peso della localizzazione fisica del server, istituisce un interlocutore giuridicamente responsabile, standardizza gli ordini e introduce termini compatibili con la volatilità della prova elettronica.
La rapidità, tuttavia, non deve trasformarsi in automatismo probatorio. Il dato consegnato dal provider deve essere preservato, documentato, analizzato e contestualizzato. Devono quindi:
- essere distinti contenuto, metadati, log e informazioni identificative;
- devono essere verificati formati, riferimenti temporali, completezza e limiti dell’estrazione;
- deve rimanere possibile per la difesa conoscere e controllare il percorso attraverso il quale il dato è entrato nel procedimento.
Il Regolamento rende più semplice ottenere un’evidenza elettronica. Non rende automaticamente quell’evidenza più affidabile. La vera sfida sarà evitare che la maggiore velocità dell’acquisizione riduca lo spazio del controllo tecnico e del contraddittorio. Perché nel processo penale acquisire prima è fondamentale, ma dimostrare correttamente resta indispensabile.
Note
[1] Regolamento (UE) 2023/1543 del Parlamento europeo e del Consiglio, del 12 luglio 2023, relativo agli ordini europei di produzione e agli ordini europei di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive a seguito di procedimenti penali, artt. 1, 3 e 7. ↩
[2] Direttiva (UE) 2023/1544 del Parlamento europeo e del Consiglio, del 12 luglio 2023, recante norme armonizzate sulla designazione di stabilimenti designati e sulla nomina di rappresentanti legali ai fini dell’acquisizione di prove elettroniche nei procedimenti penali. ↩
[3] Regolamento (UE) 2023/1543, artt. 9, 10 e 11. Cfr. anche Eurojust, Electronic evidence, aggiornamento 13 febbraio 2026. ↩
[4] Regolamento (UE) 2023/1543, artt. 3 e 5. Per i dati sul traffico e relativi al contenuto operano le soglie e le fattispecie previste dall’art. 5, par. 4. ↩
[5] D.Lgs. 30 dicembre 2025, n. 215, artt. 2, 3 e 4. Il comma 7 dell’art. 2 stabilisce l’inutilizzabilità dei dati acquisiti fuori dai casi o in mancanza delle condizioni previste. ↩
[6] Commissione europea, E-evidence – Migration and Home Affairs, policy timeline: il Regolamento si applica dal 18 agosto 2026; l’obbligo di utilizzare il sistema informatico decentralizzato opera secondo la scansione prevista dagli atti di esecuzione. ↩
Partecipa alla community