e-Evidence package, dal 18 agosto un nuovo framework sull’acquisizione transfrontaliera dei dati digitali

Abstract
Dal 18 agosto 2026 trova applicazione il Regolamento (UE) 2023/1543 relativo agli ordini europei di produzione e agli ordini europei di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive a seguito di procedimenti penali. Il Regolamento costituisce, insieme alla Direttiva (UE) 2023/1544 sulla designazione di stabilimenti e rappresentanti legali dei prestatori di servizi, il c.d. e-Evidence Package.

As of 18 August 2026, Regulation (EU) 2023/1543 on European Production Orders and European Preservation Orders for electronic evidence in criminal proceedings and for the execution of custodial sentences following criminal proceedings applies. Together with Directive (EU) 2023/1544 on the designation of designated establishments and the appointment of legal representatives of service providers, the Regulation forms the so-called e-Evidence Package.

Sommario. 1. Il nuovo Pacchetto europeo in materia di E-evidence: ambito di applicazione e finalità – 2. L’ambito di applicazione del Regolamento – 2.1. I procedimenti penali – 2.2. I dati oggetto di richiesta – 2.3. Tipologia del prestatore e dimensione trasfrontaliera – 3. Gli strumenti processuali: EPOC e EPOC-PR – 4. Il quadro italiano di attuazione – 5. Considerazioni conclusive

1. Il nuovo Pacchetto europeo in materia di E-evidence: ambito di applicazione e finalità

Dal 18 agosto 2026 trova piena applicazione il Regolamento (UE) 2023/1543, relativo agli ordini europei di produzione e di conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive. Insieme alla complementare Direttiva (UE) 2023/1544 (sulla designazione degli stabilimenti e dei rappresentanti legali dei prestatori di servizi), il regolamento dà vita al cosiddetto e-evidence package.

In particolare:

• Il Regolamento disciplina, il potere e la procedura. Stabilisce chi può emettere un ordine europeo, a quali condizioni, per quali dati, con quali termini, quali obblighi gravano sul destinatario, quando deve essere coinvolta l’autorità dello Stato di esecuzione, quali rimedi sono disponibili e cosa avviene in caso di mancato adempimento.
• La Direttiva disciplina invece, principalmente, il destinatario istituzionale dell’ordine. Impone agli Stati membri di assicurare che determinate categorie di prestatori di servizi designino uno stabilimento o nominino un rappresentante legale nell’Unione dotato dei poteri e delle risorse necessari per ricevere e dare esecuzione agli ordini provenienti dalle autorità competenti.

L’obiettivo dell’impianto normativo europeo, ricavabile dalla lettura del Regolamento e, in particolare, dal Considerando n. 8) e 9), è triplice:

• Modernizzare il sistema di acquisizione delle prove. Fino all’entrata in applicazione del pacchetto e-Evidence, l’acquisizione transfrontaliera di prove elettroniche si fondava principalmente sugli strumenti ordinari di cooperazione giudiziaria, in particolare sull’Ordine europeo di indagine nell’ambito dell’Unione e, nei casi pertinenti, sulle procedure di assistenza giudiziaria internazionale, strumenti che ben potevano essere utilizzarsi in un’epoca storica in cui la prova era essenzialmente fisica, lenta da spostare e difficile da distruggere. La prova digitale, com’è noto, è fortemente volatile, pertanto soggetta a rischi di deterioramento, compromissione ed alterazione superiore.
• Le prove elettroniche sono concentrate presso pochi Stati e pochi provider. Il Considerando n. 8) muove da una caratteristica strutturale di Internet: i servizi digitali non sono distribuiti uniformemente tra gli Stati membri. Molti grandi provider hanno il proprio stabilimento europeo o una presenza societaria in un numero limitato di Stati. Il risultato è una sorta di collo di bottiglia della cooperazione giudiziaria: alcuni Stati diventano destinatari di un numero enorme di richieste semplicemente perché ospitano molti prestatori di servizi, fenomeno in costante incremento con l’aumento dell’uso dei servizi online.
• Superare la frammentarietà dei tradizionali canali di cooperazione giudiziaria, potenziando l’efficacia degli strumenti di cooperazione istituzionale (come l’Ordine Europeo di Indagine – OEI o le rogatorie) e introducendo un canale diretto e specializzato tra le autorità giudiziarie degli Stati membri e i prestatori di servizi digitali. Un ulteriore elemento di criticità del quadro previgente era rappresentato dalla frammentarietà delle modalità di acquisizione transfrontaliera delle prove elettroniche. In assenza di una disciplina armonizzata a livello dell’Unione, le autorità nazionali facevano ricorso a strumenti eterogenei, fondati ora sui tradizionali meccanismi di cooperazione giudiziaria, ora su forme di cooperazione diretta e volontaria con i prestatori di servizi. Tali prassi dipendevano in larga misura dal diritto nazionale applicabile e dalle politiche adottate dai singoli provider, con la conseguenza che richieste aventi ad oggetto dati analoghi potevano essere sottoposte a presupposti, procedure e tempi significativamente differenti a seconda dello Stato membro interessato o del prestatore destinatario. La disomogeneità risultava particolarmente evidente con riferimento ai dati relativi al contenuto, rispetto ai quali alcuni Stati membri avevano introdotto strumenti nazionali di acquisizione diretta, mentre altri continuavano a fare affidamento esclusivamente sui meccanismi formali di cooperazione giudiziaria. Ne derivava un sistema caratterizzato da incertezza applicativa, asimmetrie procedurali e prevedibilità limitata, nel quale l’effettiva possibilità di acquisire tempestivamente una prova elettronica poteva dipendere non soltanto dalla natura del dato e dalle esigenze dell’indagine, ma anche dalla combinazione tra ordinamento nazionale competente e prassi del prestatore coinvolto.

In sintesi, il pacchetto e-Evidence interviene precisamente su tale frammentazione, introducendo un quadro uniforme di obblighi, procedure, termini e garanzie applicabili alle richieste transfrontaliere rivolte ai prestatori di servizi operanti nell’Unione.

Una prova tradizionale — un documento cartaceo, un’arma, un oggetto sequestrato — tende ad avere una certa stabilità materiale.

Il dato elettronico è diverso. Può essere:

• cancellato dall’utente;
• eliminato automaticamente in base alle retention policy del provider;
• sovrascritto;
• modificato;
• reso indisponibile con la chiusura dell’account.

Per questo il considerando usa il concetto di volatilità.

Se il procedimento di cooperazione giudiziaria richiede settimane o mesi, esiste il rischio che, quando la richiesta arriva materialmente al provider, il dato non esista più.

È questa constatazione che spiega buona parte dell’architettura successiva del Regolamento: termini molto più brevi e, soprattutto, la creazione dell’ordine europeo di conservazione, che permette di “congelare” rapidamente il dato in attesa della sua acquisizione. In ogni caso, il sistema non sostituisce integralmente l’Ordine europeo di indagine (OEI), né gli strumenti di assistenza giudiziaria. L’OEI rimane lo strumento generale della cooperazione probatoria europea; il Regolamento 2023/1543 introduce invece un canale specializzato, riferito a determinate prove elettroniche già nella disponibilità di specifiche categorie di prestatori di servizi. La stessa Commissione descrive il nuovo meccanismo come uno strumento diretto e più rapido rispetto all’OEI e alle procedure di mutua assistenza.

2. L’ambito di applicazione del Regolamento

L’ambito di applicazione del Regolamento deve essere ricostruito lungo almeno quattro direttrici:

• finalità del procedimento,
• natura del dato,
• tipologia del prestatore e
• dimensione transfrontaliera della richiesta.

2.1. I procedimenti penali

Gli ordini europei di produzione e conservazione possono essere emessi nell’ambito e ai fini di procedimenti penali, comprese le indagini penali.

Il Regolamento non richiede che il procedimento abbia già raggiunto una determinata fase processuale, ma presuppone un procedimento riferito a uno specifico reato e una valutazione individualizzata della necessità e proporzionalità dell’ordine.

Il Considerando 24 esclude quindi una logica di acquisizione preventiva o esplorativa: l’ordine deve riferirsi a un procedimento penale concreto e a un reato già commesso.

L’ambito si estende inoltre all’esecuzione di una pena detentiva o di una misura privativa della libertà personale di almeno quattro mesi, a seguito di un procedimento penale, quando il condannato si sia sottratto alla giustizia, alle condizioni previste dal Regolamento.

2.2. I dati oggetto di richiesta

Un ulteriore limite materiale riguarda il momento di formazione del dato.

Il Regolamento concerne dati conservati dal prestatore o per suo conto al momento della ricezione dell’ordine. Non introduce un potere di intercettazione in tempo reale e non permette di imporre al prestatore la raccolta futura di dati che ancora non esistono. Non istituisce neppure un obbligo generale e indiscriminato di data retention.

L’ambito materiale del Regolamento non può essere compreso senza considerare la classificazione dei dati contenuta nell’art. 3.

Il sistema distingue [Considerando n. 31)]:

• dati relativi agli abbonati,
• dati richiesti al solo scopo di identificare l’utente,
• dati relativi al traffico e dati relativi al contenuto.

La classificazione non è puramente descrittiva, bensì determina il livello delle condizioni richieste per l’adozione dell’ordine e, nel modello italiano, incide direttamente sull’autorità competente.

I dati relativi agli abbonati consentono tipicamente di collegare un account a un determinato cliente o utilizzatore: nome, recapiti e altre informazioni concernenti il rapporto con il prestatore.

La categoria dei dati richiesti al solo scopo di identificare l’utente comprende invece informazioni tecniche — in particolare indirizzi IP e, quando necessari, porte sorgente e marche temporali — utilizzate esclusivamente per stabilire quale utente si celasse dietro un determinato identificatore. Il Regolamento riconosce espressamente che, soprattutto in presenza di indirizzi IP condivisi, tali informazioni possono rappresentare il punto di partenza indispensabile di un’indagine.

I dati di traffico hanno invece una capacità inferenziale più intensa: consentono di ricostruire elementi quali origine e destinatario di una comunicazione, data, ora, durata, ubicazione del dispositivo, sessioni di login e logout e altri dati di contesto.

Infine, i dati di contenuto permettono di conoscere ciò che è stato scritto, detto, inviato o conservato: messaggi, e-mail, registrazioni, immagini, documenti e altre informazioni digitali.

La distinzione determina i presupposti dell’ordine di produzione. Per i dati dell’abbonato e per quelli richiesti esclusivamente a fini identificativi, l’ordine può essere utilizzato in relazione a qualsiasi reato, ferma la verifica di necessità e proporzionalità. Per i dati di traffico non meramente identificativi e per i dati di contenuto opera invece, in via generale, la soglia relativa a reati punibili con una pena detentiva massima di almeno tre anni, insieme alle specifiche fattispecie contemplate dal Regolamento.

Particolarmente interessante è il carattere funzionale della distinzione tra identificazione e traffico.

Un indirizzo IP richiesto esclusivamente per rispondere alla domanda “chi utilizzava questo indirizzo in quel momento?” rientra nel regime identificativo. Una serie di IP e timestamp richiesta per ricostruire nel tempo le attività dell’utente può invece assumere la natura di dato di traffico.

La qualificazione giuridica non dipende quindi esclusivamente dal formato tecnico dell’informazione, ma anche dalla finalità investigativa della richiesta e dalla capacità inferenziale del dato.

2.3. Tipologia del prestatore e dimensione trasfrontaliera

Come precisato dall’articolo 1, il Regolamento si applica a un prestatore di servizi che offre servizi nell’Unione e che è stabilito in un altro Stato membro o, alternativamente, rappresentato da un rappresentante legale in un altro Stato membro. L’articolo 3, n.3, precisa che per “prestatore di servizi debba intendersi la persona fisica o giuridica che fornisce una o più delle seguenti categorie di servizi, ad eccezione dei servizi finanziari di cui all’articolo 2, paragrafo 2, lettera b), della direttiva 2006/123/CE del Parlamento europeo e del Consiglio:

a) servizi di comunicazione elettronica quali definiti all’articolo 2, punto 4), della direttiva (UE) 2018/1972;

b) servizi di nomi di dominio internet e di numerazione IP, quali l’assegnazione di indirizzi IP, i servizi di registri di nomi di dominio, di registrar di nomi di dominio e i servizi per la privacy o proxy connessi ai nomi di dominio;

c) altri servizi della società dell’informazione di cui all’articolo 1, paragrafo 1, lettera b), della direttiva (UE) 2015/1535 che:

i) consentono ai loro utenti di comunicare fra di loro; o

ii) rendono possibile la conservazione o il trattamento di dati per conto degli utenti ai quali è fornito il servizio, quando la conservazione dei dati è una componente propria del servizio fornito all’utente;

Il n. 4), invece, chiarisce che per «offerta di servizi nell’Unione» si intende:

a) consentire alle persone fisiche o giuridiche in uno Stato membro di usare i servizi elencati al punto 3); e

b) avere un collegamento sostanziale, basato su specifici criteri di fatto, con lo Stato membro di cui alla lettera a); tale collegamento sostanziale deve essere considerato presente quando il prestatore di servizi è stabilito in uno Stato membro o, in mancanza di un tale stabilimento, qualora vi sia un numero considerevole di utenti in uno o più Stati membri o qualora le sue attività siano orientate verso uno o più Stati membri.

La disciplina è quindi costruita per intercettare il luogo nel quale, nell’economia digitale, la prova tende effettivamente a concentrarsi: provider di comunicazioni, piattaforme, servizi cloud e hosting, servizi che gestiscono account, infrastrutture di dominio e altri intermediari digitali contemplati dalla definizione regolamentare.

Non è pertanto sufficiente che un’impresa disponga di dati utili a un procedimento penale perché il Regolamento sia automaticamente utilizzabile nei suoi confronti. Occorre anzitutto verificare che essa sia un “prestatore di servizi” ai sensi dell’art. 3.

Il secondo requisito soggettivo-territoriale è che il prestatore offra servizi nell’Unione.

La nozione non coincide con l’avere la sede legale in uno Stato membro. Il legislatore europeo ha deliberatamente costruito una disciplina capace di raggiungere anche operatori globali stabiliti in paesi terzi.

L’offerta di servizi nell’Unione presuppone la possibilità per persone fisiche o giuridiche di uno Stato membro di utilizzare il servizio e l’esistenza di un collegamento sostanziale con l’Unione. Tale collegamento può risultare dalla presenza di uno stabilimento; in sua assenza, può derivare da un numero significativo di utenti o dall’orientamento dell’attività verso uno o più Stati membri.

Il criterio è particolarmente rilevante per i grandi provider extraeuropei. Un’impresa non può sottrarsi al sistema per il solo fatto che la propria capogruppo o la propria infrastruttura principale siano collocate fuori dall’UE, quando offra stabilmente i propri servizi al mercato europeo secondo i criteri stabiliti dal Regolamento.

Infine, il Regolamento è costruito per i casi transfrontalieri. La definizione dell’ordine europeo presuppone che lo stabilimento designato o il rappresentante legale al quale esso viene rivolto si trovi in uno Stato membro diverso dallo Stato dell’autorità di emissione.

3. Gli strumenti processuali: EPOC e EPOC-PR

Il cuore operativo del regolamento è costituito da due strumenti denominati con gli acronimi EPOC ed EPOC-PR, destinati a entrare nel lessico quotidiano della cooperazione giudiziaria penale europea.

Il Regolamento costruisce il nuovo meccanismo intorno a due provvedimenti vincolanti, distinti per funzione: l’ordine europeo di produzione, diretto a ottenere la trasmissione di dati elettronici già nella disponibilità del prestatore di servizi, e l’ordine europeo di conservazione, volto invece a impedirne temporaneamente la rimozione, cancellazione o modifica in vista di una successiva acquisizione.

È opportuno precisare anche la terminologia. L’acronimo EPOC indica propriamente il European Production Order Certificate, cioè il certificato dell’ordine europeo di produzione; EPOC-PR indica il certificato dell’ordine europeo di conservazione. Il certificato costituisce lo strumento standardizzato mediante il quale l’ordine viene trasmesso al destinatario.

La distinzione tra ordine e certificato riflette la struttura stessa del nuovo modello di cooperazione. Nella fase ordinaria, il prestatore riceve il certificato e adempie direttamente alla richiesta, senza che sia necessario l’intervento dell’autorità dello Stato in cui è stabilito o rappresentato. Qualora, invece, il destinatario non ottemperi, il meccanismo può evolvere nella procedura di esecuzione prevista dall’art. 16: l’autorità di emissione può chiedere all’autorità competente dello Stato di esecuzione di far rispettare l’ordine e, a tal fine, le trasmette il provvedimento sottostante, unitamente alla documentazione prevista dal Regolamento. L’EPOC e l’EPOC-PR rappresentano pertanto il veicolo standardizzato della trasmissione e dell’adempimento diretto; l’ordine resta la fonte giuridica dell’obbligo e assume autonoma rilevanza quando diviene necessario ricorrere all’esecuzione coercitiva.

Il regolamento introduce altresì una novità di sistema per il versante difensivo: l’EPOC può essere richiesto non solo dall’accusa ma anche dalla persona indagata, dall’imputato e dalle parti private, aprendo uno spazio di iniziativa probatoria che, a regime, potrebbe modificare significativamente la dinamica dell’acquisizione della prova digitale nel processo penale.

4. Il quadro italiano di attuazione

La legge 13 giugno 2025, n. 91 (legge di delegazione europea 2024) ha conferito al Governo i principi e i criteri direttivi per l’attuazione del pacchetto, agli artt. 7 e 19, rispettivamente per la direttiva e per il regolamento. L’Italia ha scelto una strategia a due fasi: un primo decreto dedicato alla designazione delle autorità competenti — necessario per adempiere alla notifica dovuta alla Commissione entro il 18 agosto 2025 ai sensi dell’art. 31 del regolamento — e un secondo decreto, ancora in iter al momento della pubblicazione dei decreti già adottati, destinato a completare il coordinamento dell’ordinamento processuale interno.

I decreti legislativi 30 dicembre 2025, n. 215 e n. 216, sono stati pubblicati nella Gazzetta Ufficiale n. 11 del 15 gennaio 2026 e sono entrati in vigore il 30 gennaio 2026. Il 7 aprile 2026, a poche settimane dall’operatività del regolamento, l’Ufficio del Massimario della Corte di Cassazione ha pubblicato la Relazione n. 25/2026, prima lettura sistematica del quadro attuativo nazionale.

Il d.lgs. 215/2025 ha non soltanto individuato le autorità competenti, ma ha introdotto rilevanti disposizioni di raccordo con il diritto processuale interno.

Tra queste assumono rilievo le modifiche alla disciplina della conservazione dei dati e l’introduzione dell’art. 263-bis c.p.p., “Ordine di conservazione di dati”, che dota l’ordinamento interno di uno strumento nominato per impedire la cancellazione dei dati in vista della loro successiva acquisizione.

Il d.lgs. 216/2025 ha invece costruito il versante organizzativo e sanzionatorio necessario al recepimento della Direttiva, individuando gli obblighi di designazione o nomina e le autorità amministrative nazionali coinvolte.

L’adeguamento italiano è stato successivamente completato sul piano governativo da un ulteriore schema di decreto legislativo, l’Atto del Governo n. 411, riguardante, tra l’altro, informazione della persona interessata, sanzioni, ricorsi e adeguamento del sistema informatico. Lo schema ha ricevuto i pareri parlamentari nel luglio 2026 e il Consiglio dei ministri ne ha previsto l’esame definitivo nella seduta del 4 agosto 2026.

5. Considerazioni conclusive

Il Regolamento (UE) 2023/1543 rappresenta un mutamento importante nel diritto europeo della prova penale digitale non tanto perché introduce due ulteriori formulari di cooperazione, quanto perché ridefinisce il criterio attraverso il quale viene affrontata la dimensione transfrontaliera della prova elettronica.

Di Alessia Palladino
Assegnista di ricerca e Cultore della Materia in «Informatica giuridica» e «Computer Law»  presso l’Università degli Studi di Cagliari