Un messaggio inviato da uno smartphone in Italia può essere gestito da una società con sede in Irlanda, appoggiarsi a infrastrutture distribuite in più Paesi e diventare poche ore dopo una prova decisiva in un’indagine per terrorismo, frode o criminalità organizzata. La distanza tra il luogo dell’indagine e il provider che dispone dell’informazione poteva finora tradursi in settimane o mesi di cooperazione giudiziaria. Con le nuove regole europee sull’e-evidence quel percorso diventa più diretto.
Dal 18 agosto 2026 è applicabile il regolamento Ue 2023/1543, che introduce l’Ordine europeo di produzione e l’Ordine europeo di conservazione delle prove elettroniche. Il sistema non attribuisce un generico nuovo potere alla “polizia europea” e non consente a Europol di ordinare la consegna dei dati. A intervenire sono le autorità competenti degli Stati membri nell’ambito di procedimenti penali, secondo condizioni e garanzie che cambiano in funzione del tipo di informazione richiesta.
La riforma nasce da un problema ormai strutturale per le indagini. La Commissione europea rileva che più della metà delle investigazioni penali comprende oggi una richiesta transfrontaliera di accesso a prove elettroniche, come email, messaggi di testo o comunicazioni attraverso app. Smartphone, account online, servizi cloud, indirizzi Ip e registri tecnici sono entrati nella normale attività investigativa anche per reati che non hanno origine nel cyberspazio.
Dal magistrato al provider: cosa cambia
La principale novità riguarda il percorso della richiesta. Nella cooperazione giudiziaria tradizionale, quando un’autorità italiana aveva bisogno di una prova disponibile all’estero, doveva normalmente coinvolgere l’autorità dell’altro Stato attraverso strumenti come l’Ordine europeo d’indagine o le procedure di assistenza giudiziaria internazionale.
Con l’European Production Order, l’ordine europeo di produzione, un’autorità giudiziaria può invece ottenere determinate prove elettroniche rivolgendosi direttamente al fornitore di servizi o al suo stabilimento designato o rappresentante legale in un altro Stato membro. Il destinatario è tenuto a rispondere entro dieci giorni, termine che scende a otto ore nei casi di emergenza. La Commissione mette questi tempi a confronto con i possibili 120 giorni dell’Ordine europeo d’indagine e con una media di circa dieci mesi per le tradizionali procedure di mutual legal assistance.
La velocità assume un peso particolare quando il dato ha una vita limitata. Un account può essere cancellato, un registro tecnico sovrascritto o un servizio può eliminare automaticamente alcune informazioni prima che una richiesta formulata attraverso i canali tradizionali raggiunga il destinatario.
Per questo il regolamento affianca all’ordine di produzione lo European Preservation Order, l’ordine europeo di conservazione. L’autorità non chiede ancora la consegna del dato, ma impone al provider di preservarlo in vista di una successiva richiesta di produzione, che potrà avvenire attraverso lo stesso European Production Order, un Ordine europeo d’indagine o gli strumenti di assistenza giudiziaria.
Il nuovo sistema sposta inoltre l’attenzione dalla posizione fisica del server al soggetto che dispone giuridicamente delle informazioni. È una risposta alla struttura del cloud, dove gli stessi dati possono essere distribuiti o replicati tra infrastrutture diverse e la loro collocazione materiale può avere un’importanza molto inferiore rispetto al passato.
La riforma si regge anche sulla direttiva Ue 2023/1544, per la quale il termine di recepimento era fissato al 18 febbraio 2026. I provider interessati devono avere nell’Unione uno stabilimento designato o un rappresentante legale incaricato di ricevere e dare seguito agli ordini. L’obbligo serve a rendere raggiungibili anche società che offrono servizi nell’Ue pur avendo la propria sede principale in un Paese terzo.
Dall’identità di un account al contenuto di una chat
Non tutte le informazioni digitali hanno lo stesso peso. Il regolamento distingue i subscriber data, che comprendono i dati relativi all’abbonato o all’utilizzatore di un servizio, dalle informazioni richieste esclusivamente per identificare una persona, dai traffic data e dai content data.
I traffic data sono i metadati generati dalle comunicazioni e possono comprendere informazioni su origine, destinazione, data, ora, durata o altri elementi tecnici. Permettono quindi di ricostruire una rete di comunicazioni senza necessariamente conoscere ciò che gli interlocutori si sono detti.
I content data comprendono invece il contenuto vero e proprio conservato in formato digitale: testi, fotografie, registrazioni vocali, video, file e altre informazioni. Con l’accesso a questa categoria l’autorità investigativa non ricostruisce più soltanto l’esistenza o le circostanze tecniche di una comunicazione, ma può entrare nel merito di ciò che è stato scritto, detto, inviato o condiviso.
Le garanzie diventano più stringenti quando la richiesta riguarda traffic data diversi da quelli utilizzati esclusivamente per identificare un utente o dati di contenuto. Per queste categorie l’ordine di produzione è ammesso, in linea generale, per reati punibili nello Stato di emissione con una pena detentiva massima di almeno tre anni, oltre a specifiche fattispecie previste dal diritto europeo, tra cui alcuni reati informatici e quelli legati al terrorismo. Anche l’autorità competente cambia: per le categorie più sensibili è richiesto l’intervento o la convalida di un giudice, di un tribunale o di un giudice istruttore, mentre per subscriber data e informazioni finalizzate esclusivamente all’identificazione possono essere previste competenze del pubblico ministero.
La disciplina incrocia anche il tema della crittografia. Il regolamento non introduce un obbligo generale per i fornitori di servizi di decifrare dati ai quali non possono accedere. Nei servizi protetti da crittografia end-to-end resta quindi determinante ciò che il provider possiede o è tecnicamente in grado di mettere a disposizione, senza che l’ordine europeo crei di per sé una chiave di accesso ai contenuti.
Più velocità nelle indagini, ma restano i limiti dei diritti
Il passaggio diretto tra autorità giudiziaria e provider accelera l’acquisizione della prova, ma elimina anche una parte della mediazione istituzionale che caratterizzava la cooperazione tra Stati. Il regolamento affronta questo punto attraverso un sistema di garanzie che coinvolge, nei casi previsti, anche l’autorità dello Stato membro in cui il fornitore di servizi è stabilito o rappresentato.
Per le richieste più sensibili opera un meccanismo di notifica che consente a questa autorità di intervenire e, nei casi stabiliti dalla normativa, fermare la produzione sulla base dei motivi previsti dal regolamento. Le tutele riguardano anche immunità e privilegi, protezione dei dati personali, libertà di stampa e libertà di espressione nei media. È inoltre prevista una procedura specifica davanti a un giudice o a un tribunale quando il provider si trova esposto a un conflitto tra obblighi giuridici incompatibili.
Il problema assume un rilievo particolare quando la richiesta riguarda informazioni protette dal segreto professionale o coinvolge avvocati, giornalisti, medici e altri soggetti per i quali gli ordinamenti nazionali prevedono specifiche garanzie. La rapidità dell’acquisizione non elimina quindi il controllo su necessità, proporzionalità e tutela dei diritti fondamentali, mentre le persone interessate devono poter disporre dei rimedi giuridici previsti dalle nuove regole.
A sostenere operativamente il sistema è anche un’infrastruttura informatica decentralizzata, prevista per consentire le comunicazioni tra autorità e fornitori di servizi attraverso canali sicuri, affidabili e in grado di autenticare i partecipanti. La Commissione ha pubblicato nel 2026 specifiche tecniche e manuali destinati alle amministrazioni e ai provider in vista dell’applicazione delle nuove regole.
Per le aziende significa organizzare procedure capaci di ricevere, verificare ed eseguire richieste che, in emergenza, possono richiedere una risposta nel giro di otto ore. Per magistrati e investigatori significa invece utilizzare uno strumento che non sostituisce l’Ordine europeo d’indagine, ma lo affianca quando ciò che deve essere acquisito è una prova elettronica nella disponibilità di un fornitore di servizi stabilito o rappresentato oltreconfine.
