Regolamento (UE) 2023/1543 • Direttiva (UE) 2023/1544 • Quadro operativo italiano

Applicabile dal 18 agosto 2026 — focus operativo per autorità giudiziaria, polizia giudiziaria e personale tecnico-forense

In sintesi Dal 18 agosto 2026 l’autorità giudiziaria di uno Stato membro può rivolgersi direttamente allo stabilimento designato o al rappresentante legale di un prestatore di servizi in un altro Stato membro per ottenere la conservazione (EPOC-PR) o la produzione (EPOC) di prove elettroniche, senza dover passare per l’assistenza giudiziaria o per l’ordine europeo di indagine. Quattro categorie di dati, con presupposti crescenti: abbonati, sola identificazione dell’utente, traffico, contenuto. Termini stringenti: 10 giorni per la produzione, 8 ore nei casi di emergenza; l’obbligo di conservazione dura 60 giorni, prorogabili di 30. Per traffico e contenuto: presupposti rafforzati quanto ad autorità competente e gravità del reato e, di regola, notifica all’autorità di esecuzione. La qualità giuridica della richiesta e la qualità tecnica dell’identificatore sono due facce della stessa attività: un certificato impreciso non produce risultati, un certificato privo dei presupposti produce dati inutilizzabili.

Avvertenza Il documento ha finalità informativa e operativa. Non sostituisce il testo del Regolamento, la normativa nazionale, le istruzioni dell’Autorità giudiziaria o i protocolli dell’ufficio. Le linee guida SIRIUS sono uno strumento pratico volontario: aiutano a compilare correttamente i certificati, ma non modificano la disciplina normativa.

1. Oggetto, destinatari e fonti

Il documento riepiloga il quadro normativo e le indicazioni operative sul pacchetto e-evidence, pienamente applicabile dal 18 agosto 2026, con specifica attenzione ai profili che interessano l’attività di polizia giudiziaria e la gestione delle richieste ai prestatori di servizi: piattaforme di social networking e messaggistica, servizi di hosting, servizi di comunicazione elettronica, registri e registrar.

È destinato a un pubblico misto — magistrati, ufficiali e agenti di polizia giudiziaria, personale informatico-forense — e per questo alterna la ricostruzione dell’impianto normativo a indicazioni compilative e tecniche direttamente utilizzabili.

È costruito su tre corpi di materiali:

• il regolamento (UE) 2023/1543 e la direttiva (UE) 2023/1544, con il regolamento di esecuzione (UE) 2025/1550 sulle specifiche tecniche del sistema informatico decentrato;
• la normativa italiana di adeguamento: d.lgs. 30 dicembre 2025, n. 215 e d.lgs. 30 dicembre 2025, n. 216;
• le linee guida SIRIUS per la compilazione del certificato di ordine europeo di produzione (EPOC), giugno 2026, elaborate nell’ambito del progetto SIRIUS di Eurojust ed Europol, e le corrispondenti linee guida per l’EPOC-PR.

Fonte/riscontro: Reg. (UE) 2023/1543; Dir. (UE) 2023/1544; Reg. di esecuzione (UE) 2025/1550; D.Lgs. 215 e 216 del 2025; Linee guida SIRIUS EPOC, giugno 2026.

2. Cosa cambia dal 18 agosto 2026

Il regolamento introduce un canale europeo specifico per ottenere o preservare prove elettroniche detenute da prestatori che offrono servizi nell’Unione. La novità principale è la possibilità, nei casi previsti, di rivolgere l’ordine direttamente allo stabilimento designato o al rappresentante legale del prestatore in un altro Stato membro, senza dover passare per i tradizionali meccanismi di assistenza giudiziaria.

Il fondamento è l’articolo 82, paragrafo 1, TFUE e il principio del reciproco riconoscimento delle decisioni giudiziarie. La scelta dello strumento regolamentare — direttamente applicabile — in una materia tradizionalmente affidata alla cooperazione mediante direttive è stata definita particolarmente incisiva, perché sposta il baricentro dell’interlocuzione dall’autorità centrale al prestatore di servizi, al quale è attribuito un ruolo attivo di ricezione e verifica del certificato.

Gli elementi da fissare fin d’ora:

• due strumenti: ordine europeo di produzione, per ottenere i dati, e ordine europeo di conservazione, per congelarli in vista di una successiva richiesta di produzione;
• quattro categorie di dati: dati relativi agli abbonati, dati richiesti al solo scopo di identificare l’utente, dati sul traffico, dati relativi al contenuto;
• tempi stringenti: per l’EPOC, ordinariamente entro 10 giorni; nei casi di emergenza senza indebito ritardo e comunque entro 8 ore; per l’EPOC-PR conservazione senza indebito ritardo, con obbligo che cessa dopo 60 giorni salvo conferma di una successiva richiesta di produzione;
• notifica all’autorità di esecuzione per i dati di traffico non richiesti al solo scopo di identificare l’utente e per i dati di contenuto, salvo la specifica eccezione territoriale e residenziale dell’art. 8;
• trasmissione digitale attraverso il sistema informatico decentrato, individuato dalla documentazione SIRIUS come JUDEX, con soglia tecnica di 25 MB per singolo trasferimento;
• quadro italiano: il d.lgs. 215/2025 individua autorità e procedure, il d.lgs. 216/2025 attua la direttiva sugli stabilimenti designati e sui rappresentanti legali.

Data	Adempimento
18 agosto 2025	Termine per la notifica alla Commissione, ex art. 31, delle autorità competenti all’emissione, convalida, trasmissione, ricezione ed esecuzione degli ordini, nonché delle lingue accettate.
18 febbraio 2026	Termine di recepimento della direttiva (UE) 2023/1544 e di notifica delle disposizioni sanzionatorie.
18 agosto 2026	Data di applicazione del regolamento (art. 34, par. 2) e termine entro il quale i prestatori che offrono servizi nell’Unione devono avere designato lo stabilimento o nominato il rappresentante legale. Per i prestatori che iniziano a operare dopo il 18 febbraio 2026 il termine è di sei mesi dall’avvio dell’attività.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 31 e 34; Dir. (UE) 2023/1544, art. 7; D.Lgs. 215 e 216 del 2025.

2.1 Rapporto con l’ordine europeo di indagine

Il nuovo sistema non sostituisce gli strumenti esistenti: vi coesiste. Gli strumenti tradizionali continuano a operare nei rapporti con Stati terzi, mentre l’e-evidence opera dentro il perimetro unionale e verso i prestatori che offrono servizi nell’Unione, anche se stabiliti fuori.

Il rapporto con l’ordine europeo di indagine va ricostruito in termini di specialità funzionale: quando ricorrono i presupposti del regolamento, l’ordine europeo di produzione o di conservazione è la via propria per acquisire la prova digitale presso il prestatore; l’OEI resta lo strumento generale per gli atti investigativi che richiedano l’intervento dell’autorità dello Stato di esecuzione o che esulino dall’ambito oggettivo del regolamento.

Il precedente da conoscere Le Sezioni unite, con le sentenze gemelle n. 23755 e n. 23756 del 29 febbraio 2024 in tema di criptofonini, hanno stabilito che, quando ricorrono i presupposti della cooperazione giudiziaria fra Stati membri, l’acquisizione transfrontaliera deve passare per il canale cooperativo europeo, senza che sia possibile ricorrere a strumenti interni per eluderlo: l’art. 234-bis c.p.p. opera esclusivamente fuori dalle ipotesi di cooperazione. Le stesse pronunce hanno chiarito che, attivato il canale europeo, il controllo del giudice dello Stato di emissione si colloca prevalentemente sul piano dell’utilizzabilità della prova nel processo nazionale, senza trasformarsi in una verifica generalizzata delle modalità investigative dell’autorità straniera.

Fonte/riscontro: Relazione n. 25/2026 dell’Ufficio del Massimario, §§ 3.2 e 4; Sez. U, nn. 23755 e 23756 del 29/02/2024.

3. Lessico essenziale

Termine	Significato operativo
EPO	European Production Order: la decisione, ossia l’ordine europeo di produzione.
EPOC	European Production Order Certificate: il certificato con cui l’ordine di produzione viene trasmesso al destinatario.
Ordine europeo di conservazione	Decisione che impone di preservare dati specifici per evitarne rimozione, cancellazione o modifica, in vista di una successiva richiesta di produzione.
EPOC-PR	European Preservation Order Certificate: il certificato con cui viene trasmesso l’ordine europeo di conservazione.
Autorità di emissione	Autorità competente dello Stato che emette l’ordine.
Autorità di convalida	Autorità giudiziaria che convalida l’ordine quando il regolamento o il diritto nazionale lo richiedono.
Autorità di esecuzione	Autorità dello Stato del destinatario, coinvolta nei casi di notifica o nell’esecuzione coattiva.
Destinatario	Di regola lo stabilimento designato o il rappresentante legale del prestatore di servizi.
JUDEX	Interfaccia operativa del sistema informatico decentrato per la trasmissione di certificati, notifiche e dati.

EPO non significa EPOC Nella pratica è facile usare impropriamente i due acronimi come sinonimi. L’ordine è la decisione dell’autorità; l’EPOC è il certificato standardizzato trasmesso al destinatario. La stessa distinzione vale fra ordine europeo di conservazione ed EPOC-PR.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 3 e 9; Linee guida SIRIUS EPOC, sezioni A-M.

4. Ambito di applicazione e destinatari

Il sistema riguarda prove elettroniche in procedimenti penali e, nei casi previsti, l’esecuzione di pene o misure detentive. Il dato può essere tecnicamente memorizzato anche fuori dallo Stato dell’autorità richiedente: ciò che rileva è che il prestatore offra servizi nell’Unione e che l’ordine sia indirizzato al soggetto giuridicamente designato a riceverlo.

Sono ricompresi i prestatori che forniscono nell’Unione una o più delle seguenti categorie di servizi:

• servizi di comunicazione elettronica, compreso l’accesso a Internet;
• servizi di comunicazione interpersonale;
• servizi di nomi di dominio Internet e di numerazione IP, inclusi registri, registrar e servizi privacy o proxy connessi ai nomi di dominio;
• altri servizi della società dell’informazione che consentono agli utenti di comunicare fra loro oppure che memorizzano o trattano dati per conto dell’utente, quando tale funzione è una componente caratteristica del servizio: social network, marketplace, hosting.

Restano esclusi i servizi finanziari — bancari, creditizi, assicurativi, riassicurativi, previdenziali, relativi a titoli e fondi, di pagamento e di consulenza sugli investimenti — e i servizi offerti esclusivamente all’interno di un singolo Stato membro. L’esclusione non pregiudica la facoltà delle autorità nazionali di rivolgersi con gli strumenti interni ai prestatori stabiliti o rappresentati nel proprio territorio: le acquisizioni puramente nazionali restano disciplinate dal diritto interno.

Il sistema e-evidence non va quindi letto come una competenza universale fondata sulla mera presenza del dato «nel cloud»: è una procedura europea con presupposti soggettivi, territoriali e procedurali propri. Ne consegue, per converso, che le principali piattaforme di social networking e di messaggistica con stabilimento o rappresentante legale nell’Unione rientrano a pieno titolo fra i destinatari degli ordini, nei limiti dei dati che effettivamente detengono.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 1-3 e 7; Dir. (UE) 2023/1544, considerando 7-8 e art. 3; D.Lgs. 216/2025, artt. 3-4.

5. Le quattro categorie di dati

La corretta classificazione del dato è decisiva: incide sull’autorità competente, sulle condizioni di emissione, sulla necessità di notifica e sulle garanzie procedurali. Le definizioni sono all’art. 3, punti 9-12.

Categoria	Esempi	Impatto operativo
1. Dati relativi agli abbonati	Nome, data di nascita, indirizzo postale o geografico, e-mail e telefono forniti, dati di fatturazione e pagamento, tipo e durata del servizio, dati tecnici e identificativi delle interfacce usate al momento della registrazione o dell’attivazione, dati di convalida dell’uso del servizio. Sono esclusi password e altri mezzi di autenticazione.	Categoria meno invasiva. Per l’EPO può essere richiesta per tutti i reati, se ricorrono le altre condizioni.
2. Dati richiesti al solo scopo di identificare l’utente	Indirizzo IP e, se necessario, porta sorgente e marche temporali pertinenti; identificativi tecnici equivalenti e informazioni connesse.	Servono esclusivamente ad attribuire un identificativo a un utente in una specifica indagine penale.
3. Dati sul traffico	Fonte e destinatario di una comunicazione o di altra interazione, ubicazione del dispositivo, data, ora, durata, dimensioni, percorso, formato, protocollo e tipo di compressione, log-in e log-off.	Più invasivi. Soglie più rigorose per l’EPO; di regola notifica ex art. 8.
4. Dati relativi al contenuto	Testo, voce, video, immagini, suoni e ogni altro dato digitale diverso dai dati di abbonato e dai dati sul traffico.	Massimo impatto sulla sfera privata; stesse condizioni rafforzate previste per i dati di traffico.

Nota tecnica: IP, porta sorgente e timestamp Nelle reti con NAT e CGNAT un indirizzo IP pubblico, da solo, può non essere sufficiente a identificare univocamente l’utente. Quando disponibile e pertinente va indicata anche la porta sorgente, con un timestamp preciso e il fuso orario. Le linee guida SIRIUS insistono in modo particolare sulla precisione dell’identificatore e della marca temporale.

La qualificazione non è puramente nominale: lo stesso elemento può assumere categoria diversa a seconda del servizio e della funzione che vi svolge. Le linee guida segnalano, ad esempio, che una data di nascita — normalmente dato di abbonato — può assumere natura di dato di contenuto quando esorbita dalla funzione identificativa dell’utente. Prima di compilare il certificato è quindi opportuno verificare le informazioni del prestatore e le indicazioni SIRIUS.

Fonte/riscontro: Reg. (UE) 2023/1543, art. 3, punti 9-12; Linee guida SIRIUS EPOC, sezioni E-F.

6. Dati di contenuto e sistemi di cifratura

La possibilità giuridica di richiedere dati relativi al contenuto mediante un ordine europeo di produzione non implica che il prestatore sia tecnicamente in grado di fornirli in forma intelligibile.

Il regolamento affronta espressamente il rapporto fra e-evidence e cifratura. Il considerando 20 stabilisce che l’applicazione del regolamento non deve pregiudicare l’uso della cifratura da parte dei prestatori o degli utenti: i dati possono essere oggetto di produzione o conservazione anche quando sono cifrati, ma il regolamento non impone al prestatore alcun obbligo di decifrazione.

Principio operativo L’ordine europeo di produzione obbliga il prestatore a produrre i dati nella propria disponibilità secondo le condizioni previste dal regolamento, ma non gli attribuisce capacità tecniche o chiavi crittografiche che non possiede.

6.1 Trasporto, dati a riposo ed end-to-end encryption

Occorre distinguere tre situazioni tecnicamente diverse, che producono esiti opposti sul piano acquisitivo.

Sistema di protezione	Disponibilità del contenuto per il prestatore
Cifratura del trasporto (ad es. TLS)	Il traffico è cifrato fra client e server, ma il prestatore riceve e tratta normalmente il contenuto in chiaro. Il contenuto eventualmente conservato può quindi essere producibile.
Cifratura dei dati con chiavi gestite dal prestatore	I dati possono essere memorizzati cifrati, ma il prestatore possiede o controlla le chiavi necessarie alla decifrazione e può quindi, tecnicamente, produrli in forma intelligibile.
End-to-end encryption (E2EE)	Le chiavi necessarie a leggere il contenuto sono disponibili sugli endpoint autorizzati e non, in linea di principio, al prestatore, che può quindi non essere tecnicamente in grado di produrre il contenuto in chiaro.

Nel modello E2EE, in forma semplificata: dispositivo A → cifratura → infrastruttura del prestatore → dato cifrato → dispositivo B → decifrazione. Il prestatore svolge una funzione di trasporto e, eventualmente, di conservazione, ma non dispone necessariamente delle chiavi che consentono di ricostruire il messaggio originale.

6.2 Esempio: Messenger

Meta ha introdotto la cifratura end-to-end di default per le conversazioni personali e le chiamate di Messenger. Secondo la documentazione tecnica del prestatore, il contenuto è protetto dal momento in cui lascia il dispositivo del mittente fino a quando raggiunge quello del destinatario e neppure Meta può vedere quanto inviato o comunicato, salvo casi specifici, ad esempio quando l’utente decide di segnalare un messaggio alla piattaforma.

Un EPOC che richieda i messaggi scambiati fra due account Messenger in un determinato intervallo temporale può quindi incontrare un limite tecnico: se il contenuto è protetto mediante E2EE e Meta non ne possiede una copia decifrabile, l’ordine non determina la disponibilità della chiave né impone al prestatore di realizzare una procedura di decrittazione.

6.3 Il caso particolare di Instagram

La situazione va verificata servizio per servizio e nel momento storico cui si riferiscono i dati. Instagram aveva introdotto una modalità E2EE opzionale per i messaggi diretti, ma la funzione è stata eliminata a partire dall’8 maggio 2026. I nuovi direct message non sono quindi più protetti da quella specifica forma di cifratura, il che rende tecnicamente possibile al prestatore accedere ai contenuti trattati dalla propria infrastruttura, fermo restando che la concreta produzione dipende dall’effettiva disponibilità, dalla conservazione e dalle caratteristiche del dato richiesto.

Per acquisizioni relative a periodi precedenti non deve invece essere presunto automaticamente che ogni conversazione sia disponibile in chiaro: occorre verificare se la specifica conversazione fosse stata originariamente protetta tramite E2EE e quale materiale il prestatore conservi ancora.

6.4 Cosa resta acquisibile quando il contenuto non è decifrabile

In presenza di E2EE è opportuno distinguere il contenuto della comunicazione dalle informazioni relative alla comunicazione. Il prestatore può continuare a detenere, in funzione delle caratteristiche del servizio e dei tempi di conservazione, dati dell’account, identificatori, indirizzi IP, marche temporali, informazioni su sessioni e dispositivi e altri dati di traffico o di contesto. Possono inoltre esistere contenuti divenuti separatamente disponibili al prestatore: la stessa Meta precisa che, quando un utente segnala un messaggio, il contenuto interessato può essere reso accessibile alla piattaforma ai fini della gestione della segnalazione.

Principio da ricordare La cifratura non sottrae automaticamente il dato all’ambito dell’ordine europeo di produzione, ma l’EPOC non costituisce una chiave di decifrazione. La concreta possibilità di ottenere il contenuto dipende dall’architettura del servizio e dalle effettive capacità tecniche del prestatore.

Fonte/riscontro: Reg. (UE) 2023/1543, considerando 20 e art. 5; documentazione tecnica dei prestatori citati.

7. L’ordine europeo di produzione (EPO / EPOC)

L’ordine europeo di produzione consente di ottenere direttamente dal destinatario i dati già conservati dal prestatore o per suo conto: messaggi di posta elettronica, messaggi scambiati tramite applicazioni, informazioni utili all’identificazione del responsabile. Deve essere necessario e proporzionato e, in linea generale, deve poter essere disposto alle stesse condizioni in un caso interno analogo.

7.1 Condizioni per categoria di dato

Dati richiesti	Condizione relativa al reato	Notifica art. 8	Termine del destinatario
Abbonati	Tutti i reati, nel rispetto delle altre condizioni del regolamento.	No	Prima possibile, massimo 10 giorni.
Solo identificazione dell’utente	Tutti i reati, nel rispetto delle altre condizioni.	No	Prima possibile, massimo 10 giorni.
Traffico non richiesto ai soli fini identificativi	Reato punibile nello Stato di emissione con pena detentiva massima di almeno tre anni, oppure specifiche categorie di reati indicate dal regolamento.	Sì, salvo eccezione	Massimo 10 giorni; 8 ore in emergenza.
Contenuto	Come per i dati sul traffico.	Sì, salvo eccezione	Massimo 10 giorni; 8 ore in emergenza.

Oltre alla soglia dei tre anni, per traffico e contenuto il regolamento ammette specifiche fattispecie, quando il reato sia commesso in tutto o in parte mediante un sistema informatico:

• frodi e falsificazioni di mezzi di pagamento diversi dai contanti, artt. 3-8 della direttiva (UE) 2019/713;
• abuso e sfruttamento sessuale dei minori e pornografia minorile, artt. 3-7 della direttiva 2011/93/UE;
• attacchi contro i sistemi di informazione, artt. 3-8 della direttiva 2013/40/UE;
• reati di terrorismo e connessi, artt. 3-12 e 14 della direttiva (UE) 2017/541.

La verifica va sempre svolta sul caso concreto, secondo i presupposti dettagliati dall’art. 5.

7.2 Termini

Il destinatario trasmette i dati il prima possibile e comunque entro 10 giorni dalla ricezione dell’EPOC. Nel caso di emergenza ai sensi del regolamento il termine è senza indebito ritardo e comunque entro 8 ore.

Quando l’EPOC deve essere notificato all’autorità di esecuzione, la produzione resta di norma sospesa fino alla scadenza dei 10 giorni, salvo che l’autorità di esecuzione confermi prima che non farà valere alcun motivo di rifiuto. Nel frattempo il destinatario deve comunque agire tempestivamente per preservare i dati richiesti, a meno che le informazioni contenute nel certificato non consentano di identificarli.

7.3 Come impostare una richiesta efficace

• Indicare almeno un identificatore preciso; se necessario combinarne più di uno.
• Limitare l’intervallo temporale e il perimetro dell’account ai dati realmente necessari.
• Evitare formule come «tutti i dati» o «tutti i contenuti».
• Mantenere coerenza fra identificatori (sezione E), categorie e dataset richiesti (sezione F), presupposti (sezione G) e date.
• Descrivere necessità e proporzionalità collegando i dati richiesti al fatto, alla fase investigativa e al valore probatorio atteso.

Regola pratica SIRIUS / JUDEX Nel workflow JUDEX i dati relativi agli abbonati e alla sola identificazione non vanno combinati nello stesso EPOC con traffico e contenuto. Se servono entrambi i gruppi occorre predisporre certificati distinti e collegarli nella sezione relativa alle richieste precedenti o correlate.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 5, 8 e 10; Linee guida SIRIUS EPOC, sezioni C, E, F, G, K.

8. L’ordine europeo di conservazione (EPOC-PR)

L’ordine europeo di conservazione impedisce che dati specifici vengano rimossi, cancellati o modificati mentre si prepara una successiva richiesta di produzione, che potrà avvenire — secondo i presupposti applicabili — tramite assistenza giudiziaria, ordine europeo di indagine oppure ordine europeo di produzione. È strumento funzionale e temporaneo, non acquisitivo. Può riguardare qualsiasi categoria di dati e, se sussistono le condizioni, può essere emesso per tutti i reati.

8.1 Condizioni e limiti di emissione

L’ordine deve essere necessario e proporzionato al fine di impedire rimozione, cancellazione o modifica dei dati, tenendo conto dei diritti della persona sottoposta a indagini o imputata. Può essere emesso per tutti i reati, ove sarebbe stato ammissibile in un caso interno analogo, ovvero per l’esecuzione di una pena o misura di sicurezza detentiva di almeno quattro mesi, irrogata con decisione non pronunciata in contumacia, nei confronti di condannato latitante.

Dalla formulazione dell’art. 6, paragrafo 3, discendono alcuni limiti di rilievo pratico:

• non può essere emesso per dare esecuzione a una misura cautelare personale;
• non può essere emesso per acquisire una notizia di reato, presupponendo un procedimento penale già instaurato;
• non può essere emesso nell’ambito di procedimenti civili, amministrativi o tributari;
• non può essere emesso in esecuzione di un ordine europeo di indagine passivo;
• non può essere emesso per l’esecuzione di condanna a pena detentiva superiore a quattro mesi quando la sentenza sia stata pronunciata in contumacia; sul punto si registra un disallineamento con il nostro ordinamento, che conosce le sole figure dell’assenza consapevole e dell’assenza non consapevole.

Non operano invece i limiti di gravità previsti dall’art. 5, paragrafo 4, per l’ordine di produzione.

8.2 Contenuto minimo da curare

Ai sensi dell’art. 6, paragrafo 4, l’ordine indica:

• autorità di emissione e, se applicabile, autorità di convalida;
• destinatario corretto;
• utente o altro identificativo univoco necessario a individuare i dati;
• categoria di dati e, se opportuno, intervallo temporale;
• disposizioni penali applicabili dello Stato di emissione;
• motivazione di necessità e proporzionalità, da redigere sul caso concreto e non con formule di stile: è l’elemento più frequentemente trascurato.

8.3 Esecuzione, durata e interlocuzione con il destinatario

Ricevuto l’EPOC-PR, il destinatario conserva i dati senza indebito ritardo. L’obbligo cessa dopo 60 giorni, salvo che l’autorità di emissione confermi, con il modulo di cui all’allegato V, l’avvenuta emissione di una successiva richiesta di produzione; entro i 60 giorni l’autorità può prorogare l’obbligo di ulteriori 30 giorni con il modulo dell’allegato VI. Confermata la richiesta di produzione, i dati restano conservati per tutto il tempo necessario. Venuta meno la necessità, l’autorità informa senza indebito ritardo il destinatario.

Il destinatario utilizza il modulo dell’allegato III per segnalare: possibili interferenze con immunità o privilegi o con le norme su libertà di stampa ed espressione; l’impossibilità di eseguire per certificato incompleto, viziato da errori manifesti o insufficiente, chiedendo chiarimenti; l’impossibilità materiale non imputabile; ogni altro motivo di mancata conservazione.

Termine da presidiare L’autorità di emissione deve reagire entro cinque giorni dalla ricezione della richiesta di chiarimenti: decorso inutilmente tale termine, il prestatore è esonerato dagli obblighi di conservazione. Va quindi individuato fin dall’inizio chi presidia la casella e gestisce l’interlocuzione con il provider.

La notifica preventiva all’autorità di esecuzione prevista dall’art. 8 riguarda il solo ordine di produzione di traffico e contenuto e non l’EPOC-PR: ciò non esclude il coinvolgimento successivo dell’autorità di esecuzione in caso di mancata ottemperanza.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 6, 9 e 11; materiale formativo SSM sull’EPOC-PR.

9. Autorità italiane e procedure

Il d.lgs. 30 dicembre 2025, n. 215, in vigore dal 30 gennaio 2026, individua le autorità italiane competenti e disciplina emissione, ricezione, esecuzione e riesame degli ordini. Per il lavoro operativo è essenziale distinguere categoria di dato e fase processuale.

9.1 Emissione in Italia

Scenario	Autorità competente
EPO nel procedimento penale	Pubblico ministero e giudice che procede, nell’ambito delle rispettive attribuzioni.
EPO — traffico e contenuto	Il giudice competente a pronunciarsi nel merito del procedimento, individuato secondo le regole processuali interne in relazione alla fase in cui l’ordine è emesso. Secondo l’Ufficio del Massimario la norma non radica la competenza in capo al giudice per le indagini preliminari, valorizzando la trasversalità dello strumento, utilizzabile in ogni stato e grado.
EPO prima dell’esercizio dell’azione penale — abbonati e sola identificazione	Pubblico ministero.
EPO in emergenza, prima dell’intervento del PM	Ufficiale di polizia giudiziaria, ma esclusivamente per dati relativi agli abbonati o richiesti al solo scopo di identificare l’utente: restano esclusi traffico e contenuto. Trasmissione al PM entro 48 ore e convalida nelle 48 ore successive.
Ordine europeo di conservazione	Nel corso delle indagini preliminari provvede il pubblico ministero in via esclusiva, a prescindere dalla natura del dato, restando fermo il potere del giudice competente per il merito nelle fasi successive. L’esclusività si spiega con la funzione di mero congelamento dell’ordine.
Conservazione in emergenza, prima dell’intervento del PM	Ufficiale di polizia giudiziaria; trasmissione al PM entro 48 ore e convalida nelle 48 ore successive.

9.2 Autorità di esecuzione in Italia

Quando lo stabilimento designato o il rappresentante legale destinatario è stabilito o risiede in Italia, sono autorità di esecuzione il Procuratore della Repubblica presso il Tribunale del capoluogo del distretto competente e il giudice per le indagini preliminari presso lo stesso Tribunale, secondo la ripartizione prevista dal decreto.

• Il Procuratore della Repubblica è competente, fra l’altro, per la notifica ex art. 8 e per le funzioni previste dagli artt. 10, 11, 12 e 17 del regolamento.
• In caso di richiesta di esecuzione, il Procuratore riconosce l’ordine salvo motivi di rifiuto.
• Per gli EPO relativi ad abbonati e sola identificazione e per gli ordini di conservazione, il Procuratore dispone l’esecuzione dopo il riconoscimento.
• Per gli EPO relativi a traffico e contenuto, dopo il riconoscimento il Procuratore trasmette al GIP, che autorizza l’esecuzione verificandone le condizioni.

Fonte/riscontro: D.Lgs. 30 dicembre 2025, n. 215, artt. 2, 3 e 6.

9.3 La clausola di inutilizzabilità

L’art. 2, comma 7, del d.lgs. 215/2025 prevede espressamente che i dati acquisiti mediante un ordine europeo di produzione emesso fuori dai casi o in mancanza delle condizioni stabilite dal regolamento e dal decreto non possano essere utilizzati nel procedimento.

La tecnica normativa è peculiare e va compresa bene: la sanzione processuale, che si inserisce nel sistema dell’art. 191 c.p.p., non è ancorata alla violazione di singole prescrizioni formali, ma al difetto delle condizioni sostanziali che legittimano l’emissione dell’ordine. I presupposti fissati dal regolamento e dalla normativa di adattamento — categoria del dato, autorità competente, soglia di reato, necessità e proporzionalità — diventano così i limiti effettivi dell’acquisizione probatoria.

La conseguenza operativa più importante di tutta la guida Non esiste un sistema di impugnazioni autonome dell’ordine europeo di produzione nella fase genetica, salva la procedura attivabile a seguito dell’obiezione del prestatore. Il controllo di legalità dell’acquisizione emerge quindi, principalmente, nel momento dell’utilizzazione processuale dei dati, quando il giudice è chiamato a verificare in contraddittorio la sussistenza dei presupposti, e l’inutilizzabilità è rilevabile anche d’ufficio secondo le regole generali dell’art. 191 c.p.p. Ma quel vaglio postula che le condizioni di emissione risultino verificabili attraverso la documentazione dell’attività investigativa: gli atti relativi all’emissione e all’esecuzione dell’ordine devono confluire nel fascicolo del pubblico ministero secondo le regole ordinarie degli artt. 357 e 373 c.p.p., diventando accessibili al giudice e alle parti attraverso i meccanismi ordinari di discovery. Qui sta il problema pratico: una parte significativa dell’attività esecutiva si realizza attraverso comunicazioni standardizzate con il prestatore e flussi informatici che non coincidono con gli atti investigativi tradizionali. Occorre perciò individuare, fin dall’inizio, un nucleo documentale idoneo a consentire un controllo effettivo: certificato emesso, eventuale convalida, ricevute e corrispondenza con il destinatario, moduli di risposta, tracciamento della trasmissione, verifiche di integrità sul materiale ricevuto.

Due precisazioni delimitano la portata della clausola. La prima: non ogni irregolarità produce inutilizzabilità. Nel sistema interno l’incompetenza non comporta ordinariamente inutilizzabilità della prova, salvo che determini la violazione di garanzie essenziali o l’elusione di controlli giurisdizionali imposti dalla legge; trasposta nell’e-evidence, l’impostazione porta a ritenere che solo le violazioni che ledano in modo sostanziale le garanzie del regolamento producano quell’effetto, mentre le irregolarità attinenti alla mera distribuzione interna delle competenze non vi sono automaticamente idonee.

La seconda: una clausola analoga non è dettata per l’ordine europeo di conservazione, coerentemente con la sua funzione non acquisitiva. La sua eventuale illegittimità è destinata a tradursi nell’inefficacia della misura e nel venir meno dell’obbligo di conservazione, senza conseguenze dirette sull’utilizzabilità. Resta problematico il caso in cui la disponibilità del dato derivi causalmente dall’ordine illegittimo, per esempio quando esso abbia impedito una cancellazione altrimenti inevitabile.

9.4 Coordinamento investigativo

Quando l’ordine riguarda delitti di competenza distrettuale rafforzata — artt. 51, commi 3-bis e 3-quater, e 371-bis, comma 4-bis, c.p.p., nonché i delitti di cui all’art. 118-bis delle norme di attuazione — copia del certificato EPOC o EPOC-PR è trasmessa alla Procura nazionale antimafia e antiterrorismo o al Procuratore generale presso la Corte d’appello. Ove operino i meccanismi di coordinamento europeo, l’informazione è trasmessa anche al membro nazionale di Eurojust ai sensi dell’art. 21, par. 5, del reg. (UE) 2018/1727. È un flusso da mettere in conto fin dalla predisposizione dell’atto, non un adempimento successivo.

9.5 Autorità centrali e riesame delle obiezioni

• Trasmissione amministrativa. L’art. 5 del d.lgs. 215/2025 individua nel Ministero della giustizia l’autorità centrale ai sensi dell’art. 4, par. 6, del regolamento.
• Notifiche dei prestatori. Per la direttiva, l’autorità centrale cui i prestatori comunicano la designazione dello stabilimento o la nomina del rappresentante legale è il Ministero dell’interno, e in particolare l’organo per la sicurezza e la regolarità dei servizi di telecomunicazione di cui all’art. 7-bis del d.l. 144/2005. La notifica va effettuata entro trenta giorni dalla designazione; recapiti e lingua accettata sono poi pubblicati sul sito della rete giudiziaria europea in materia penale e sul portale del Ministero della giustizia. Sono queste le fonti da consultare per individuare il destinatario corretto.
• Obiezione motivata ex art. 17. Quando il prestatore eccepisce il contrasto con obblighi derivanti dal diritto di un paese terzo, e l’autorità intenda confermare l’ordine, il riesame spetta al tribunale del capoluogo del distretto nel quale ha sede l’ufficio che ha emesso o convalidato l’ordine, ai sensi dell’art. 324, comma 5, c.p.p., se l’ordine proviene dal giudice; al giudice per le indagini preliminari se proviene dal pubblico ministero. L’autorità trasmette ordine, obiezione e documentazione entro dieci giorni dalla ricezione dell’obiezione; l’autorità investita decide entro i dieci giorni successivi. Non è previsto ricorso diretto per cassazione avverso quella decisione: la questione potrà essere riproposta nel merito, sul piano dell’utilizzabilità, da chi vi abbia interesse — fuori dal riesame il prestatore non ha più titolo per intervenire.
• Responsabilità dei prestatori. Il d.lgs. 216/2025 prevede la responsabilità solidale fra prestatore, stabilimento designato e rappresentante legale in caso di inottemperanza, oltre a un regime sanzionatorio speciale che si affianca alle eventuali sanzioni penali.

9.6 Le ricadute sul diritto interno: art. 132 Codice Privacy e art. 263-bis c.p.p.

L’art. 9 del d.lgs. 215/2025 è il segmento con l’impatto sistemico più ampio, perché tocca strumenti che useremo anche al di fuori dei casi transfrontalieri.

• Art. 132 d.lgs. 196/2003. I nuovi commi 3 e 3-bis consentono di autorizzare l’acquisizione dei dati di traffico telefonico anche per agevolare le ricerche di un latitante condannato con sentenza definitiva a pena non inferiore a quattro mesi non pronunciata in contumacia, in coerenza con gli artt. 5 e 6 del regolamento; provvede il giudice o, nei casi d’urgenza, il pubblico ministero. I nuovi commi 3-bis.1, 3-bis.2 e 3-bis.3 introducono un ordine di conservazione «domestico» del pubblico ministero, con decreto motivato, verso fornitori e operatori di servizi telefonici, informatici o telematici, avente a oggetto i dati di traffico telefonico e telematico e le chiamate senza risposta, con esclusione dei contenuti, per un periodo non superiore a novanta giorni prorogabile fino a un massimo complessivo di sei mesi. Il comma 3-bis.2 detta una disciplina autonoma per i dati relativi agli abbonati, esclusi dalle procedure autorizzatorie dei commi 3 e 3-bis e acquisibili dal pubblico ministero o dalla polizia giudiziaria ai sensi dell’art. 348 c.p.p. Il comma 4-ter è ampliato ai dati di traffico telefonico e alle chiamate senza risposta, e la legittimazione ad adottare l’ordine di conservazione è estesa agli ufficiali di polizia giudiziaria quando esso sia emesso per finalità di accertamento e repressione di specifici reati: è il punto di maggiore impatto diretto sull’operatività dei reparti.
• Nuovo art. 263-bis c.p.p. Copre proprio ciò che il comma 3-bis.1 dell’art. 132 esclude, cioè la conservazione dei dati relativi al contenuto: il pubblico ministero può ordinarla e la polizia giudiziaria può provvedervi in via d’urgenza, con convalida successiva. Per la prima volta esiste uno strumento tipizzato per congelare i contenuti in attesa dell’acquisizione, in luogo delle prassi atipiche finora impiegate e non sempre solide in dibattimento.

Il rilievo pratico è duplice: nei casi puramente interni non serve più ricorrere a soluzioni improprie, e nei casi transfrontalieri l’ordine interno e quello europeo diventano strumenti alternativi da scegliere consapevolmente in funzione del destinatario.

9.7 L’ordine di conservazione processuale: art. 263-bis c.p.p. in dettaglio

Questa è la disposizione che il personale di polizia giudiziaria userà più spesso, ed è quella con i margini di discrezionalità tecnica più ampi.

Il pubblico ministero può ordinare con decreto motivato, ai fornitori e agli operatori di servizi informatici, telematici o di telecomunicazioni, di conservare e proteggere i dati da questi detenuti per un periodo non superiore a novanta giorni, prorogabile per motivate esigenze entro un limite massimo complessivo di sei mesi. Il provvedimento può prevedere particolari modalità di custodia e l’eventuale indisponibilità dei dati da parte dei gestori o di terzi. In presenza di ragioni di urgenza l’ordine può essere anticipato dagli ufficiali di polizia giudiziaria, con comunicazione al pubblico ministero entro quarantotto ore e convalida nelle quarantotto ore successive; in mancanza di convalida il provvedimento perde efficacia.

Il potere di indicare le modalità di custodia è la parte che ci compete più direttamente. Le prescrizioni tecnicamente utili, che conviene proporre al magistrato in sede di richiesta, sono:

• misure idonee a garantire integrità e immutabilità del dato;
• segregazione logica delle informazioni rispetto ai sistemi ordinari di gestione, quando la segregazione fisica non sia praticabile;
• tracciabilità degli accessi e delle operazioni compiute sui dati conservati (logging);
• sospensione dei processi automatici di cancellazione e sovrascrittura;
• attestazione, da parte del destinatario, delle operazioni effettivamente compiute e delle modalità adottate.

Perché l’attestazione conta L’esecuzione dell’ordine avviene integralmente dentro i sistemi del prestatore, senza presenza dell’autorità giudiziaria. La verifica del rispetto delle modalità imposte non può quindi fondarsi su un controllo diretto: dipende dalla documentazione tecnica e dalle attestazioni fornite dal destinatario. Tracciabilità dell’attività di conservazione e completezza della documentazione riversata nel fascicolo sono, in concreto, gli unici elementi su cui si potrà discutere in caso di contestazione.

Due avvertenze sulla redazione. L’oggetto non può essere lasciato generico: la formula «dati da questi detenuti» è più ampia delle formule tradizionali del codice, e una lettura letterale avvicinerebbe la misura a forme di conservazione investigativa generalizzata, in contrasto con la giurisprudenza della Corte di giustizia. La delimitazione — categorie di dati, utenze, account, periodi — deve emergere dalla motivazione, che è la sede del controllo di necessità e proporzionalità. Allo stesso modo, il termine va indicato in concreto e non lasciato coincidere per inerzia con il massimo di legge, pena la trasformazione del limite dei novanta giorni in durata ordinaria della misura.

Fonte/riscontro: Relazione n. 25/2026, § 13; art. 263-bis c.p.p., introdotto dall’art. 9, comma 2, d.lgs. n. 215 del 2025.

9.8 Messa a disposizione della documentazione alle parti

L’art. 2, comma 6, del d.lgs. 215/2025 stabilisce che l’autorità giudiziaria provvede, nei casi e nei modi previsti dalla legge processuale, a dare conoscenza alle parti e ai difensori dei dati e della documentazione acquisiti mediante ordine europeo di produzione.

La disposizione non introduce un obbligo di ostensione immediata, che confliggerebbe con il segreto investigativo e con le regole generali sulla discovery: il richiamo ai casi e ai modi della legge processuale va inteso come rinvio alla disciplina codicistica, sicché la norma ha funzione ricognitiva e ribadisce che anche i dati acquisiti con gli strumenti e-evidence seguono le ordinarie regole di conoscibilità processuale. L’informazione può quindi essere legittimamente differita finché ciò sia compatibile con le esigenze investigative.

Va tenuta distinta dall’informativa all’interessato prevista dall’art. 13 del regolamento, che riguarda i diritti della persona in quanto tale, anche fuori dalla sua eventuale veste di parte. Le due discipline sono complementari. Si ritiene inoltre che la mancata informazione all’interessato non incida sulla validità dell’acquisizione né produca conseguenze processuali: non sono configurabili, su quel versante, ipotesi di inutilizzabilità o nullità.

Fonte/riscontro: D.Lgs. 30 dicembre 2025, n. 215, artt. 2, 3, 5, 6 e 9; d.lgs. 216/2025; Relazione n. 25/2026 dell’Ufficio del Massimario della Corte di cassazione.

10. Emergenza UE e procedura accelerata italiana

Nel linguaggio operativo è importante non sovrapporre due istituti differenti.

Istituto	Presupposto	Effetto principale
Caso di emergenza — regolamento UE	Minaccia imminente alla vita, all’integrità fisica o alla sicurezza di una persona, oppure a un’infrastruttura critica il cui danneggiamento o distruzione comporterebbe una minaccia imminente per la vita, l’integrità fisica o la sicurezza di una persona.	Per l’EPOC: produzione entro 8 ore; possibilità di regole eccezionali sulla convalida nei casi previsti, con richiesta di convalida ex post entro 48 ore.
Procedura accelerata — d.lgs. 215/2025, art. 4	Particolari ragioni di urgenza nel corso delle indagini preliminari.	Modifica l’autorità che può emettere e impone previa convalida secondo le finestre di 24 e 48 ore; non coincide automaticamente con la definizione UE di emergenza.

Nella procedura accelerata italiana:

• traffico e contenuto: EPO emesso dal PM, efficacia subordinata alla previa convalida del GIP; trasmissione entro 24 ore, decisione nelle successive 48 ore;
• abbonati e sola identificazione: EPO emesso da ufficiali di polizia giudiziaria, efficacia subordinata alla previa convalida del PM, con le stesse finestre di 24 e 48 ore;
• conservazione: ordine emesso da ufficiali di polizia giudiziaria, efficacia subordinata alla previa convalida del PM, con le stesse finestre.

Chi trasmette il certificato Nella procedura accelerata l’accertamento di conformità e la convalida determinano la trasmissione del certificato da parte dell’autorità che ha convalidato: il giudice per le indagini preliminari per traffico e contenuto, il pubblico ministero per abbonati e sola identificazione. L’ufficiale di polizia giudiziaria che ha emesso l’ordine non trasmette quindi l’EPOC al prestatore: la funzione di trasmissione resta all’autorità di convalida. È un dato da tenere presente anche nel dimensionare gli accreditamenti alle piattaforme di invio.

Attenzione operativa Non usare il termine «emergenza» come sinonimo generico di urgenza. L’emergenza del regolamento ha una definizione tassativa e produce conseguenze specifiche, fra cui il termine di 8 ore. La procedura accelerata italiana ha presupposti e sequenze di convalida propri.

Fonte/riscontro: Reg. (UE) 2023/1543, art. 3, punto 18, artt. 4 e 10; D.Lgs. 215/2025, art. 4.

11. Notifica, informazione dell’interessato e riservatezza

11.1 Notifica all’autorità di esecuzione

Per l’EPOC relativo a dati sul traffico non richiesti esclusivamente ai fini dell’identificazione dell’utente o a dati di contenuto, l’autorità di emissione deve di regola notificare l’autorità di esecuzione contestualmente alla trasmissione al destinatario.

La notifica può essere omessa quando vi siano motivi ragionevoli per ritenere che, al momento dell’emissione, siano soddisfatte entrambe le condizioni seguenti: il reato è stato commesso, è in corso di commissione o è probabile che venga commesso nello Stato di emissione; la persona i cui dati sono richiesti risiede nello Stato di emissione. La valutazione va compiuta con attenzione, perché una notifica non necessaria ritarda l’esecuzione, mentre l’omissione di una notifica dovuta espone l’atto a contestazione.

11.2 Informazione della persona interessata

Per i dati prodotti in forza di un EPO l’obbligo di informare la persona grava sull’autorità di emissione, non sul prestatore. L’informazione può essere ritardata, limitata o omessa nei casi consentiti, quando ciò sia necessario e proporzionato per non pregiudicare indagini o procedimenti, il perseguimento dei reati, la sicurezza pubblica o nazionale, oppure i diritti e le libertà altrui. L’ordine di conservazione non comporta di per sé l’obbligo di informazione previsto dall’art. 13 per la produzione.

11.3 Riservatezza

Destinatari e prestatori adottano misure operative e tecniche all’avanguardia per garantire riservatezza, segretezza e integrità del certificato e dei dati prodotti o conservati. Il prestatore non deve informare autonomamente l’utente dell’esistenza della richiesta.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 8 e 13; Linee guida SIRIUS EPOC, sezioni H e K.

12. La compilazione del certificato: le sezioni A-M

Le linee guida SIRIUS seguono l’impaginazione dell’allegato I al regolamento e si concentrano su tre obiettivi: chiarezza e completezza delle informazioni, coerenza fra le sezioni, prevenzione degli errori che generano ritardi o rifiuti. Alcune regole valgono per l’intero certificato:

• di norma la trasmissione avviene tramite JUDEX; i mezzi alternativi e, a maggior ragione, la trasmissione cartacea sono riservati ai casi in cui il sistema non sia utilizzabile;
• il certificato va compilato in una lingua accettata dal destinatario;
• le sezioni non applicabili si lasciano in bianco, o si indica «N/A» sui moduli cartacei, senza sopprimerle quando la trasmissione non avviene tramite JUDEX;
• i dati richiesti vanno descritti in modo chiaro, preciso e inequivocabile; nei campi di testo libero conviene usare periodi brevi e lineari, perché la traduzione automatica introduce imprecisioni proprio nella descrizione dei dati.

Sezione	Punti di attenzione
A — Autorità di emissione e di convalida	Sempre compilata. Indicare solo Stato membro, autorità di emissione e, se del caso, autorità di convalida; i recapiti vanno nelle sezioni I e J, con cui deve esservi piena coerenza. Il numero di fascicolo non è obbligatorio ma è fortemente raccomandato: collega l’ordine al procedimento ed evita duplicazioni.
B — Destinatario	Sempre compilata. Indicare denominazione completa e recapiti dello stabilimento designato o del rappresentante legale, attingendo alla banca dati collegata a JUDEX. L’indirizzamento a un destinatario diverso è ammesso solo in caso di emergenza e quando lo stabilimento o il rappresentante non abbiano reagito nei termini o non siano stati designati.
C — Termini	Selezionare una sola opzione. In mancanza si applica il termine ordinario di 10 giorni. Il termine di 8 ore va giustificato nel campo delle informazioni aggiuntive. Eventuali scadenze procedurali interne — custodia cautelare, udienza imminente, ordine di conservazione in scadenza, prescrizione — non sostituiscono i termini di legge ma orientano le priorità del destinatario.
D — Collegamento a richieste precedenti	Da compilare sempre quando esiste un precedente ordine di conservazione o di produzione sugli stessi dati, indicando autorità, numero di fascicolo, date di emissione e trasmissione, destinatario e stato della richiesta. Va segnalato se i dati conservati sono prossimi alla scadenza dei 60 giorni e se sono stati emessi certificati paralleli.
E — Identificazione dei dati	Sempre compilata, con almeno un identificatore. Indirizzi IP completi con marca temporale e fuso orario, numeri in formato internazionale, indirizzi e-mail completi, IMEI, MAC, nomi utente e identificativi di account. Va sempre specificato il servizio interessato, essenziale per i prestatori che ne offrono più di uno. Intervalli temporali con data di inizio e fine nel formato GG/MM/AAAA, ora e fuso orario.
F — Prove elettroniche da produrre	Sempre compilata, con almeno una categoria e la corrispondente sottocategoria. Vanno selezionate solo le caselle strettamente necessarie. In JUDEX i dati di abbonato e di sola identificazione non possono essere combinati in un unico certificato con traffico e contenuto: occorrono certificati distinti, collegati nella sezione D. Con più utenti o account la sezione va compilata separatamente per ciascuno, in corrispondenza degli identificatori della sezione E.
G — Condizioni sottostanti	Sempre compilata. Indicare natura e qualificazione giuridica del reato con riferimenti normativi precisi e pena edittale, evitando la riproduzione integrale delle disposizioni. La parte sulle soglie va compilata solo per traffico non identificativo e contenuto. Qui si individua anche il ruolo del prestatore: di regola l’ordine va rivolto al titolare del trattamento e solo in via eccezionale al responsabile, quando il titolare non sia identificabile nonostante ragionevoli sforzi o quando rivolgersi ad esso pregiudicherebbe l’indagine; la motivazione va conservata in atti.
H — Informazioni all’utente	Il destinatario deve comunque astenersi dall’informare l’interessato: l’informativa spetta all’autorità di emissione. La sezione va compilata solo per differire l’informativa, selezionando i motivi applicabili. Con più certificati sullo stesso utente occorre coerenza fra tutti gli ordini.
I e J — Autorità di emissione e di convalida	Sezione I sempre compilata; sezione J solo in caso di convalida. Le informazioni devono coincidere con la sezione A.
K — Autorità di esecuzione notificata	Da compilare solo se la notifica è dovuta; in tal caso va compilata anche la sezione M. Indicare recapiti raggiungibili, possibilmente attivi 24 ore su 24, e utilizzare esclusivamente indirizzi istituzionali.
L — Trasferimento dei dati	Da compilare quando i dati devono essere trasmessi ad autorità diversa da quella emittente o quando non è utilizzabile JUDEX. Indicare una casella effettivamente presidiata e capiente, perché i prestatori impiegano di norma link sicuri a scadenza.
M — Informazioni per la sola autorità di esecuzione	Da non trasmettere al destinatario. Contiene la motivazione su necessità e proporzionalità, la sintesi del fatto, la verifica della doppia incriminazione rispetto all’elenco dei reati e gli elementi utili a valutare eventuali motivi di rifiuto: immunità e privilegi, libertà di stampa e di espressione, diritti fondamentali, ne bis in idem.

Errori ricorrenti da evitare Richieste generiche o sovradimensionate per oggetto e arco temporale, che espongono a contestazioni e rallentano l’esecuzione. Incoerenze fra le sezioni A, I e J, oppure fra gli identificatori della sezione E e le categorie di dati della sezione F. Omessa indicazione del servizio specifico presso prestatori che ne offrono più di uno. Marche temporali prive di fuso orario e date in formato non uniforme. Motivazione su necessità e proporzionalità redatta con formule di stile anziché sul caso concreto.

Fonte/riscontro: Linee guida SIRIUS EPOC, giugno 2026, sezioni A-M; Reg. (UE) 2023/1543, allegato I.

Quando l’errore di traduzione diventa un problema probatorio Una traduzione imprecisa o incompleta resta un’irregolarità formale priva di incidenza sostanziale, se non altera l’oggetto dell’ordine né il titolo giuridico dell’acquisizione. Se però l’errore incide sulla qualificazione della tipologia di dati richiesti, sul perimetro dell’acquisizione o sulla base giuridica dell’ordine, ampliando o modificando i presupposti sostanziali, il vizio investe la legittimazione dell’accesso al dato e può riflettersi sull’utilizzabilità ai sensi dell’art. 2, comma 7. È il motivo per cui affidare la traduzione a conoscenze linguistiche personali espone a rischi di disomogeneità e di errore tecnico, e per cui converrebbe attrezzarsi con soluzioni stabili — nuclei linguistici presso gli uffici distrettuali, convenzioni con traduttori qualificati, supporto centralizzato.

Fonte/riscontro: Linee guida SIRIUS EPOC, giugno 2026, sezioni A-M; Reg. (UE) 2023/1543, allegato I; Relazione n. 25/2026, § 15.1.

13. Trasmissione digitale, JUDEX e aspetti tecnico-forensi

Il regolamento prevede per le comunicazioni scritte un sistema informatico decentrato sicuro e affidabile. Il regolamento di esecuzione (UE) 2025/1550 ne definisce le specifiche tecniche e prevede l’interoperabilità tramite punti di accesso e-CODEX; le linee guida SIRIUS utilizzano il nome JUDEX per l’interfaccia operativa e ne raccomandano l’uso come canale ordinario.

Per la trasmissione delle prove elettroniche tramite il sistema decentrato è fissata una soglia di 25 MB per singolo trasferimento. Quando il materiale supera tale limite, quando il sistema non è disponibile o quando esigenze tecniche o forensi lo richiedono, può essere necessario un mezzo alternativo, che deve comunque preservare sicurezza, affidabilità, autenticità e integrità e consentire al destinatario di verificarle.

Fra i mezzi alternativi le linee guida indicano servizi di recapito elettronico qualificati, posta elettronica sicura, portali dedicati istituiti da alcuni prestatori, archiviazione cloud sicura e protocolli di trasferimento cifrati; in via residuale la consegna fisica su supporti cifrati o, per il materiale cartaceo, attraverso canali sicuri. Quando è richiesta la cifratura occorre specificarlo e fornire gli elementi necessari, ad esempio il certificato pubblico X.509, verificando la compatibilità con i sistemi dell’autorità ricevente.

Un elemento spiega perché, nei primi mesi, i canali alternativi non saranno un’eccezione teorica: l’obbligo di utilizzare il sistema decentrato decorre un anno dopo l’adozione degli atti di esecuzione previsti dall’art. 25, e i costi di integrazione gravano interamente sui prestatori. Nella fase iniziale è quindi ragionevole attendersi un ricorso significativo ai canali propri dei singoli provider, come descritto al § 13-bis.

Sul fronte del prestatore, l’adeguamento richiede tre interventi paralleli — dotare lo stabilimento designato o il rappresentante legale di poteri e risorse effettive, collegarsi al sistema decentrato, mappare le categorie di dati detenute per poter rispondere selettivamente — che procedono a velocità diverse da un operatore all’altro. È utile saperlo: nella fase di avvio la qualità e la tempestività delle risposte dipenderanno più dallo stato di preparazione del singolo destinatario che dalla norma. Va infine ricordato che l’art. 14 del regolamento consente al prestatore di chiedere il rimborso delle spese sostenute per l’esecuzione, ove il diritto dello Stato di emissione lo preveda per ordini nazionali in situazioni analoghe. Il rimborso riguarda le spese di esecuzione, non i costi infrastrutturali di collegamento al sistema.

13.1 Accorgimenti tecnici consigliati

• Usare identificatori completi e non ambigui: IPv4 e IPv6, intervalli, indirizzi e-mail, numero di telefono in formato internazionale, IMEI, MAC, username e account ID.
• Per IP dinamici e reti NAT: indicare data, ora, fuso orario e, quando necessario, porta sorgente.
• Specificare il formato richiesto solo quando realmente necessario, evitando di imporre conversioni inutili al prestatore.
• Predisporre una casella istituzionale attiva e monitorata: molti prestatori restituiscono link sicuri con scadenza o autenticazione.
• Quando si usa un canale alternativo, documentare il mezzo, le modalità di autenticazione e l’eventuale scambio separato di password e chiavi.
• Verificare e registrare checksum e hash forniti dal prestatore; se non forniti, calcolarli all’acquisizione documentando algoritmo, data, ora e operatore.
• Conservare il pacchetto originale ricevuto dal prestatore, inclusi metadati, manifest, header e documentazione di accompagnamento, lavorando su copie forensi quando appropriato.

Diritto e buona pratica forense Hash, catena di custodia e conservazione del pacchetto originale sono buone pratiche tecnico-forensi e probatorie. Non tutte sono formulate dal regolamento come prescrizioni autonome: vanno applicate in coerenza con il codice di procedura, i protocolli dell’ufficio e le regole interne di gestione della prova digitale.

Due strumenti di supporto meritano di essere conosciuti e utilizzati: la banca dati collegata a JUDEX, che riporta per ciascun prestatore lo stabilimento designato o il rappresentante legale, l’ambito territoriale, i recapiti e — su base volontaria — i servizi coperti, gli identificativi utilizzabili e i periodi di conservazione; e la piattaforma SIRIUS, che fornisce indicazioni pratiche su oltre ottanta prestatori, compresi esempi di identificatori validi e criteri di classificazione dei dati.

Fonte/riscontro: Reg. (UE) 2023/1543, art. 19; Reg. di esecuzione (UE) 2025/1550; Linee guida SIRIUS EPOC, sezioni E e L.

13.2 Tempi di risposta e qualità forense: una tensione da governare

I termini del regolamento migliorano radicalmente i mesi delle rogatorie e le settimane dell’ordine europeo di indagine, ma introducono una tensione con le esigenze di accuratezza e completezza proprie della digital forensics, che vale la pena esplicitare perché ricade direttamente sul nostro lavoro.

• Le otto ore. Un’estrazione eseguita sotto quella pressione può comportare errori, omissioni, perdita di metadati, contaminazione della prova. Il termine è pensato per situazioni in cui il pericolo di perdita è imminente — l’indagato per terrorismo che si accorge di essere attenzionato e cancella gli account, il sequestro in cui le comunicazioni possono indicare la localizzazione, l’attacco informatico in corso con log prossimi alla cancellazione — dove la velocità prevale sulla perfezione forense. Quella logica non è però estensibile: l’emergenza deve essere reale, documentata e verificabile ex post.
• I dieci giorni. Sono abbondanti per dati di abbonato o di sola identificazione delimitati nel tempo. Possono rivelarsi insufficienti quando l’ordine investe l’intero contenuto di un account di posta attivo da anni, un archivio cloud dell’ordine dei terabyte o la ricostruzione delle comunicazioni di un utente su un social per più mesi. Il prestatore può rappresentare l’impossibilità tecnica e chiedere più tempo, ma deve motivarla e documentarla e non è affatto detto che la richiesta sia accolta.

Sul piano pratico questo significa due cose: delimitare l’oggetto e l’arco temporale non è solo un requisito di proporzionalità, è la condizione per ottenere un’estrazione accurata nei termini; e la qualità del dato ricevuto va verificata all’arrivo, senza presumere che un pacchetto consegnato entro la scadenza sia per ciò stesso completo.

13.3 Prassi dei prestatori: il caso Google

Il regolamento fissa il quadro, ma nella pratica quotidiana il buon esito di un certificato dipende anche dal modo in cui il singolo prestatore ha organizzato la ricezione. Google Ireland Limited ha diffuso alle forze di polizia, con comunicazione del 14 agosto 2026, un aggiornamento e un documento di domande frequenti sull’invio di EPOC ed EPOC-PR. Se ne riportano i contenuti rilevanti, con un’avvertenza preliminare: si tratta di prassi aziendale e non di fonte normativa, che non modifica gli obblighi dell’art. 10 né i rimedi dell’art. 16.

13.4 Canali per tipo di atto

Atto o comunicazione	Canale indicato dal prestatore
EPOC (modulo 1) ed EPOC-PR (modulo 2)	Sistema informatico decentrato, indicato come canale ufficiale e obbligatorio. In caso di indisponibilità dell’API del sistema, o di ritardi localizzati di integrazione dello Stato emittente, la ricezione avviene tramite LERS. Chi dispone già di un account LERS è invitato a continuare a usarlo.
Moduli 5 e 6, risposte ai motivi di mancata esecuzione, richieste di revoca	Modulo di contatto dedicato all’e-evidence (support.google.com/policies/contact/eEvidence_Cuf). Non transitano da LERS, che accetta soltanto i moduli 1 e 2.
Emergenze estranee al framework: minaccia imminente alla vita o alla sicurezza, sicurezza nazionale	Canale LERS dedicato e separato, mantenuto anche dopo il 18 agosto 2026.
Richieste di dati non di contenuto fondate su normative locali	Fase transitoria a doppio binario, con valutazione caso per caso; la dismissione dei canali preesistenti sarà comunicata ai punti di contatto con anticipo.
Posta elettronica	Non ammessa per EPOC ed EPOC-PR.
Assistenza e apertura account LERS	Casella lers-help@google.com, distinta dal modulo di contatto e-evidence. La piattaforma è raggiungibile all’indirizzo lers.google.com.

13.5 Punti di attenzione

• Lingua: inglese. Il regolamento rinvia alla lingua accettata dal destinatario; per questo prestatore la risposta è univoca. Un certificato in italiano è tempo perso.
• Destinatario: l’entità europea, non genericamente il gruppo. L’ordine va indirizzato a Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, D04 E5W5, Irlanda.
• Account gestiti da entità extra-UE. Se l’account è registrato o ospitato fuori dall’Unione ed è gestito da un’entità non soggetta al framework, il prestatore dichiara di non avere titolo per la divulgazione ai sensi del regolamento. In quel caso si torna agli strumenti di assistenza giudiziaria: è lo stesso limite di perimetro che si incontra con altri gruppi statunitensi.
• Sezione L: non si ricompila a schermo. La piattaforma limita la condivisione ai domini corrispondenti a quello del mittente e le autorità autorizzate a ricevere i dati vengono estratte direttamente dal PDF caricato. Una sezione L incompleta o incoerente si traduce in dati che non arrivano, senza che alcun campo dell’interfaccia possa rimediare.
• Strumento di conservazione LERS ed EPOC-PR non coincidono. Sono istituti diversi e il primo non può veicolare il secondo, nonostante il banner che compare selezionando l’EPOC-PR possa indurre in equivoco.
• EPOC di emergenza. Si segue il flusso ordinario spuntando l’apposita casella; restano ferme le condizioni di emergenza previste dal regolamento.
• Tracciamento. Lo stato di EPOC ed EPOC-PR inviati è consultabile dall’account LERS.
• Account e domini. L’account può essere richiesto da chi è autorità competente per l’emissione, la convalida o la trasmissione. È inoltre richiesto che il dominio istituzionale dell’ufficio sia registrato e inserito in whitelist: verifica da fare prima che serva, non quando il termine è già in corso.

Due criticità da tenere presenti Il prestatore si riserva di rifiutare EPOC ed EPOC-PR provenienti da Stati membri che non abbiano completato il recepimento della direttiva e l’attuazione del regolamento, su qualunque canale di trasmissione. È un vaglio di adeguatezza unilaterale che il regolamento non annovera fra i motivi di mancata esecuzione: per l’Italia conviene accertare come il prestatore collochi oggi il nostro Paese, alla luce dello stato di pubblicazione del testo definitivo di adeguamento. Le domande frequenti sono prassi aziendale, non norma. Non incidono sugli obblighi dell’art. 10 né sui rimedi dell’art. 16: se il rifiuto è ingiustificato, la strada resta la richiesta di esecuzione all’autorità dello Stato del destinatario.

Fonte/riscontro: Google Ireland Limited, «Aggiornamento importante: invio di richieste di informazioni a Google Ireland Limited a partire dal 18 agosto 2026», 14 agosto 2026; «FAQs on submitting E-Evidence Requests to Google».

14. Rifiuto, esecuzione e sanzioni

Il sistema è pensato per l’adempimento diretto da parte del prestatore, ma prevede una fase di interlocuzione e, se necessario, di esecuzione tramite l’autorità dello Stato del destinatario. Fra le situazioni che possono impedire o condizionare l’esecuzione rientrano, a seconda dello strumento e della fase:

• ordine non emesso o convalidato da autorità competente ai sensi dell’art. 4;
• assenza delle condizioni richieste per la categoria di dato o per il reato;
• impossibilità materiale non imputabile al destinatario o errori manifesti nel certificato;
• dati non detenuti dal prestatore o per suo conto al momento rilevante;
• servizio fuori dall’ambito del regolamento;
• immunità o privilegi, comprese le tutele connesse alla libertà di stampa e di espressione;
• in situazioni eccezionali, rischio manifesto di violazione di un diritto fondamentale garantito dal TUE e dalla Carta.

Merita una precisazione l’obiezione motivata dell’art. 17, che il prestatore può sollevare quando ritenga che l’esecuzione lo esporrebbe alla violazione di obblighi derivanti dal diritto di un paese terzo: protezione dei dati personali, segreto delle comunicazioni, divieti di divulgazione, normative extraterritoriali che subordinano la trasmissione a specifiche autorizzazioni interne. L’obiezione non attribuisce al prestatore un potere di veto: attiva un procedimento di verifica strutturato, sottratto al soggetto privato e ricondotto alla sede giurisdizionale dello Stato di emissione. Il prestatore, in altri termini, non è un mero esecutore passivo, ma neppure l’arbitro del conflitto: segnala e attiva il controllo giurisdizionale.

I motivi di rifiuto di cui all’art. 12 non si applicano all’ordine di conservazione, avendo esso carattere temporaneo e funzionale al successivo ordine di produzione; in sede di esecuzione forzata operano i motivi tassativi dell’art. 16, paragrafo 5.

Se il destinatario non ottempera e le giustificazioni non sono accettate, l’autorità di emissione può chiedere all’autorità di esecuzione di dare esecuzione all’ordine, trasmettendo il provvedimento, il modulo dell’allegato III compilato dal destinatario e la documentazione pertinente, tradotti in una lingua accettata dallo Stato di esecuzione. L’autorità di esecuzione decide sul riconoscimento senza indebito ritardo e comunque entro cinque giorni lavorativi, ingiunge formalmente l’adempimento e informa il destinatario della possibilità di obiettare, delle sanzioni applicabili e del termine. Prima di negare il riconoscimento consulta l’autorità di emissione, che risponde entro cinque giorni lavorativi. I dati eventualmente acquisiti sono trasmessi all’autorità di emissione senza indebito ritardo.

Il regolamento richiede sanzioni effettive, proporzionate e dissuasive: per le violazioni rilevanti il tetto massimo della sanzione pecuniaria può arrivare al 2 per cento del fatturato mondiale totale annuo del prestatore relativo all’esercizio precedente, secondo la disciplina nazionale applicabile. Gli Stati membri conservano quindi una notevole autonomia nella determinazione concreta delle sanzioni.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 12 e 15-17; materiale formativo SSM, sezione sulla procedura di esecuzione.

15. Questioni aperte

Alcuni profili meritano attenzione anche sul piano operativo, in attesa dei primi arresti applicativi.

• Tenuta della data retention interna. Con ordinanza del 26 giugno 2025 il giudice per le indagini preliminari di Catania ha sollevato questione pregiudiziale davanti alla Corte di giustizia sulla compatibilità della disciplina nazionale di conservazione dei dati di traffico con i principi eurounitari, chiedendo in particolare se i file di log — accessi e uscite con IP e marche temporali — utilizzati al solo fine di identificare l’autore di un reato possano essere esclusi dalla nozione di dati di traffico. La pendenza della questione tocca direttamente le acquisizioni identificative più frequenti nella pratica.
• Punti aperti dell’art. 263-bis. Non è chiarito se l’indicazione delle modalità di custodia e del termine costituisca elemento necessario o eventuale del decreto, né quale sia la sorte dei dati già conservati quando l’ordine urgente della polizia giudiziaria non venga convalidato: se cioè la perdita di efficacia imponga l’eliminazione dei dati o comporti solo la cessazione dell’obbligo di ulteriore conservazione.
• Impugnazione dell’ordine di conservazione. L’art. 18 disciplina i soli mezzi di impugnazione avverso l’ordine di produzione, davanti a un organo giurisdizionale dello Stato di emissione, con legittimazione estesa anche al terzo i cui dati siano stati richiesti. In assenza di un obbligo informativo l’indagato può non venire a conoscenza della conservazione: in concreto sarà impugnabile il solo ordine di produzione, se e quando emesso. Resta aperta l’individuazione dei rimedi interni esperibili, con il richiamo, in via di ipotesi, al modello dell’opposizione avverso la perquisizione non seguita da sequestro.
• Ne bis in idem e principio di specialità. Per l’ordine di conservazione il regolamento non vi fa riferimento, essendo l’interlocuzione limitata all’autorità di emissione e al destinatario; per l’ordine di produzione i due profili rilevano invece nella valutazione dell’autorità di esecuzione.
• Compressione della valutazione del destinatario. I termini di dieci giorni e di otto ore, uniti al ruolo attivo di verifica attribuito al prestatore, riducono lo spazio per un vaglio effettivo di legittimità e proporzionalità: è ragionevole attendersi, nella fase iniziale, un numero non trascurabile di richieste di chiarimento ex allegato III.
• Disallineamenti lessicali con l’ordinamento interno. Il riferimento alla contumacia, istituto non più presente nel nostro codice di rito, impone di ricondurre la fattispecie alle categorie dell’assenza consapevole e non consapevole.
• Rapporto fra disponibilità giuridica e disponibilità tecnica del dato. Come esposto al § 6, la diffusione della cifratura end-to-end sposta parte del problema dal piano dei presupposti a quello dell’effettiva detenzione del dato da parte del prestatore.

16. Workflow operativi

16.1 Produzione

1. Classificare il dato: abbonati, sola identificazione, traffico, contenuto.
2. Verificare il presupposto di reato, la necessità, la proporzionalità e l’analogia con un caso interno.
3. Individuare l’autorità italiana competente all’emissione o alla convalida in base a categoria e fase.
4. Identificare il corretto stabilimento designato o rappresentante legale e la lingua accettata.
5. Compilare l’EPOC con identificatori precisi, intervallo temporale e dataset strettamente necessari.
6. Valutare se è dovuta la notifica ex art. 8 e, in caso positivo, coordinare certificato e notifica.
7. Trasmettere via sistema decentrato o, se tecnicamente necessario, tramite canale alternativo sicuro.
8. Monitorare i termini di 10 giorni o 8 ore e le eventuali richieste di chiarimento.
9. Alla ricezione: verificare provenienza, integrità, completezza e catena di custodia; registrare hash e checksum.
10. Gestire l’informazione all’interessato secondo le determinazioni dell’autorità competente.

16.2 Conservazione

1. Individuare con precisione i dati a rischio di cancellazione o modifica e motivare necessità e proporzionalità.
2. Emettere o far convalidare l’ordine secondo il d.lgs. 215/2025; nei casi urgenti distinguere emergenza UE e procedura accelerata.
3. Compilare l’EPOC-PR con destinatario, identificatore, categoria e intervallo temporale.
4. Trasmettere al destinatario corretto: non si applica la notifica ex art. 8, prevista per il solo EPO di traffico e contenuto.
5. Annotare la decorrenza del periodo di 60 giorni e programmare l’eventuale proroga di 30 giorni.
6. Prima della scadenza, se è stata emessa una successiva richiesta di produzione, inviare la conferma prevista dal regolamento.
7. Se la conservazione non è più necessaria, informare senza indebito ritardo il destinatario.

17. Checklist prima dell’invio

Obiettivo Ridurre richieste di chiarimento, ritardi, rifiuti e rischio di produzione di dati non pertinenti.

☐  Ho classificato correttamente la categoria di dato?

☐  L’autorità emittente o convalidante è quella corretta per quella categoria e per quella fase?

☐  Ho motivato necessità e proporzionalità sul caso concreto?

☐  Il reato soddisfa le condizioni dell’art. 5 o dell’art. 6 applicabile?

☐  Ho identificato il destinatario giuridicamente corretto?

☐  Sto usando una lingua accettata dal destinatario?

☐  Gli identificatori sono completi e verificati? È indicato il servizio specifico?

☐  Per gli IP: marca temporale e fuso orario sono precisi? È necessaria la porta sorgente?

☐  L’intervallo temporale è il più ristretto compatibile con l’obiettivo investigativo?

☐  Le sezioni E, F e G sono coerenti fra loro?

☐  Se uso JUDEX e chiedo categorie diverse, devo emettere certificati separati e collegarli?

☐  Per traffico e contenuto ho verificato l’obbligo di notifica ex art. 8?

☐  Ho selezionato correttamente il termine di 10 giorni o di 8 ore e documentato l’eventuale emergenza?

☐  Esiste un precedente ordine di conservazione? Quando scadono i 60 giorni?

☐  L’autorità indicata per ricevere i dati dispone di un canale sicuro e di una casella monitorata?

☐  Ho previsto come verificare autenticità e integrità e come documentare la ricezione?

☐  Ho definito chi gestirà eventuali chiarimenti del provider e le relative scadenze?

☐  È stato valutato il differimento dell’informativa all’interessato e ne sono stati documentati i motivi?

17-bis. Ricadute organizzative sugli uffici

La Relazione dell’Ufficio del Massimario dedica l’ultima parte alle conseguenze organizzative, che vale la pena anticipare perché ricadranno sui nostri uffici prima ancora che sulla giurisprudenza.

• Gestione dei flussi. La centralità del pubblico ministero distrettuale nella fase passiva e la concentrazione delle competenze presso specifici uffici richiedono modelli organizzativi che garantiscano continuità operativa, tempestività e tracciabilità degli atti, incompatibili con la natura volatile del dato digitale.
• Specializzazione. La complessità tecnica delle categorie di dati, il raccordo con la giurisprudenza eurounitaria e la gestione dei conflitti con ordinamenti terzi suggeriscono lo sviluppo di competenze dedicate e di nuclei di riferimento interni agli uffici.
• Controllo delle scansioni temporali. La compressione dei termini richiede strumenti di tracciabilità delle fasi: eventuali ritardi nella convalida o nella trasmissione incidono sull’efficacia dell’atto e sulla stabilità dell’acquisizione. Servono protocolli informatici chiari e un’archiviazione digitale dei provvedimenti facilmente individuabile e ricostruibile in vista di contestazioni.
• Uniformità di qualificazione. Errori nel classificare il dato si riflettono sull’individuazione dell’autorità competente e sul regime dei controlli: da qui l’esigenza di linee guida condivise e di confronto sistematico fra uffici, soprattutto nella fase iniziale.
• Statistiche. L’art. 8 del d.lgs. 215/2025 affida al Ministero della giustizia la raccolta e la trasmissione alla Commissione dei dati previsti dall’art. 28, par. 2, del regolamento; l’autorità giudiziaria trasmette al Ministero i dati necessari. A decorrere dal 18 agosto 2026 la trasmissione è annuale, entro il 31 marzo, per l’anno civile precedente. Le modalità dovranno essere costruite in modo da non compromettere il segreto investigativo: non è il contenuto della singola informazione a essere sensibile, ma la sua combinazione, che in contesti territoriali ridotti può rendere identificabile il procedimento.
• Risorse. Le disposizioni finanziarie autorizzano uno stanziamento circoscritto all’ordine di conservazione, alla procedura accelerata e alla fase passiva, mentre per il resto le amministrazioni provvedono con le risorse disponibili a legislazione vigente. L’effettività del sistema è quindi affidata alla capacità dei singoli uffici di riorganizzare l’esistente più che all’apporto di nuove risorse.

Fonte/riscontro: Relazione n. 25/2026, §§ 14 e 15.

18. Quadro nazionale in evoluzione e riferimenti

Aggiornamento ad agosto 2026 I d.lgs. 215/2025 e 216/2025 sono pubblicati e in vigore. Un ulteriore schema di decreto legislativo per il completo adeguamento al regolamento (Atto del Governo n. 411) ha concluso l’esame parlamentare ed è stato posto all’esame definitivo del Consiglio dei ministri il 4 agosto 2026. Nelle fonti ufficiali consultate per questa guida non risulta ancora la pubblicazione in Gazzetta Ufficiale del testo definitivo: prima di usare il documento come base per procedure vincolanti occorre verificarne l’eventuale sopravvenuta pubblicazione.

Riferimenti normativi e documentali essenziali:

• Regolamento (UE) 2023/1543 del Parlamento europeo e del Consiglio, 12 luglio 2023, relativo agli ordini europei di produzione e di conservazione di prove elettroniche nei procedimenti penali.
• Direttiva (UE) 2023/1544 del Parlamento europeo e del Consiglio, 12 luglio 2023, sulla designazione di stabilimenti designati e sulla nomina di rappresentanti legali.
• Regolamento di esecuzione (UE) 2025/1550 della Commissione, 28 luglio 2025, specifiche tecniche del sistema informatico decentrato.
• D.Lgs. 30 dicembre 2025, n. 215 — autorità e procedure italiane.
• D.Lgs. 30 dicembre 2025, n. 216 — attuazione della direttiva 2023/1544.
• Linee guida SIRIUS per la compilazione dell’EPOC, giugno 2026, e corrispondenti linee guida per l’EPOC-PR, con la relativa nota informativa — strumento pratico non vincolante.
• A. Marandola, «L’attuazione dei d.lgs. nn. 215 e 216 del 2025: un ulteriore tassello all’esecuzione dell’e-evidence package», Processo Penale e Giustizia, 2026.
• Ufficio del Massimario della Corte di cassazione, Relazione n. 25/2026 del 7 aprile 2026 (rel. C. Brignone), prima lettura sistematica del quadro attuativo nazionale: è il testo di riferimento per ogni approfondimento.
• Sez. U, nn. 23755 e 23756 del 29 febbraio 2024, sul rapporto fra canale cooperativo europeo e strumenti interni; CGUE, Grande Sezione, 30 aprile 2024, M.N. (EncroChat), C-670/22.
• C. De Lazzaro, «L’acquisizione delle prove elettroniche nello spazio di libertà, sicurezza e giustizia: una prima implementazione dell’e-evidence package», Sistema Penale, 2026.
• D. Gambardella, «Ordine europeo di conservazione — regolamento (UE) 2023/1543 e direttiva (UE) 2023/1544», Scuola Superiore della Magistratura, formazione decentrata.
• Garante per la protezione dei dati personali, parere del 25 settembre 2025 sullo schema di decreto, in tema di coordinamento fra disciplina europea e disciplina interna della data retention.
• Senato della Repubblica, dossier sull’Atto del Governo n. 330 (schema del d.lgs. 216/2025).
• Atto del Governo n. 411 — schema di completo adeguamento nazionale, da verificare nella versione eventualmente pubblicata in Gazzetta Ufficiale.

Conclusione

Il valore operativo del nuovo sistema non consiste soltanto nella riduzione dei tempi. Cambia il modello di acquisizione: l’autorità deve essere in grado di classificare correttamente il dato, scegliere l’autorità competente, individuare il destinatario europeo, compilare un certificato tecnicamente preciso e gestire notifiche, termini e integrità della prova. La qualità della richiesta giuridica e la qualità del dato tecnico diventano due facce della stessa attività.

Per gli uffici di polizia giudiziaria e per il personale informatico-forense la conseguenza pratica è chiara: l’identificatore deve essere utilizzabile dal prestatore, la finestra temporale deve essere precisa, la categoria del dato deve essere corretta e la ricezione deve essere documentata in modo da preservare autenticità, integrità e tracciabilità. Una richiesta giuridicamente valida ma tecnicamente ambigua può fallire; una richiesta tecnicamente precisa ma priva dei corretti presupposti giuridici è inutilizzabile.

Versione: agosto 2026. Documento di sintesi: non sostituisce la lettura dei testi normativi e delle linee guida, alle quali si rinvia per ogni aspetto di dettaglio.