Regolamento (UE) 2023/1543 • Direttiva (UE) 2023/1544 • Quadro operativo italiano

Applicabile dal 18 agosto 2026 — focus operativo per autorità giudiziaria, polizia giudiziaria e personale tecnico-forense

In sintesi Dal 18 agosto 2026 l’autorità giudiziaria di uno Stato membro può rivolgersi direttamente allo stabilimento designato o al rappresentante legale di un prestatore di servizi in un altro Stato membro per ottenere la conservazione (EPOC-PR) o la produzione (EPOC) di prove elettroniche, senza dover passare per l’assistenza giudiziaria o per l’ordine europeo di indagine. Quattro categorie di dati, con presupposti crescenti: abbonati, sola identificazione dell’utente, traffico, contenuto. Termini stringenti: 10 giorni per la produzione, 8 ore nei casi di emergenza; l’obbligo di conservazione dura 60 giorni, prorogabili di 30. Per traffico e contenuto: presupposti rafforzati quanto ad autorità competente e gravità del reato e, di regola, notifica all’autorità di esecuzione. La qualità giuridica della richiesta e la qualità tecnica dell’identificatore sono due facce della stessa attività: un certificato impreciso non produce risultati, un certificato privo dei presupposti produce dati inutilizzabili.

Avvertenza Il documento ha finalità informativa e operativa. Non sostituisce il testo del Regolamento, la normativa nazionale, le istruzioni dell’Autorità giudiziaria o i protocolli dell’ufficio. Le linee guida SIRIUS sono uno strumento pratico volontario: aiutano a compilare correttamente i certificati, ma non modificano la disciplina normativa.

1. Oggetto, destinatari e fonti

Il documento riepiloga il quadro normativo e le indicazioni operative sul pacchetto e-evidence, pienamente applicabile dal 18 agosto 2026, con specifica attenzione ai profili che interessano l’attività di polizia giudiziaria e la gestione delle richieste ai prestatori di servizi: piattaforme di social networking e messaggistica, servizi di hosting, servizi di comunicazione elettronica, registri e registrar.

È destinato a un pubblico misto — magistrati, ufficiali e agenti di polizia giudiziaria, personale informatico-forense — e per questo alterna la ricostruzione dell’impianto normativo a indicazioni compilative e tecniche direttamente utilizzabili.

È costruito su tre corpi di materiali:

• il regolamento (UE) 2023/1543 e la direttiva (UE) 2023/1544, con il regolamento di esecuzione (UE) 2025/1550 sulle specifiche tecniche del sistema informatico decentrato;
• la normativa italiana di adeguamento: d.lgs. 30 dicembre 2025, n. 215 e d.lgs. 30 dicembre 2025, n. 216;
• le linee guida SIRIUS per la compilazione del certificato di ordine europeo di produzione (EPOC), giugno 2026, elaborate nell’ambito del progetto SIRIUS di Eurojust ed Europol, e le corrispondenti linee guida per l’EPOC-PR.

Fonte/riscontro: Reg. (UE) 2023/1543; Dir. (UE) 2023/1544; Reg. di esecuzione (UE) 2025/1550; D.Lgs. 215 e 216 del 2025; Linee guida SIRIUS EPOC, giugno 2026.

2. Cosa cambia dal 18 agosto 2026

Il regolamento introduce un canale europeo specifico per ottenere o preservare prove elettroniche detenute da prestatori che offrono servizi nell’Unione. La novità principale è la possibilità, nei casi previsti, di rivolgere l’ordine direttamente allo stabilimento designato o al rappresentante legale del prestatore in un altro Stato membro, senza dover passare per i tradizionali meccanismi di assistenza giudiziaria.

Il fondamento è l’articolo 82, paragrafo 1, TFUE e il principio del reciproco riconoscimento delle decisioni giudiziarie. La scelta dello strumento regolamentare — direttamente applicabile — in una materia tradizionalmente affidata alla cooperazione mediante direttive è stata definita particolarmente incisiva, perché sposta il baricentro dell’interlocuzione dall’autorità centrale al prestatore di servizi, al quale è attribuito un ruolo attivo di ricezione e verifica del certificato.

Gli elementi da fissare fin d’ora:

• due strumenti: ordine europeo di produzione, per ottenere i dati, e ordine europeo di conservazione, per congelarli in vista di una successiva richiesta di produzione;
• quattro categorie di dati: dati relativi agli abbonati, dati richiesti al solo scopo di identificare l’utente, dati sul traffico, dati relativi al contenuto;
• tempi stringenti: per l’EPOC, ordinariamente entro 10 giorni; nei casi di emergenza senza indebito ritardo e comunque entro 8 ore; per l’EPOC-PR conservazione senza indebito ritardo, con obbligo che cessa dopo 60 giorni salvo conferma di una successiva richiesta di produzione;
• notifica all’autorità di esecuzione per i dati di traffico non richiesti al solo scopo di identificare l’utente e per i dati di contenuto, salvo la specifica eccezione territoriale e residenziale dell’art. 8;
• trasmissione digitale attraverso il sistema informatico decentrato, individuato dalla documentazione SIRIUS come JUDEX, con soglia tecnica di 25 MB per singolo trasferimento;
• quadro italiano: il d.lgs. 215/2025 individua autorità e procedure, il d.lgs. 216/2025 attua la direttiva sugli stabilimenti designati e sui rappresentanti legali.

Data	Adempimento
18 agosto 2025	Termine per la notifica alla Commissione, ex art. 31, delle autorità competenti all’emissione, convalida, trasmissione, ricezione ed esecuzione degli ordini, nonché delle lingue accettate.
18 febbraio 2026	Termine di recepimento della direttiva (UE) 2023/1544 e di notifica delle disposizioni sanzionatorie.
18 agosto 2026	Data di applicazione del regolamento (art. 34, par. 2) e termine entro il quale i prestatori che offrono servizi nell’Unione devono avere designato lo stabilimento o nominato il rappresentante legale. Per i prestatori che iniziano a operare dopo il 18 febbraio 2026 il termine è di sei mesi dall’avvio dell’attività.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 31 e 34; Dir. (UE) 2023/1544, art. 7; D.Lgs. 215 e 216 del 2025.

3. Lessico essenziale

Termine	Significato operativo
EPO	European Production Order: la decisione, ossia l’ordine europeo di produzione.
EPOC	European Production Order Certificate: il certificato con cui l’ordine di produzione viene trasmesso al destinatario.
Ordine europeo di conservazione	Decisione che impone di preservare dati specifici per evitarne rimozione, cancellazione o modifica, in vista di una successiva richiesta di produzione.
EPOC-PR	European Preservation Order Certificate: il certificato con cui viene trasmesso l’ordine europeo di conservazione.
Autorità di emissione	Autorità competente dello Stato che emette l’ordine.
Autorità di convalida	Autorità giudiziaria che convalida l’ordine quando il regolamento o il diritto nazionale lo richiedono.
Autorità di esecuzione	Autorità dello Stato del destinatario, coinvolta nei casi di notifica o nell’esecuzione coattiva.
Destinatario	Di regola lo stabilimento designato o il rappresentante legale del prestatore di servizi.
JUDEX	Interfaccia operativa del sistema informatico decentrato per la trasmissione di certificati, notifiche e dati.

EPO non significa EPOC Nella pratica è facile usare impropriamente i due acronimi come sinonimi. L’ordine è la decisione dell’autorità; l’EPOC è il certificato standardizzato trasmesso al destinatario. La stessa distinzione vale fra ordine europeo di conservazione ed EPOC-PR.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 3 e 9; Linee guida SIRIUS EPOC, sezioni A-M.

4. Ambito di applicazione e destinatari

Il sistema riguarda prove elettroniche in procedimenti penali e, nei casi previsti, l’esecuzione di pene o misure detentive. Il dato può essere tecnicamente memorizzato anche fuori dallo Stato dell’autorità richiedente: ciò che rileva è che il prestatore offra servizi nell’Unione e che l’ordine sia indirizzato al soggetto giuridicamente designato a riceverlo.

Sono ricompresi i prestatori che forniscono nell’Unione una o più delle seguenti categorie di servizi:

• servizi di comunicazione elettronica, compreso l’accesso a Internet;
• servizi di comunicazione interpersonale;
• servizi di nomi di dominio Internet e di numerazione IP, inclusi registri, registrar e servizi privacy o proxy connessi ai nomi di dominio;
• altri servizi della società dell’informazione che consentono agli utenti di comunicare fra loro oppure che memorizzano o trattano dati per conto dell’utente, quando tale funzione è una componente caratteristica del servizio: social network, marketplace, hosting.

Restano esclusi i servizi finanziari — bancari, creditizi, assicurativi, riassicurativi, previdenziali, relativi a titoli e fondi, di pagamento e di consulenza sugli investimenti — e i servizi offerti esclusivamente all’interno di un singolo Stato membro. L’esclusione non pregiudica la facoltà delle autorità nazionali di rivolgersi con gli strumenti interni ai prestatori stabiliti o rappresentati nel proprio territorio: le acquisizioni puramente nazionali restano disciplinate dal diritto interno.

Il sistema e-evidence non va quindi letto come una competenza universale fondata sulla mera presenza del dato «nel cloud»: è una procedura europea con presupposti soggettivi, territoriali e procedurali propri. Ne consegue, per converso, che le principali piattaforme di social networking e di messaggistica con stabilimento o rappresentante legale nell’Unione rientrano a pieno titolo fra i destinatari degli ordini, nei limiti dei dati che effettivamente detengono.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 1-3 e 7; Dir. (UE) 2023/1544, considerando 7-8 e art. 3; D.Lgs. 216/2025, artt. 3-4.

5. Le quattro categorie di dati

La corretta classificazione del dato è decisiva: incide sull’autorità competente, sulle condizioni di emissione, sulla necessità di notifica e sulle garanzie procedurali. Le definizioni sono all’art. 3, punti 9-12.

Categoria	Esempi	Impatto operativo
1. Dati relativi agli abbonati	Nome, data di nascita, indirizzo postale o geografico, e-mail e telefono forniti, dati di fatturazione e pagamento, tipo e durata del servizio, dati tecnici e identificativi delle interfacce usate al momento della registrazione o dell’attivazione, dati di convalida dell’uso del servizio. Sono esclusi password e altri mezzi di autenticazione.	Categoria meno invasiva. Per l’EPO può essere richiesta per tutti i reati, se ricorrono le altre condizioni.
2. Dati richiesti al solo scopo di identificare l’utente	Indirizzo IP e, se necessario, porta sorgente e marche temporali pertinenti; identificativi tecnici equivalenti e informazioni connesse.	Servono esclusivamente ad attribuire un identificativo a un utente in una specifica indagine penale.
3. Dati sul traffico	Fonte e destinatario di una comunicazione o di altra interazione, ubicazione del dispositivo, data, ora, durata, dimensioni, percorso, formato, protocollo e tipo di compressione, log-in e log-off.	Più invasivi. Soglie più rigorose per l’EPO; di regola notifica ex art. 8.
4. Dati relativi al contenuto	Testo, voce, video, immagini, suoni e ogni altro dato digitale diverso dai dati di abbonato e dai dati sul traffico.	Massimo impatto sulla sfera privata; stesse condizioni rafforzate previste per i dati di traffico.

Nota tecnica: IP, porta sorgente e timestamp Nelle reti con NAT e CGNAT un indirizzo IP pubblico, da solo, può non essere sufficiente a identificare univocamente l’utente. Quando disponibile e pertinente va indicata anche la porta sorgente, con un timestamp preciso e il fuso orario. Le linee guida SIRIUS insistono in modo particolare sulla precisione dell’identificatore e della marca temporale.

La qualificazione non è puramente nominale: lo stesso elemento può assumere categoria diversa a seconda del servizio e della funzione che vi svolge. Le linee guida segnalano, ad esempio, che una data di nascita — normalmente dato di abbonato — può assumere natura di dato di contenuto quando esorbita dalla funzione identificativa dell’utente. Prima di compilare il certificato è quindi opportuno verificare le informazioni del prestatore e le indicazioni SIRIUS.

Fonte/riscontro: Reg. (UE) 2023/1543, art. 3, punti 9-12; Linee guida SIRIUS EPOC, sezioni E-F.

6. Dati di contenuto e sistemi di cifratura

La possibilità giuridica di richiedere dati relativi al contenuto mediante un ordine europeo di produzione non implica che il prestatore sia tecnicamente in grado di fornirli in forma intelligibile.

Il regolamento affronta espressamente il rapporto fra e-evidence e cifratura. Il considerando 20 stabilisce che l’applicazione del regolamento non deve pregiudicare l’uso della cifratura da parte dei prestatori o degli utenti: i dati possono essere oggetto di produzione o conservazione anche quando sono cifrati, ma il regolamento non impone al prestatore alcun obbligo di decifrazione.

Principio operativo L’ordine europeo di produzione obbliga il prestatore a produrre i dati nella propria disponibilità secondo le condizioni previste dal regolamento, ma non gli attribuisce capacità tecniche o chiavi crittografiche che non possiede.

6.1 Trasporto, dati a riposo ed end-to-end encryption

Occorre distinguere tre situazioni tecnicamente diverse, che producono esiti opposti sul piano acquisitivo.

Sistema di protezione	Disponibilità del contenuto per il prestatore
Cifratura del trasporto (ad es. TLS)	Il traffico è cifrato fra client e server, ma il prestatore riceve e tratta normalmente il contenuto in chiaro. Il contenuto eventualmente conservato può quindi essere producibile.
Cifratura dei dati con chiavi gestite dal prestatore	I dati possono essere memorizzati cifrati, ma il prestatore possiede o controlla le chiavi necessarie alla decifrazione e può quindi, tecnicamente, produrli in forma intelligibile.
End-to-end encryption (E2EE)	Le chiavi necessarie a leggere il contenuto sono disponibili sugli endpoint autorizzati e non, in linea di principio, al prestatore, che può quindi non essere tecnicamente in grado di produrre il contenuto in chiaro.

Nel modello E2EE, in forma semplificata: dispositivo A → cifratura → infrastruttura del prestatore → dato cifrato → dispositivo B → decifrazione. Il prestatore svolge una funzione di trasporto e, eventualmente, di conservazione, ma non dispone necessariamente delle chiavi che consentono di ricostruire il messaggio originale.

6.2 Esempio: Messenger

Meta ha introdotto la cifratura end-to-end di default per le conversazioni personali e le chiamate di Messenger. Secondo la documentazione tecnica del prestatore, il contenuto è protetto dal momento in cui lascia il dispositivo del mittente fino a quando raggiunge quello del destinatario e neppure Meta può vedere quanto inviato o comunicato, salvo casi specifici, ad esempio quando l’utente decide di segnalare un messaggio alla piattaforma.

Un EPOC che richieda i messaggi scambiati fra due account Messenger in un determinato intervallo temporale può quindi incontrare un limite tecnico: se il contenuto è protetto mediante E2EE e Meta non ne possiede una copia decifrabile, l’ordine non determina la disponibilità della chiave né impone al prestatore di realizzare una procedura di decrittazione.

6.3 Il caso particolare di Instagram

La situazione va verificata servizio per servizio e nel momento storico cui si riferiscono i dati. Instagram aveva introdotto una modalità E2EE opzionale per i messaggi diretti, ma la funzione è stata eliminata a partire dall’8 maggio 2026. I nuovi direct message non sono quindi più protetti da quella specifica forma di cifratura, il che rende tecnicamente possibile al prestatore accedere ai contenuti trattati dalla propria infrastruttura, fermo restando che la concreta produzione dipende dall’effettiva disponibilità, dalla conservazione e dalle caratteristiche del dato richiesto.

Per acquisizioni relative a periodi precedenti non deve invece essere presunto automaticamente che ogni conversazione sia disponibile in chiaro: occorre verificare se la specifica conversazione fosse stata originariamente protetta tramite E2EE e quale materiale il prestatore conservi ancora.

6.4 Cosa resta acquisibile quando il contenuto non è decifrabile

In presenza di E2EE è opportuno distinguere il contenuto della comunicazione dalle informazioni relative alla comunicazione. Il prestatore può continuare a detenere, in funzione delle caratteristiche del servizio e dei tempi di conservazione, dati dell’account, identificatori, indirizzi IP, marche temporali, informazioni su sessioni e dispositivi e altri dati di traffico o di contesto. Possono inoltre esistere contenuti divenuti separatamente disponibili al prestatore: la stessa Meta precisa che, quando un utente segnala un messaggio, il contenuto interessato può essere reso accessibile alla piattaforma ai fini della gestione della segnalazione.

Principio da ricordare La cifratura non sottrae automaticamente il dato all’ambito dell’ordine europeo di produzione, ma l’EPOC non costituisce una chiave di decifrazione. La concreta possibilità di ottenere il contenuto dipende dall’architettura del servizio e dalle effettive capacità tecniche del prestatore.

Fonte/riscontro: Reg. (UE) 2023/1543, considerando 20 e art. 5; documentazione tecnica dei prestatori citati.

7. L’ordine europeo di produzione (EPO / EPOC)

L’ordine europeo di produzione consente di ottenere direttamente dal destinatario i dati già conservati dal prestatore o per suo conto: messaggi di posta elettronica, messaggi scambiati tramite applicazioni, informazioni utili all’identificazione del responsabile. Deve essere necessario e proporzionato e, in linea generale, deve poter essere disposto alle stesse condizioni in un caso interno analogo.

7.1 Condizioni per categoria di dato

Dati richiesti	Condizione relativa al reato	Notifica art. 8	Termine del destinatario
Abbonati	Tutti i reati, nel rispetto delle altre condizioni del regolamento.	No	Prima possibile, massimo 10 giorni.
Solo identificazione dell’utente	Tutti i reati, nel rispetto delle altre condizioni.	No	Prima possibile, massimo 10 giorni.
Traffico non richiesto ai soli fini identificativi	Reato punibile nello Stato di emissione con pena detentiva massima di almeno tre anni, oppure specifiche categorie di reati indicate dal regolamento.	Sì, salvo eccezione	Massimo 10 giorni; 8 ore in emergenza.
Contenuto	Come per i dati sul traffico.	Sì, salvo eccezione	Massimo 10 giorni; 8 ore in emergenza.

Oltre alla soglia dei tre anni, per traffico e contenuto il regolamento ammette specifiche fattispecie, quando il reato sia commesso in tutto o in parte mediante un sistema informatico:

• frodi e falsificazioni di mezzi di pagamento diversi dai contanti, artt. 3-8 della direttiva (UE) 2019/713;
• abuso e sfruttamento sessuale dei minori e pornografia minorile, artt. 3-7 della direttiva 2011/93/UE;
• attacchi contro i sistemi di informazione, artt. 3-8 della direttiva 2013/40/UE;
• reati di terrorismo e connessi, artt. 3-12 e 14 della direttiva (UE) 2017/541.

La verifica va sempre svolta sul caso concreto, secondo i presupposti dettagliati dall’art. 5.

7.2 Termini

Il destinatario trasmette i dati il prima possibile e comunque entro 10 giorni dalla ricezione dell’EPOC. Nel caso di emergenza ai sensi del regolamento il termine è senza indebito ritardo e comunque entro 8 ore.

Quando l’EPOC deve essere notificato all’autorità di esecuzione, la produzione resta di norma sospesa fino alla scadenza dei 10 giorni, salvo che l’autorità di esecuzione confermi prima che non farà valere alcun motivo di rifiuto. Nel frattempo il destinatario deve comunque agire tempestivamente per preservare i dati richiesti, a meno che le informazioni contenute nel certificato non consentano di identificarli.

7.3 Come impostare una richiesta efficace

• Indicare almeno un identificatore preciso; se necessario combinarne più di uno.
• Limitare l’intervallo temporale e il perimetro dell’account ai dati realmente necessari.
• Evitare formule come «tutti i dati» o «tutti i contenuti».
• Mantenere coerenza fra identificatori (sezione E), categorie e dataset richiesti (sezione F), presupposti (sezione G) e date.
• Descrivere necessità e proporzionalità collegando i dati richiesti al fatto, alla fase investigativa e al valore probatorio atteso.

Regola pratica SIRIUS / JUDEX Nel workflow JUDEX i dati relativi agli abbonati e alla sola identificazione non vanno combinati nello stesso EPOC con traffico e contenuto. Se servono entrambi i gruppi occorre predisporre certificati distinti e collegarli nella sezione relativa alle richieste precedenti o correlate.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 5, 8 e 10; Linee guida SIRIUS EPOC, sezioni C, E, F, G, K.

8. L’ordine europeo di conservazione (EPOC-PR)

L’ordine europeo di conservazione impedisce che dati specifici vengano rimossi, cancellati o modificati mentre si prepara una successiva richiesta di produzione, che potrà avvenire — secondo i presupposti applicabili — tramite assistenza giudiziaria, ordine europeo di indagine oppure ordine europeo di produzione. È strumento funzionale e temporaneo, non acquisitivo. Può riguardare qualsiasi categoria di dati e, se sussistono le condizioni, può essere emesso per tutti i reati.

8.1 Condizioni e limiti di emissione

L’ordine deve essere necessario e proporzionato al fine di impedire rimozione, cancellazione o modifica dei dati, tenendo conto dei diritti della persona sottoposta a indagini o imputata. Può essere emesso per tutti i reati, ove sarebbe stato ammissibile in un caso interno analogo, ovvero per l’esecuzione di una pena o misura di sicurezza detentiva di almeno quattro mesi, irrogata con decisione non pronunciata in contumacia, nei confronti di condannato latitante.

Dalla formulazione dell’art. 6, paragrafo 3, discendono alcuni limiti di rilievo pratico:

• non può essere emesso per dare esecuzione a una misura cautelare personale;
• non può essere emesso per acquisire una notizia di reato, presupponendo un procedimento penale già instaurato;
• non può essere emesso nell’ambito di procedimenti civili, amministrativi o tributari;
• non può essere emesso in esecuzione di un ordine europeo di indagine passivo;
• non può essere emesso per l’esecuzione di condanna a pena detentiva superiore a quattro mesi quando la sentenza sia stata pronunciata in contumacia; sul punto si registra un disallineamento con il nostro ordinamento, che conosce le sole figure dell’assenza consapevole e dell’assenza non consapevole.

Non operano invece i limiti di gravità previsti dall’art. 5, paragrafo 4, per l’ordine di produzione.

8.2 Contenuto minimo da curare

Ai sensi dell’art. 6, paragrafo 4, l’ordine indica:

• autorità di emissione e, se applicabile, autorità di convalida;
• destinatario corretto;
• utente o altro identificativo univoco necessario a individuare i dati;
• categoria di dati e, se opportuno, intervallo temporale;
• disposizioni penali applicabili dello Stato di emissione;
• motivazione di necessità e proporzionalità, da redigere sul caso concreto e non con formule di stile: è l’elemento più frequentemente trascurato.

8.3 Esecuzione, durata e interlocuzione con il destinatario

Ricevuto l’EPOC-PR, il destinatario conserva i dati senza indebito ritardo. L’obbligo cessa dopo 60 giorni, salvo che l’autorità di emissione confermi, con il modulo di cui all’allegato V, l’avvenuta emissione di una successiva richiesta di produzione; entro i 60 giorni l’autorità può prorogare l’obbligo di ulteriori 30 giorni con il modulo dell’allegato VI. Confermata la richiesta di produzione, i dati restano conservati per tutto il tempo necessario. Venuta meno la necessità, l’autorità informa senza indebito ritardo il destinatario.

Il destinatario utilizza il modulo dell’allegato III per segnalare: possibili interferenze con immunità o privilegi o con le norme su libertà di stampa ed espressione; l’impossibilità di eseguire per certificato incompleto, viziato da errori manifesti o insufficiente, chiedendo chiarimenti; l’impossibilità materiale non imputabile; ogni altro motivo di mancata conservazione.

Termine da presidiare L’autorità di emissione deve reagire entro cinque giorni dalla ricezione della richiesta di chiarimenti: decorso inutilmente tale termine, il prestatore è esonerato dagli obblighi di conservazione. Va quindi individuato fin dall’inizio chi presidia la casella e gestisce l’interlocuzione con il provider.

La notifica preventiva all’autorità di esecuzione prevista dall’art. 8 riguarda il solo ordine di produzione di traffico e contenuto e non l’EPOC-PR: ciò non esclude il coinvolgimento successivo dell’autorità di esecuzione in caso di mancata ottemperanza.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 6, 9 e 11; materiale formativo SSM sull’EPOC-PR.

9. Autorità italiane e procedure

Il d.lgs. 30 dicembre 2025, n. 215, in vigore dal 30 gennaio 2026, individua le autorità italiane competenti e disciplina emissione, ricezione, esecuzione e riesame degli ordini. Per il lavoro operativo è essenziale distinguere categoria di dato e fase processuale.

9.1 Emissione in Italia

Scenario	Autorità competente
EPO nel procedimento penale	Pubblico ministero e giudice che procede, nell’ambito delle rispettive attribuzioni.
EPO prima dell’esercizio dell’azione penale — traffico e contenuto	Giudice per le indagini preliminari.
EPO prima dell’esercizio dell’azione penale — abbonati e sola identificazione	Pubblico ministero.
EPO in emergenza, prima dell’intervento del PM — soli dati relativi all’abbonato	Ufficiale di polizia giudiziaria; trasmissione al PM entro 48 ore e convalida del PM nelle 48 ore successive.
Ordine europeo di conservazione	Pubblico ministero e giudice che procede; prima dell’esercizio dell’azione penale provvede il PM.
Conservazione in emergenza, prima dell’intervento del PM	Ufficiale di polizia giudiziaria; trasmissione al PM entro 48 ore e convalida nelle 48 ore successive.

9.2 Autorità di esecuzione in Italia

Quando lo stabilimento designato o il rappresentante legale destinatario è stabilito o risiede in Italia, sono autorità di esecuzione il Procuratore della Repubblica presso il Tribunale del capoluogo del distretto competente e il giudice per le indagini preliminari presso lo stesso Tribunale, secondo la ripartizione prevista dal decreto.

• Il Procuratore della Repubblica è competente, fra l’altro, per la notifica ex art. 8 e per le funzioni previste dagli artt. 10, 11, 12 e 17 del regolamento.
• In caso di richiesta di esecuzione, il Procuratore riconosce l’ordine salvo motivi di rifiuto.
• Per gli EPO relativi ad abbonati e sola identificazione e per gli ordini di conservazione, il Procuratore dispone l’esecuzione dopo il riconoscimento.
• Per gli EPO relativi a traffico e contenuto, dopo il riconoscimento il Procuratore trasmette al GIP, che autorizza l’esecuzione verificandone le condizioni.

Fonte/riscontro: D.Lgs. 30 dicembre 2025, n. 215, artt. 2, 3 e 6.

10. Emergenza UE e procedura accelerata italiana

Nel linguaggio operativo è importante non sovrapporre due istituti differenti.

Istituto	Presupposto	Effetto principale
Caso di emergenza — regolamento UE	Minaccia imminente alla vita, all’integrità fisica o alla sicurezza di una persona, oppure a un’infrastruttura critica il cui danneggiamento o distruzione comporterebbe una minaccia imminente per la vita, l’integrità fisica o la sicurezza di una persona.	Per l’EPOC: produzione entro 8 ore; possibilità di regole eccezionali sulla convalida nei casi previsti, con richiesta di convalida ex post entro 48 ore.
Procedura accelerata — d.lgs. 215/2025, art. 4	Particolari ragioni di urgenza nel corso delle indagini preliminari.	Modifica l’autorità che può emettere e impone previa convalida secondo le finestre di 24 e 48 ore; non coincide automaticamente con la definizione UE di emergenza.

Nella procedura accelerata italiana:

• traffico e contenuto: EPO emesso dal PM, efficacia subordinata alla previa convalida del GIP; trasmissione entro 24 ore, decisione nelle successive 48 ore;
• abbonati e sola identificazione: EPO emesso da ufficiali di polizia giudiziaria, efficacia subordinata alla previa convalida del PM, con le stesse finestre di 24 e 48 ore;
• conservazione: ordine emesso da ufficiali di polizia giudiziaria, efficacia subordinata alla previa convalida del PM, con le stesse finestre.

Attenzione operativa Non usare il termine «emergenza» come sinonimo generico di urgenza. L’emergenza del regolamento ha una definizione tassativa e produce conseguenze specifiche, fra cui il termine di 8 ore. La procedura accelerata italiana ha presupposti e sequenze di convalida propri.

Fonte/riscontro: Reg. (UE) 2023/1543, art. 3, punto 18, artt. 4 e 10; D.Lgs. 215/2025, art. 4.

11. Notifica, informazione dell’interessato e riservatezza

11.1 Notifica all’autorità di esecuzione

Per l’EPOC relativo a dati sul traffico non richiesti esclusivamente ai fini dell’identificazione dell’utente o a dati di contenuto, l’autorità di emissione deve di regola notificare l’autorità di esecuzione contestualmente alla trasmissione al destinatario.

La notifica può essere omessa quando vi siano motivi ragionevoli per ritenere che, al momento dell’emissione, siano soddisfatte entrambe le condizioni seguenti: il reato è stato commesso, è in corso di commissione o è probabile che venga commesso nello Stato di emissione; la persona i cui dati sono richiesti risiede nello Stato di emissione. La valutazione va compiuta con attenzione, perché una notifica non necessaria ritarda l’esecuzione, mentre l’omissione di una notifica dovuta espone l’atto a contestazione.

11.2 Informazione della persona interessata

Per i dati prodotti in forza di un EPO l’obbligo di informare la persona grava sull’autorità di emissione, non sul prestatore. L’informazione può essere ritardata, limitata o omessa nei casi consentiti, quando ciò sia necessario e proporzionato per non pregiudicare indagini o procedimenti, il perseguimento dei reati, la sicurezza pubblica o nazionale, oppure i diritti e le libertà altrui. L’ordine di conservazione non comporta di per sé l’obbligo di informazione previsto dall’art. 13 per la produzione.

11.3 Riservatezza

Destinatari e prestatori adottano misure operative e tecniche all’avanguardia per garantire riservatezza, segretezza e integrità del certificato e dei dati prodotti o conservati. Il prestatore non deve informare autonomamente l’utente dell’esistenza della richiesta.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 8 e 13; Linee guida SIRIUS EPOC, sezioni H e K.

12. La compilazione del certificato: le sezioni A-M

Le linee guida SIRIUS seguono l’impaginazione dell’allegato I al regolamento e si concentrano su tre obiettivi: chiarezza e completezza delle informazioni, coerenza fra le sezioni, prevenzione degli errori che generano ritardi o rifiuti. Alcune regole valgono per l’intero certificato:

• di norma la trasmissione avviene tramite JUDEX; i mezzi alternativi e, a maggior ragione, la trasmissione cartacea sono riservati ai casi in cui il sistema non sia utilizzabile;
• il certificato va compilato in una lingua accettata dal destinatario;
• le sezioni non applicabili si lasciano in bianco, o si indica «N/A» sui moduli cartacei, senza sopprimerle quando la trasmissione non avviene tramite JUDEX;
• i dati richiesti vanno descritti in modo chiaro, preciso e inequivocabile; nei campi di testo libero conviene usare periodi brevi e lineari, perché la traduzione automatica introduce imprecisioni proprio nella descrizione dei dati.

Sezione	Punti di attenzione
A — Autorità di emissione e di convalida	Sempre compilata. Indicare solo Stato membro, autorità di emissione e, se del caso, autorità di convalida; i recapiti vanno nelle sezioni I e J, con cui deve esservi piena coerenza. Il numero di fascicolo non è obbligatorio ma è fortemente raccomandato: collega l’ordine al procedimento ed evita duplicazioni.
B — Destinatario	Sempre compilata. Indicare denominazione completa e recapiti dello stabilimento designato o del rappresentante legale, attingendo alla banca dati collegata a JUDEX. L’indirizzamento a un destinatario diverso è ammesso solo in caso di emergenza e quando lo stabilimento o il rappresentante non abbiano reagito nei termini o non siano stati designati.
C — Termini	Selezionare una sola opzione. In mancanza si applica il termine ordinario di 10 giorni. Il termine di 8 ore va giustificato nel campo delle informazioni aggiuntive. Eventuali scadenze procedurali interne — custodia cautelare, udienza imminente, ordine di conservazione in scadenza, prescrizione — non sostituiscono i termini di legge ma orientano le priorità del destinatario.
D — Collegamento a richieste precedenti	Da compilare sempre quando esiste un precedente ordine di conservazione o di produzione sugli stessi dati, indicando autorità, numero di fascicolo, date di emissione e trasmissione, destinatario e stato della richiesta. Va segnalato se i dati conservati sono prossimi alla scadenza dei 60 giorni e se sono stati emessi certificati paralleli.
E — Identificazione dei dati	Sempre compilata, con almeno un identificatore. Indirizzi IP completi con marca temporale e fuso orario, numeri in formato internazionale, indirizzi e-mail completi, IMEI, MAC, nomi utente e identificativi di account. Va sempre specificato il servizio interessato, essenziale per i prestatori che ne offrono più di uno. Intervalli temporali con data di inizio e fine nel formato GG/MM/AAAA, ora e fuso orario.
F — Prove elettroniche da produrre	Sempre compilata, con almeno una categoria e la corrispondente sottocategoria. Vanno selezionate solo le caselle strettamente necessarie. In JUDEX i dati di abbonato e di sola identificazione non possono essere combinati in un unico certificato con traffico e contenuto: occorrono certificati distinti, collegati nella sezione D. Con più utenti o account la sezione va compilata separatamente per ciascuno, in corrispondenza degli identificatori della sezione E.
G — Condizioni sottostanti	Sempre compilata. Indicare natura e qualificazione giuridica del reato con riferimenti normativi precisi e pena edittale, evitando la riproduzione integrale delle disposizioni. La parte sulle soglie va compilata solo per traffico non identificativo e contenuto. Qui si individua anche il ruolo del prestatore: di regola l’ordine va rivolto al titolare del trattamento e solo in via eccezionale al responsabile, quando il titolare non sia identificabile nonostante ragionevoli sforzi o quando rivolgersi ad esso pregiudicherebbe l’indagine; la motivazione va conservata in atti.
H — Informazioni all’utente	Il destinatario deve comunque astenersi dall’informare l’interessato: l’informativa spetta all’autorità di emissione. La sezione va compilata solo per differire l’informativa, selezionando i motivi applicabili. Con più certificati sullo stesso utente occorre coerenza fra tutti gli ordini.
I e J — Autorità di emissione e di convalida	Sezione I sempre compilata; sezione J solo in caso di convalida. Le informazioni devono coincidere con la sezione A.
K — Autorità di esecuzione notificata	Da compilare solo se la notifica è dovuta; in tal caso va compilata anche la sezione M. Indicare recapiti raggiungibili, possibilmente attivi 24 ore su 24, e utilizzare esclusivamente indirizzi istituzionali.
L — Trasferimento dei dati	Da compilare quando i dati devono essere trasmessi ad autorità diversa da quella emittente o quando non è utilizzabile JUDEX. Indicare una casella effettivamente presidiata e capiente, perché i prestatori impiegano di norma link sicuri a scadenza.
M — Informazioni per la sola autorità di esecuzione	Da non trasmettere al destinatario. Contiene la motivazione su necessità e proporzionalità, la sintesi del fatto, la verifica della doppia incriminazione rispetto all’elenco dei reati e gli elementi utili a valutare eventuali motivi di rifiuto: immunità e privilegi, libertà di stampa e di espressione, diritti fondamentali, ne bis in idem.

Errori ricorrenti da evitare Richieste generiche o sovradimensionate per oggetto e arco temporale, che espongono a contestazioni e rallentano l’esecuzione. Incoerenze fra le sezioni A, I e J, oppure fra gli identificatori della sezione E e le categorie di dati della sezione F. Omessa indicazione del servizio specifico presso prestatori che ne offrono più di uno. Marche temporali prive di fuso orario e date in formato non uniforme. Motivazione su necessità e proporzionalità redatta con formule di stile anziché sul caso concreto.

Fonte/riscontro: Linee guida SIRIUS EPOC, giugno 2026, sezioni A-M; Reg. (UE) 2023/1543, allegato I.

13. Trasmissione digitale, JUDEX e aspetti tecnico-forensi

Il regolamento prevede per le comunicazioni scritte un sistema informatico decentrato sicuro e affidabile. Il regolamento di esecuzione (UE) 2025/1550 ne definisce le specifiche tecniche e prevede l’interoperabilità tramite punti di accesso e-CODEX; le linee guida SIRIUS utilizzano il nome JUDEX per l’interfaccia operativa e ne raccomandano l’uso come canale ordinario.

Per la trasmissione delle prove elettroniche tramite il sistema decentrato è fissata una soglia di 25 MB per singolo trasferimento. Quando il materiale supera tale limite, quando il sistema non è disponibile o quando esigenze tecniche o forensi lo richiedono, può essere necessario un mezzo alternativo, che deve comunque preservare sicurezza, affidabilità, autenticità e integrità e consentire al destinatario di verificarle.

Fra i mezzi alternativi le linee guida indicano servizi di recapito elettronico qualificati, posta elettronica sicura, portali dedicati istituiti da alcuni prestatori, archiviazione cloud sicura e protocolli di trasferimento cifrati; in via residuale la consegna fisica su supporti cifrati o, per il materiale cartaceo, attraverso canali sicuri. Quando è richiesta la cifratura occorre specificarlo e fornire gli elementi necessari, ad esempio il certificato pubblico X.509, verificando la compatibilità con i sistemi dell’autorità ricevente.

13.1 Accorgimenti tecnici consigliati

• Usare identificatori completi e non ambigui: IPv4 e IPv6, intervalli, indirizzi e-mail, numero di telefono in formato internazionale, IMEI, MAC, username e account ID.
• Per IP dinamici e reti NAT: indicare data, ora, fuso orario e, quando necessario, porta sorgente.
• Specificare il formato richiesto solo quando realmente necessario, evitando di imporre conversioni inutili al prestatore.
• Predisporre una casella istituzionale attiva e monitorata: molti prestatori restituiscono link sicuri con scadenza o autenticazione.
• Quando si usa un canale alternativo, documentare il mezzo, le modalità di autenticazione e l’eventuale scambio separato di password e chiavi.
• Verificare e registrare checksum e hash forniti dal prestatore; se non forniti, calcolarli all’acquisizione documentando algoritmo, data, ora e operatore.
• Conservare il pacchetto originale ricevuto dal prestatore, inclusi metadati, manifest, header e documentazione di accompagnamento, lavorando su copie forensi quando appropriato.

Diritto e buona pratica forense Hash, catena di custodia e conservazione del pacchetto originale sono buone pratiche tecnico-forensi e probatorie. Non tutte sono formulate dal regolamento come prescrizioni autonome: vanno applicate in coerenza con il codice di procedura, i protocolli dell’ufficio e le regole interne di gestione della prova digitale.

Due strumenti di supporto meritano di essere conosciuti e utilizzati: la banca dati collegata a JUDEX, che riporta per ciascun prestatore lo stabilimento designato o il rappresentante legale, l’ambito territoriale, i recapiti e — su base volontaria — i servizi coperti, gli identificativi utilizzabili e i periodi di conservazione; e la piattaforma SIRIUS, che fornisce indicazioni pratiche su oltre ottanta prestatori, compresi esempi di identificatori validi e criteri di classificazione dei dati.

Fonte/riscontro: Reg. (UE) 2023/1543, art. 19; Reg. di esecuzione (UE) 2025/1550; Linee guida SIRIUS EPOC, sezioni E e L.

14. Rifiuto, esecuzione e sanzioni

Il sistema è pensato per l’adempimento diretto da parte del prestatore, ma prevede una fase di interlocuzione e, se necessario, di esecuzione tramite l’autorità dello Stato del destinatario. Fra le situazioni che possono impedire o condizionare l’esecuzione rientrano, a seconda dello strumento e della fase:

• ordine non emesso o convalidato da autorità competente ai sensi dell’art. 4;
• assenza delle condizioni richieste per la categoria di dato o per il reato;
• impossibilità materiale non imputabile al destinatario o errori manifesti nel certificato;
• dati non detenuti dal prestatore o per suo conto al momento rilevante;
• servizio fuori dall’ambito del regolamento;
• immunità o privilegi, comprese le tutele connesse alla libertà di stampa e di espressione;
• in situazioni eccezionali, rischio manifesto di violazione di un diritto fondamentale garantito dal TUE e dalla Carta.

I motivi di rifiuto di cui all’art. 12 non si applicano all’ordine di conservazione, avendo esso carattere temporaneo e funzionale al successivo ordine di produzione; in sede di esecuzione forzata operano i motivi tassativi dell’art. 16, paragrafo 5.

Se il destinatario non ottempera e le giustificazioni non sono accettate, l’autorità di emissione può chiedere all’autorità di esecuzione di dare esecuzione all’ordine, trasmettendo il provvedimento, il modulo dell’allegato III compilato dal destinatario e la documentazione pertinente, tradotti in una lingua accettata dallo Stato di esecuzione. L’autorità di esecuzione decide sul riconoscimento senza indebito ritardo e comunque entro cinque giorni lavorativi, ingiunge formalmente l’adempimento e informa il destinatario della possibilità di obiettare, delle sanzioni applicabili e del termine. Prima di negare il riconoscimento consulta l’autorità di emissione, che risponde entro cinque giorni lavorativi. I dati eventualmente acquisiti sono trasmessi all’autorità di emissione senza indebito ritardo.

Il regolamento richiede sanzioni effettive, proporzionate e dissuasive: per le violazioni rilevanti il tetto massimo della sanzione pecuniaria può arrivare al 2 per cento del fatturato mondiale totale annuo del prestatore relativo all’esercizio precedente, secondo la disciplina nazionale applicabile. Gli Stati membri conservano quindi una notevole autonomia nella determinazione concreta delle sanzioni.

Fonte/riscontro: Reg. (UE) 2023/1543, artt. 12 e 15-17; materiale formativo SSM, sezione sulla procedura di esecuzione.

15. Questioni aperte

Alcuni profili meritano attenzione anche sul piano operativo, in attesa dei primi arresti applicativi.

• Impugnazione dell’ordine di conservazione. L’art. 18 disciplina i soli mezzi di impugnazione avverso l’ordine di produzione, davanti a un organo giurisdizionale dello Stato di emissione, con legittimazione estesa anche al terzo i cui dati siano stati richiesti. In assenza di un obbligo informativo l’indagato può non venire a conoscenza della conservazione: in concreto sarà impugnabile il solo ordine di produzione, se e quando emesso. Resta aperta l’individuazione dei rimedi interni esperibili, con il richiamo, in via di ipotesi, al modello dell’opposizione avverso la perquisizione non seguita da sequestro.
• Ne bis in idem e principio di specialità. Per l’ordine di conservazione il regolamento non vi fa riferimento, essendo l’interlocuzione limitata all’autorità di emissione e al destinatario; per l’ordine di produzione i due profili rilevano invece nella valutazione dell’autorità di esecuzione.
• Compressione della valutazione del destinatario. I termini di dieci giorni e di otto ore, uniti al ruolo attivo di verifica attribuito al prestatore, riducono lo spazio per un vaglio effettivo di legittimità e proporzionalità: è ragionevole attendersi, nella fase iniziale, un numero non trascurabile di richieste di chiarimento ex allegato III.
• Disallineamenti lessicali con l’ordinamento interno. Il riferimento alla contumacia, istituto non più presente nel nostro codice di rito, impone di ricondurre la fattispecie alle categorie dell’assenza consapevole e non consapevole.
• Rapporto fra disponibilità giuridica e disponibilità tecnica del dato. Come esposto al § 6, la diffusione della cifratura end-to-end sposta parte del problema dal piano dei presupposti a quello dell’effettiva detenzione del dato da parte del prestatore.

16. Workflow operativi

16.1 Produzione

1. Classificare il dato: abbonati, sola identificazione, traffico, contenuto.
2. Verificare il presupposto di reato, la necessità, la proporzionalità e l’analogia con un caso interno.
3. Individuare l’autorità italiana competente all’emissione o alla convalida in base a categoria e fase.
4. Identificare il corretto stabilimento designato o rappresentante legale e la lingua accettata.
5. Compilare l’EPOC con identificatori precisi, intervallo temporale e dataset strettamente necessari.
6. Valutare se è dovuta la notifica ex art. 8 e, in caso positivo, coordinare certificato e notifica.
7. Trasmettere via sistema decentrato o, se tecnicamente necessario, tramite canale alternativo sicuro.
8. Monitorare i termini di 10 giorni o 8 ore e le eventuali richieste di chiarimento.
9. Alla ricezione: verificare provenienza, integrità, completezza e catena di custodia; registrare hash e checksum.
10. Gestire l’informazione all’interessato secondo le determinazioni dell’autorità competente.

16.2 Conservazione

1. Individuare con precisione i dati a rischio di cancellazione o modifica e motivare necessità e proporzionalità.
2. Emettere o far convalidare l’ordine secondo il d.lgs. 215/2025; nei casi urgenti distinguere emergenza UE e procedura accelerata.
3. Compilare l’EPOC-PR con destinatario, identificatore, categoria e intervallo temporale.
4. Trasmettere al destinatario corretto: non si applica la notifica ex art. 8, prevista per il solo EPO di traffico e contenuto.
5. Annotare la decorrenza del periodo di 60 giorni e programmare l’eventuale proroga di 30 giorni.
6. Prima della scadenza, se è stata emessa una successiva richiesta di produzione, inviare la conferma prevista dal regolamento.
7. Se la conservazione non è più necessaria, informare senza indebito ritardo il destinatario.

17. Checklist prima dell’invio

Obiettivo Ridurre richieste di chiarimento, ritardi, rifiuti e rischio di produzione di dati non pertinenti.

☐  Ho classificato correttamente la categoria di dato?

☐  L’autorità emittente o convalidante è quella corretta per quella categoria e per quella fase?

☐  Ho motivato necessità e proporzionalità sul caso concreto?

☐  Il reato soddisfa le condizioni dell’art. 5 o dell’art. 6 applicabile?

☐  Ho identificato il destinatario giuridicamente corretto?

☐  Sto usando una lingua accettata dal destinatario?

☐  Gli identificatori sono completi e verificati? È indicato il servizio specifico?

☐  Per gli IP: marca temporale e fuso orario sono precisi? È necessaria la porta sorgente?

☐  L’intervallo temporale è il più ristretto compatibile con l’obiettivo investigativo?

☐  Le sezioni E, F e G sono coerenti fra loro?

☐  Se uso JUDEX e chiedo categorie diverse, devo emettere certificati separati e collegarli?

☐  Per traffico e contenuto ho verificato l’obbligo di notifica ex art. 8?

☐  Ho selezionato correttamente il termine di 10 giorni o di 8 ore e documentato l’eventuale emergenza?

☐  Esiste un precedente ordine di conservazione? Quando scadono i 60 giorni?

☐  L’autorità indicata per ricevere i dati dispone di un canale sicuro e di una casella monitorata?

☐  Ho previsto come verificare autenticità e integrità e come documentare la ricezione?

☐  Ho definito chi gestirà eventuali chiarimenti del provider e le relative scadenze?

☐  È stato valutato il differimento dell’informativa all’interessato e ne sono stati documentati i motivi?

18. Quadro nazionale in evoluzione e riferimenti

Aggiornamento ad agosto 2026 I d.lgs. 215/2025 e 216/2025 sono pubblicati e in vigore. Un ulteriore schema di decreto legislativo per il completo adeguamento al regolamento (Atto del Governo n. 411) ha concluso l’esame parlamentare ed è stato posto all’esame definitivo del Consiglio dei ministri il 4 agosto 2026. Nelle fonti ufficiali consultate per questa guida non risulta ancora la pubblicazione in Gazzetta Ufficiale del testo definitivo: prima di usare il documento come base per procedure vincolanti occorre verificarne l’eventuale sopravvenuta pubblicazione.

Riferimenti normativi e documentali essenziali:

• Regolamento (UE) 2023/1543 del Parlamento europeo e del Consiglio, 12 luglio 2023, relativo agli ordini europei di produzione e di conservazione di prove elettroniche nei procedimenti penali.
• Direttiva (UE) 2023/1544 del Parlamento europeo e del Consiglio, 12 luglio 2023, sulla designazione di stabilimenti designati e sulla nomina di rappresentanti legali.
• Regolamento di esecuzione (UE) 2025/1550 della Commissione, 28 luglio 2025, specifiche tecniche del sistema informatico decentrato.
• D.Lgs. 30 dicembre 2025, n. 215 — autorità e procedure italiane.
• D.Lgs. 30 dicembre 2025, n. 216 — attuazione della direttiva 2023/1544.
• Linee guida SIRIUS per la compilazione dell’EPOC, giugno 2026, e corrispondenti linee guida per l’EPOC-PR, con la relativa nota informativa — strumento pratico non vincolante.
• D. Gambardella, «Ordine europeo di conservazione — regolamento (UE) 2023/1543 e direttiva (UE) 2023/1544», Scuola Superiore della Magistratura, formazione decentrata.
• Atto del Governo n. 411 — schema di completo adeguamento nazionale, da verificare nella versione eventualmente pubblicata in Gazzetta Ufficiale.

Conclusione

Il valore operativo del nuovo sistema non consiste soltanto nella riduzione dei tempi. Cambia il modello di acquisizione: l’autorità deve essere in grado di classificare correttamente il dato, scegliere l’autorità competente, individuare il destinatario europeo, compilare un certificato tecnicamente preciso e gestire notifiche, termini e integrità della prova. La qualità della richiesta giuridica e la qualità del dato tecnico diventano due facce della stessa attività.

Per gli uffici di polizia giudiziaria e per il personale informatico-forense la conseguenza pratica è chiara: l’identificatore deve essere utilizzabile dal prestatore, la finestra temporale deve essere precisa, la categoria del dato deve essere corretta e la ricezione deve essere documentata in modo da preservare autenticità, integrità e tracciabilità. Una richiesta giuridicamente valida ma tecnicamente ambigua può fallire; una richiesta tecnicamente precisa ma priva dei corretti presupposti giuridici è inutilizzabile.

Versione: agosto 2026. Documento di sintesi: non sostituisce la lettura dei testi normativi e delle linee guida, alle quali si rinvia per ogni aspetto di dettaglio.