{"id":15180,"date":"2026-08-22T14:44:43","date_gmt":"2026-08-22T12:44:43","guid":{"rendered":"https:\/\/www.fabriziogiancola.eu\/?p=15180"},"modified":"2026-08-22T14:44:43","modified_gmt":"2026-08-22T12:44:43","slug":"il-sistema-europeo-di-produzione-e-conservazione-delle-prove-elettroniche","status":"publish","type":"post","link":"https:\/\/www.fabriziogiancola.eu\/index.php\/2026\/08\/22\/il-sistema-europeo-di-produzione-e-conservazione-delle-prove-elettroniche\/","title":{"rendered":"Il sistema europeo di produzione e conservazione delle prove elettroniche"},"content":{"rendered":"\n

Regolamento (UE) 2023\/1543 \u2022 Direttiva (UE) 2023\/1544 \u2022 Quadro operativo italiano<\/strong><\/em><\/p>\n\n\n\n

Applicabile dal 18 agosto 2026 \u2014 focus operativo per autorit\u00e0 giudiziaria, polizia giudiziaria e personale tecnico-forense<\/em><\/p>\n\n\n\n

In sintesi<\/strong>
Dal 18 agosto 2026 l’autorit\u00e0 giudiziaria di uno Stato membro pu\u00f2 rivolgersi direttamente allo stabilimento designato o al rappresentante legale di un prestatore di servizi in un altro Stato membro per ottenere la conservazione (EPOC-PR) o la produzione (EPOC) di prove elettroniche, senza dover passare per l’assistenza giudiziaria o per l’ordine europeo di indagine. Quattro categorie di dati, con presupposti crescenti: abbonati, sola identificazione dell’utente, traffico, contenuto. Termini stringenti: 10 giorni per la produzione, 8 ore nei casi di emergenza; l’obbligo di conservazione dura 60 giorni, prorogabili di 30. Per traffico e contenuto: presupposti rafforzati quanto ad autorit\u00e0 competente e gravit\u00e0 del reato e, di regola, notifica all’autorit\u00e0 di esecuzione. La qualit\u00e0 giuridica della richiesta e la qualit\u00e0 tecnica dell’identificatore sono due facce della stessa attivit\u00e0: un certificato impreciso non produce risultati, un certificato privo dei presupposti produce dati inutilizzabili.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
Avvertenza<\/strong>
Il documento ha finalit\u00e0 informativa e operativa. Non sostituisce il testo del Regolamento, la normativa nazionale, le istruzioni dell’Autorit\u00e0 giudiziaria o i protocolli dell’ufficio. Le linee guida SIRIUS sono uno strumento pratico volontario: aiutano a compilare correttamente i certificati, ma non modificano la disciplina normativa.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

1. Oggetto, destinatari e fonti<\/strong><\/h1>\n\n\n\n

Il documento riepiloga il quadro normativo e le indicazioni operative sul pacchetto e-evidence, pienamente applicabile dal 18 agosto 2026, con specifica attenzione ai profili che interessano l’attivit\u00e0 di polizia giudiziaria e la gestione delle richieste ai prestatori di servizi: piattaforme di social networking e messaggistica, servizi di hosting, servizi di comunicazione elettronica, registri e registrar.<\/p>\n\n\n\n

\u00c8 destinato a un pubblico misto \u2014 magistrati, ufficiali e agenti di polizia giudiziaria, personale informatico-forense \u2014 e per questo alterna la ricostruzione dell’impianto normativo a indicazioni compilative e tecniche direttamente utilizzabili.<\/p>\n\n\n\n

\u00c8 costruito su tre corpi di materiali:<\/p>\n\n\n\n

    \n
  • il regolamento (UE) 2023\/1543 e la direttiva (UE) 2023\/1544, con il regolamento di esecuzione (UE) 2025\/1550 sulle specifiche tecniche del sistema informatico decentrato;<\/li>\n\n\n\n
  • la normativa italiana di adeguamento: d.lgs. 30 dicembre 2025, n. 215 e d.lgs. 30 dicembre 2025, n. 216;<\/li>\n\n\n\n
  • le linee guida SIRIUS per la compilazione del certificato di ordine europeo di produzione (EPOC), giugno 2026, elaborate nell’ambito del progetto SIRIUS di Eurojust ed Europol, e le corrispondenti linee guida per l’EPOC-PR.<\/li>\n<\/ul>\n\n\n\n

    Fonte\/riscontro: Reg. (UE) 2023\/1543; Dir. (UE) 2023\/1544; Reg. di esecuzione (UE) 2025\/1550; D.Lgs. 215 e 216 del 2025; Linee guida SIRIUS EPOC, giugno 2026.<\/em><\/p>\n\n\n\n

    2. Cosa cambia dal 18 agosto 2026<\/strong><\/h1>\n\n\n\n

    Il regolamento introduce un canale europeo specifico per ottenere o preservare prove elettroniche detenute da prestatori che offrono servizi nell’Unione. La novit\u00e0 principale \u00e8 la possibilit\u00e0, nei casi previsti, di rivolgere l’ordine direttamente allo stabilimento designato o al rappresentante legale del prestatore in un altro Stato membro, senza dover passare per i tradizionali meccanismi di assistenza giudiziaria.<\/p>\n\n\n\n

    Il fondamento \u00e8 l’articolo 82, paragrafo 1, TFUE e il principio del reciproco riconoscimento delle decisioni giudiziarie. La scelta dello strumento regolamentare \u2014 direttamente applicabile \u2014 in una materia tradizionalmente affidata alla cooperazione mediante direttive \u00e8 stata definita particolarmente incisiva, perch\u00e9 sposta il baricentro dell’interlocuzione dall’autorit\u00e0 centrale al prestatore di servizi, al quale \u00e8 attribuito un ruolo attivo di ricezione e verifica del certificato.<\/p>\n\n\n\n

    Gli elementi da fissare fin d’ora:<\/p>\n\n\n\n

      \n
    • due strumenti<\/strong>: ordine europeo di produzione, per ottenere i dati, e ordine europeo di conservazione, per congelarli in vista di una successiva richiesta di produzione;<\/li>\n\n\n\n
    • quattro categorie di dati<\/strong>: dati relativi agli abbonati, dati richiesti al solo scopo di identificare l’utente, dati sul traffico, dati relativi al contenuto;<\/li>\n\n\n\n
    • tempi stringenti<\/strong>: per l’EPOC, ordinariamente entro 10 giorni; nei casi di emergenza senza indebito ritardo e comunque entro 8 ore; per l’EPOC-PR conservazione senza indebito ritardo, con obbligo che cessa dopo 60 giorni salvo conferma di una successiva richiesta di produzione;<\/li>\n\n\n\n
    • notifica all’autorit\u00e0 di esecuzione<\/strong> per i dati di traffico non richiesti al solo scopo di identificare l’utente e per i dati di contenuto, salvo la specifica eccezione territoriale e residenziale dell’art. 8;<\/li>\n\n\n\n
    • trasmissione digitale<\/strong> attraverso il sistema informatico decentrato, individuato dalla documentazione SIRIUS come JUDEX, con soglia tecnica di 25 MB per singolo trasferimento;<\/li>\n\n\n\n
    • quadro italiano<\/strong>: il d.lgs. 215\/2025 individua autorit\u00e0 e procedure, il d.lgs. 216\/2025 attua la direttiva sugli stabilimenti designati e sui rappresentanti legali.<\/li>\n<\/ul>\n\n\n\n
      Data<\/strong><\/td>Adempimento<\/strong><\/td><\/tr><\/thead>
      18 agosto 2025<\/td>Termine per la notifica alla Commissione, ex art. 31, delle autorit\u00e0 competenti all’emissione, convalida, trasmissione, ricezione ed esecuzione degli ordini, nonch\u00e9 delle lingue accettate.<\/td><\/tr>
      18 febbraio 2026<\/td>Termine di recepimento della direttiva (UE) 2023\/1544 e di notifica delle disposizioni sanzionatorie.<\/td><\/tr>
      18 agosto 2026<\/td>Data di applicazione del regolamento (art. 34, par. 2) e termine entro il quale i prestatori che offrono servizi nell’Unione devono avere designato lo stabilimento o nominato il rappresentante legale. Per i prestatori che iniziano a operare dopo il 18 febbraio 2026 il termine \u00e8 di sei mesi dall’avvio dell’attivit\u00e0.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

      Fonte\/riscontro: Reg. (UE) 2023\/1543, artt. 31 e 34; Dir. (UE) 2023\/1544, art. 7; D.Lgs. 215 e 216 del 2025.<\/em><\/p>\n\n\n\n

      3. Lessico essenziale<\/strong><\/h1>\n\n\n\n
      Termine<\/strong><\/td>Significato operativo<\/strong><\/td><\/tr><\/thead>
      EPO<\/td>European Production Order: la decisione, ossia l’ordine europeo di produzione.<\/td><\/tr>
      EPOC<\/td>European Production Order Certificate: il certificato con cui l’ordine di produzione viene trasmesso al destinatario.<\/td><\/tr>
      Ordine europeo di conservazione<\/td>Decisione che impone di preservare dati specifici per evitarne rimozione, cancellazione o modifica, in vista di una successiva richiesta di produzione.<\/td><\/tr>
      EPOC-PR<\/td>European Preservation Order Certificate: il certificato con cui viene trasmesso l’ordine europeo di conservazione.<\/td><\/tr>
      Autorit\u00e0 di emissione<\/td>Autorit\u00e0 competente dello Stato che emette l’ordine.<\/td><\/tr>
      Autorit\u00e0 di convalida<\/td>Autorit\u00e0 giudiziaria che convalida l’ordine quando il regolamento o il diritto nazionale lo richiedono.<\/td><\/tr>
      Autorit\u00e0 di esecuzione<\/td>Autorit\u00e0 dello Stato del destinatario, coinvolta nei casi di notifica o nell’esecuzione coattiva.<\/td><\/tr>
      Destinatario<\/td>Di regola lo stabilimento designato o il rappresentante legale del prestatore di servizi.<\/td><\/tr>
      JUDEX<\/td>Interfaccia operativa del sistema informatico decentrato per la trasmissione di certificati, notifiche e dati.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
      EPO non significa EPOC<\/strong>
      Nella pratica \u00e8 facile usare impropriamente i due acronimi come sinonimi. L’ordine \u00e8 la decisione dell’autorit\u00e0; l’EPOC \u00e8 il certificato standardizzato trasmesso al destinatario. La stessa distinzione vale fra ordine europeo di conservazione ed EPOC-PR.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

      Fonte\/riscontro: Reg. (UE) 2023\/1543, artt. 3 e 9; Linee guida SIRIUS EPOC, sezioni A-M.<\/em><\/p>\n\n\n\n

      4. Ambito di applicazione e destinatari<\/strong><\/h1>\n\n\n\n

      Il sistema riguarda prove elettroniche in procedimenti penali e, nei casi previsti, l’esecuzione di pene o misure detentive. Il dato pu\u00f2 essere tecnicamente memorizzato anche fuori dallo Stato dell’autorit\u00e0 richiedente: ci\u00f2 che rileva \u00e8 che il prestatore offra servizi nell’Unione e che l’ordine sia indirizzato al soggetto giuridicamente designato a riceverlo.<\/p>\n\n\n\n

      Sono ricompresi i prestatori che forniscono nell’Unione una o pi\u00f9 delle seguenti categorie di servizi:<\/p>\n\n\n\n

        \n
      • servizi di comunicazione elettronica, compreso l’accesso a Internet;<\/li>\n\n\n\n
      • servizi di comunicazione interpersonale;<\/li>\n\n\n\n
      • servizi di nomi di dominio Internet e di numerazione IP, inclusi registri, registrar e servizi privacy o proxy connessi ai nomi di dominio;<\/li>\n\n\n\n
      • altri servizi della societ\u00e0 dell’informazione che consentono agli utenti di comunicare fra loro oppure che memorizzano o trattano dati per conto dell’utente, quando tale funzione \u00e8 una componente caratteristica del servizio: social network, marketplace, hosting.<\/li>\n<\/ul>\n\n\n\n

        Restano esclusi i servizi finanziari \u2014 bancari, creditizi, assicurativi, riassicurativi, previdenziali, relativi a titoli e fondi, di pagamento e di consulenza sugli investimenti \u2014 e i servizi offerti esclusivamente all’interno di un singolo Stato membro. L’esclusione non pregiudica la facolt\u00e0 delle autorit\u00e0 nazionali di rivolgersi con gli strumenti interni ai prestatori stabiliti o rappresentati nel proprio territorio: le acquisizioni puramente nazionali restano disciplinate dal diritto interno.<\/p>\n\n\n\n

        Il sistema e-evidence non va quindi letto come una competenza universale fondata sulla mera presenza del dato \u00abnel cloud\u00bb: \u00e8 una procedura europea con presupposti soggettivi, territoriali e procedurali propri. Ne consegue, per converso, che le principali piattaforme di social networking e di messaggistica con stabilimento o rappresentante legale nell’Unione rientrano a pieno titolo fra i destinatari degli ordini, nei limiti dei dati che effettivamente detengono.<\/p>\n\n\n\n

        Fonte\/riscontro: Reg. (UE) 2023\/1543, artt. 1-3 e 7; Dir. (UE) 2023\/1544, considerando 7-8 e art. 3; D.Lgs. 216\/2025, artt. 3-4.<\/em><\/p>\n\n\n\n

        5. Le quattro categorie di dati<\/strong><\/h1>\n\n\n\n

        La corretta classificazione del dato \u00e8 decisiva: incide sull’autorit\u00e0 competente, sulle condizioni di emissione, sulla necessit\u00e0 di notifica e sulle garanzie procedurali. Le definizioni sono all’art. 3, punti 9-12.<\/p>\n\n\n\n

        Categoria<\/strong><\/td>Esempi<\/strong><\/td>Impatto operativo<\/strong><\/td><\/tr><\/thead>
        1. Dati relativi agli abbonati<\/td>Nome, data di nascita, indirizzo postale o geografico, e-mail e telefono forniti, dati di fatturazione e pagamento, tipo e durata del servizio, dati tecnici e identificativi delle interfacce usate al momento della registrazione o dell’attivazione, dati di convalida dell’uso del servizio. Sono esclusi password e altri mezzi di autenticazione.<\/td>Categoria meno invasiva. Per l’EPO pu\u00f2 essere richiesta per tutti i reati, se ricorrono le altre condizioni.<\/td><\/tr>
        2. Dati richiesti al solo scopo di identificare l’utente<\/td>Indirizzo IP e, se necessario, porta sorgente e marche temporali pertinenti; identificativi tecnici equivalenti e informazioni connesse.<\/td>Servono esclusivamente ad attribuire un identificativo a un utente in una specifica indagine penale.<\/td><\/tr>
        3. Dati sul traffico<\/td>Fonte e destinatario di una comunicazione o di altra interazione, ubicazione del dispositivo, data, ora, durata, dimensioni, percorso, formato, protocollo e tipo di compressione, log-in e log-off.<\/td>Pi\u00f9 invasivi. Soglie pi\u00f9 rigorose per l’EPO; di regola notifica ex art. 8.<\/td><\/tr>
        4. Dati relativi al contenuto<\/td>Testo, voce, video, immagini, suoni e ogni altro dato digitale diverso dai dati di abbonato e dai dati sul traffico.<\/td>Massimo impatto sulla sfera privata; stesse condizioni rafforzate previste per i dati di traffico.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
        Nota tecnica: IP, porta sorgente e timestamp<\/strong>
        Nelle reti con NAT e CGNAT un indirizzo IP pubblico, da solo, pu\u00f2 non essere sufficiente a identificare univocamente l’utente. Quando disponibile e pertinente va indicata anche la porta sorgente, con un timestamp preciso e il fuso orario. Le linee guida SIRIUS insistono in modo particolare sulla precisione dell’identificatore e della marca temporale.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

        La qualificazione non \u00e8 puramente nominale: lo stesso elemento pu\u00f2 assumere categoria diversa a seconda del servizio e della funzione che vi svolge. Le linee guida segnalano, ad esempio, che una data di nascita \u2014 normalmente dato di abbonato \u2014 pu\u00f2 assumere natura di dato di contenuto quando esorbita dalla funzione identificativa dell’utente. Prima di compilare il certificato \u00e8 quindi opportuno verificare le informazioni del prestatore e le indicazioni SIRIUS.<\/p>\n\n\n\n

        Fonte\/riscontro: Reg. (UE) 2023\/1543, art. 3, punti 9-12; Linee guida SIRIUS EPOC, sezioni E-F.<\/em><\/p>\n\n\n\n

        6. Dati di contenuto e sistemi di cifratura<\/strong><\/h1>\n\n\n\n

        La possibilit\u00e0 giuridica di richiedere dati relativi al contenuto mediante un ordine europeo di produzione non implica che il prestatore sia tecnicamente in grado di fornirli in forma intelligibile.<\/p>\n\n\n\n

        Il regolamento affronta espressamente il rapporto fra e-evidence e cifratura. Il considerando 20 stabilisce che l’applicazione del regolamento non deve pregiudicare l’uso della cifratura da parte dei prestatori o degli utenti: i dati possono essere oggetto di produzione o conservazione anche quando sono cifrati, ma il regolamento non impone al prestatore alcun obbligo di decifrazione.<\/p>\n\n\n\n

        Principio operativo<\/strong>
        L’ordine europeo di produzione obbliga il prestatore a produrre i dati nella propria disponibilit\u00e0 secondo le condizioni previste dal regolamento, ma non gli attribuisce capacit\u00e0 tecniche o chiavi crittografiche che non possiede.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

        6.1 Trasporto, dati a riposo ed end-to-end encryption<\/strong><\/h2>\n\n\n\n

        Occorre distinguere tre situazioni tecnicamente diverse, che producono esiti opposti sul piano acquisitivo.<\/p>\n\n\n\n

        Sistema di protezione<\/strong><\/td>Disponibilit\u00e0 del contenuto per il prestatore<\/strong><\/td><\/tr><\/thead>
        Cifratura del trasporto (ad es. TLS)<\/td>Il traffico \u00e8 cifrato fra client e server, ma il prestatore riceve e tratta normalmente il contenuto in chiaro. Il contenuto eventualmente conservato pu\u00f2 quindi essere producibile.<\/td><\/tr>
        Cifratura dei dati con chiavi gestite dal prestatore<\/td>I dati possono essere memorizzati cifrati, ma il prestatore possiede o controlla le chiavi necessarie alla decifrazione e pu\u00f2 quindi, tecnicamente, produrli in forma intelligibile.<\/td><\/tr>
        End-to-end encryption (E2EE)<\/td>Le chiavi necessarie a leggere il contenuto sono disponibili sugli endpoint autorizzati e non, in linea di principio, al prestatore, che pu\u00f2 quindi non essere tecnicamente in grado di produrre il contenuto in chiaro.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

        Nel modello E2EE, in forma semplificata: dispositivo A \u2192 cifratura \u2192 infrastruttura del prestatore \u2192 dato cifrato \u2192 dispositivo B \u2192 decifrazione<\/strong>. Il prestatore svolge una funzione di trasporto e, eventualmente, di conservazione, ma non dispone necessariamente delle chiavi che consentono di ricostruire il messaggio originale.<\/p>\n\n\n\n

        6.2 Esempio: Messenger<\/strong><\/h2>\n\n\n\n

        Meta ha introdotto la cifratura end-to-end di default per le conversazioni personali e le chiamate di Messenger. Secondo la documentazione tecnica del prestatore, il contenuto \u00e8 protetto dal momento in cui lascia il dispositivo del mittente fino a quando raggiunge quello del destinatario e neppure Meta pu\u00f2 vedere quanto inviato o comunicato, salvo casi specifici, ad esempio quando l’utente decide di segnalare un messaggio alla piattaforma.<\/p>\n\n\n\n

        Un EPOC che richieda i messaggi scambiati fra due account Messenger in un determinato intervallo temporale pu\u00f2 quindi incontrare un limite tecnico: se il contenuto \u00e8 protetto mediante E2EE e Meta non ne possiede una copia decifrabile, l’ordine non determina la disponibilit\u00e0 della chiave n\u00e9 impone al prestatore di realizzare una procedura di decrittazione.<\/p>\n\n\n\n

        6.3 Il caso particolare di Instagram<\/strong><\/h2>\n\n\n\n

        La situazione va verificata servizio per servizio e nel momento storico cui si riferiscono i dati. Instagram aveva introdotto una modalit\u00e0 E2EE opzionale per i messaggi diretti, ma la funzione \u00e8 stata eliminata a partire dall’8 maggio 2026. I nuovi direct message non sono quindi pi\u00f9 protetti da quella specifica forma di cifratura, il che rende tecnicamente possibile al prestatore accedere ai contenuti trattati dalla propria infrastruttura, fermo restando che la concreta produzione dipende dall’effettiva disponibilit\u00e0, dalla conservazione e dalle caratteristiche del dato richiesto.<\/p>\n\n\n\n

        Per acquisizioni relative a periodi precedenti non deve invece essere presunto automaticamente che ogni conversazione sia disponibile in chiaro: occorre verificare se la specifica conversazione fosse stata originariamente protetta tramite E2EE e quale materiale il prestatore conservi ancora.<\/p>\n\n\n\n

        6.4 Cosa resta acquisibile quando il contenuto non \u00e8 decifrabile<\/strong><\/h2>\n\n\n\n

        In presenza di E2EE \u00e8 opportuno distinguere il contenuto della comunicazione dalle informazioni relative alla comunicazione. Il prestatore pu\u00f2 continuare a detenere, in funzione delle caratteristiche del servizio e dei tempi di conservazione, dati dell’account, identificatori, indirizzi IP, marche temporali, informazioni su sessioni e dispositivi e altri dati di traffico o di contesto. Possono inoltre esistere contenuti divenuti separatamente disponibili al prestatore: la stessa Meta precisa che, quando un utente segnala un messaggio, il contenuto interessato pu\u00f2 essere reso accessibile alla piattaforma ai fini della gestione della segnalazione.<\/p>\n\n\n\n

        Principio da ricordare<\/strong>
        La cifratura non sottrae automaticamente il dato all’ambito dell’ordine europeo di produzione, ma l’EPOC non costituisce una chiave di decifrazione. La concreta possibilit\u00e0 di ottenere il contenuto dipende dall’architettura del servizio e dalle effettive capacit\u00e0 tecniche del prestatore.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

        Fonte\/riscontro: Reg. (UE) 2023\/1543, considerando 20 e art. 5; documentazione tecnica dei prestatori citati.<\/em><\/p>\n\n\n\n

        7. L’ordine europeo di produzione (EPO \/ EPOC)<\/strong><\/h1>\n\n\n\n

        L’ordine europeo di produzione consente di ottenere direttamente dal destinatario i dati gi\u00e0 conservati dal prestatore o per suo conto: messaggi di posta elettronica, messaggi scambiati tramite applicazioni, informazioni utili all’identificazione del responsabile. Deve essere necessario e proporzionato e, in linea generale, deve poter essere disposto alle stesse condizioni in un caso interno analogo.<\/p>\n\n\n\n

        7.1 Condizioni per categoria di dato<\/strong><\/h2>\n\n\n\n
        Dati richiesti<\/strong><\/td>Condizione relativa al reato<\/strong><\/td>Notifica art. 8<\/strong><\/td>Termine del destinatario<\/strong><\/td><\/tr><\/thead>
        Abbonati<\/td>Tutti i reati, nel rispetto delle altre condizioni del regolamento.<\/td>No<\/td>Prima possibile, massimo 10 giorni.<\/td><\/tr>
        Solo identificazione dell’utente<\/td>Tutti i reati, nel rispetto delle altre condizioni.<\/td>No<\/td>Prima possibile, massimo 10 giorni.<\/td><\/tr>
        Traffico non richiesto ai soli fini identificativi<\/td>Reato punibile nello Stato di emissione con pena detentiva massima di almeno tre anni, oppure specifiche categorie di reati indicate dal regolamento.<\/td>S\u00ec, salvo eccezione<\/td>Massimo 10 giorni; 8 ore in emergenza.<\/td><\/tr>
        Contenuto<\/td>Come per i dati sul traffico.<\/td>S\u00ec, salvo eccezione<\/td>Massimo 10 giorni; 8 ore in emergenza.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

        Oltre alla soglia dei tre anni, per traffico e contenuto il regolamento ammette specifiche fattispecie, quando il reato sia commesso in tutto o in parte mediante un sistema informatico:<\/p>\n\n\n\n

          \n
        • frodi e falsificazioni di mezzi di pagamento diversi dai contanti, artt. 3-8 della direttiva (UE) 2019\/713;<\/li>\n\n\n\n
        • abuso e sfruttamento sessuale dei minori e pornografia minorile, artt. 3-7 della direttiva 2011\/93\/UE;<\/li>\n\n\n\n
        • attacchi contro i sistemi di informazione, artt. 3-8 della direttiva 2013\/40\/UE;<\/li>\n\n\n\n
        • reati di terrorismo e connessi, artt. 3-12 e 14 della direttiva (UE) 2017\/541.<\/li>\n<\/ul>\n\n\n\n

          La verifica va sempre svolta sul caso concreto, secondo i presupposti dettagliati dall’art. 5.<\/p>\n\n\n\n

          7.2 Termini<\/strong><\/h2>\n\n\n\n

          Il destinatario trasmette i dati il prima possibile e comunque entro 10 giorni dalla ricezione dell’EPOC. Nel caso di emergenza ai sensi del regolamento il termine \u00e8 senza indebito ritardo e comunque entro 8 ore.<\/p>\n\n\n\n

          Quando l’EPOC deve essere notificato all’autorit\u00e0 di esecuzione, la produzione resta di norma sospesa fino alla scadenza dei 10 giorni, salvo che l’autorit\u00e0 di esecuzione confermi prima che non far\u00e0 valere alcun motivo di rifiuto. Nel frattempo il destinatario deve comunque agire tempestivamente per preservare i dati richiesti, a meno che le informazioni contenute nel certificato non consentano di identificarli.<\/p>\n\n\n\n

          7.3 Come impostare una richiesta efficace<\/strong><\/h2>\n\n\n\n
            \n
          • Indicare almeno un identificatore preciso; se necessario combinarne pi\u00f9 di uno.<\/li>\n\n\n\n
          • Limitare l’intervallo temporale e il perimetro dell’account ai dati realmente necessari.<\/li>\n\n\n\n
          • Evitare formule come \u00abtutti i dati\u00bb o \u00abtutti i contenuti\u00bb.<\/li>\n\n\n\n
          • Mantenere coerenza fra identificatori (sezione E), categorie e dataset richiesti (sezione F), presupposti (sezione G) e date.<\/li>\n\n\n\n
          • Descrivere necessit\u00e0 e proporzionalit\u00e0 collegando i dati richiesti al fatto, alla fase investigativa e al valore probatorio atteso.<\/li>\n<\/ul>\n\n\n\n
            Regola pratica SIRIUS \/ JUDEX<\/strong> Nel workflow JUDEX i dati relativi agli abbonati e alla sola identificazione non vanno combinati nello stesso EPOC con traffico e contenuto. Se servono entrambi i gruppi occorre predisporre certificati distinti e collegarli nella sezione relativa alle richieste precedenti o correlate.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

            Fonte\/riscontro: Reg. (UE) 2023\/1543, artt. 5, 8 e 10; Linee guida SIRIUS EPOC, sezioni C, E, F, G, K.<\/em><\/p>\n\n\n\n

            8. L’ordine europeo di conservazione (EPOC-PR)<\/strong><\/h1>\n\n\n\n

            L’ordine europeo di conservazione impedisce che dati specifici vengano rimossi, cancellati o modificati mentre si prepara una successiva richiesta di produzione, che potr\u00e0 avvenire \u2014 secondo i presupposti applicabili \u2014 tramite assistenza giudiziaria, ordine europeo di indagine oppure ordine europeo di produzione. \u00c8 strumento funzionale e temporaneo, non acquisitivo. Pu\u00f2 riguardare qualsiasi categoria di dati e, se sussistono le condizioni, pu\u00f2 essere emesso per tutti i reati.<\/p>\n\n\n\n

            8.1 Condizioni e limiti di emissione<\/strong><\/h2>\n\n\n\n

            L’ordine deve essere necessario e proporzionato al fine di impedire rimozione, cancellazione o modifica dei dati, tenendo conto dei diritti della persona sottoposta a indagini o imputata. Pu\u00f2 essere emesso per tutti i reati, ove sarebbe stato ammissibile in un caso interno analogo, ovvero per l’esecuzione di una pena o misura di sicurezza detentiva di almeno quattro mesi, irrogata con decisione non pronunciata in contumacia, nei confronti di condannato latitante.<\/p>\n\n\n\n

            Dalla formulazione dell’art. 6, paragrafo 3, discendono alcuni limiti di rilievo pratico:<\/p>\n\n\n\n

              \n
            • non pu\u00f2 essere emesso per dare esecuzione a una misura cautelare personale;<\/li>\n\n\n\n
            • non pu\u00f2 essere emesso per acquisire una notizia di reato, presupponendo un procedimento penale gi\u00e0 instaurato;<\/li>\n\n\n\n
            • non pu\u00f2 essere emesso nell’ambito di procedimenti civili, amministrativi o tributari;<\/li>\n\n\n\n
            • non pu\u00f2 essere emesso in esecuzione di un ordine europeo di indagine passivo;<\/li>\n\n\n\n
            • non pu\u00f2 essere emesso per l’esecuzione di condanna a pena detentiva superiore a quattro mesi quando la sentenza sia stata pronunciata in contumacia; sul punto si registra un disallineamento con il nostro ordinamento, che conosce le sole figure dell’assenza consapevole e dell’assenza non consapevole.<\/li>\n<\/ul>\n\n\n\n

              Non operano invece i limiti di gravit\u00e0 previsti dall’art. 5, paragrafo 4, per l’ordine di produzione.<\/p>\n\n\n\n

              8.2 Contenuto minimo da curare<\/strong><\/h2>\n\n\n\n

              Ai sensi dell’art. 6, paragrafo 4, l’ordine indica:<\/p>\n\n\n\n

                \n
              • autorit\u00e0 di emissione e, se applicabile, autorit\u00e0 di convalida;<\/li>\n\n\n\n
              • destinatario corretto;<\/li>\n\n\n\n
              • utente o altro identificativo univoco necessario a individuare i dati;<\/li>\n\n\n\n
              • categoria di dati e, se opportuno, intervallo temporale;<\/li>\n\n\n\n
              • disposizioni penali applicabili dello Stato di emissione;<\/li>\n\n\n\n
              • motivazione di necessit\u00e0 e proporzionalit\u00e0, da redigere sul caso concreto e non con formule di stile: \u00e8 l’elemento pi\u00f9 frequentemente trascurato.<\/li>\n<\/ul>\n\n\n\n

                8.3 Esecuzione, durata e interlocuzione con il destinatario<\/strong><\/h2>\n\n\n\n

                Ricevuto l’EPOC-PR, il destinatario conserva i dati senza indebito ritardo. L’obbligo cessa dopo 60 giorni, salvo che l’autorit\u00e0 di emissione confermi, con il modulo di cui all’allegato V, l’avvenuta emissione di una successiva richiesta di produzione; entro i 60 giorni l’autorit\u00e0 pu\u00f2 prorogare l’obbligo di ulteriori 30 giorni con il modulo dell’allegato VI. Confermata la richiesta di produzione, i dati restano conservati per tutto il tempo necessario. Venuta meno la necessit\u00e0, l’autorit\u00e0 informa senza indebito ritardo il destinatario.<\/p>\n\n\n\n

                Il destinatario utilizza il modulo dell’allegato III per segnalare: possibili interferenze con immunit\u00e0 o privilegi o con le norme su libert\u00e0 di stampa ed espressione; l’impossibilit\u00e0 di eseguire per certificato incompleto, viziato da errori manifesti o insufficiente, chiedendo chiarimenti; l’impossibilit\u00e0 materiale non imputabile; ogni altro motivo di mancata conservazione.<\/p>\n\n\n\n

                Termine da presidiare<\/strong>
                L’autorit\u00e0 di emissione deve reagire entro cinque giorni dalla ricezione della richiesta di chiarimenti: decorso inutilmente tale termine, il prestatore \u00e8 esonerato dagli obblighi di conservazione. Va quindi individuato fin dall’inizio chi presidia la casella e gestisce l’interlocuzione con il provider.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                La notifica preventiva all’autorit\u00e0 di esecuzione prevista dall’art. 8 riguarda il solo ordine di produzione di traffico e contenuto e non l’EPOC-PR: ci\u00f2 non esclude il coinvolgimento successivo dell’autorit\u00e0 di esecuzione in caso di mancata ottemperanza.<\/p>\n\n\n\n

                Fonte\/riscontro: Reg. (UE) 2023\/1543, artt. 6, 9 e 11; materiale formativo SSM sull’EPOC-PR.<\/em><\/p>\n\n\n\n

                9. Autorit\u00e0 italiane e procedure<\/strong><\/h1>\n\n\n\n

                Il d.lgs. 30 dicembre 2025, n. 215, in vigore dal 30 gennaio 2026, individua le autorit\u00e0 italiane competenti e disciplina emissione, ricezione, esecuzione e riesame degli ordini. Per il lavoro operativo \u00e8 essenziale distinguere categoria di dato e fase processuale.<\/p>\n\n\n\n

                9.1 Emissione in Italia<\/strong><\/h2>\n\n\n\n
                Scenario<\/strong><\/td>Autorit\u00e0 competente<\/strong><\/td><\/tr><\/thead>
                EPO nel procedimento penale<\/td>Pubblico ministero e giudice che procede, nell’ambito delle rispettive attribuzioni.<\/td><\/tr>
                EPO prima dell’esercizio dell’azione penale \u2014 traffico e contenuto<\/td>Giudice per le indagini preliminari.<\/td><\/tr>
                EPO prima dell’esercizio dell’azione penale \u2014 abbonati e sola identificazione<\/td>Pubblico ministero.<\/td><\/tr>
                EPO in emergenza, prima dell’intervento del PM \u2014 soli dati relativi all’abbonato<\/td>Ufficiale di polizia giudiziaria; trasmissione al PM entro 48 ore e convalida del PM nelle 48 ore successive.<\/td><\/tr>
                Ordine europeo di conservazione<\/td>Pubblico ministero e giudice che procede; prima dell’esercizio dell’azione penale provvede il PM.<\/td><\/tr>
                Conservazione in emergenza, prima dell’intervento del PM<\/td>Ufficiale di polizia giudiziaria; trasmissione al PM entro 48 ore e convalida nelle 48 ore successive.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                9.2 Autorit\u00e0 di esecuzione in Italia<\/strong><\/h2>\n\n\n\n

                Quando lo stabilimento designato o il rappresentante legale destinatario \u00e8 stabilito o risiede in Italia, sono autorit\u00e0 di esecuzione il Procuratore della Repubblica presso il Tribunale del capoluogo del distretto competente e il giudice per le indagini preliminari presso lo stesso Tribunale, secondo la ripartizione prevista dal decreto.<\/p>\n\n\n\n

                  \n
                • Il Procuratore della Repubblica \u00e8 competente, fra l’altro, per la notifica ex art. 8 e per le funzioni previste dagli artt. 10, 11, 12 e 17 del regolamento.<\/li>\n\n\n\n
                • In caso di richiesta di esecuzione, il Procuratore riconosce l’ordine salvo motivi di rifiuto.<\/li>\n\n\n\n
                • Per gli EPO relativi ad abbonati e sola identificazione e per gli ordini di conservazione, il Procuratore dispone l’esecuzione dopo il riconoscimento.<\/li>\n\n\n\n
                • Per gli EPO relativi a traffico e contenuto, dopo il riconoscimento il Procuratore trasmette al GIP, che autorizza l’esecuzione verificandone le condizioni.<\/li>\n<\/ul>\n\n\n\n

                  Fonte\/riscontro: D.Lgs. 30 dicembre 2025, n. 215, artt. 2, 3 e 6.<\/em><\/p>\n\n\n\n

                  10. Emergenza UE e procedura accelerata italiana<\/strong><\/h1>\n\n\n\n

                  Nel linguaggio operativo \u00e8 importante non sovrapporre due istituti differenti.<\/p>\n\n\n\n

                  Istituto<\/strong><\/td>Presupposto<\/strong><\/td>Effetto principale<\/strong><\/td><\/tr><\/thead>
                  Caso di emergenza \u2014 regolamento UE<\/td>Minaccia imminente alla vita, all’integrit\u00e0 fisica o alla sicurezza di una persona, oppure a un’infrastruttura critica il cui danneggiamento o distruzione comporterebbe una minaccia imminente per la vita, l’integrit\u00e0 fisica o la sicurezza di una persona.<\/td>Per l’EPOC: produzione entro 8 ore; possibilit\u00e0 di regole eccezionali sulla convalida nei casi previsti, con richiesta di convalida ex post entro 48 ore.<\/td><\/tr>
                  Procedura accelerata \u2014 d.lgs. 215\/2025, art. 4<\/td>Particolari ragioni di urgenza nel corso delle indagini preliminari.<\/td>Modifica l’autorit\u00e0 che pu\u00f2 emettere e impone previa convalida secondo le finestre di 24 e 48 ore; non coincide automaticamente con la definizione UE di emergenza.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                  Nella procedura accelerata italiana:<\/p>\n\n\n\n

                    \n
                  • traffico e contenuto: EPO emesso dal PM, efficacia subordinata alla previa convalida del GIP; trasmissione entro 24 ore, decisione nelle successive 48 ore;<\/li>\n\n\n\n
                  • abbonati e sola identificazione: EPO emesso da ufficiali di polizia giudiziaria, efficacia subordinata alla previa convalida del PM, con le stesse finestre di 24 e 48 ore;<\/li>\n\n\n\n
                  • conservazione: ordine emesso da ufficiali di polizia giudiziaria, efficacia subordinata alla previa convalida del PM, con le stesse finestre.<\/li>\n<\/ul>\n\n\n\n
                    Attenzione operativa<\/strong>
                    Non usare il termine \u00abemergenza<\/em>\u00bb come sinonimo generico di urgenza. L’emergenza del regolamento ha una definizione tassativa e produce conseguenze specifiche, fra cui il termine di 8 ore. La procedura accelerata italiana ha presupposti e sequenze di convalida propri.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                    Fonte\/riscontro: Reg. (UE) 2023\/1543, art. 3, punto 18, artt. 4 e 10; D.Lgs. 215\/2025, art. 4.<\/em><\/p>\n\n\n\n

                    11. Notifica, informazione dell’interessato e riservatezza<\/strong><\/h1>\n\n\n\n

                    11.1 Notifica all’autorit\u00e0 di esecuzione<\/strong><\/h2>\n\n\n\n

                    Per l’EPOC relativo a dati sul traffico non richiesti esclusivamente ai fini dell’identificazione dell’utente o a dati di contenuto, l’autorit\u00e0 di emissione deve di regola notificare l’autorit\u00e0 di esecuzione contestualmente alla trasmissione al destinatario.<\/p>\n\n\n\n

                    La notifica pu\u00f2 essere omessa quando vi siano motivi ragionevoli per ritenere che, al momento dell’emissione, siano soddisfatte entrambe le condizioni seguenti: il reato \u00e8 stato commesso, \u00e8 in corso di commissione o \u00e8 probabile che venga commesso nello Stato di emissione; la persona i cui dati sono richiesti risiede nello Stato di emissione. La valutazione va compiuta con attenzione, perch\u00e9 una notifica non necessaria ritarda l’esecuzione, mentre l’omissione di una notifica dovuta espone l’atto a contestazione.<\/p>\n\n\n\n

                    11.2 Informazione della persona interessata<\/strong><\/h2>\n\n\n\n

                    Per i dati prodotti in forza di un EPO l’obbligo di informare la persona grava sull’autorit\u00e0 di emissione, non sul prestatore. L’informazione pu\u00f2 essere ritardata, limitata o omessa nei casi consentiti, quando ci\u00f2 sia necessario e proporzionato per non pregiudicare indagini o procedimenti, il perseguimento dei reati, la sicurezza pubblica o nazionale, oppure i diritti e le libert\u00e0 altrui. L’ordine di conservazione non comporta di per s\u00e9 l’obbligo di informazione previsto dall’art. 13 per la produzione.<\/p>\n\n\n\n

                    11.3 Riservatezza<\/strong><\/h2>\n\n\n\n

                    Destinatari e prestatori adottano misure operative e tecniche all’avanguardia per garantire riservatezza, segretezza e integrit\u00e0 del certificato e dei dati prodotti o conservati. Il prestatore non deve informare autonomamente l’utente dell’esistenza della richiesta.<\/p>\n\n\n\n

                    Fonte\/riscontro: Reg. (UE) 2023\/1543, artt. 8 e 13; Linee guida SIRIUS EPOC, sezioni H e K.<\/em><\/p>\n\n\n\n

                    12. La compilazione del certificato: le sezioni A-M<\/strong><\/h1>\n\n\n\n

                    Le linee guida SIRIUS seguono l’impaginazione dell’allegato I al regolamento e si concentrano su tre obiettivi: chiarezza e completezza delle informazioni, coerenza fra le sezioni, prevenzione degli errori che generano ritardi o rifiuti. Alcune regole valgono per l’intero certificato:<\/p>\n\n\n\n

                      \n
                    • di norma la trasmissione avviene tramite JUDEX; i mezzi alternativi e, a maggior ragione, la trasmissione cartacea sono riservati ai casi in cui il sistema non sia utilizzabile;<\/li>\n\n\n\n
                    • il certificato va compilato in una lingua accettata dal destinatario;<\/li>\n\n\n\n
                    • le sezioni non applicabili si lasciano in bianco, o si indica \u00abN\/A\u00bb sui moduli cartacei, senza sopprimerle quando la trasmissione non avviene tramite JUDEX;<\/li>\n\n\n\n
                    • i dati richiesti vanno descritti in modo chiaro, preciso e inequivocabile; nei campi di testo libero conviene usare periodi brevi e lineari, perch\u00e9 la traduzione automatica introduce imprecisioni proprio nella descrizione dei dati.<\/li>\n<\/ul>\n\n\n\n
                      Sezione<\/strong><\/td>Punti di attenzione<\/strong><\/td><\/tr><\/thead>
                      A \u2014 Autorit\u00e0 di emissione e di convalida<\/td>Sempre compilata. Indicare solo Stato membro, autorit\u00e0 di emissione e, se del caso, autorit\u00e0 di convalida; i recapiti vanno nelle sezioni I e J, con cui deve esservi piena coerenza. Il numero di fascicolo non \u00e8 obbligatorio ma \u00e8 fortemente raccomandato: collega l’ordine al procedimento ed evita duplicazioni.<\/td><\/tr>
                      B \u2014 Destinatario<\/td>Sempre compilata. Indicare denominazione completa e recapiti dello stabilimento designato o del rappresentante legale, attingendo alla banca dati collegata a JUDEX. L’indirizzamento a un destinatario diverso \u00e8 ammesso solo in caso di emergenza e quando lo stabilimento o il rappresentante non abbiano reagito nei termini o non siano stati designati.<\/td><\/tr>
                      C \u2014 Termini<\/td>Selezionare una sola opzione. In mancanza si applica il termine ordinario di 10 giorni. Il termine di 8 ore va giustificato nel campo delle informazioni aggiuntive. Eventuali scadenze procedurali interne \u2014 custodia cautelare, udienza imminente, ordine di conservazione in scadenza, prescrizione \u2014 non sostituiscono i termini di legge ma orientano le priorit\u00e0 del destinatario.<\/td><\/tr>
                      D \u2014 Collegamento a richieste precedenti<\/td>Da compilare sempre quando esiste un precedente ordine di conservazione o di produzione sugli stessi dati, indicando autorit\u00e0, numero di fascicolo, date di emissione e trasmissione, destinatario e stato della richiesta. Va segnalato se i dati conservati sono prossimi alla scadenza dei 60 giorni e se sono stati emessi certificati paralleli.<\/td><\/tr>
                      E \u2014 Identificazione dei dati<\/td>Sempre compilata, con almeno un identificatore. Indirizzi IP completi con marca temporale e fuso orario, numeri in formato internazionale, indirizzi e-mail completi, IMEI, MAC, nomi utente e identificativi di account. Va sempre specificato il servizio interessato, essenziale per i prestatori che ne offrono pi\u00f9 di uno. Intervalli temporali con data di inizio e fine nel formato GG\/MM\/AAAA, ora e fuso orario.<\/td><\/tr>
                      F \u2014 Prove elettroniche da produrre<\/td>Sempre compilata, con almeno una categoria e la corrispondente sottocategoria. Vanno selezionate solo le caselle strettamente necessarie. In JUDEX i dati di abbonato e di sola identificazione non possono essere combinati in un unico certificato con traffico e contenuto: occorrono certificati distinti, collegati nella sezione D. Con pi\u00f9 utenti o account la sezione va compilata separatamente per ciascuno, in corrispondenza degli identificatori della sezione E.<\/td><\/tr>
                      G \u2014 Condizioni sottostanti<\/td>Sempre compilata. Indicare natura e qualificazione giuridica del reato con riferimenti normativi precisi e pena edittale, evitando la riproduzione integrale delle disposizioni. La parte sulle soglie va compilata solo per traffico non identificativo e contenuto. Qui si individua anche il ruolo del prestatore: di regola l’ordine va rivolto al titolare del trattamento e solo in via eccezionale al responsabile, quando il titolare non sia identificabile nonostante ragionevoli sforzi o quando rivolgersi ad esso pregiudicherebbe l’indagine; la motivazione va conservata in atti.<\/td><\/tr>
                      H \u2014 Informazioni all’utente<\/td>Il destinatario deve comunque astenersi dall’informare l’interessato: l’informativa spetta all’autorit\u00e0 di emissione. La sezione va compilata solo per differire l’informativa, selezionando i motivi applicabili. Con pi\u00f9 certificati sullo stesso utente occorre coerenza fra tutti gli ordini.<\/td><\/tr>
                      I e J \u2014 Autorit\u00e0 di emissione e di convalida<\/td>Sezione I sempre compilata; sezione J solo in caso di convalida. Le informazioni devono coincidere con la sezione A.<\/td><\/tr>
                      K \u2014 Autorit\u00e0 di esecuzione notificata<\/td>Da compilare solo se la notifica \u00e8 dovuta; in tal caso va compilata anche la sezione M. Indicare recapiti raggiungibili, possibilmente attivi 24 ore su 24, e utilizzare esclusivamente indirizzi istituzionali.<\/td><\/tr>
                      L \u2014 Trasferimento dei dati<\/td>Da compilare quando i dati devono essere trasmessi ad autorit\u00e0 diversa da quella emittente o quando non \u00e8 utilizzabile JUDEX. Indicare una casella effettivamente presidiata e capiente, perch\u00e9 i prestatori impiegano di norma link sicuri a scadenza.<\/td><\/tr>
                      M \u2014 Informazioni per la sola autorit\u00e0 di esecuzione<\/td>Da non trasmettere al destinatario. Contiene la motivazione su necessit\u00e0 e proporzionalit\u00e0, la sintesi del fatto, la verifica della doppia incriminazione rispetto all’elenco dei reati e gli elementi utili a valutare eventuali motivi di rifiuto: immunit\u00e0 e privilegi, libert\u00e0 di stampa e di espressione, diritti fondamentali, ne bis in idem.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
                      Errori ricorrenti da evitare<\/strong>
                      Richieste generiche o sovradimensionate per oggetto e arco temporale, che espongono a contestazioni e rallentano l’esecuzione. Incoerenze fra le sezioni A, I e J, oppure fra gli identificatori della sezione E e le categorie di dati della sezione F. Omessa indicazione del servizio specifico presso prestatori che ne offrono pi\u00f9 di uno. Marche temporali prive di fuso orario e date in formato non uniforme. Motivazione su necessit\u00e0 e proporzionalit\u00e0 redatta con formule di stile anzich\u00e9 sul caso concreto.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                      Fonte\/riscontro: Linee guida SIRIUS EPOC, giugno 2026, sezioni A-M; Reg. (UE) 2023\/1543, allegato I.<\/em><\/p>\n\n\n\n

                      13. Trasmissione digitale, JUDEX e aspetti tecnico-forensi<\/strong><\/h1>\n\n\n\n

                      Il regolamento prevede per le comunicazioni scritte un sistema informatico decentrato sicuro e affidabile. Il regolamento di esecuzione (UE) 2025\/1550 ne definisce le specifiche tecniche e prevede l’interoperabilit\u00e0 tramite punti di accesso e-CODEX; le linee guida SIRIUS utilizzano il nome JUDEX per l’interfaccia operativa e ne raccomandano l’uso come canale ordinario.<\/p>\n\n\n\n

                      Per la trasmissione delle prove elettroniche tramite il sistema decentrato \u00e8 fissata una soglia di 25 MB per singolo trasferimento. Quando il materiale supera tale limite, quando il sistema non \u00e8 disponibile o quando esigenze tecniche o forensi lo richiedono, pu\u00f2 essere necessario un mezzo alternativo, che deve comunque preservare sicurezza, affidabilit\u00e0, autenticit\u00e0 e integrit\u00e0 e consentire al destinatario di verificarle.<\/p>\n\n\n\n

                      Fra i mezzi alternativi le linee guida indicano servizi di recapito elettronico qualificati, posta elettronica sicura, portali dedicati istituiti da alcuni prestatori, archiviazione cloud sicura e protocolli di trasferimento cifrati; in via residuale la consegna fisica su supporti cifrati o, per il materiale cartaceo, attraverso canali sicuri. Quando \u00e8 richiesta la cifratura occorre specificarlo e fornire gli elementi necessari, ad esempio il certificato pubblico X.509, verificando la compatibilit\u00e0 con i sistemi dell’autorit\u00e0 ricevente.<\/p>\n\n\n\n

                      13.1 Accorgimenti tecnici consigliati<\/strong><\/h2>\n\n\n\n
                        \n
                      • Usare identificatori completi e non ambigui: IPv4 e IPv6, intervalli, indirizzi e-mail, numero di telefono in formato internazionale, IMEI, MAC, username e account ID.<\/li>\n\n\n\n
                      • Per IP dinamici e reti NAT: indicare data, ora, fuso orario e, quando necessario, porta sorgente.<\/li>\n\n\n\n
                      • Specificare il formato richiesto solo quando realmente necessario, evitando di imporre conversioni inutili al prestatore.<\/li>\n\n\n\n
                      • Predisporre una casella istituzionale attiva e monitorata: molti prestatori restituiscono link sicuri con scadenza o autenticazione.<\/li>\n\n\n\n
                      • Quando si usa un canale alternativo, documentare il mezzo, le modalit\u00e0 di autenticazione e l’eventuale scambio separato di password e chiavi.<\/li>\n\n\n\n
                      • Verificare e registrare checksum e hash forniti dal prestatore; se non forniti, calcolarli all’acquisizione documentando algoritmo, data, ora e operatore.<\/li>\n\n\n\n
                      • Conservare il pacchetto originale ricevuto dal prestatore, inclusi metadati, manifest, header e documentazione di accompagnamento, lavorando su copie forensi quando appropriato.<\/li>\n<\/ul>\n\n\n\n
                        Diritto e buona pratica forense<\/strong>
                        Hash, catena di custodia e conservazione del pacchetto originale sono buone pratiche tecnico-forensi e probatorie. Non tutte sono formulate dal regolamento come prescrizioni autonome: vanno applicate in coerenza con il codice di procedura, i protocolli dell’ufficio e le regole interne di gestione della prova digitale.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                        Due strumenti di supporto meritano di essere conosciuti e utilizzati: la banca dati collegata a JUDEX, che riporta per ciascun prestatore lo stabilimento designato o il rappresentante legale, l’ambito territoriale, i recapiti e \u2014 su base volontaria \u2014 i servizi coperti, gli identificativi utilizzabili e i periodi di conservazione; e la piattaforma SIRIUS, che fornisce indicazioni pratiche su oltre ottanta prestatori, compresi esempi di identificatori validi e criteri di classificazione dei dati.<\/p>\n\n\n\n

                        Fonte\/riscontro: Reg. (UE) 2023\/1543, art. 19; Reg. di esecuzione (UE) 2025\/1550; Linee guida SIRIUS EPOC, sezioni E e L.<\/em><\/p>\n\n\n\n

                        14. Rifiuto, esecuzione e sanzioni<\/strong><\/h1>\n\n\n\n

                        Il sistema \u00e8 pensato per l’adempimento diretto da parte del prestatore, ma prevede una fase di interlocuzione e, se necessario, di esecuzione tramite l’autorit\u00e0 dello Stato del destinatario. Fra le situazioni che possono impedire o condizionare l’esecuzione rientrano, a seconda dello strumento e della fase:<\/p>\n\n\n\n

                          \n
                        • ordine non emesso o convalidato da autorit\u00e0 competente ai sensi dell’art. 4;<\/li>\n\n\n\n
                        • assenza delle condizioni richieste per la categoria di dato o per il reato;<\/li>\n\n\n\n
                        • impossibilit\u00e0 materiale non imputabile al destinatario o errori manifesti nel certificato;<\/li>\n\n\n\n
                        • dati non detenuti dal prestatore o per suo conto al momento rilevante;<\/li>\n\n\n\n
                        • servizio fuori dall’ambito del regolamento;<\/li>\n\n\n\n
                        • immunit\u00e0 o privilegi, comprese le tutele connesse alla libert\u00e0 di stampa e di espressione;<\/li>\n\n\n\n
                        • in situazioni eccezionali, rischio manifesto di violazione di un diritto fondamentale garantito dal TUE e dalla Carta.<\/li>\n<\/ul>\n\n\n\n

                          I motivi di rifiuto di cui all’art. 12 non si applicano all’ordine di conservazione, avendo esso carattere temporaneo e funzionale al successivo ordine di produzione; in sede di esecuzione forzata operano i motivi tassativi dell’art. 16, paragrafo 5.<\/p>\n\n\n\n

                          Se il destinatario non ottempera e le giustificazioni non sono accettate, l’autorit\u00e0 di emissione pu\u00f2 chiedere all’autorit\u00e0 di esecuzione di dare esecuzione all’ordine, trasmettendo il provvedimento, il modulo dell’allegato III compilato dal destinatario e la documentazione pertinente, tradotti in una lingua accettata dallo Stato di esecuzione. L’autorit\u00e0 di esecuzione decide sul riconoscimento senza indebito ritardo e comunque entro cinque giorni lavorativi, ingiunge formalmente l’adempimento e informa il destinatario della possibilit\u00e0 di obiettare, delle sanzioni applicabili e del termine. Prima di negare il riconoscimento consulta l’autorit\u00e0 di emissione, che risponde entro cinque giorni lavorativi. I dati eventualmente acquisiti sono trasmessi all’autorit\u00e0 di emissione senza indebito ritardo.<\/p>\n\n\n\n

                          Il regolamento richiede sanzioni effettive, proporzionate e dissuasive: per le violazioni rilevanti il tetto massimo della sanzione pecuniaria pu\u00f2 arrivare al 2 per cento del fatturato mondiale totale annuo del prestatore relativo all’esercizio precedente, secondo la disciplina nazionale applicabile. Gli Stati membri conservano quindi una notevole autonomia nella determinazione concreta delle sanzioni.<\/p>\n\n\n\n

                          Fonte\/riscontro: Reg. (UE) 2023\/1543, artt. 12 e 15-17; materiale formativo SSM, sezione sulla procedura di esecuzione.<\/em><\/p>\n\n\n\n

                          15. Questioni aperte<\/strong><\/h1>\n\n\n\n

                          Alcuni profili meritano attenzione anche sul piano operativo, in attesa dei primi arresti applicativi.<\/p>\n\n\n\n

                            \n
                          • Impugnazione dell’ordine di conservazione.<\/strong> L’art. 18 disciplina i soli mezzi di impugnazione avverso l’ordine di produzione, davanti a un organo giurisdizionale dello Stato di emissione, con legittimazione estesa anche al terzo i cui dati siano stati richiesti. In assenza di un obbligo informativo l’indagato pu\u00f2 non venire a conoscenza della conservazione: in concreto sar\u00e0 impugnabile il solo ordine di produzione, se e quando emesso. Resta aperta l’individuazione dei rimedi interni esperibili, con il richiamo, in via di ipotesi, al modello dell’opposizione avverso la perquisizione non seguita da sequestro.<\/li>\n\n\n\n
                          • Ne bis in idem e principio di specialit\u00e0.<\/strong> Per l’ordine di conservazione il regolamento non vi fa riferimento, essendo l’interlocuzione limitata all’autorit\u00e0 di emissione e al destinatario; per l’ordine di produzione i due profili rilevano invece nella valutazione dell’autorit\u00e0 di esecuzione.<\/li>\n\n\n\n
                          • Compressione della valutazione del destinatario.<\/strong> I termini di dieci giorni e di otto ore, uniti al ruolo attivo di verifica attribuito al prestatore, riducono lo spazio per un vaglio effettivo di legittimit\u00e0 e proporzionalit\u00e0: \u00e8 ragionevole attendersi, nella fase iniziale, un numero non trascurabile di richieste di chiarimento ex allegato III.<\/li>\n\n\n\n
                          • Disallineamenti lessicali con l’ordinamento interno.<\/strong> Il riferimento alla contumacia, istituto non pi\u00f9 presente nel nostro codice di rito, impone di ricondurre la fattispecie alle categorie dell’assenza consapevole e non consapevole.<\/li>\n\n\n\n
                          • Rapporto fra disponibilit\u00e0 giuridica e disponibilit\u00e0 tecnica del dato.<\/strong> Come esposto al \u00a7 6, la diffusione della cifratura end-to-end sposta parte del problema dal piano dei presupposti a quello dell’effettiva detenzione del dato da parte del prestatore.<\/li>\n<\/ul>\n\n\n\n

                            16. Workflow operativi<\/strong><\/h1>\n\n\n\n

                            16.1 Produzione<\/strong><\/h2>\n\n\n\n
                              \n
                            1. Classificare il dato: abbonati, sola identificazione, traffico, contenuto.<\/li>\n\n\n\n
                            2. Verificare il presupposto di reato, la necessit\u00e0, la proporzionalit\u00e0 e l’analogia con un caso interno.<\/li>\n\n\n\n
                            3. Individuare l’autorit\u00e0 italiana competente all’emissione o alla convalida in base a categoria e fase.<\/li>\n\n\n\n
                            4. Identificare il corretto stabilimento designato o rappresentante legale e la lingua accettata.<\/li>\n\n\n\n
                            5. Compilare l’EPOC con identificatori precisi, intervallo temporale e dataset strettamente necessari.<\/li>\n\n\n\n
                            6. Valutare se \u00e8 dovuta la notifica ex art. 8 e, in caso positivo, coordinare certificato e notifica.<\/li>\n\n\n\n
                            7. Trasmettere via sistema decentrato o, se tecnicamente necessario, tramite canale alternativo sicuro.<\/li>\n\n\n\n
                            8. Monitorare i termini di 10 giorni o 8 ore e le eventuali richieste di chiarimento.<\/li>\n\n\n\n
                            9. Alla ricezione: verificare provenienza, integrit\u00e0, completezza e catena di custodia; registrare hash e checksum.<\/li>\n\n\n\n
                            10. Gestire l’informazione all’interessato secondo le determinazioni dell’autorit\u00e0 competente.<\/li>\n<\/ol>\n\n\n\n

                              16.2 Conservazione<\/strong><\/h2>\n\n\n\n
                                \n
                              1. Individuare con precisione i dati a rischio di cancellazione o modifica e motivare necessit\u00e0 e proporzionalit\u00e0.<\/li>\n\n\n\n
                              2. Emettere o far convalidare l’ordine secondo il d.lgs. 215\/2025; nei casi urgenti distinguere emergenza UE e procedura accelerata.<\/li>\n\n\n\n
                              3. Compilare l’EPOC-PR con destinatario, identificatore, categoria e intervallo temporale.<\/li>\n\n\n\n
                              4. Trasmettere al destinatario corretto: non si applica la notifica ex art. 8, prevista per il solo EPO di traffico e contenuto.<\/li>\n\n\n\n
                              5. Annotare la decorrenza del periodo di 60 giorni e programmare l’eventuale proroga di 30 giorni.<\/li>\n\n\n\n
                              6. Prima della scadenza, se \u00e8 stata emessa una successiva richiesta di produzione, inviare la conferma prevista dal regolamento.<\/li>\n\n\n\n
                              7. Se la conservazione non \u00e8 pi\u00f9 necessaria, informare senza indebito ritardo il destinatario.<\/li>\n<\/ol>\n\n\n\n

                                17. Checklist prima dell’invio<\/strong><\/h1>\n\n\n\n
                                Obiettivo<\/strong>
                                Ridurre richieste di chiarimento, ritardi, rifiuti e rischio di produzione di dati non pertinenti.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                                \u2610  Ho classificato correttamente la categoria di dato?<\/p>\n\n\n\n

                                \u2610  L’autorit\u00e0 emittente o convalidante \u00e8 quella corretta per quella categoria e per quella fase?<\/p>\n\n\n\n

                                \u2610  Ho motivato necessit\u00e0 e proporzionalit\u00e0 sul caso concreto?<\/p>\n\n\n\n

                                \u2610  Il reato soddisfa le condizioni dell’art. 5 o dell’art. 6 applicabile?<\/p>\n\n\n\n

                                \u2610  Ho identificato il destinatario giuridicamente corretto?<\/p>\n\n\n\n

                                \u2610  Sto usando una lingua accettata dal destinatario?<\/p>\n\n\n\n

                                \u2610  Gli identificatori sono completi e verificati? \u00c8 indicato il servizio specifico?<\/p>\n\n\n\n

                                \u2610  Per gli IP: marca temporale e fuso orario sono precisi? \u00c8 necessaria la porta sorgente?<\/p>\n\n\n\n

                                \u2610  L’intervallo temporale \u00e8 il pi\u00f9 ristretto compatibile con l’obiettivo investigativo?<\/p>\n\n\n\n

                                \u2610  Le sezioni E, F e G sono coerenti fra loro?<\/p>\n\n\n\n

                                \u2610  Se uso JUDEX e chiedo categorie diverse, devo emettere certificati separati e collegarli?<\/p>\n\n\n\n

                                \u2610  Per traffico e contenuto ho verificato l’obbligo di notifica ex art. 8?<\/p>\n\n\n\n

                                \u2610  Ho selezionato correttamente il termine di 10 giorni o di 8 ore e documentato l’eventuale emergenza?<\/p>\n\n\n\n

                                \u2610  Esiste un precedente ordine di conservazione? Quando scadono i 60 giorni?<\/p>\n\n\n\n

                                \u2610  L’autorit\u00e0 indicata per ricevere i dati dispone di un canale sicuro e di una casella monitorata?<\/p>\n\n\n\n

                                \u2610  Ho previsto come verificare autenticit\u00e0 e integrit\u00e0 e come documentare la ricezione?<\/p>\n\n\n\n

                                \u2610  Ho definito chi gestir\u00e0 eventuali chiarimenti del provider e le relative scadenze?<\/p>\n\n\n\n

                                \u2610  \u00c8 stato valutato il differimento dell’informativa all’interessato e ne sono stati documentati i motivi?<\/p>\n\n\n\n

                                18. Quadro nazionale in evoluzione e riferimenti<\/strong><\/h1>\n\n\n\n
                                Aggiornamento ad agosto 2026<\/strong>
                                I d.lgs. 215\/2025 e 216\/2025 sono pubblicati e in vigore. Un ulteriore schema di decreto legislativo per il completo adeguamento al regolamento (Atto del Governo n. 411) ha concluso l’esame parlamentare ed \u00e8 stato posto all’esame definitivo del Consiglio dei ministri il 4 agosto 2026. Nelle fonti ufficiali consultate per questa guida non risulta ancora la pubblicazione in Gazzetta Ufficiale del testo definitivo: prima di usare il documento come base per procedure vincolanti occorre verificarne l’eventuale sopravvenuta pubblicazione.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                                Riferimenti normativi e documentali essenziali:<\/strong><\/p>\n\n\n\n