Regolamento (UE) 2025/1550

Regolamento di esecuzione (UE) 2025/1550: specifiche tecniche del sistema informatico decentrato per le prove elettroniche

Il regolamento dà attuazione all’articolo 25 del regolamento (UE) 2023/1543, fissando il quadro tecnico del sistema informatico decentrato destinato alle comunicazioni e allo scambio di prove elettroniche nei procedimenti penali. La Commissione giustifica l’intervento con la necessità di garantire interoperabilità, efficienza, sicurezza e affidabilità del sistema, utilizzando punti di accesso e-CODEX e standard tecnici comuni.

Ambito di applicazione e contesto normativo

Il sistema informatico decentrato comprende i sistemi informatici degli Stati membri, quelli delle agenzie e degli organi dell’Unione e i punti di accesso e-CODEX che li interconnettono. Le specifiche del regolamento valgono per la comunicazione scritta ai sensi dell’articolo 19 del regolamento (UE) 2023/1543 tra:

• autorità competenti degli Stati membri,
• autorità competenti e stabilimenti designati o rappresentanti legali dei prestatori di servizi,
• autorità competenti e agenzie o organi dell’Unione.

La Danimarca non è vincolata né soggetta al regolamento; l’Irlanda partecipa all’adozione. È stato consultato il Garante europeo della protezione dei dati.

Definizioni tecniche rilevanti

L’allegato introduce definizioni operative utili all’implementazione: HTTPS, SOAP, REST, servizio web, API, interfaccia web, scambio di dati, valore di hash, e-CODEX, vocabolario di base dell’UE della giustizia elettronica, ebMS, AS4, tempo massimo di ripristino e punto di ripristino prefissato. Tali definizioni servono a uniformare l’infrastruttura tecnica e a rendere coerenti gli scambi tra autorità, prestatori di servizi e sistemi nazionali.

Metodi di comunicazione e interoperabilità

Il sistema deve basarsi su comunicazioni elettroniche sicure e su servizi, in particolare attraverso i punti di accesso e-CODEX. Per garantire uno scambio transfrontaliero efficace, i componenti del sistema devono utilizzare protocolli e standard ampiamente accettati, tra cui SOAP, REST, AS4, HTTPS, TLS, OAuth/OpenID Connect e infrastruttura a chiave pubblica con certificati X.509.

La Commissione definisce le specifiche dell’API comune che gli Stati di esecuzione devono mettere a disposizione dei prestatori di servizi; ove possibile, tale API si fonda sulla specifica ETSI TS 104 144. Gli schemi XML possono richiamare il vocabolario di base dell’UE della giustizia elettronica, tipi di dati non qualificati, codici linguistici UE e, se del caso, norme ETSI.

Trasmissione delle prove elettroniche e soglia dimensionale

Il regolamento introduce una soglia massima di 25 megabyte (25 600 kilobyte) per la trasmissione delle prove elettroniche attraverso il sistema informatico decentrato. Se le prove superano tale soglia, la trasmissione avviene con mezzi alternativi conformemente all’articolo 19, paragrafo 5, del regolamento (UE) 2023/1543.

Nei casi di trasmissione alternativa, l’originatore deve registrare l’operazione nel proprio sistema o nel sistema decentrato e trasmettere un avviso contenente almeno:

• dati del mittente e del destinatario,
• metadati che collegano le prove agli ordini europei di produzione o conservazione,
• data e ora della trasmissione o della messa a disposizione,
• informazioni sui mezzi di trasmissione,
• nomi completi dei file,
• dimensioni dei dati,
• almeno un valore di hash e l’algoritmo impiegato.

Gli algoritmi di hash devono essere robusti dal punto di vista crittografico e privi di debolezze pubblicamente note, con esempi quali SHA-512, SHA3-512, BLAKE2 o RIPEMD-160.

Termine di accessibilità delle prove rese disponibili con mezzi alternativi

L’avviso può indicare il termine entro cui le prove resteranno accessibili. Tale termine deve consentire all’autorità competente dello Stato di emissione un periodo ragionevole di recupero, non inferiore a 10 giorni e non superiore a 45 giorni di calendario dalla messa a disposizione delle prove, con possibilità di proroga su richiesta dell’autorità competente dello Stato di emissione.

Sicurezza, integrità e protezione dei dati

Le misure tecniche richieste riguardano la riservatezza, l’integrità dei dati a riposo e in transito, la non disconoscibilità dell’origine e del ricevimento, la disponibilità continua del servizio, la registrazione degli eventi di sicurezza e l’autenticazione/autorizzazione degli utenti e dei sistemi connessi.

Il sistema deve essere progettato secondo il principio della protezione dei dati fin dalla progettazione e per impostazione predefinita. La Commissione deve sviluppare e mantenere il software di riferimento nel rispetto del regolamento (UE) 2018/1725; gli Stati membri che usano sistemi propri devono garantire la conformità al regolamento (UE) 2016/679 e alla direttiva (UE) 2016/680, a seconda dei casi. Eurojust e Procura europea devono adottare misure analoghe rispetto al regolamento (UE) 2018/1725 e ai rispettivi atti costitutivi.

Cifratura delle prove elettroniche con certificato X.509

Le autorità competenti possono, al momento dell’emissione di un ordine europeo di produzione, fornire un certificato pubblico X.509 per la cifratura asimmetrica delle prove elettroniche. La responsabilità del rilascio, gestione e verifica del certificato è dello Stato di emissione.

Il prestatore di servizi deve cifrare le prove prima della trasmissione se il certificato è stato fornito. Se la cifratura non è possibile per ragioni tecniche o altre ragioni giustificabili, la trasmissione senza cifratura è ammessa, ma il prestatore deve fornire una spiegazione motivata all’autorità di emissione.

Disponibilità, manutenzione e continuità operativa

Gli Stati membri, Eurojust e la Procura europea devono garantire la disponibilità 24 ore su 24 e 7 giorni su 7 dei componenti di loro competenza, con un obiettivo di disponibilità tecnica almeno pari al 98% annuo, esclusa la manutenzione programmata. La banca dati degli organi giurisdizionali, gestita dalla Commissione, deve avere una disponibilità superiore al 99% annuo.

Il regolamento prevede finestre di manutenzione preferenziali tra le 20:00 e le 7:00 CET nei giorni lavorativi e obblighi di preavviso alla Commissione e agli altri Stati membri:

• 5 giorni lavorativi se l’indisponibilità prevista non supera 4 ore,
• 10 giorni lavorativi se è compresa tra 4 e 12 ore,
• 30 giorni lavorativi se supera 12 ore.

In caso di indisponibilità non prevista, la comunicazione deve essere immediata, con indicazione del periodo di ripristino se noto. Se l’indisponibilità incide sull’API o sull’interfaccia web per i prestatori di servizi, lo Stato membro interessato deve informare tempestivamente anche tali soggetti. In caso di interruzione del servizio, deve essere assicurato il rapido ripristino con perdita minima di dati, secondo il tempo massimo di ripristino e il punto di ripristino prefissato.

Banca dati accreditata delle autorità competenti e dei prestatori di servizi

Il funzionamento del sistema richiede una banca dati accreditata delle autorità competenti e dei prestatori di servizi. Per le autorità competenti, la banca dati include informazioni notificate ai sensi dell’articolo 31, paragrafo 1, lettere da a) a c), del regolamento (UE) 2023/1543, nonché dati sui membri nazionali di Eurojust e sui procuratori europei/procuratori europei delegati, se notificati come autorità d’emissione competenti.

La banca dati contiene anche elementi utili per l’instradamento tecnico dei messaggi e per la determinazione della competenza territoriale. Per i prestatori di servizi e i loro stabilimenti designati/rappresentanti legali, include dati identificativi, di contatto, giuridici e tecnici, tra cui:

• nome, indirizzo, numero di registrazione, forma giuridica,
• recapiti telefonici ed e-mail,
• lingue ufficiali accettate,
• servizi offerti nell’Unione,
• tipo e ambito territoriale della designazione,
• dati del rappresentante autorizzato,
• eventuali informazioni tecniche come API URL, interfaccia web, push API URL.

La Commissione è responsabile dello sviluppo, della manutenzione, del funzionamento e del supporto della banca dati, e ne consente l’accesso tramite API alle autorità competenti, a Eurojust e alla Procura europea. Gli Stati membri devono assicurare che i dati relativi alle proprie autorità e ai prestatori siano completi, esatti e aggiornati; analoghi obblighi gravano sui prestatori di servizi per le informazioni che li riguardano.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti i suoi elementi negli Stati membri, nei limiti della partecipazione stabilita dai protocolli applicabili.