Parere del Garante n. 569 del 25/09/2025

Schema di decreto legislativo attuativo del regolamento (UE) 2023/1543 (E-evidence)

Il Garante per la protezione dei dati personali esprime parere sullo schema di decreto legislativo volto a individuare le autorità competenti e a disciplinare le procedure di emissione, ricezione, esecuzione e riesame degli ordini europei di produzione e conservazione di prove elettroniche nei procedimenti penali e per l’esecuzione di pene detentive. Il parere è reso ai sensi dell’articolo 36, paragrafo 4, del GDPR e dell’articolo 24, comma 2, del d.lgs. 51/2018.

Quadro normativo di riferimento

Lo schema si inserisce nel processo di attuazione del regolamento (UE) 2023/1543, c.d. E-evidence, che disciplina l’acquisizione e la gestione transfrontaliera delle prove elettroniche. La delega legislativa richiamata è quella dell’articolo 19, comma 3, della legge n. 91 del 2025, limitata in questa fase all’individuazione delle autorità competenti di cui all’articolo 31 del regolamento e alle procedure relative agli ordini europei. Il provvedimento comprende anche modifiche di coordinamento e armonizzazione della normativa vigente, in particolare del Codice privacy e delle disposizioni processuali penali.

Contenuto generale dello schema

Lo schema individua:

• le autorità competenti per l’emissione, la convalida e la trasmissione degli ordini europei di produzione e conservazione;
• le autorità giudiziarie competenti per la ricezione, la notifica e l’esecuzione degli ordini e dei certificati;
• le autorità competenti e le procedure per il riesame delle obiezioni motivate dei destinatari;
• il Ministero della giustizia quale autorità centrale per la trasmissione amministrativa dei certificati EPOC ed EPOC-PR, delle notifiche, dei dati e della corrispondenza ufficiale;
• la disciplina delle statistiche e delle notifiche alla Commissione europea.

Disciplina degli ordini europei di produzione e conservazione

Gli articoli 2, 3 e 4 regolano l’emissione degli ordini europei di produzione e di conservazione. In linea generale, la competenza è attribuita al pubblico ministero e al giudice procedente secondo le rispettive attribuzioni; durante le indagini preliminari, la ripartizione dipende dalla tipologia di dati richiesti.

Per gli ordini di produzione:

• il giudice competente emette l’ordine su richiesta del pubblico ministero, anche su istanza della persona offesa o del suo difensore, nonché della persona sottoposta alle indagini, dell’imputato, delle parti private o dei rispettivi difensori;
• nella fase delle indagini preliminari, i dati sul traffico e quelli relativi al contenuto richiedono l’intervento del giudice, mentre i dati relativi agli abbonati e quelli richiesti al solo fine di identificare l’utente sono attribuiti al pubblico ministero;
• nei casi di urgenza, l’ordine relativo ai dati dell’abbonato può essere emesso dagli ufficiali di polizia giudiziaria, con successiva convalida del pubblico ministero entro 48 ore;
• per i delitti di competenza delle procure distrettuali o per quelli soggetti a coordinamento investigativo, il certificato è trasmesso al Procuratore nazionale antimafia e antiterrorismo e al Procuratore generale presso la corte d’appello.

Per gli ordini di conservazione, l’impianto è sostanzialmente sovrapponibile, mentre l’articolo 4 introduce una procedura accelerata per ragioni di urgenza, con termini più brevi di trasmissione e convalida.

Autorità di esecuzione, riesame e statistiche

L’articolo 6 individua le autorità di esecuzione nel procuratore della Repubblica presso il tribunale del capoluogo del distretto e nel giudice per le indagini preliminari presso il medesimo tribunale, secondo la localizzazione dello stabilimento designato o del rappresentante legale del prestatore di servizi destinatario dell’ordine. La disposizione regola anche la notifica dell’EPOC e il raccordo con il Procuratore nazionale antimafia e antiterrorismo e con il Procuratore generale presso la corte d’appello.

L’articolo 7 disciplina il riesame in caso di obblighi contrastanti e di obiezioni del prestatore di servizi. L’articolo 8 attribuisce al Ministero della giustizia la registrazione, l’elaborazione delle statistiche e la trasmissione dei dati alla Commissione europea, oltre alle notifiche previste dal regolamento.

Modifiche all’articolo 132 del Codice privacy

Il Garante esamina con favore le modifiche all’articolo 132 del Codice privacy. Il nuovo richiamo all’agevolazione delle ricerche di un latitante come finalità che giustifica l’acquisizione dei dati di traffico è ritenuto conforme all’articolo 15, paragrafo 1, della direttiva 2002/58/CE, secondo l’interpretazione della Corte di giustizia dell’Unione europea, e coerente con la limitazione ai gravi reati già prevista dalla disciplina nazionale.

Il Garante osserva inoltre che la novella armonizza la data retention nazionale con il regolamento E-evidence, che consente ordini di produzione e conservazione anche per l’esecuzione di pene o misure di sicurezza detentive, e valorizza la continuità tra fase cautelare e fase esecutiva del procedimento penale.

Dati relativi agli abbonati e poteri della polizia giudiziaria

Lo schema introduce una disciplina specifica per i dati relativi agli abbonati, definendoli in linea con il regolamento e sottraendoli al regime previsto per i dati di traffico. La loro acquisizione è attribuita al pubblico ministero o alla polizia giudiziaria, su delega o di iniziativa, ai sensi dell’articolo 348 c.p.p.

Il Garante considera tale scelta compatibile con la natura di questi dati, diversi sia dai contenuti delle comunicazioni sia dai dati di traffico, e con le funzioni di indagine della polizia giudiziaria ex articoli 55 e 348 c.p.p. Viene richiamata anche la coerenza con la disciplina già esistente in altri settori dell’ordinamento.

Ordine di conservazione "domestico" e osservazione del Garante

L’articolo 9 introduce, inoltre, un nuovo articolo 263-bis c.p.p., destinato a disciplinare l’ordine di conservazione "domestico" emesso dal pubblico ministero per dati nella disponibilità dei fornitori e degli operatori di servizi informatici, telematici o di telecomunicazioni. In analogia con gli atti urgenti, è prevista anche una possibilità di intervento della polizia giudiziaria, con successiva convalida del pubblico ministero.

Sul punto, il Garante formula un’osservazione: la norma non specifica in modo sufficientemente preciso quali tipologie di dati personali possano essere oggetto dell’ordine di conservazione. Per garantire maggiore determinatezza e prevenire incertezze applicative, è quindi richiesto di integrare la disposizione con l’indicazione delle categorie di dati, richiamando l’articolo 3, comma 1, lettere a) e b), del d.lgs. 51/2018.

Conclusione

Il parere è favorevole. Il Garante approva lo schema di decreto legislativo, subordinando tuttavia il proprio assenso all’osservazione relativa alla necessità di precisare nel nuovo articolo 263-bis c.p.p. l’oggetto, in termini di tipologie di dati personali, dell’ordine di conservazione.