Regolamento (UE) 2023/1543

Ordini europei di produzione e di conservazione di prove elettroniche nei procedimenti penali

Il regolamento istituisce uno strumento uniforme di cooperazione giudiziaria diretta tra autorità nazionali e prestatori di servizi per ottenere o preservare prove elettroniche in contesti penali transfrontalieri. L’esigenza dichiarata è quella di superare la frammentazione delle regole nazionali e di rispondere alla particolare volatilità dei dati digitali, assicurando al contempo un livello elevato di tutela dei diritti fondamentali, della protezione dei dati e delle garanzie difensive.

Finalità e contesto

Il legislatore dell’Unione parte dalla constatazione che le prove elettroniche sono sempre più centrali nelle indagini e nei procedimenti penali e che le procedure di cooperazione tradizionale risultano spesso troppo lente rispetto alla rapida cancellazione o modificabilità dei dati. Il regolamento si inserisce nello spazio di libertà, sicurezza e giustizia e si fonda sul principio del reciproco riconoscimento, ma introduce un canale diretto e standardizzato verso i prestatori di servizi, accompagnato da controlli e garanzie.

Ambito soggettivo e materiale

Il regolamento si applica ai prestatori di servizi che offrono servizi nell’Unione, includendo in particolare servizi di comunicazione elettronica, servizi di nomi di dominio e numerazione IP e taluni servizi della società dell’informazione che consentono la comunicazione tra utenti o la memorizzazione/trattamento di dati per conto degli utenti. Sono esclusi i servizi offerti esclusivamente al di fuori dell’Unione e i procedimenti avviati per finalità di assistenza giudiziaria a favore di altri Stati o di paesi terzi.

Le prove elettroniche interessate comprendono:

• dati relativi agli abbonati;
• dati richiesti al solo scopo di identificare l’utente;
• dati sul traffico;
• dati relativi al contenuto.

La distinzione è decisiva perché le categorie più invasive, in particolare traffico e contenuto, sono soggette a un regime più rigoroso, inclusi soglie di reato, notifica allo Stato di esecuzione e motivi di rifiuto più articolati.

Autorità competenti ed emissione

L’EPOC e l’EPOC-PR sono emessi o convalidati da autorità giudiziarie o, per determinate categorie meno sensibili, anche da pubblici ministeri o altre autorità competenti, purché vi sia convalida giudiziaria quando richiesta. In caso di emergenza, per dati degli abbonati o dati finalizzati alla sola identificazione dell’utente, l’ordine può essere emesso senza previa convalida, ma va richiesta convalida ex post entro 48 ore; se la convalida è negata, i dati ottenuti devono essere cancellati o il loro uso limitato.

L’ordine deve essere necessario e proporzionato e, in linea di principio, emesso solo se un analogo provvedimento potrebbe essere disposto in un caso interno. Per i dati di traffico non di mera identificazione e per i dati di contenuto, l’ordine è riservato a reati puniti con pena massima non inferiore a tre anni, salvo specifiche categorie di reati elencate dal regolamento, tra cui criminalità informatica, terrorismo e abuso sessuale di minori.

Notifica all’autorità di esecuzione e controllo

Per gli ordini relativi a dati più sensibili è previsto, di regola, un controllo dell’autorità di esecuzione dello Stato in cui è situato lo stabilimento designato o il rappresentante legale del prestatore. La notifica avviene contestualmente alla trasmissione dell’EPOC al destinatario e sospende per 10 giorni l’obbligo di trasmissione dei dati, salvo urgenza. L’autorità di esecuzione può opporre motivi di rifiuto tassativi, quali immunità o privilegi, violazione manifesta di diritti fondamentali, ne bis in idem e, per reati non compresi nell’allegato IV, mancanza di doppia incriminazione.

Nei casi di emergenza, i termini sono molto più stretti: il destinatario deve trasmettere i dati entro 8 ore e l’autorità di esecuzione, se intende opporsi, deve farlo entro 96 ore dalla notifica.

Conservazione dei dati e ordine europeo di conservazione

L’EPOC-PR serve a congelare i dati in vista di una successiva richiesta di produzione, evitando cancellazioni o modifiche. Il destinatario deve conservare i dati senza indebito ritardo; la conservazione dura 60 giorni, prorogabili di altri 30 giorni, oppure prosegue se l’autorità conferma che è stata emessa una successiva richiesta di produzione. Se la successiva richiesta non viene più perseguita, l’autorità comunica che l’obbligo cessa.

Esecuzione, chiarimenti e impossibilità materiale

Il regolamento disciplina con precisione i casi in cui il destinatario può chiedere chiarimenti, eccepire errori manifesti, incompleteness, impossibilità materiale o conflitti con obblighi derivanti da un paese terzo. In tali ipotesi il destinatario deve informare senza indugio l’autorità di emissione e, se del caso, l’autorità di esecuzione, usando il modulo standard. L’autorità di emissione deve reagire in tempi rapidi; in particolare, per i chiarimenti richiesti a fronte di ordine incompleto o errato, il termine è di 5 giorni lavorativi.

Conflitti di legge con paesi terzi

Uno dei punti più innovativi del regolamento riguarda l’obiezione motivata per conflitto con il diritto di un paese terzo. Se l’adempimento dell’EPOC costringerebbe il prestatore a violare un obbligo giuridico estero, il destinatario può attivare una procedura di riesame. Il giudice competente dello Stato di emissione verifica anzitutto se il diritto del paese terzo sia applicabile e se vieti la divulgazione dei dati, poi bilancia gli interessi in gioco, compresi i diritti fondamentali tutelati dal diritto estero, la sicurezza nazionale del paese terzo, il collegamento tra procedimento e giurisdizioni coinvolte, e le conseguenze per il prestatore. Durante tale procedura l’esecuzione è sospesa.

Diritti fondamentali, informazione e rimedi

Il regolamento insiste sulla tutela dei diritti fondamentali: l’autorità di emissione deve informare l’interessato della produzione dei dati senza indebito ritardo, salvo ritardo o omissione nei casi consentiti dalla direttiva (UE) 2016/680. L’interessato dispone di un ricorso effettivo davanti a un giudice dello Stato di emissione, e può contestare anche necessità e proporzionalità dell’ordine. Il regolamento richiama espressamente il diritto alla difesa, il giusto processo, la vita privata, la protezione dei dati personali e la riservatezza delle comunicazioni.

Sanzioni, costi e responsabilità

Gli Stati membri devono prevedere sanzioni pecuniarie per la mancata ottemperanza a determinati obblighi procedurali, con un tetto fino al 2% del fatturato mondiale totale annuo del prestatore di servizi nell’esercizio precedente. Le sanzioni devono essere effettive, proporzionate e dissuasive. In parallelo, i prestatori non rispondono dei danni derivanti esclusivamente dall’ottemperanza in buona fede all’ordine. Il regolamento prevede anche un regime di rimborso delle spese, laddove previsto dal diritto nazionale dello Stato di emissione per ordini interni analoghi.

Sistema informatico decentrato e digitalizzazione

Per velocizzare e mettere in sicurezza gli scambi, il regolamento istituisce un sistema informatico decentrato per la comunicazione tra autorità e prestatori. Il sistema deve essere interoperabile, sicuro e affidabile; si basa su e-CODEX e può avvalersi di software di implementazione di riferimento fornito gratuitamente dalla Commissione. Le comunicazioni elettroniche non perdono efficacia giuridica per il solo fatto di essere elettroniche, e quando richiesto devono essere firmate o sigillate con strumenti elettronici qualificati.

Attuazione, monitoraggio e calendario

Gli atti di esecuzione tecnici sul sistema informatico decentrato devono essere adottati entro il 18 agosto 2025. Il regolamento si applica dal 18 agosto 2026; da tale data decorrono anche gli obblighi statistici per gli Stati membri, mentre la Commissione pubblica relazioni annuali dal 18 agosto 2027. La prima valutazione complessiva del regolamento è prevista entro il 18 agosto 2029, con analisi dell’impatto sui diritti fondamentali.

Rapporti con altri strumenti

Il regolamento non pregiudica altri strumenti dell’Unione o internazionali in materia di acquisizione di prove che rientrino nel suo ambito. Gli Stati membri devono notificare alla Commissione gli strumenti e gli accordi che continueranno ad applicare e quelli nuovi. Il testo chiarisce inoltre la partecipazione dell’Irlanda e la non partecipazione della Danimarca, secondo i rispettivi protocolli.