Dal 18 agosto 2026 il Regolamento UE 2023/1543 (e-Evidence) consente alle autorità giudiziarie di uno Stato membro di richiedere direttamente ai provider di servizi digitali stabiliti in un altro Stato UE la produzione o la conservazione di dati elettronici, senza passare per i canali tradizionali di assistenza giudiziaria. Per un avvocato penalista o civile che gestisce fascicoli con prove digitali, questo significa tempi di acquisizione drasticamente ridotti, ma anche nuovi fronti di attacco sulla validità della prova e sul rispetto delle garanzie difensive. Verificare la catena di custodia e contestare gli ordini viziati diventa una competenza irrinunciabile già da ora.
Punti chiave
- Dal 18 agosto 2026 le autorità UE possono ordinare ai provider dati digitali in poche ore, senza rogatoria tradizionale.
- Il Regolamento UE 2023/1543 introduce due strumenti: l’EPOC per la produzione e l’EPOC-PR per la conservazione dei dati.
- La difesa mantiene il diritto di contestare la catena di custodia e la conformità dell’ordine alle garanzie del GDPR.
Dal 18 agosto 2026 un pubblico ministero tedesco o francese potrà ottenere da un provider con sede in Italia — o viceversa — dati di traffico, contenuti di messaggi o log di accesso nel giro di ore, senza attendere i mesi tipici delle rogatorie internazionali. Per gli studi legali che trattano procedimenti con elementi transfrontalieri, digitali o relativi a piattaforme online, questo cambia concretamente la velocità con cui le prove entrano nel fascicolo e la finestra temporale utile per contestarle.
Il Regolamento UE 2023/1543, noto come e-Evidence, è già in vigore dal 18 agosto 2023 ma diventa applicabile il 18 agosto 2026. Introduce due ordini europei distinti: l’EPOC (European Production Order Certificate) per ottenere dati e l’EPOC-PR (European Preservation Order Certificate) per conservarli in attesa di una richiesta formale. La fonte originale della notizia è Agenda Digitale.
Il contesto normativo
Il Regolamento UE 2023/1543 si affianca alla Direttiva UE 2023/1544, che armonizza le norme nazionali sugli obblighi dei provider. In Italia, la disciplina interna sull’acquisizione di dati telematici in sede penale resta ancorata agli artt. 254-bis e 266-bis c.p.p., nonché all’art. 132 del Codice Privacy (d.lgs. 196/2003) per la conservazione dei dati di traffico. Il GDPR — Regolamento UE 2016/679, in particolare l’art. 23 — continua a operare come limite alle deroghe ammissibili per finalità di giustizia penale. La Corte di Giustizia UE, nelle sentenze La Quadrature du Net (C-511/18 e C-512/18) e Prokuratuur (C-746/18), ha già fissato paletti precisi sulla proporzionalità dell’accesso statale ai dati: quei criteri restano il metro di giudizio per valutare la legittimità degli EPOC.
Cosa cambia per lo studio
- Tempi di risposta compressi per i provider. L’EPOC impone al provider la produzione dei dati entro 10 giorni dall’ordine (8 ore nei casi urgenti). La difesa deve attrezzarsi per monitorare i fascicoli e intervenire prima che la prova si consolidi senza contraddittorio.
- Verifica forense obbligatoria. La catena di custodia dei dati acquisiti tramite EPOC va documentata con la stessa rigidità prevista per le prove digitali interne: hash crittografici, log di estrazione, integrità del file system. Un dato privo di questa documentazione è attaccabile ex art. 191 c.p.p. come prova inutilizzabile.
- Nuovi motivi di opposizione difensiva. Il provider può rifiutare o sospendere l’esecuzione dell’ordine se rileva un’evidente violazione dei diritti fondamentali. L’avvocato della difesa può sollecitare questo controllo e impugnare l’EPOC davanti all’autorità di esecuzione dello Stato richiesto.
- Impatto sui procedimenti civili e commerciali. Il Regolamento si applica anche in materia civile e amministrativa. Chi gestisce contenziosi su contratti digitali, violazioni di IP o responsabilità delle piattaforme deve considerare l’EPOC come strumento di discovery alternativo alle esibizioni ex art. 210 c.p.c.
- Aggiornamento dei mandati professionali. Nei procedimenti transfrontalieri, il mandato difensivo dovrebbe già prevedere clausole che autorizzino il legale a interfacciarsi con provider esteri e a richiedere copia degli ordini ricevuti.
Attenzione a
Non confondere velocità con correttezza. La rapidità dell’EPOC non garantisce la qualità forense della prova acquisita. Un provider che risponde in 8 ore potrebbe trasmettere dati non integri, estratti senza log verificabili o relativi a un arco temporale più ampio del consentito. Contestare la proporzionalità dell’ordine — requisito esplicito del Regolamento — è il primo fronte su cui lavorare.
Attenzione alle immunità parlamentari e al segreto professionale. Il Regolamento prevede eccezioni per i dati coperti da privilegio professionale, ma il meccanismo di filtraggio è affidato in prima battuta al provider, non a un giudice. Se i dati richiesti riguardano comunicazioni avvocato-cliente, occorre notificare immediatamente il problema all’autorità emittente e all’ordine competente, prima che i dati vengano trasmessi.
Domande frequenti
Dal 2026 un PM straniero può chiedere i dati del mio cliente a un provider italiano senza rogatoria?
Sì. Con il Regolamento UE 2023/1543, un’autorità giudiziaria di un altro Stato membro può emettere un EPOC direttamente verso un provider stabilito in Italia, senza passare per l’assistenza giudiziaria tradizionale. Il provider è obbligato a rispondere entro 10 giorni, o 8 ore nei casi urgenti. La difesa può contestare l’ordine davanti all’autorità di esecuzione italiana se rileva violazioni dei diritti fondamentali o del principio di proporzionalità.
Come si contesta la validità di una prova digitale acquisita con un EPOC?
Il primo livello di attacco è la catena di custodia: verificare hash, log di estrazione e integrità dei dati ricevuti. Il secondo è la proporzionalità dell’ordine rispetto alla fattispecie contestata, criterio richiesto espressamente dal Regolamento e confermato dalla giurisprudenza CGUE (Prokuratuur, C-746/18). Se i dati includono comunicazioni coperte da segreto professionale, va presentata eccezione immediata all’autorità emittente.
Il Regolamento e-Evidence si applica anche nei procedimenti civili?
Sì. Il Regolamento UE 2023/1543 non si limita al penale: si applica anche in materia civile, commerciale e amministrativa. Un giudice civile di uno Stato membro può emettere un EPOC per acquisire dati rilevanti in un contenzioso contrattuale o in una causa per violazione di proprietà intellettuale, con le stesse regole di proporzionalità e garanzia previste per il penale.
Fonte di riferimento: AgendaDigitale