Prove elettroniche senza confini

Cosa cambia per i prestatori di servizi nel perimetro e-evidence

 

In breve

Il 20 ottobre 2026 è stato pubblicato in Gazzetta Ufficiale il decreto legislativo 8 ottobre 2026, n. 188. Il provvedimento completa l’adattamento dell’ordinamento italiano al regolamento europeo sugli ordini di produzione e conservazione di prove elettroniche e integra il decreto legislativo 215/2025. Le novità riguardano soprattutto informazione alla persona, rimedi, sanzioni e infrastruttura digitale. L’impatto operativo ricade sui prestatori di servizi compresi nel perimetro del pacchetto europeo: prima che arrivi una richiesta reale conviene verificare chi la riceve, chi ne controlla autenticità, provenienza, ambito e requisiti formali, come si preservano i dati e come si documentano le decisioni.

 

Un ordine può arrivare oltre il confine

Una parte crescente delle prove utilizzate nelle indagini penali è conservata da fornitori di servizi digitali. Messaggi, dati di registrazione, elementi utili a identificare un account o informazioni archiviate possono trovarsi presso un’impresa stabilita in un altro Stato, anche quando il reato è indagato in Italia.

Il regolamento europeo 2023/1543 nasce per ridurre questa distanza. In presenza delle condizioni previste, un’autorità di uno Stato membro può rivolgere un ordine europeo di produzione o di conservazione allo stabilimento designato o al rappresentante legale del prestatore di servizi che rientra nel perimetro. Non è una scorciatoia senza regole: l’ordine deve rispettare competenza, necessità e proporzionalità, mentre il destinatario deve saperlo riconoscere, trattare e attivare le specifiche obiezioni previste dal regolamento quando ne ricorrono i presupposti.

 

Il decreto chiude il quadro italiano

L’Italia aveva già individuato autorità e procedure con il decreto legislativo 215/2025 e aveva disciplinato lo stabilimento designato o il rappresentante legale dei fornitori con il decreto legislativo 216/2025. Il nuovo decreto 188/2026 completa il percorso.

Il provvedimento regola l’informazione alla persona interessata e il ricorso contro la legittimità, la necessità o la proporzionalità dell’ordine. Introduce inoltre un apparato sanzionatorio per l’inadempimento agli obblighi di trasmissione, informazione, conservazione e collaborazione. Finanzia infine la componente italiana del sistema informatico decentralizzato che dovrà sostenere gli scambi.

 

La parola decisiva è preparazione

Il rischio più evidente è trattare l’ordine come una normale richiesta operativa. In realtà, la risposta richiede un passaggio coordinato tra area legale, sicurezza, privacy e funzioni tecniche. Questa preparazione deriva dall’intero pacchetto e-evidence, non dal solo decreto 188/2026. Occorre evitare sia il ritardo ingiustificato sia la consegna frettolosa di dati non compresi nel perimetro.

Il primo controllo riguarda l’applicabilità. Non ogni impresa digitale è automaticamente destinataria del sistema europeo: bisogna verificare se il servizio e il soggetto rientrano nelle definizioni del regolamento e quale stabilimento designato o rappresentante legale debba ricevere l’ordine. Se il perimetro è confermato, devono essere già chiari il punto di ricezione, le persone abilitate, i tempi di escalation e le modalità con cui i dati vengono isolati, preservati ed estratti senza alterazioni.

 

Sanzioni concrete, non simboliche

Il decreto associa agli inadempimenti sanzioni pecuniarie differenziate. Per alcune violazioni gli importi arrivano a un milione o a 1,2 milioni di euro. Alle condizioni specifiche dell’articolo 3, comma 3, se risulta superiore al massimo fisso applicabile, la sanzione può raggiungere il 2 per cento del fatturato mondiale annuo totale dell’esercizio precedente.

I numeri spiegano la serietà del presidio, ma non esauriscono il problema. Una risposta non governata può compromettere l’indagine, esporre dati ulteriori rispetto a quelli richiesti o rendere difficile dimostrare perché una certa decisione sia stata presa. La tracciabilità consente di ricostruire la gestione: ricezione, verifica, conservazione, accessi, estrazione, trasmissione e chiusura devono lasciare una sequenza leggibile.

 

I diritti non spariscono

L’efficacia investigativa convive con garanzie precise. Per l’autorità opera il regime dei trattamenti per finalità penali previsto dal decreto legislativo 51/2018. Il decreto 188/2026 prevede che la persona sia informata secondo quelle regole e riceva indicazione dei rimedi disponibili; le consente inoltre di contestare legittimità, necessità e proporzionalità dell’ordine entro termini definiti. Il prestatore continua ad applicare, per i trattamenti di propria competenza, il Regolamento generale sulla protezione dei dati e l’eventuale disciplina ePrivacy.

Per chi riceve la richiesta, questo significa distinguere le attività imposte dall’autorità da quelle che richiedono una valutazione propria. Significa anche proteggere la riservatezza dell’operazione senza trasformarla in un’area opaca: accessi limitati, registri tecnici, conservazione controllata e cancellazione secondo le regole applicabili restano elementi essenziali.

 

Cosa verificare adesso

Le organizzazioni potenzialmente coinvolte possono usare le settimane che precedono l’entrata in vigore per una verifica concreta:

• accertare se servizi e società del gruppo rientrano nel perimetro europeo;
• individuare il canale ufficiale che riceve gli ordini e predisporre una reperibilità coerente con i termini applicabili;
• definire una matrice di responsabilità tra legale, sicurezza, privacy, operation e direzione;
• predisporre una procedura per autenticità, provenienza, competenza, ambito e requisiti formali, con escalation per le obiezioni specifiche previste dal regolamento;
• stabilire come preservare, estrarre e trasmettere i dati con controllo degli accessi e integrità documentata;
• prevedere escalation per ordini incompleti, conflitti di legge, impossibilità tecnica o rischio per diritti fondamentali;
• provare il processo con una simulazione e conservare l’evidenza delle correzioni.

 

Conclusione

Per i destinatari, l’effetto pratico dell’intero pacchetto e-evidence è che la capacità di rispondere deve esistere prima dell’arrivo dell’ordine: con ruoli definiti, verifiche comprensibili e una catena tecnica che protegga insieme prova, dati e diritti. Il 4 novembre è vicino; per chi rientra nel perimetro, la domanda utile non è se il sistema verrà usato, ma se l’organizzazione saprà affrontarlo senza perdere tempo e controllo.

 

Nota di trasparenza

Questo contenuto è stato predisposto con il supporto di strumenti di intelligenza artificiale ed è stato revisionato dalla redazione iSimply, che ne assume la responsabilità editoriale.